セキュリティホワイトペーパー

IIJ GIO リモートアクセスサービスの ISO/IEC 27017 に基づくセキュリティ要求事項への取り組み

第 1.2 版

改訂履歴
版数制定/改定日

改訂箇所、改定理由

1.0

2021/11/11

初版

1.1

2022/09/22

・「改訂履歴」を追記

備考

・「4.2 情報のラベル付け」の文言の訂正
・「5.アクセス制御」「5.1 利用者登録及び登録削除」の文言の訂正
・「6.暗号」にお客様専用ポータルの暗号化について追記
1.2

2023/08/30

・「ご利用の手引き」が「マニュアル」に名称変更したことに対応
・「詳細資料」が「仕様書」に名称変更したことに対応

2

目次
目次 .................................................................................................................................................. 3
はじめに ........................................................................................................................................... 6
IIJ GIO リモートアクセスサービスにおける ISO/IEC27017 の適用範囲 ........................................ 7■サービス提供形態と ISO/IEC27017 の適用範囲 ......................................................................... 7
IIJ GIO リモートアクセスサービスの概要 ....................................................................................... 8■サービス体系 .............................................................................................................................. 8■責任分界点 .................................................................................................................................. 9■本サービスに関するドキュメント類 ........................................................................................... 9
ISO/IEC27017 の概要 .................................................................................................................... 11
ISO/IEC27017 に対する取り組み .................................................................................................. 12
1．情報セキュリティのための方針群 ......................................................................................... 12
1.1 情報セキュリティのための方針群 ......................................................................................... 12
2．情報セキュリティのための組織 ............................................................................................. 13
2.1 情報セキュリティの役割及び責任 ......................................................................................... 13
2.2 関係当局との連絡 .................................................................................................................. 13
2.3 クラウドコンピューティング環境における役割、責任の共有及び分担................................. 13
3．人的資源のセキュリティ ....................................................................................................... 14
3.1 情報セキュリティの意識向上、教育及び訓練 ....................................................................... 14
4．資産の管理............................................................................................................................. 15
4.1 資産目録 ................................................................................................................................ 15
4.2 情報のラベル付け .................................................................................................................. 15
4.3 クラウドサービスカスタマの資産の除去 .............................................................................. 15
5．アクセス制御 ......................................................................................................................... 16
5.1 利用者登録及び登録削除 ....................................................................................................... 16
5.2 利用者アクセスの提供 ........................................................................................................... 16
5.3 特権的アクセス権の管理 ....................................................................................................... 16
5.4 利用者の秘密認証情報の管理 ................................................................................................ 16
5.5 情報へのアクセス制限 ........................................................................................................... 16
5.6 特権的なユーティリティプログラムの使用 ........................................................................... 17
5.7 仮想コンピューティング環境における分離 ........................................................................... 173

5.8 仮想マシンの要塞化 .............................................................................................................. 17
6．暗号 ....................................................................................................................................... 18
6.1 暗号による管理策の利用方針 ................................................................................................ 18
7．物理的及び環境的セキュリティ ............................................................................................. 19
7.1 装置のセキュリティを保った処分または再利用 .................................................................... 198．運用のセキュリティ .............................................................................................................. 20
8.1 変更管理 ................................................................................................................................ 20
8.2 容量・能力の管理 .................................................................................................................. 20
8.3 情報のバックアップ .............................................................................................................. 20
8.4 イベントログの取得 .............................................................................................................. 20
8.5 実務管理者の運用担当者の作業ログ ..................................................................................... 21
8.6 クロックの同期 ..................................................................................................................... 21
8.7 技術的ぜい弱性の管理 ........................................................................................................... 21
8.8 実務管理者の運用のセキュリティ ......................................................................................... 21
8.9 クラウドサービスの監視 ....................................................................................................... 21
9．通信のセキュリティ .............................................................................................................. 22
9.1 ネットワークの分離 .............................................................................................................. 22
9.2 仮想及び物理ネットワークのセキュリティ管理の整合 ......................................................... 22
10．システムの取得、開発及び保守 ........................................................................................... 23
10.1 情報セキュリティ要求事項の分析及び仕様化 ..................................................................... 23
10.2 情報セキュリティに配慮した開発のための方針 .................................................................. 23
11．供給者関係........................................................................................................................... 24
11.1 供給者関係のための情報セキュリティの方針 ..................................................................... 24
11.2 供給者との合意におけるセキュリティの取扱い .................................................................. 24
11.3 ICT サプライチェーン ........................................................................................................ 24
12．情報セキュリティインシデント管理 .................................................................................... 25
12.1 責任及び手順 ....................................................................................................................... 25
12.2 情報セキュリティ事象の報告 .............................................................................................. 25
12.3 証拠の収集 .......................................................................................................................... 25
13．順守 ..................................................................................................................................... 26
13.1 適用法令及び契約上の要求事項の特定 ................................................................................ 26
13.2 知的財産権 .......................................................................................................................... 26
13.3 記録の保護 .......................................................................................................................... 26
13.4 暗号化機能に対する規制 ..................................................................................................... 264

