セキュリティ
ホワイトペーパー

2024 年 7 月 11 日版

この文書について

2

この文書についてこの文 書は、 2024 年 7月の時点におけるクラウドサインの 情 報 セキュリティへの取り組みと、情報セキュリティの観点からお客さまにご注意いただきたい点について紹介するものです。

クラウドサイン は、 弁 護 士ドットコム 株 式 会 社（ 以 下、
「 当 社 」 といいます）

が運営する、電子契約を実現するためのサービスです。

一方のお客さまが当サービス上に契約書等をアップロードし、もう一方のお客さ
まがこれに同意すると、当社による電子署名が施され、合意を締結した事実についての証跡を残すことができます。

()

クラウドサインでは、お客さまから預かる契約書等のデータを、重要な機密文書として扱います。お客さまの意思に反して第三者に読み取られたり、内容を改竄されることがないように、情報セキュリティに配慮した慎重な取り扱いを行います。
なお、この文書は「クラウドサイン」のサービス本体について記述したものです。

他社サービスとの連携機能や一部のオプションサービスについては、この文書の記述が当てはまらない場合があります。詳細はご利用時にご確認ください。

© 2021 - 2024 Bengo 4 .com inc.

目次
クラウドサインのセキュリティの取り組み
1-1. 所在地と法管轄 ――――――――――――――――――――――――――― 6
1- 2 . 暗号による保護 ――――――――――――――――――――――――――― 6
1-2 -1. 通信の暗号化
1-2 -2 . データの暗号化

1-2 - 3 . パスワードのハッシュ化

1- 3 . データのバックアップと返却 ・ 削除 ―――――――――――――――― 7
1- 3 -1. サービス側でのバックアップ
1- 3 -2 . お客さま側でのバックアップ
1- 3 - 3 . 解約時のデータの扱い
1- 3 - 4 . データの削除

1- 4 . タイムスタンプと時刻の同期 ―――――――――――――――――――― 9
1- 5 . セキュリティを向上するオプション機能 ――――――――――――― 10
1- 5 -1. プランを問わずにご利用いただける機能
1- 5 -2 . エンタープライズプランでご利用いただける機能

1- 6 . 開発体制 ――――――――――――――――――――――――――――― 11
1-7. 情報セキュリティインシデントの取り扱いと通知 ―――――――― 12
1-7-1. 報告するインシデントの範囲
1-7-2 . インシデントの通知手順

1-7- 3 . インシデント通知までの目標時間

1- 8 . BCP（事業継続計画）におけるクラウドサインの位置付け ――― 13
1- 8 -1. クラウドサインの障害対応・復旧計画
1- 8 -2 . バックアップからの復旧と目標時間

1- 8 - 3 . お客さまによる代替措置（縮退運用）

1- 9 . 3 条 Q&Aへの対応 ―――――――――――――――――――――――― 15

お客さまにご注意いただきたい点
2 -1. サービスの利用に必要な環境とソフトウェア ―――――――――― 18
2 - 2 . お客さまの環境におけるセキュリティ上の注意点 ―――――――― 19
2 - 3 . お客さまのパスワードの管理 ――――――――――――――――――― 20
2 - 4 . 書類確認用 URLの取り扱い ――――――――――――――――――― 22
2 - 5 . お客さまによるインシデント報告とご連絡 ・ ご依頼 ――――――― 22
2 - 5 -1. 通常の連絡先
2 - 5 -2 . セキュリティに関する緊急連絡先
2 - 5 - 3 . ログ調査

［ 付録 ］

セキュリティチェックシート ――――――――――――――――――――――― 24

改訂履歴 ―――――――――――――――――――――――――――29

1
クラウドサインのセキュリティの取り組み

クラウドサインのサービス側が実施している

セキュリティの取り組みについてご紹介します。

1. クラウドサインのセキュリティの取り組み

1-1. 所在地と法管轄
クラウドサインのサービスは、弁護士ドットコム株 式会社が 提供しています。当社は日本の法人であり、本店所在地は東京都です。クラウドサインのサービスの開発、運用は全て日本国内で行っています。

クラウドサインのシステムは、 Amazon Web Services（ AWS）を利用して構築しており、システムが保管するデータおよびそのバックアップデータは、いずれもAWS の管理するデータセンターに保管されています。

