さくら連絡網セキュリティホワイトペーパー

さくら連絡網セキュリティホワイトペーパー
1.4 版

株式会社マンタ1さくら連絡網セキュリティホワイトペーパー

1

利用者との責任分界点

株式会社マンタの責任株式会社マンタは、以下のセキュリティ対策を実施します。
⚫

さくら連絡網アプリケーションのセキュリティ対策⚫

さくら連絡網アプリケーションに保管されたお客様データの保護⚫

さくら連絡網アプリケーションの提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策

お客様の責任
お客様は、以下のセキュリティ対策を実施する必要があります。
⚫

各利用者に付与されたパスワードの適切な管理⚫

さくら連絡網アカウントの適切な管理（登録、削除、組織管理者権限の付与など）

2

データ保管場所⚫

お客様からお預かりしたデータは、日本国内に保管されます。

⚫

データ所在地：さくらインターネット（北海道、東京）

3

データの削除

⚫

さくら連絡網利用に関する契約が終了した場合、契約終了から 70 日以内に、お客様からお預かりしたデータは完全に消去されます。

⚫

データが保存される装置（物理占有ホスティングサーバー等）について、当社は契約終了時にデータが復元不可となる処理を実行し、契約終了後は、さくらインターネット株式会社のもとで適切に処理されます。
参照：さくらインターネット株式会社「情報セキュリティチェックシート」(https://www.sakura.ad.jp/info_security/checksheet/pdf/security_checksheet.pdf)

2

さくら連絡網セキュリティホワイトペーパー

4

ラベル付け機能全般⚫

お客様は、ユーザーをお客様自ら追加したグループにグルーピングすることが可能です。

【操作手順書】○

グループを新規作成・変更する(教職員向け操作マニュアル「2.4.1 学年／クラス、任意グループ設定」参照)○

ユーザーにグループを割り当てる、グループから外す(教職員向け操作マニュアル「2.2.1 自分の情報を確認」参照)○

グループにユーザーを割り当てる、ユーザーを外す(教職員向け操作マニュアル「2.4.2 クラス・グループ分け」参照)

メッセージカテゴリー管理機能⚫

お客様は、お客様自らが作成したメッセージのカテゴリを変更することが可能です。

【操作手順書】○

作成したメッセージのカテゴリを変更し管理する(教職員向け操作マニュアル「2.9.2 メッセージ詳細種別管理」参照)

5

利用者登録および削除⚫

お客様は、契約の範囲内において、いつでも自由にユーザーの登録・削除を行うことが可能です。

【操作手順書】○

さくら連絡網に新規ユーザー(送信者（教職員等）、受信者（生徒等）)を登録する(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)○

Excel ファイルを使ってさくら連絡網に新規ユーザー(送信者（教職員等）、受信者（生徒等）)を一括登録する(教職員向け操作マニュアル「2.2.3.2 学生／教職員一括登録」参照)○

ユーザーを削除する(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」「2.2.3.4 学生／教職員一括削除」参照)○

管理者ユーザーの基本的な使い方マニュアル(初期導入者向け基本操作マニュアル参照)

3さくら連絡網セキュリティホワイトペーパー

6

アクセス権の管理⚫

お客様は、登録したユーザーの権限を、自由に切り替えることが出来ます。管理者・限定管理者・送信者権限を付与することで、各種機能の管理画面にアクセスすることが可能です。

【操作手順書】○

送信者（教職員等）ユーザーの権限を変更する方法(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)○

限定管理者・送信者権限ユーザーの利用機能を制限する方法(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)○

管理者ユーザーの基本的な使い方マニュアル(初期導入者向け基本操作マニュアル参照)

7

パスワードの配布方法⚫

管理者画面にログイン権限（管理者・限定管理者・送信者）ユーザーを新規登録した場合、初期パスワード（有効期限付きの一時パスワード）はメモに控えてお伝えいただく、または管理者パスワード管理機能を用いて Excel ファイルを出力し配布することが可能です。

【操作手順書】○

初期（一時）パスワードを確認・再発行する方法(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)○

管理者パスワード管理機能を使って Excel ファイルを出力する方法(教職員向け操作マニュアル「2.9.7 管理者パスワード管理」参照)○

管理者ユーザーの基本的な使い方マニュアル(初期導入者向け基本操作マニュアル参照)⚫

ユーザーはパスワードを忘れた場合、管理者権限を持つユーザーのみパスワードの再設定を行うことが可能です。

【操作手順書】○

一時パスワードを確認・再発行する方法(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)○

管理者パスワード管理機能を使って一時パスワードを再発行する方法(教職員向け操作マニュアル「2.9.7 管理者パスワード管理」参照)