13.5 情報セキュリティの独立したレビュー ................................................................................ 26

5

はじめに
組織におけるクラウドサービスの利用において、セキュリティへの懸念は必ず取り上げられる問題の一つです。そのような状況の中、2015 年 12 月に、クラウドセキュリティの国際標準規格である
ISO/IEC 27017:2015 が発行され、クラウドサービスの利用者と事業者が行うべきセキュリティ管理策が定義されました。
本書では、IIJ GIO リモートアクセスサービスにおける ISO/IEC 27017:2015 への取り組みを解説いたします。IIJ は、ISMS 認証やプライバシーマークなど多くの第三者認証を取得しており、クラウド
セキュリティ推進協議会（JASA）の発足メンバーです。また、セキュリティインシデントに対応する
CSIRT の国際組織である FIRST（Forum of Incident Response and Security Teams）へ国内企業で初めての加入や、情報セキュリティレベルの向上に寄与する NPO 日本ネットワークセキュリティ協会（JNSA）の役員を務めるなど、安全安心なネットワーク社会の実現に向けて積極的な活動を行ってきました。これらの活動や十数年前からクラウドを運用している豊富な経験、お客様に安心してご利用いただける環境を提供しております。
本書で IIJ GIO リモートアクセスサービスにおけるクラウドセキュリティの取り組みを知っていただ
き、サービスの利用を通して、今後ますますお客様のセキュリティ強化のお役に立ちたいと考えております。
なお、本書の内容は作成時点での取り組みに基づいて記述しております。内容は変更される場合がございますので、最新の情報は担当営業へご確認くださいますようお願いいたします。

6

IIJ GIO リモートアクセスサービスにおける
ISO/IEC27017 の適用範囲■サービス提供形態と ISO/IEC27017 の適用範囲
IIJ GIO リモートアクセスサービスでは IIJ GIO リモートアクセスサービス/ゲートウェイ（以下、
ゲートウェイ）および IIJ GIO リモートアクセスサービス/ネットワーク（以下、ネットワーク）をご契約いただきます。その際にゲートウェイにおいてはタイプ A またはタイプ B のいずれか、ネットワー
クにおいては連携サービスを選択する必要があります。ゲートウェイおよびネットワークの詳細については 8 ページに記載の「IIJ GIO リモートアクセスサービスの概要 サービス体系」をご覧ください。
IIJ GIO リモートアクセスサービスにおいて ISO/IEC27017 の適用範囲は、「IIJ GIO リモートアク
セスサービス/ゲートウェイ タイプ A」かつ 「IIJ GIO リモートアクセスサービス/ネットワーク」の連携サービスとして「IIJ プライベートバックボーンサービス」をご選択いただいた場合となります。