AWS はアメリカを本拠 地とする企業ですが、日本国内にもデータセンターを所持しており、クラウドサインでは東京リージョン及び大阪リージョンにデータを保存しています。メール送 信など一 部の処理に海外のリージョンを利用することはありますが、データの保管にはすべて国内のリージョンを利用しており、海外のサーバーにお客さまのデータを保管することはありません。

また、 AWSとの契約においては準拠法を日本法とする契約を結んでいます。これにより、海外法の適用によるリスクを回避しています。

1- 2 . 暗号による保護
クラウドサインでは、通 信内容や 保 存データ、パスワードを暗 号技 術によって保護しています。

暗 号技 術を採 用する際には、 CRYPTREC 電子政 府 推 奨 暗 号リストを参 照し、危殆 化していない（暗号が古くなって破られるおそれのない）技術を採用すると同時に、暗号輸出入の規制に抵触することがないように配慮しています。

1- 2 -1. 通信の暗号化クラウドサインでは、通信内容を暗号化することで、データの漏洩や改竄を防いでいます。暗 号 通信 方式として TLS を使 用しており、 CRYPTREC の「 TLS 暗号設定ガイドライン」を参照して「推奨セキュリティ型」の設定をすることとしています。

© 2021 - 2024 Bengo 4 .com inc.

6

1. クラウドサインのセキュリティの取り組み

1- 2 - 2 . データの暗号化

クラウド サイン で は、 書 類 デ ー タ を サ ーバー に保 存 する 際 に も 暗 号 化 を 行
い、 こ れ に よってデ ー タの 漏 洩 や、 内 部 不 正 に よる 持 ち 出しを 防 いで います。暗 号アルゴリズムには AES - GCM を採 用しており、秘 密 鍵は AWS KeyManagement Service（ KMS）を利用して厳重に管理しています。

書類ファイル以外のお客さまが登録、入力されたデータは、データベースに保存しています。データベースについては透過的暗号 化、フルディスク暗号 化を実施
しています。

1- 2 - 3 . パスワードのハッシュ化

クラウドサインの利用者のパスワードは平文では保存せず、ハッシュ化し、元の形に復元できないようにした上で保存しています。

1- 3 . データのバックアップと返却 ・ 削除
お客さまからお預かりした書類のデータは、クラウドサインのシステム上で保管されています。原則として保管期限の制限はなく、クラウドサインのサービスが続く限り、契約当事者が契約内容を確認できるようになっています。

1- 3 -1. サービス側でのバックアップ

クラウドサインのサービス側では、大切な契約書の内容が失われることがないよ

う、データのバックアップを行っています。バックアップは遠隔地に保存しており、サービスに障害が発生した場合でも、バックアップから復旧できるように備えています。

書類ファイルと、お客さまが入力されたデータについて、それぞれ 以下のようにバックアップをとっています。

© 2021 - 2024 Bengo 4 .com inc.

7

1. クラウドサインのセキュリティの取り組み■

書類ファイルのバックアップ

書 類ファイルがアップロードされた時点で 遠 隔 地へのファイルのレプリケー
ション（複製）を行い、随時バックアップを取得しています。 バックアップの保存期間はなく、明示的な削除依頼がない限り永久に保存します。

■

入力データのバックアップ

データはデータベースに保存しており、自動バックアップで10 分前のスナップ

ショットを保 持しているほか、日次でバックアップデータの取得も行っています。日次取得したデータは7日間保存しています。

バックアップデータは AWS 大阪リージョンに保存しており、東京で大規模な障害が起きても復旧できるよう備えています。

データの暗号化については「 1-2 -2 . データの暗号化」に記載していますが、バッ

クアップデータもそれぞれ同様に暗号化されています。

1- 3 - 2 . お客さま側でのバックアップ

書類の送信者、受信者、承認者として指定されている方は、必要に応じて書類ファ

イルをダウンロードすることができます。これを利用して、お客さまの側で書類のバックアップを保存することも可能です。

また、一括ダウンロードのサービスも提供しておりますので、大量のデータをバックアップしたい場合にはご相談ください（一括ダウンロードは有償となりますのでご了承ください）。

1- 3 - 3 . 解約時のデータの扱い

お客さまがクラウドサインのサービスを解約された場合、解約後は書類データを

ダウンロードできなくなります。必要に応じて、解約前にダウンロードを行ってください。

書類を送信したお客さまがクラウドサインのサービスを解約された場合も、書類

データはサービス上に残ります。書類関係者（書類の送信者、受信者、承認者となっている方）は、クラウドサインのサービスを解約しない限り、引き続き書類を閲覧し、ダウンロードすることができます。

© 2021 - 2024 Bengo 4 .com inc.

