‭WellGoセキュリティホワイトペーパー‬‭WellGoセキュリティホワイトペーパー‬‭1.11版‬‭株式会社WellGo‬‭1‬‭WellGoセキュリティホワイトペーパー‬‭1‬ ‭利用者との責任分界点‬‭ 式会社WellGoの責任‬株‭株式会社WellGoは、以下のセキュリティ対策を実施します。‬‭●‬ ‭WellGoアプリケーションのセキュリティ対策‬‭●‬ ‭WellGoアプリケーションに保管されたお客様データの保護‬‭●‬ ‭WellGoアプリケーションの提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策‬‭ 客様の責任‬お‭お客様は、以下のセキュリティ対策を実施する必要があります。‬‭●‬ ‭各利用者に付与されたパスワードの適切な管理‬‭●‬ ‭WellGoアカウントの適切な管理（登録、削除、組織管理者権限の付与など）‬‭2‬ ‭データ保管場所‬‭●‬‭ 客様からお預かりしたデータは、AWSの東京リージョンおよび、大阪リージョンに保管されま‬お‭す。‬‭3‬ ‭データの削除‬‭●‬

W‭ ellGo利用に関する契約が終了した場合、契約終了から90日以内に、お客様からお預かりしたデー‬‭タは完全に消去されます。(利用者ログなどの分離不可能な情報を除く)‬‭4‬ ‭ラベル付け機能‬‭権限ラベル機能‬‭●‬ ‭お客様は、ユーザをWellGoが用意した権限グループに追加することが可能です。‬‭【操作手順】‬‭1.‬ ‭設定→アクセス権設定を開く‬‭2.‬ ‭対象ユーザの事業所を選択する‬‭3.‬ ‭新規作成若しくは編集にて編集画面を開く‬‭4.‬ ‭対象の社員番号または部署名を入力する‬‭2‬