ゲートウェイ
タイプ A

タイプ B

IIJ プライベートバックボーンサービス

適用範囲

適用範囲外

IIJ マネージド VPN Pro サービス※

適用範囲外

適用範囲外

IIJ SMFsx サービス※

適用範囲外

適用範囲外

IIJ マルチプロダクトコントローラサービス※

適用範囲外

適用範囲外

連携サービス※ IIJ マネージド VPN Pro サービス、 IIJ SMFsx サービスおよび IIJ マルチプロダクトコントローラ
サービスを連携サービスに指定した新規のお申し込みは 2020 年 3 月 6 日をもって停止しております。

7

IIJ GIO リモートアクセスサービスの概要
IIJ GIO リモートアクセスサービスは、外出先などの遠隔地からインターネットを経由して、IIJ サー
ビスやお客様の社内ネットワークへのセキュアな接続性を提供します。本サービスは、ユーザからのリモートアクセス VPN 接続を終端するゲートウェイ設備及びリモートアクセス先と連携するネットワー
ク設備の構築から運用、保守までを提供するマネージメントサービスです。

■サービス体系
IIJ GIO リモートアクセスサービス/マネージメント
本サービスの親契約となるもの、ゲートウェイ及びネットワークコードを管理する契約です。

IIJ GIO リモートアクセスサービス/ゲートウェイ
ユーザからのリモートアクセス VPN を受け付けるお客様ごとのゲートウェイ設備を表します。
ユーザからのトラフィックはその後ネットワーク設備に運ばれます。
品目は以下の 2 つがあります。
タイプ A● ユーザからのリモートアクセス VPN 接続や、IIJ モバイルを利用した閉域接続を受け付けるゲートウェイを提供するサービスです● ユーザグループ、ホストグループ、サービスグループといったきめ細かい単位
でのアクセス制御ルールを設定するため、特定のユーザだけが外部からお客様
ネットワークへアクセスできます

タイプ B● 専用ブラウザを利用した HTTP（S）通信を中継するゲートウェイを提供するサービスです● ユーザ端末に情報を残さずセキュアな社内ネットワークへのアクセスできます

IIJ GIO リモートアクセスサービス/ネットワーク
ゲートウェイ設備から送られてくるトラフィックを本サービスが指定する IIJ サービス、またはそれと同等の VPN 機器（以下、サービスアダプタ）と連携し、目的のリソースまで中継するネッ
トワーク設備です。
IIJ GIO リモートアクセスサービス/ネットワークと接続可能な弊社サービス及びサービスアダ
プタは以下となります。

8

➢IIJ プライベートバックボーンサービス➢

IIJ マネージド VPN Pro サービス※➢

IIJ SMFsx サービス※➢

IIJ マルチプロダクトコントローラサービス※※ IIJ マネージド VPN Pro サービス、 IIJ SMFsx サービスおよび IIJ マルチプロダクトコント
ローラサービスを連携サービスに指定した新規のお申し込みは 2020 年 3 月 6 日をもって停止しております。

■責任分界点
管理責任範囲は、下記の通りとなります。
基本機能における管理責任範囲
お客様データ（設定データ、ユーザ管理等）

お客様

ネットワーク（インターネット接続）※設備まで

ISO/IEC 27017 認証
範囲

ミドルウェア
OS
仮想サーバ
物理サーバ

弊
社

ネットワーク（バックボーン）
データセンター■本サービスに関するドキュメント類
IIJ GIO リモートアクセスサービスは、「IIJ インターネットサービス契約約款」と「個別規程 IIJ
GIO リモートアクセスサービス」に基づき役務提供します。サービス仕様については、「サービス仕様書」に記載しています（本書では、これらのドキュメントをサービスドキュメントと表記しています）。
サービスのご利用にあたっての操作方法等については、「マニュアル」や各種操作マニュアルをご用意しています（本書ではこれらの文書をサービスドキュメントと表記しています）。また、これらのドキュメントの掲載、お客様へのお知らせ、お問い合わせ窓口や運用管理者を管理するために IIJ
9サービスオンラインをご用意しています（本書では、これらのサイトをお客様専用のポータルサイトと記しています）。