8

1. クラウドサインのセキュリティの取り組み

これは、クラウドサインが契約内容の証拠を残すことを目的としたサービスであるためです。

1- 3 - 4 . データの削除

書類関係者（書類の送信者、受信者、受信者が複数いる場合はその全員）のデー

タ削除要望が揃った場合など、正当な理由がある場合に、ご依頼をいただくことでクラウドサインの運営側で契約書データを物理削除する処理を行うことがあります。詳しくはお問い合わせください。

1- 4 . タイムスタンプと時刻の同期
クラウドサインのサービスでは、締結された契 約 書にタイムスタンプを付与します。これにより、タイムスタン

プの確定時刻に電子データが存在したこと（存 在 証明）、タイムスタンプの確定時刻以降に電子データが改ざんされていないこと（非改ざん証明）を証明する仕組みとなっています。

タイム スタンプの 付与 には、 2022 年 6 月 以 降ア マノタイム スタンプ サービス

3161を利用しています。

ア マノタイム スタンプ サービス 3161は「 総 務 大 臣による認 定 制 度 」 により総務大臣が 認 定したタイムスタンプ で、提 供 元であるアマノ株 式会社は日本デー

タ 通 信 協 会 が 認 定した 時 刻 認 証 業 務 認 定 事 業 者（ TSA, Time Stamping

Authority）です。

認定タイムスタンプを利用しているサービス又は業務（日本データ通信協会）

https : //www.dekyo.or.jp/touroku/contents/repository/index.html© 2021 - 2024 Bengo 4 .com inc.

9

1. クラウドサインのセキュリティの取り組み

タイムスタンプの総務大臣による認定制度（総務省）

https: //www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou - law/timestamp.html※ 2022 年 6 月以前はセイコータイムスタンプサービスを利用し、その後 2022 年 9 月までは移 行期間としてセイコータイ

ムスタンプサービスとアマノタイムスタンプサービス 3161を併用していました。

いずれも日本データ通信協会が認定した時刻認証業務認定事業者であり、時刻の精度や証拠力に差異はありません。

クラウドサインが 認定タイムスタンプを利用していることは、日本データ通信協
会のサイトでもご確認いただけます（登録番号 U 00018 - 001）。

このタイムスタンプの時刻は、きわめて正確にUTC（ Coordinated Universal

Time, 協定世界時）に同期されています。

お客さまが利用されている端末の設定時刻が正確でない場合、タイムスタンプとのずれが生じて見えることがあります。端末の設定時刻をUTCと同期されることをおすすめいたします（設定方法は OS によって異なります。お客さまの責任にて実施をお願いいたします）。

1- 5 . セキュリティを向上するオプション機能
クラウドサインでは、情報セキュリティを向上させるためのオプション機能をご用意しています。

1- 5 -1. プランを問わずにご利用いただける機能

プランを問わずに利用できるセキュリティ機能は以下の通りです。
・ 2 要素認証

2 要素認証の詳細について、ヘルプページでご案内しています。

以下をご覧ください。

2 要素認証の利用を開始する

https: //help.cloudsign.jp/
ja/articles/ 3279982© 2021 - 2024 Bengo 4 .com inc.

10

1. クラウドサインのセキュリティの取り組み

1- 5 - 2 . エンタープライズプランでご利用いただける機能

エンタープライズプランをご契約いただくと、さらに以下のセキュリティ機能をご利用いただくことができます。
・ アカウント登録制限機能

・ 承認機能・ アクセス制限機能（ IPアドレス制限機能）
・ 複数部署管理機能

・ SSO（シングルサインオン）機能
・ 監査ログ機能

エンタープライズプランでご 利用いただける上記の機能について、ヘルプページ
でご案内しています。以下をご覧ください。

エンタープライズプラン

https: //help.cloudsign.jp/ja/
articles/ 5577315

1- 6 . 開発体制
クラウドサインのシステム開発は、当社の社内で行っています。

※一 部、業務 委 託の方に開発に参加していただいている部分があります。一 部のオプションサービスについては他社にて開発をしている場合があります。他社サービスとの連携 機能については、連携先の各社にて開発・運 用が 行われている場
合があります。詳しくはお問い合わせください。

クラウドサインでは、開発時のガイドラインを設けており、セキュリティ上の注意点を含めています。さらに、開発時にはコードレビューを実 施し、レビューを経なければ本番反映できない仕組みとすることで、実際のコードがガイドラインに従っていることを確認しています。

© 2021 - 2024 Bengo 4 .com inc.