‭WellGoセキュリティホワイトペーパー‬‭5.‬ ‭各種付与する権限ラベルを選択して保存する‬‭チーム機能‬‭●‬ ‭お客様は、チームを作成したり、所属したりすることが可能です。‬‭【操作手順】‬‭1.‬ ‭チーム作成者はチームメニューからチーム作成を行う‬‭2.‬ ‭チーム参加者はチーム一覧から参加したいチームを選択し、参加申し込みを行う‬‭3.‬ ‭チーム作成者は参加者の申請に承認を行う‬‭5‬ ‭利用者登録および削除‬‭ 客様は、契約の範囲内において、いつでも自由にユーザの登録・削除を行うことが可能です。‬
お‭【操作手順】‬‭1.‬ ‭会社または健保の担当者は作成するユーザデータを、WellGoのアップロードツールにてアップ‬‭ロードを行う‬‭2.‬ ‭データにユーザの所属または資格の有効期限を持たせることで、アカウントの追加削除を同時に‬‭行うことができる‬‭3.‬ ‭各ユーザは上記データの情報に基づいて新規登録画面からメールアドレスおよびパスワードを登‬‭録することで利用開始することができる（詳細は下記７章を参照）‬‭4.‬ ‭ユーザの削除については上記担当者にて一括で行う‬‭●‬‭6‬ ‭アクセス権の管理‬‭ 客様は、登録したユーザの権限を、自由に切り替えることが出来ます。組織管理者権限を付与する‬お‭ことで、各種機能の管理画面にアクセスすることが可能です。‬‭【操作手順】‬‭1.‬ ‭設定→アクセス権設定を開く‬‭2.‬ ‭対象ユーザの事業所を選択する‬‭3.‬ ‭新規作成若しくは編集にて編集画面を開く‬‭4.‬ ‭対象の社員番号または部署名を入力する‬‭5.‬ ‭各種付与する権限ラベルを選択して保存する‬‭●‬‭3‬‭WellGoセキュリティホワイトペーパー‬‭7‬ ‭パスワードの設定方法‬‭ 約企業/健保の従業員、被保険者、被扶養者は、ユーザしか知り得ない情報を入力することで、新規‬契‭ユーザの登録と初期パスワード設定をすることができます。‬‭【操作手順】‬‭1.‬ ‭ログイン画面の「はじめてログインされる方は、こちらからアカウント登録をお願いします」の‬‭リンクをクリック‬‭2.‬ ‭個人属性データ検索のため、保険証記号、保険証番号、続柄、性別、生年月に加え、ログインに‬‭利用するメールアドレス、パスワードを登録する‬‭3.‬ ‭登録したメールアドレスに確認メールが送信されるので、メールに書かれているリンクをクリッ‬‭クすることで、アカウントが有効になり利用開始することができる‬‭ ーザはパスワードを忘れた場合、自らパスワードの再設定を行うことが可能です。‬
ユ‭【操作手順】‬‭1.‬ ‭ログイン画面の「パスワードを忘れた方」のリンクをクリックする‬‭2.‬ ‭パスワード再設定画面が開くので、登録したメールアドレスを入力して送信する‬‭3.‬ ‭登録メールアドレスに再設定画面のリンクが送信されれる‬‭4.‬ ‭ユーザはリンクをクリックし、新しいパスワードを登録する‬‭●‬‭8‬ ‭暗号化の状況‬‭全般‬‭●‬‭●‬‭●‬‭●‬‭ 用者の個人情報は仮名化し、SHA256でハッシュ化した情報のみデータベースに保管する。個人情‬利‭報自体は保持しません。‬‭仮名化範囲外の情報(属性情報など)はAES128で暗号化された状態でデータベースに保管されます。‬‭お客様のメールアドレスは、暗号化されずに、適切なアクセス権のもとで保管されます。但し、パス‬‭ワードは、SHA512でハッシュされた状態で、データベースに保管されます。‬‭お客様の端末と、システムとの間のインターネット通信は、SSL/TLS通信によって暗号化されます。‬‭9‬ ‭変更管理‬‭●‬‭ ービスのバージョンアップ情報を始めとした、各種の変更に関する情報は、ログイン後のお知ら‬サ‭せ欄にて閲覧することが可能です。‬‭4‬‭WellGoセキュリティホワイトペーパー‬‭●‬‭ た、サービスの大規模なバージョンアップが実施される場合、WellGoサポート担当から、契約各‬ま‭社または健保のご担当者様にメールにてご連絡いたします。‬‭10‬ ‭手順書の提供‬‭●‬‭お客様が利用できる手順書は、下記リンク先より閲覧することが可能です。‬‭○‬ ‭FAQ https://wellgo.jp/faq‬‭11‬ ‭バックアップの状況‬‭全般‬‭●‬‭●‬‭ ータベースに保管される、お客様の各種情報（メールアドレス、発令、勤怠、健診、レセプト、‬
デ‭ライフログ、その他ユーザ利用データなど）は、日次でバックアップを取得しています。バックアッ‬‭プは、7世代分保管されます。‬‭但し、お客様からのバックアップデータの復元等に関する要望は、承っておりません。‬‭12‬ ‭ログのクロックに関する情報‬‭●‬‭●‬W‭ ellGoサービス内で提供されるログは、タイムゾーンJST(UTC+9)で提供されます。‬‭ログの時間は、各サーバがchronyにてAWSが提供するNTPサーバを参照して同期しています。‬‭13‬ ‭脆弱性管理に関する情報‬‭●‬‭●‬‭●‬‭●‬‭●‬W‭ ellGo開発チームは、システムで利用しているOS、ミドルウェア等に関する脆弱性情報を、定期的‬‭に収集しています。‬‭システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境で‬‭の検証を経た後、速やかに適用されます。‬‭各サーバのOS、ミドルウェアの最新パッケージ適用は月に１度程度の頻度で実施しています。‬‭Ruby‬‭on‬‭Rails‬‭、‬‭Python‬‭の‭プ‬ ‭ラ‬ ‬‭グ‭イ‬ ‭ン‬ ‭バ‬ ー‬‭ジョ‬‭ン‬‭に‭つ‬ ‬‭い‭て‬ ‬‭は‭重‬ ‬‭大‭な‬ ‬‭脆‭弱‬ ‬‭性‭が‬ ‬‭発‭見‬ ‬‭さ‭れ‬ ‬‭た‭場‬ ‬‭合‭を‬ ‬‭除‭き‬ 、‬‭開発チームの判断にて適切なタイミングで継続的に最新版へのアップデートを行っています。‬‭上記の定期的なパッチ適用/アップデート以外の緊急パッチ適用の判断は、定期的な情報収集で得ら‬‭れた脆弱性情報の重要性などから行っています。‬‭5‬‭WellGoセキュリティホワイトペーパー‬‭14‬ ‭開発におけるセキュリティ情報‬‭●‬W‭ ellGo‬‭シ‭ス‬ ‬‭テ‭ム‬ ‬‭の‭開‬ ‬‭発‬‭に‭は‬ 、‬‭主‭に‬ ‭R‬ uby‬‭On‬‭Rails‬‭が‬‭用‭い‬ ‬‭ら‭れ‬ ‬‭て‭い‬ ‬‭ま‭す‬ 。‬‭開‭発‬ ‭は‬ ‭R‬ ails‬‭セ‬‭キュ‬‭リ‭テ‬ ィ‬‭ガ‬‭イ‬‭ド‭1‬ ‬‭および、社内で定められたコーディング規約に従って実施されます。‬‭15‬ ‭インシデント発生時の対応‬‭●‬‭●‬‭●‬W‭ ellGoの責任範囲において、お客様に大きな影響を与えるセキュリティインシデント(データの消‬‭失、長時間のシステム停止、情報漏洩等）が発生した場合は、インシデント発生してから24時間以‬‭内を目標に、WellGo利用契約時にご提供頂いた組織管理者のメールもしくは電話に連絡します。‬‭ただし、ユーザの誤操作によるデータの消失に関しては利用者側の責任とします。‬‭情報セキュリティインシデントに関する問合せは、本セキュリティホワイトペーパー末尾の「‬‭WellGoサポート担当」窓口より受け付けています。‬‭16‬ ‭お客様データの保護及び第三者提供について‬‭●‬‭●‬‭●‬‭●‬‭●‬