10

ISO/IEC27017 の概要
国際標準化機構(ISO)と国際電気標準会議(IEC)が定める情報セキュリティマネジメントの国際規格にISO/IEC27000 シリーズがあります。ISO/IEC27017 は、このシリーズの 1 つで、2015 年 12 月に発行されたクラウドサービスにおける情報セキュリティマネジメントの指針を記したものになります。
■ISO/IEC27017 の特徴「ISO/IEC 27002 の管理策に対する追加の実施の手引き」と「クラウドサービスに対する追加の管理策及び実施の手引き」ISO/IEC27002 は情報セキュリティマネジメントの汎用的な指針であるのに対し、ISO/IEC27017 はクラウドサービス向けの指針です。ISO/IEC 27002 を前提とした
ISO/IEC 27017 には、ISO/IEC 27002 に対して、クラウドサービスに固有の事項を追加されています。具体的に、ISO/IEC27017 には、以下の内容が記載されています。

ISO/IEC27017 で、新たに追加されたクラウドサービス事業者向けの管理策について、IIJ GIO
リモートアクセスサービスでの取り組みを次ページ以降に記載しています。

11

ISO/IEC27017 に対する取り組み
1．情報セキュリティのための方針群
1.1 情報セキュリティのための方針群
ISO/IEC27017 項番：5.1.1
IIJ GIO リモートアクセスサービスのサービス運営では以下の方針を定めております。

弊社の情報セキュリティ基本方針（http://www.iij.ad.jp/securitypolicy/index.html）に従い、サービス運営を行います。
セキュリティに関して、極めて重要な事項として取り扱います。

IIJ GIO リモートアクセスサービスでお客様情報資産を守るため、下記 3 つを基本方針とします。
a) サービス維持・運用に必要なアクセス権限を厳密に管理します。
b) サービスが保持する情報の重要性に合わせ、システムを適切に分離します。
c) 異常の早期検知並びに検証に努めます。

122．情報セキュリティのための組織
2.1 情報セキュリティの役割及び責任
ISO/IEC27017 項番：6.1.1「IIJ インターネットサービス契約約款」やサービスドキュメントで契約やサービス内容を定義し、サービス提供を実施しております。アプリケーション、設備などサービス基盤の運用は弊社の責任範囲としてサービスの提供範囲に含まれております。保存データ（設定データ）はお客様責任範囲となります。

2.2 関係当局との連絡
ISO/IEC27017 項番：6.1.3
弊社の本社所在地は、東京都千代田区富士見 2-10-2 飯田橋グラン・ブルームとなります。
お問い合わせ窓口は、サービスドキュメントに記載しております。
なお、IIJ GIO リモートアクセスサービスに保存されたデータの所在は日本国内となります。

2.3 クラウドコンピューティング環境における役割、責任の共有及び分担
ISO/IEC27017 項番：CLD6.3.1「IIJ インターネットサービス契約約款」やサービスドキュメントでサービス内容を定義し、サービス提供を実施しております。また、お問い合わせ窓口は「マニュアル」に記載しております。また、責任分界点の詳細は、「2.1 情報セキュリティの役割及び責任」をご覧ください。

13

3．人的資源のセキュリティ
3.1 情報セキュリティの意識向上、教育及び訓練
ISO/IEC27017 項番：7.2.2
弊社では情報セキュリティ基本方針（http://www.iij.ad.jp/securitypolicy/index.html）を定め、方針に従いサービス運営を行っております。なお、上記規程に、全ての社員に対する教育活動を実施する旨を定めております。

14

4．資産の管理
4.1 資産目録
ISO/IEC27017 項番：8.1.1
お客様の情報資産（お客様で保存されるデータ）と弊社がサービスを運営するための情報は、明確に分離しております。

4.2 情報のラベル付け
ISO/ IEC27017 項番：8.2.2
ご契約いただきましたサービスやオプションの一覧やサービス機能を定めたサービスドキュメ
ントが、お客様専用のポータルサイトで閲覧できます。また、ご契約いただきましたサービス
は、サービスコードで、お客様毎の識別及び利用サービス、オプション機能を分類しております。
また、お客様専用ポータルサイトにおいて、サービスコード毎にラベルをつけることが可能となっております。