11

1. クラウドサインのセキュリティの取り組み

また、公開前にユニットテスト（プログラム部品単位での自動化テスト） とE 2 E

テスト（ End to Endテスト、ブラウザ自動操作による結合テストおよび表示検証）を実施して、コードの品質を担保しています。

さらに、第三者によるウェブアプリケーション脆 弱性診断、プラットフォーム診
断を半年に1回の頻度で実施しており、重ねて安全性を確認しています。

1-7. 情報セキュリティインシデントの取り扱いと通知
クラウドサインにおいて、情 報セキュリティインシデント（情 報 漏洩など、情 報

セキュリティに関連した事故、事象。以下「インシデント」といいます）が起きた場合、以下のように対処を行います。

1-7-1. 報告するインシデントの範囲

インシデントのうち、利用者に明確な被害が及ぶか、もしくは、クラウドサインのサービスの継 続に影響を及ぼすと判断したものを「重大インシデント」と定義します。重大インシデントの例には以下のようなものがあります。

・ クラウドサインのサービスへの不正アクセスにより、情報流出が起きた

・ 社内システムのウイルス感染により、情報流出や業務停止が起きた・ なりすましサイトにより、クラウドサインの利用者が実際に被害を受けた・ 外部からの攻撃により、クラウドサインのサービスが利用不可能になり、その状態が一定時間以上継続した

1-7- 2 . インシデントの通知手順

重大インシデントが発生した場合には、以下の手段で通知いたします。
・ インシデントが多数のお客様に影響する場合は、サービスサイト上にて告知
いたします。

・ サ ー ビ スの 停 止 を 伴 う 場 合 に は、 ステ ー タスペ ー ジ（ https : //status.

cloudsign.jp/ ）でも告知いたします。

・ インシデントにより特定のお客様に影響が出たと判断した場合、個別に電子メール等にてご連絡いたします。

© 2021 - 2024 Bengo 4 .com inc.

12

1. クラウドサインのセキュリティの取り組み

インシデントが 継 続 的に発 生している場 合 や、調 査 報 告に時 間を要する場 合、
サービスサイト上で続報を提供いたします。

1-7- 3 . インシデント通知までの目標時間

クラウドサインでは、重大インシデントを認知した場合、可及的すみやかにお客さまに通 知いたします。影響を受けたお客さまに対し、遅くとも、インシデントの認知から24 時間以内に何らかの通知を行うことを目標としています。

1- 8 . BCP（事業継続計画）におけるクラウドサインの位置付け

1- 8 -1. クラウドサインの障害対応 ・ 復旧計画

何らかの理由でクラウドサインのサービスが停止した場合、クラウドサインの側
では復旧計画に沿ってサービスの復旧を試みます。

クラウドサインは複数のデータセンター（アベイラビリティゾーン）を利用した冗長化を実施しています。障害により単一のデータセンターが停止しても、基本的にはサービスの継続的な提供が可能です（切替影響による遅延等は考えられます）。

また、契約書ファイルとデータベースのバックアップを実施しています。大規模災

害等により複数のデータセンターがすべて停止した場合には、遠隔地にシステムを再構築することによりサービスを再開する計画となっています。

1- 8 - 2 . バックアップからの復旧と目標時間データが破壊された場合には、東京リージョン内のバックアップから復旧を試みます。バックアップ復旧時の目標復旧時間（ RTO）は 6 時間、目標復旧地点（ RPO）
は10 分としています。

大規模災害等により東京リージョンのデータセンターが全機能を喪失した場合には、別リージョンのデータセンターを利用して再構築を試みます。この場合、デー
タは1日程度巻き戻る可能性があります。

※これらは社内目標値であり、お客さまに SL Aとして提供しているものではありませんのでご了承ください。

© 2021 - 2024 Bengo 4 .com inc.