4

さくら連絡網セキュリティホワイトペーパー

8

受信者向け登録手順書の配布方法⚫

さくら連絡網の管理者画面より送られたメッセージを受信者（生徒保護者等）が受信できるよう、メールアドレス・LINE・専用アプリにおいて受信登録を行う必要があります。管理者画面より登録用のID・パスコードが記載された登録手順書が発行できますので、そちらを印刷し利用者に配布いただくことで受信登録を行うことが可能です。

【操作手順書】○

登録手順書を発行する方法(教職員向け操作マニュアル「2.2.6 登録手順書発行」参照)○

管理者ユーザーの基本的な使い方マニュアル(初期導入者向け基本操作マニュアル参照)⚫

受信者が登録手順書を紛失した場合は、登録手順書の再発行以外にも ID・パスコードを管理者画面より変更することが可能です。

【操作手順書】○

ID・パスコードを変更する方法(教職員向け操作マニュアル「2.2.3.1 学生／教職員登録」参照)

9

暗号化の状況全般
⚫

お客様のメールアドレスは可逆暗号化された状態、パスワードは不可逆暗号化された状態で、データベースに保管されます。それ以外の暗号化されずに保管される情報については、適切なアクセス権のもとで保管されます。

⚫

お客様の端末と、システムとの間のインターネット通信は、SSL 通信(SHA256)によって暗号化されます。

10 変更管理⚫

サービスのバージョンアップ情報を始めとした、各種の変更に関する情報は、管理者画面へログイン
後のトップページにある「お知らせ」より閲覧することが可能です。

⚫

また、サービスに関する利用規約の変更、および大規模な障害が発見された場合、さくら連絡網サポート担当から、サービス登録時に株式会社マンタにご提供いただいたメールアドレスに対し、メールにてご連絡いたします。

5

さくら連絡網セキュリティホワイトペーパー

11 操作マニュアルの提供⚫

お客様が利用できる操作マニュアルは以下の通りです。
➢

ご契約者様・運用担当者様（さくら連絡網管理者ページをご利用いただく方）
さくら連絡網管理者ログイン後のトップページ記載の「マニュアル」より閲覧することが可能です。

➢

メッセージ受信者様（メール、LINE、アプリを用いてメッセージを受け取る方）
さくら連絡網マイページログイン後の「マニュアル」より閲覧することが可能です。

⚫

また、よくある質問は Web サイトで公開しています。
○

送信者向けよくある質問

https://xn--y8jl1nm041aulav72g.jp/support/#a03○

受信者向けよくある質問

https://xn--y8jl1nm041aulav72g.jp/blog/?cat=18

12 バックアップの状況
全般⚫

データベースに保管される、お客様の各種情報（氏名、メールアドレス、各機能で利用するデータなど）および添付したファイルデータは、日次でバックアップを取得しています。バックアップは、30世代分保管されます。

⚫

但し、お客様によるバックアップデータの復元等に関する要望は、承っておりません。

13 ログのクロックに関する情報⚫

さくら連絡網サービス内で提供されるログは、タイムゾーン JST(UTC+9)で提供されます。

⚫

ログの時間は、さくらインターネットが提供する NTP サービスと同期しています。

14 脆弱性管理に関する情報⚫

さくら連絡網開発チームは、システムで利用している OS、ミドルウェア等に関する脆弱性情報を、定期的に収集しています。

⚫

システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適用されます。

⚫

さくら連絡網は外部のセキュリティ診断を定期的に実施しています。

6

さくら連絡網セキュリティホワイトペーパー

15 開発におけるセキュリティ情報⚫

さくら連絡網システムの開発には、主に PHP が用いられています。開発は「安全なウェブサイトの作り方」（独立行政法人情報処理推進機構）1および、社内で定められたコーディング規約に従って実施されます。

16 インシデント発生時の対応⚫

お客様に大きな影響を与えるセキュリティインシデント(データの消失、長時間のシステム停止等）が発生した場合は、インシデント発生してから 24 時間以内を目標にお客様に第一報の連絡をします。
第一報にて詳細な状況報告ができない場合は継続して状況報告を行います。連絡はさくら連絡網利用契約時にご提供頂いた組織管理者のメールもしくは電話に行います。販売代理店経由でご契約いただいたお客様は販売代理店より連絡する場合がございます。また弊社との間で個別の契約を交わしたお客様については、個別の契約に従い連絡を行います。
重要なお知らせについては、さくら連絡網の商品サイト、サービス稼働状況サイト、および管理者ログイン後のトップページお知らせ、受信者マイページログイン後のトップページに情報を掲載します。
○ さくら連絡網商品サイト

https://xn--y8jl1nm041aulav72g.jp/○ さくら連絡網サービス稼働状況サイト⚫

https://xn--y8jl1nm041aulav72g.jp/status/index.php

情報セキュリティインシデントに関する問合せは以下の通りです。
➢

ご契約者様・運用担当者様（さくら連絡網管理者ページをご利用いただく方）
さくら連絡網管理者ログイン後のトップページ記載の管理者様お問い合わせ窓口にて受け付けています。