4.3 クラウドサービスカスタマの資産の除去
ISO/IEC27017 項番：CLD8.1.5
IIJ GIO リモートアクセスサービス解約時並びにオプション機能解約時には、弊社サービス設
備に残存したお客様の情報資産は解約日から 45 日以内に消去いたします。

15

5．アクセス制御
5.1 利用者登録及び登録削除
ISO/IEC27017 項番：9.2.1
お客様専用のポータルサイトで、ご契約いただきましたサービスに対する運用管理担当者の登録及び削除機能を提供しています。
登録、削除に必要な手順、情報はサービスドキュメントに記載しております。

5.2 利用者アクセスの提供
ISO/IEC27017 項番：9.2.2
お客様専用のポータルサイトで、ご契約いただきましたサービスに対する運用管理担当者の権限管理機能を提供しています。
権限ごとのアクセス可能な範囲及び権限の変更手順はサービスドキュメントに記載しております。

5.3 特権的アクセス権の管理
ISO/IEC27017 項番：9.2.3
お客様専用のポータルサイトの管理者認証に関しましては、ID とパスワードの認証に加え、二要素認証、及びアクセス元 IP アドレスによる制限を設定する機能を提供しております。
また、規定回数のログイン失敗によるアカウントロック機能も提供しております。

5.4 利用者の秘密認証情報の管理
ISO/IEC27017 項番：9.2.4
お客様専用のポータルサイトを利用される際のお客様運用管理者及び利用者 ID の登録やパス
ワード変更、再発行方法については、サービスドキュメントに記載しております。

5.5 情報へのアクセス制限
ISO/IEC27017 項番：9.4.1
お客様専用のポータルサイトの管理者権限及びユーザ権限等のアクセス可能な範囲について
は、サービスドキュメントに記載しております。
また、IIJ GIO リモートアクセスサービスは、SaaS（Software as a Service）型のクラウド

16

サービスであることから、提供サービスを利用するための権限のみを付与します。

5.6 特権的なユーティリティプログラムの使用
ISO/IEC27017 項番：9.4.4
セキュリティ手順を回避し各種サービス機能の利用を可能とするユーティリティプログラムの提供は行っておりません。

5.7 仮想コンピューティング環境における分離
ISO/IEC27017 項番：CLD9.5.1
仮想化セキュリティ技術を採用し、お客様ごとに分離された環境でサービスを提供します。

5.8 仮想マシンの要塞化
ISO/IEC27017 項番：CLD9.5.2
お客様向け設備に対して以下の対策を実施しています。
•

IP アドレスによるアクセス制限の実施並びにアクセス制御•

不要なサービス停止（無効化）、ポート閉塞•アカウント管理17

6．暗号
6.1 暗号による管理策の利用方針
ISO/IEC27017 項番：10.1.1
本サービスとの通信については、以下の通り接続方式に応じた暗号化通信を利用できます。
接続方式

暗号化方式

L2TP/IPsec

AES（128bit, 192bit, 256bit）, Triple-DES（168bit）

SSTP

AES（256bit）

PPTP

MPPE（128bit）stateful/stateless モード

お客様専用ポータルのご利用については TLS 通信にて暗号化されています。

18

7．物理的及び環境的セキュリティ
7.1 装置のセキュリティを保った処分または再利用
ISO/IEC27017 項番：11.2.7
設備を再利用、廃棄する際には IIJ GIO リモートアクセスサービス運用ルールに基づき、適切なプロセスでデータの削除や設備の破壊を実施しております。

19

8．運用のセキュリティ
8.1 変更管理
ISO/IEC27017 項番：12.1.2
原則、サービス内容を変更する場合やメンテナンスを実施する際は、変更内容をお客様専用のポータルサイトでご連絡いたします。
また、影響があるお客様には、お客様専用のポータルサイトに加えてあらかじめご登録いただ
いた運用管理登録者のメールアドレスに個別連絡いたします。