13

1. クラウドサインのセキュリティの取り組み

1- 8 - 3 . お客さまによる代替措置（縮退運用）

お客さまが BCP（事業継 続計画）を立案する際、クラウドサインのサービス停止が長期にわたり、復旧の見込みがないケースの検討が必要になる場合があります。その場合にお客さま側でとることができる代替措置（縮退 運用） として、以下の選択肢が考えられます。
■

契約書の閲覧、契約内容の確認

契約に使用した書類は、以下の方法で書類関係者（送信者、受信者、受信者が複数いる場合はその全員）の手元で保管が可能です。

・ 締結完了メールへの PDFファイル添付設定機能を利用して、締結完了メー
ルに締結済み書類 PDF を添付する

・ クラウドサインにログインして、書類をダウンロードする・ 送 信者から受 信者へ、クラウドサービスなどを用いて書 類ファイルを共有いただく

クラウドサインで扱う書 類ファイルは PDF 形式、電子 署名は PAdES 仕様に準拠したものとなっていますので、一般的な PDFリーダーで閲覧することができ、署名の検証も可能です。

■

契約書の送付上記の通り、書類ファイルは一 般的な形式のものですので、一 般的なファイル共有の方法で相手方に共有することができます。電子メールに添付して送信・転送する、クラウドストレージに保存してデータを共有するといったことが可能です。
■

紙での契約締結

電子契約を諦め、紙での契約締結を行う選択肢も想定できます。

© 2021 - 2024 Bengo 4 .com inc.

14

1. クラウドサインのセキュリティの取り組み

1- 9 . 3 条 Q&Aへの対応
デジタル庁及び法務省により「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するＱ&Ａ（電子署名法第３条
関 係 ）」（ 以下、「 3 条 Q&A 」 といいます） が 2024 年1月9日に改 訂され、 電子

署名法 3 条の電子署名に該当するために必要なセキュリティ確保の方法が例示されました。クラウドサインでは 3 条 Q&A に対応するために必 要な機能提 供及びセキュリティ水準の確保を行っています。

3 条 Q&Aでは、電子署名法第３条の電子署名に該当するためには、電子署名が本人でなければ行うことができないものでなければならず、この要件を満たすためには「➀利用者とサービス提供事業者間で行われるプロセス」と「➁サービス

提供事業者内部で行われるプロセス」のいずれについても十 分な水準の固有性が満たされることが必要であるとされています。

そして、➀と➁のプロセスで十分な水準の固有性を満たすための方法がそれぞれ例示されています。クラウドサインでは、以下のとおりそれぞれのプロセスに対応しています。

➀ 利用者とサービス提供事業者間のプロセス➀ のプロセスで求められる要件を満たすための手段として、スマートフォン（ 1- 5 -1）
アプリを用いた 2 要素認証を利用する機能を提供しています。

➁ サービス提供事業者内部のプロセス➁のプロセスで求められる要件を満たすために、アクセス・操作ログの適切な保存、不正防止のためのシステム・運用設計、 ISMAP の審査の一環としてセキュリティ監査を受けること等により、一定のセキュリティ水準を確保しています。

© 2021 - 2024 Bengo 4 .com inc.

15

1. クラウドサインのセキュリティの取り組み

十分な水準の固有性が16

プロセスが十分な水準の固有性をクラウドサインでの対応満たされることが必要なプロセス満たすための方法（3 条 Q&Aでの例示）➀ 利用者とサービス提供事業者

あらかじめ登 録されたメールアドレスに利用者がスマートフォンアプリを用い及び署名用のトークンアプリをインストー

す（1- 5 -1）間のプロセス

配信された時限アクセスURLへのアクセス

ルしたスマートフォンによる2 要素認証

た2 要素認証を利用することができま（※3 条 Q&Aではこのほ か にも2つの2 要 素
認証方法が例示されています）➁ サービス提 供 事 業 者 内 部 のプロセス

アクセスや操作ログ等が正しく適切に記AWS CloudTrailへ操作ログを保存

録され、かつ、改ざんや削除ができない

しています

運用担当者による不正ができないシステ

以下の2点により不正を防止しています

仕様とされていること

ム設計、運用設計がされていること

1. AWSで特権的アクセス権の操作には承認が必要であること

2. 特権的アクセス権の操作履歴が、月に一度のログモニタリングを通じて適正なものであるか確認されていること
正しく適切に運用されていることが監査等で確認するとされていること

クラウドサインは、ISMAP（政 府情報システムのためのセキュリティ評価制度）管理基準に基づいた情報セキュ
リティに係る内部統制の整備及び運用の状況を確認するセキュリティ監査を受けています必要に応じてログや監査等の記録やシス

テム仕様書等が提出できるよう十分な期間保存するとされていること© 2021 - 2024 Bengo 4 .com inc.