‭●‬

‭1‬

‭ 客様から預かったデータを適切に保護することは、株式会社WellGoの責任です。ログデータを含‬お‭むお客様データは、不正なアクセスや改ざんを防ぐため、WellGo開発チームの一部の人間しかアク‬‭セスできない、限られたアクセス権のもとで保管されます。‬‭但し、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された‬‭場合、株式会社WellGo、お客様の許可なく、必要最小限の範囲で、お客様情報を外部に提供する可‬‭能性があります。‬‭ログの保管場所は、退避前はAWS EFS（７日間）、退避後はAWS S3に保管しています。‬‭データの保存期間は、RDS、AWS S3内のすべての情報を永久保管しています。‬‭AWS内で利用されたストレージデバイスなどの装置の処分に関してはAWSの廃棄プロセスに従って‬‭います。‬‭会社所有のHDDや業務利用ノートPCのHDDの処分に関しても、AWSの廃棄プロセスと同様のプロセ‬‭スに従い処分します。‬‭https://railsguides.jp/security.html‬‭6‬‭WellGoセキュリティホワイトペーパー‬‭17‬ ‭適用法令‬‭●‬‭お客様と株式会社WellGoとの間の契約は、日本法に基づいて解釈されるものとします。‬‭18‬ ‭認証‬‭●‬‭ 式会社WellGoは、ISMS認証、ISMSクラウドセキュリティ認証及びプライバシー情報マネジメント‬
株‭認証を以下の通り取得しています。‬

I‭ SMS認証について‬‭初回登録日‬ ‭2020年4月23日‬‭審査登録機関‬ ‭SGS ジャパン株式会社‬‭ 証基準‬
認‭ISO/IEC 27001:2013 (JIS Q 27001:2014)‬‭審査登録証‬ ‭JP20/080611‬‭登録範囲‬‭・コラボヘルスをサポートするプラットフォームの‬‭企画・開発・運営‬‭ISMSクラウドセキュリティ認証について‬‭初回登録日‬ ‭2020年4月23日‬‭審査登録機関‬ ‭SGS ジャパン株式会社‬‭認証基準‬‭JIP-ISMS517-1.0（ISO/IEC 27017:2015）‬‭審査登録証‬ ‭JP20/080610‬‭登録範囲‬‭・クラウドサービスプロバイダ:‬‭クラウドコラボヘルスプラットフォーム「WellGo‬‭」‬‭サービスの提供(SaaS)‬‭・クラウドサービスカスタマ:‬‭「WellGo」サービス提供に係る‬‭アマゾンウェブサービス(AWS)の利用(IaaS)‬‭7‬