8.2 容量・能力の管理
ISO/IEC27017 項番：12.1.3
安定的にサービスを提供できる仕組みを構築しています。具体的には、リソースの量及び稼働状況を管理しております。
また、お客様がご利用の設備は、お客様ごとにサイジングを行っているため、契約時に利用する端末数やリクエスト数を申告いただき適切なリソース量で提供しています。

8.3 情報のバックアップ
ISO/IEC27017 項番：12.3.1
サービスの復旧を目的とした設備情報のバックアップを実施しておりますが、設備に保存した情報を直接的にバックアップする機能は提供しておりません。お客様が設定した情報に関して、
バックアップを行う必要がある場合は、お客様でご取得ください。

8.4 イベントログの取得
ISO/IEC27017 項番：12.4.1
お客様専用のポータルサイトにて以下のログを検索できます。
•

VPN 接続ログ•

アクセス制御ログ•

端末認証ログ

検索可能期間は過去 90 日間です。また、 上記 3 つを合わせたログファイルをダウンロード
できます。ログのダウンロード期間は、当日を除き過去 30 日間となっております。
検索およびダウンロードの操作については、サービスドキュメントに記載しております。

20

8.5 実務管理者の運用担当者の作業ログ
ISO/IEC27017 項番：12.4.3
弊社の責任範囲において、サービスの維持管理に必要となる作業ログを取得しております。

8.6 クロックの同期
ISO/IEC27017 項番：12.4.4
弊社では日本標準時を基にした時刻同期の仕組みを有しております。
本サービスでは時刻同期に基づいてログを記録しております。

8.7 技術的ぜい弱性の管理
ISO/IEC27017 項番：12.6.1
弊社ではぜい弱性情報を常時収集しております。収集した情報を元に、サービス設備への影響を評価し、速やかに対応しております。

8.8 実務管理者の運用のセキュリティ
ISO/IEC27017 項番：CLD12.1.5
IIJ GIO リモートアクセスサービスをご利用いただくにあたり、必要な操作手順についてはサービスドキュメントで文書化し提供しております。

8.9 クラウドサービスの監視
ISO/IEC27017 項番：CLD12.4.5
弊社管理範囲のネットワークのトラフィック、CPU、メモリ及びディスクの使用率に関する監視は弊社が行っております。お客様には監視で取得した情報を提供しておりません。

21

9．通信のセキュリティ
9.1 ネットワークの分離
ISO/IEC27017 項番：13.1.3
ネットワークの仮想化技術を利用し、他のお客様のネットワークおよび弊社の運用
管理ネットワークを論理的に分離しております。

9.2 仮想及び物理ネットワークのセキュリティ管理の整合
ISO/IEC27017 項番：CLD13.1.4
お客様ごとの通信経路を制御するためのネットワーク管理を適切に行っています。

22

10．システムの取得、開発及び保守
10.1 情報セキュリティ要求事項の分析及び仕様化
ISO/IEC27017 項番：14.1.1
セキュリティホワイトペーパー及びサービスドキュメントに記載しております。

10.2 情報セキュリティに配慮した開発のための方針
ISO/IEC27017 項番：14.2.1
変更管理に関するプロセスを定め、情報セキュリティに配慮してサービス開発・運営を実施しております。
変更管理プロセスでは、リスクアセスメントを実施した後、サービスのリリースをしております。

2311．供給者関係
11.1 供給者関係のための情報セキュリティの方針
ISO/IEC27017 項番：15.1.1
お客様から事前に了承をいただいている場合を除き、弊社運用担当者がお客様の情報にアクセスすることはありません。
（障害対応やメンテナンス作業で必要となる場合は、稼働確認を行う必要があるためこの限りではありませんが、その場合でも情報へのアクセスは最低限とするように努めます）
また、サービス維持・運用に必要なアクセス権限を厳密に管理します。

11.2 供給者との合意におけるセキュリティの取扱い
ISO/IEC27017 項番：15.1.2
IIJ GIO リモートアクセスサービスは SaaS のクラウドサービスとなります。詳細は 9 ページに記載の「IIJ GIO リモートアクセスサービスのサービス概要 責任分界点」をご覧ください。