操 作ログ・監 査 記 録・システム仕様
書に一定の保存期間を定めていると

ともに、ISMAPの審査においてその保存実績を提出しています

2
お客さまに
ご注意いただきたい点

クラウドサインのサービスを安全に利用するために、お客さまにご注意いただきたい点がいくつかあります。

2. お客さまにご注意いただきたい点

2 -1. サービスの利用に必要な環境とソフトウェア
クラウドサインは、SaaS（ Software as a Service）型のクラウドサービスです。
サービスを利用するためには、インターネットに接続できる環境とパソコンが必
要になります（書類の受信と同意についてはスマートフォンで利用することも可能です）。また、インターネット経由で電子メールを受信できる必要がありますので、
電子メールを受け取る環境と電子メールアドレスが必要になります。

サービスを利 用する際に、 専用のソフトウェアをインストールする必 要はなく、

Webブラウザのみでご利用いただけます。ただし、特定の機能を利用する際には、追加のソフトウェアが必要になる場合があります。

・ 書 類 の 電 子 署 名 を 検 証する 際 に は、 Adobe 社 の Adobe Reader など

PDF の署名を検証するソフトウェアが必要です。

・ 2 要 素 認 証 の 機 能を 利 用する際 には、 ソフトウェアトークン が 必 要です。

TOTP （ time - based One - time Password Algorithm, RFC 6238）に対応したアプリケーションがご利用いただけます。

以下のページに推奨環境を記載していますので、参考にしてください。

クラウドサインの推奨環境

ht tps : // help.cloudsign.jp/
ja/articles/ 2570393

なお、サービスの利用にはインターネット接続が必要となります。2024 年7月現在、クラウドサインのサービスはIPv4 接続のみを提供しています。IPv 6では直接接続できませんのでご注意ください。また、専用線やVPNによる接続はご利用いただくことができません。お客さまの社内データセンターにクラウドサインのサービスを構築することもできませんので、ご了承ください。

© 2021 - 2024 Bengo 4 .com inc.

18

2. お客さまにご注意いただきたい点

2 - 2 . お客さまの環境におけるセキュリティ上の注意点
クラウドサインのシステムを構成するシステムについては、当社の責任において管理と運用を行っています。クラウドサービス側のアプリケーション、ミドルウェ

ア、サーバー、ネットワーク機 器については、クラウドサインが責任を持って管理いたします。お客さまにてソフトウェアのアップデートを行う必要もありません。
一方で、お客さまがインターネットに接続する環境、利用される端末（パソコンもしくはスマートフォン）、Webブラウザ、電子メールアドレス等については、お客さま側でご用意いただく必要があります。これらの情報セキュリティについては、
お客さまにて管理いただく必要があります。

お客さま側の環境について、特に以下の点についてご配慮ください。
・ ネットワーク環境の安全性
・ 端末の盗難防止策

・ 端末 OS のセキュリティアップデート

・ Webブラウザのセキュリティアップデート

・ その他のソフトウェアのセキュリティアップデート
・ 電子メールの盗聴・傍受への対策
・ 電子メールへのウィルス対策

サービス上で扱うデータの内容につきましては、お客さまの責任となります。契約書の内容に不備がないか、法的な問題がないかといった点を十 分にご検 討の上、ご利用ください。

また、サービスの性質上、クラウドサインのシステム側では、書類の内容に対する改変・削除等を行いません。送信者が送信した PDFファイルは、原則としてそのままの形で受信者に届きます。書類の内容については十分に注意してご確認いただき、必要に応じて送信者にお問い合わせください。

© 2021 - 2024 Bengo 4 .com inc.

19

2. お客さまにご注意いただきたい点

20

2 - 3 . お客さまのパスワードの管理
クラウドサインのパスワードは、お客さま本人を認証するための大切なものです。
以下に注意して厳重に管理してください。

パスワードは秘密にし、誰にも知らせないNG

知人や関係当局の者に対しても知らせてはなりません。決して漏 洩することがないように管 理
してください。

パスワードを他人に見られる可能性のあるとこNGろに記録したり、メモしたりすることは避ける

パスワードを記録する必要がある場合は、パス
ワード管理用の専用ソフトなど、安全性が確保

PasswordcloudXXXされた方法を利用してください。

NEW

パスワードが漏洩したら、ただちに変更する

クラウドサインでは、お客さまが自身でパスワー
ドを変 更することができます。パスワードが漏洩してしまったような場 合には、ただちにパス
ワードを変更してください。

© 2021 - 2024 Bengo 4 .com inc.