‭WellGoセキュリティホワイトペーパー‬‭プライバシー情報マネジメント認証について‬‭初回登録日‬ ‭2023年3月28日‬‭審査登録機関‬ ‭SGS ジャパン株式会社‬‭認証基準‬‭ISO/IEC 27701:2019‬‭審査登録証‬ ‭JP23/00000088‬‭登録範囲‬‭・PII: プロセッサー‬‭コラボヘルスプラットフォーム「WellGo」利用者‬‭情報の処理‬‭8‬‭WellGoセキュリティホワイトペーパー‬‭19‬ ‭外部クラウドサービスの利用‬W‭ ellGoでは、次に示す機能を運用するために、外部のクラウドサービスを利用しています。‬‭●‬ ‭尚、WellGoサービスにおいて、個人情報の取り扱いにおける下請負者の使用はありません。‬‭クラウドサービス‬‭機能‬‭運営会社‬‭情報‬‭AWS‬‭インフラ構築,運用‬ ‭Amazon‬‭個人名,メールアドレス,PDFファイル 等‬‭Google‬‭メール、問い合わせ‬ ‭Google‬‭個人名,会社名,お問い合わせ内容 等‬‭Workspace‬‭対応‬‭giftee‬‭ポイント交換‬‭ギフティ‬‭セールスフォース‬ ‭顧客管理‬‭株式会社セー‬ ‭顧客名, 担当者名, 連絡先 等‬‭ルスフォー‬‭ス・ジャパン‬‭Notion‬‭顧客管理‬‭Notion Labs‬ ‭顧客名, 担当者名, 連絡先 等‬‭Inc.‬‭顧‬‭客‭名‬ ,‬ ‭担‭当‬ ‬‭者‭名‬ ,‬ ‭連‭絡‬ ‬‭先,‬ ‭お‬‭問‭い‬ ‭合‬ ‬‭わ‭せ‬ ‬‭Slack‬‭社内外コミュニケー‬ ‭Slack‬‭ション‬‭Technologies‬ ‭内容 等‬‭●‬‭9‬‭WellGoセキュリティホワイトペーパー‬

‭‬版
‭1.0‬
‭1.1‬
‭1.2‬
‭1.3‬
‭1.4‬
‭1.5‬
‭1.6‬
‭1.7‬
‭1.8‬
‭1.9‬
‭1.10‬‭1.11‬

改‭ 訂日‬‭2020/01/24‬‭2020/03/18‬‭2020/03/26‬‭2020/04/28‬‭2021/03/02‬‭2022/08/08‬‭2022/09/30‬‭2023/02/01‬‭2023/09/08‬‭2024/01/30‬‭2024/05/07‬‭2024/07/18‬‭改訂履歴‬‭改訂内容‬

初‭ 版発行‬‭ストレージデバイスの処分に関する記述を追加‬‭インシデント発生から連絡までの目標時間を24時間に短縮‬‭ISMS認証及びISMSクラウドセキュリティ認証を取得済に変更‬‭認証に関する説明文を修正及び仮名化の表現の統一‬‭外部クラウドサービスの利用状況を更新‬‭個人情報の取り扱いにおける下請負者について追記‬‭データの保管場所にAWS大阪リージョンを追加‬‭外部クラウドサービスの利用状況を更新‬‭アプリケーションログの最終保管場所をAWS S3に変更‬‭ISO/IEC27701認証の追加‬‭外部クラウドサービスの利用状況を更新‬‭この資料に関するお問い合わせ‬‭ 式会社WellGo‬
株‭WellGoサポート担当‬‭TEL: 03-6661-1191 受付時間: 平日午前9時～午後5時30分まで‬‭Email： info@wellgo.jp‬‭10‬