11.3 ICT サプライチェーン
ISO/IEC27017 項番：15.1.3
他のクラウドサービスの供給は受けておりません。IIJ GIO リモートアクセスサービスの提供のために必要となる構成要素（データセンターや機器等）の供給については、弊社のセキュリテ
ィ方針に沿うようリスク管理しています。

24

12．情報セキュリティインシデント管理
12.1 責任及び手順
ISO/IEC27017 項番：16.1.1
IIJ の責任範囲において確認できたセキュリティインシデントは、お客様専用のポータルサイ
トやメール等で速やかに報告いたします。なお、責任範囲については「IIJ GIO リモートアクセ
スサービス概要 責任分界点」をご覧ください。

12.2 情報セキュリティ事象の報告
ISO/IEC27017 項番：16.1.2
情報セキュリティ事故が発生した場合には、お客様専用のポータルサイトやメール等で速やかに報告いたします。また、お客様からの事象報告はお問い合わせ窓口で受け付けております。

12.3 証拠の収集
ISO/IEC27017 項番：16.1.7
お客様責任範囲における情報セキュリティインシデントに関するログ等の証拠の収集はお客様で実施いただく範囲となります。弊社責任範囲でのログ等の証拠が必要な場合は、お客様の要望に応じて個別に対応しております。都度、ご相談ください。

25

13．順守13.1 適用法令及び契約上の要求事項の特定
ISO/IEC27017 項番：18.1.1
IIJ GIO リモートアクセスサービスのサービス設備は日本国内に設置しております。本サービ
スをご利用にあたり、弊社とご契約者の間で訴訟の必要が生じた場合、東京地方裁判所を弊社とご契約者の第一審の専属的合意管轄裁判所と定めております。詳細は「IIJ インターネットサー
ビス契約約款」（http://www.iij.ad.jp/svcsol/agreement/）に記載しておりますので、ご確認ください。

13.2 知的財産権
ISO/IEC27017 項番：18.1.2
IIJ GIO リモートアクセスサービスをご利用いただく上で知的財産権に関わるお問い合わせは、お客様窓口にご連絡ください。

13.3 記録の保護
ISO/IEC27017 項番：18.1.3
8.4 で定めたログを記録し、保管しています。データはお客様ネットワークとは分離された環境で保管され、お客様からのお問い合わせや障害対応で必要になる場合などサービス運用上の用途でのみ利用します。また、利用については、「IIJ インターネットサービス契約約款」第 9 章契
約者情報に定めています。

13.4 暗号化機能に対する規制
ISO/IEC27017 項番：18.1.5
お客様専用のポータルサイトでは SSL/TLS により通信を暗号化しています。また VPN 接続に
おいては AES 等により通信を暗号化しています。なお、輸出規制の対象となる暗号化の利用はありません。

13.5 情報セキュリティの独立したレビュー
ISO/IEC27017 項番：18.2.1
組織的な取り組みとして弊社では ISMS 認証やプライバシーマークを取得しております。
また、IIJ GIO リモートアクセスサービスでは、経済産業省が策定した「情報セキュリティサ

26

ービス基準」への適合性を審査登録機関により審査され同基準に適合（サービス登録番号：0180019-40）しております。
適合サービスリスト：https://www.ipa.go.jp/security/it-service/service_list.html

本書は著作権法上の保護を受けています。
本書の一部あるいは全部について、著作権者からの許諾を得ずに、いかなる方法においても無断で複製、翻案、公衆送信などすることは禁じられています。
IIJ、Internet Initiative Japan は、株式会社インターネットイニシアティブの商標または登録商標です。
その他、本書に掲載されている商品名、会社名などは各会社の商号、商標または登録商標です。
本文中では、™、®マークは表示しておりません。
© Internet Initiative Japan Inc. All rights reserved.
本サービスの仕様、及び本書に記載されている事柄は、将来予告なしに変更することがあります。
IIJ GIO リモートアクセスサービスの ISO/IEC 27017 に基づくセキュリティ要求事項への取り組み
株式会社インターネットイニシアティブ
IIJ-GAM023-0003

27