2. お客さまにご注意いただきたい点

21

弱いパスワードや推測できるパスワードを避ける

クラウドサインでは、お客さまが自身でパスワードを設定します。

NG
111（システム側で初期パスワードを発行することはありません）

クラウドサインでは、短すぎるもの、辞書に載っている単語一語だけのもの、同一の文字を繰りOK
2RWd6vCdtAX…

返したものといった弱いパスワードは 利用できないようになっています。お客さまの生年月日
等のプロフィールを使うなど、推 測されやすい
パスワードにならないよう注意してください。

NG

パスワードを共有しない

パスワードを共有して、ひとつのアカウントを複数人で共有することは避けてください。

NG

他のサービスと同じパスワードを利用しない

他のサービスから漏洩したパスワードを利用する手 法（リスト型攻撃）による不正アクセスが増えているため、必ず他のサービスと異なるパスワードを使用するようにしてください。

シングルサインオンのパスワードは適切に保護

ご 契 約プランによっては、シングルサインオンの機能をご利用いただける場合があります。

その場合、クラウドサインの側でパスワードを管理する必要はありませんが、シングルサインオンのために必要なパスワードは適切に保護していただくようお願いいたします。

© 2021 - 2024 Bengo 4 .com inc.

2. お客さまにご注意いただきたい点

2 - 4 . 書類確認用URLの取り扱い
クラウドサインでは、 URL に認証情報を含めることで、メーリングリスト利用や意図的な転送による同意操作を可能にしています。
これは仕様として意図したものです。

認証情報を含む URL は、受信されるお客様にて適切に管理いただく必要があります。誤って共有した場合は意図しないユーザーにより同意される可能性があります。

この点については、高度な認証による署名、書類受信時の認証強化、マイナンバー

カード署名など、意図したユーザーのみが同意できるような機能をご用意しております。

2 - 5. お客さまによるインシデント報告とご連絡 ・ ご依頼
お客さまがクラウドサインに関するインシデントを発見された場 合、もしくは、
インシデントに発展する可能性のある不 審な事象を発見された場 合には、速やかにクラウドサインのお問い合わせ窓口までご連絡ください。

2 - 5 -1. 通常の連絡先

お客さまがクラウドサインをご 利 用中の場 合、 通常のお 問い合わ せと同 様に、チャットサポートの窓口からご連絡いただくことができます。

チャットサポートがご利用いただけない場合や緊急性の高い場合には、下記の緊
急連絡先のご利用もご検討ください。

2 - 5 - 2 . セキュリティに関する緊急連絡先

なんらかの理由でチャットサポートがご利用いただけない場合や、緊急で連絡を取る必要がある場合、当社の情報セキュリティ窓口に電子メールでご連絡いただ
くことができます。

窓口のメールアドレスは、情報セキュリティポリシーの「情報セキュリティに関するお問い合わせ」の項目に記載しています。

クラウドサインをご利用でない外部の方がクラウドサインのインシデントを認知© 2021 - 2024 Bengo 4 .com inc.

22

2. お客さまにご注意いただきたい点された場合も、下記の窓口からご連絡ください。

情報セキュリティポリシー

https://www.bengo 4.com/
corporate/privacy/it- security

2 - 5 - 3 . ログ調査

お客さま側でのインシデント調査のために、クラウドサインのログの調査が必要になるケースが考えられます。コーポレートプラン以 上では監査ログ機能を提供しており、必要に応じてお客様にてログの調査を行うことが可能です。詳細は以下をご覧ください。

監査ログ機能https: //help.cloudsign.jp/
ja/articles/ 5264188

また、当社の運用ルールと法令に従い、ログを監査法 人や第三者機関へ開示す
ることがございますので、ご了承ください。

© 2021 - 2024 Bengo 4 .com inc.

23

［ 付録 ］

セキュリティ
チェックシート「クラウドサービスレベルのチェックリスト」（経済産業省）に基づき、弁護士ドットコム株式会社の提供するCloudSignのセキュリティについてまとめたものです。

2024 年 7月11日版
No.