➢メッセージ受信者様（メール、LINE、アプリを用いてメッセージを受け取る方）
さくら連絡網マイページログイン後のコールセンターにて受け付けています。
なお、一部お客様において契約形態によりコールセンターが利用できない場合があります。その場合はさくら連絡網の契約団体（学校等）にお問い合わせください。

➢

さくら連絡網をご利用されていない方
本セキュリティホワイトペーパー末尾の「さくら連絡網 サポート担当」窓口より受け付けています。

1https://www.ipa.go.jp/security/vuln/websecurity/about.html
7さくら連絡網セキュリティホワイトペーパー

17 お客様データの保護及び第三者提供について⚫

お客様から預かったデータを適切に保護することは、株式会社マンタの責任です。ログデータを含むお客様データは、不正なアクセスや改ざんを防ぐため、さくら連絡網運営チームの中で適切なアクセス権のもとで保管されます。

⚫

但し、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された場
合、株式会社マンタは、お客様の許可なく、必要最小限の範囲で、お客様情報を外部に提供する可能性があります。

⚫

さくら連絡網システムにおいて、お客様が登録したデータおよび操作ログ、統計データ等については現在年度を含め過去４年度分データを保管します。それ以前のデータについては毎年６月にデータを削除します。※年度は、毎年４月から翌年３月までを一つ年度として扱います。

⚫

さくら連絡網サービスが稼働するサーバについて各種ログは原則５年間保管します。ただしメールアドレスが記載されるメールサーバのログについては１年間の保管となります。

18 適用法令⚫

お客様と株式会社マンタとの間の契約は、日本法に基づいて解釈されるものとします。

19 認証
⚫

株式会社マンタは、個人情報保護のための施策としてプライバシーマーク認証を取得しており、内部監査の実施、外部機関による審査を受けています。

⚫

株式会社マンタは、情報マネジメントシステム認定センター(ISMS-AC)が運営する、ISMS 適合性評価制度における、ISMS 認証2および ISMS クラウドセキュリティ認証3を取得しています。

【ISMS クラウドセキュリティ認証登録範囲】
さくら連絡網（クラウド型連絡網システム）の提供に係るクラウドサービスプロバイダとしてのシステム運用保守および、さくらのクラウドのクラウドサービスカスタマとしての利用に関わる ISMS クラウ
ドセキュリティマネジメントシステム

2

https://isms.jp/lst/ind/3

https://isms.jp/isms-cls/lst/ind/
8さくら連絡網セキュリティホワイトペーパー

外部クラウドサービスの利用
さくら連絡網では、次に示す機能を運用するために、外部のクラウドサービスを利用しています。

⚫

クラウドサービス機能運営会社

情報

さくらのクラウド

インフラ構築,運用

さくらインタ

個人名,メールアドレス,PDF ファイル 等ーネット

4

SendGrid4

メール送信5

SendGrid

メールアドレス,メール内容,送信日時 等

Google Cloud

アプリへの通知機

Googleアプリ識別情報、送信メッセージ内容

API

能、機械翻訳機能LINE APILINE への通知

LINE

LINE 識別情報、送信メッセージ内容

Chat GPT

機械翻訳機能Open AI

送信メッセージ内容

当セキュリティホワイトペーパーに記載されている内容は、クラウドサービスにおいて管理されている範囲には及ばす、また、その内容の遵守を保証するものではありません。
5

サービス通常稼働時は株式会社マンタが管理しているメールサーバよりメール送信を行っていますが、大規模障害時等の緊急時のみ SendGrid 利用によるメール送信を行います。
9さくら連絡網セキュリティホワイトペーパー

改訂履歴
版

改訂日

改訂内容

1.0

2023/11/10

初版発行

1.1

2024/06/03

外部クラウドサービスの利用に「Google Cloud API」を追加

1.2

2024/07/04

1.3

2024/07/17「19.認証」にて内部監査プロセス・結果の情報開示についての記載を追加「17.お客様データの保護及び第三提供について」にてデータの保護・保管に関する記載内容を変更「19.認証」にて ISMS 認証、ISMS クラウドセキュリティ認証取得に伴

1.4

2024/10/01

う記載変更。
外部クラウドサービスの利用「Google Cloud API」にアプリ通知の記載を追加、「LINE」「Chat GPT」を追加

この資料に関するお問い合わせ株式会社マンタ
さくら連絡網 サポート担当
TEL: 0867-71-2170
Email：info@school-i.net.jp

10