種別

サービスレベル項目例

サービス時間1

計画停止予定通知

2

サービス 提 供 終了時 の

3

25

事前通知

4

突 然 の サービス 提 供 停

5

サービス稼働率止に対する対処

規定内容

サービスを提供する時間帯（設備やネットワーク等の点検 ／保守のための計画
停止時間の記述を含む）

定期的な保守停止に関する事前連絡確認（事前通知のタイミング／方法の記述を含む）

サービス提 供を終了する場 合の事前連
絡確認（事前通知のタイミング／方法の記述を含む）

測定単位

時間帯

24時間365日（計画停止／定期保守を除く）となります。

有無

有

有無

無

プログラムや、システム環境の各種設定有無

サービスを利用できる確率（（計画サー

稼働率（%）

データの預託等の措置の有無

ビス時間－停止時間）÷計画サービス
時間）

ディザスタリカバリ

6

可用性

7

重大障害時の代替手段

災害発生時のシステム復旧／サポート体
制

早期復旧が不可能な場合の代替措置

回答

1週間前にステータスページ（https://status.
cloudsign.jp/）にて通知します。

現状定義しておりませんが判明次第サイト、ステータ
スページ上で通知します。
無

現状定義しておりません。

SLOは公開しておりません。

参 考値として、 2022 年度の正常稼働率は 99 . 87 %となっております（外部連携機能、ベータ版機能を除く）

有無

有

国内遠隔地のデータセンターにデータをバックアップしております。

有無

遠隔地に予備システムの構築はございません。
有当サービスで扱う書類は標準的なPDFに電子署名を施した形式のものですので、他のサービスでもご利用いただけます。また、一般的なPDFリーダーで閲覧することができます。当サービスが停止した際も、契約に使用した書類を閲覧したり、一般的な電子メールで送信したりすることが可能です。

送 信済みの書類については、PDFの署名の検 証も可能です。ただし、新たに電子署名を付与することはできなくなり、当社が契約内容を証明する機能はご利用

8

代 替 措 置 で 提 供 する代替措置で提供されるデータ形式の定

9アップグレード方針

バージョンアップ／変更管理／パッチ管

データ形式

義を記述
理の方針

いただけなくなります。

有無（ファイ

有

有無

有

ル形式）

PDF 形式

お客 様に影 響のある機能 変 更等を伴うアップデート

は、サイト上およびステータスページで事前に告知しております。

サービスのソースコードレベルの変更管理はGitを利用して行なっています。

Amazon Elastic Container Registry（ Amazon
ECR）のイメージスキャンにより脆弱性を自動検知し、セキュリティパッチを適宜適用しています。

障害発生から修理完了までの平均時間

時間

目標復旧時間（RTO）

障害発生後のサービス提供の再開に関時間

6 時間を目標としております。

障害発生件数

1年間に発生した障害件数／1年間に発生した対応に長時間（1日以上）要した回

2022 年度のメインサービスに関する障害は 9 件です。
対応に1日以上要した障害はございません。

システム監視基準（監視内容／監視・通有無

有障害発生時の連絡プロセス

有無

有

10

平均復旧時間（MTTR）

11

12

信頼性

13

システム監視基準

14

障害通知プロセス（修理時間の和÷故障回数）して設定された目標時間

障害件数知基準）の設定に基づく監視（通知先／方法／経路）2022 年度の実績ベースで76分となります。

社内基準に則り監視を実施しております。
サービス内、およびステータスページ（https://status.cloudsign.jp/）にて告知いたします。ステー

タスページにて Subscribe（購読）の手続きを行なっていただくと、障害発生時に通知メールを受け取ることもできます。

© 2021 - 2024 Bengo 4 .com inc.

26

No.

種別

サービスレベル項目例

規定内容

測定単位

回答

障害通知時間異常検出後に指定された連絡先に通知

時間30 分以内を目安としております。

16

障害監視間隔障害インシデントを収 集 ／集計する時

時間（分）

常時監視

17

サービス 提 供 状 況 の 報

サービス提 供状 況を報告する方法 ／時

時間

信頼性

15

告方法／間隔

ログの取得

18するまでの時間
間間隔
間間隔

利用者に提供可能なログの種類（アクセ

スログ、操作ログ、エラーログ等）

ステータスページ（https://status.cloudsign.jp）にてサービスの稼働状況を確認いただけます。サービスの停止時には自動的に状況が反映されます。その他の有無障害については 30 分程度を目安に反映しています。

コーポレートプラン以上では、クラウドサインのサービ

ス上で監査ログを出力する機能をご用意しております。
取得可能なログ範囲や取得可能期間など詳しくはこちらをご覧ください。

https://help.cloudsign.jp/ja/articles/5264188
応答時間

19

画面の応答時間

時間（秒）

ページやファイルサイズによって左右されますが、平均で 0. 5 秒程度となります。書類の送信時には外部サービスによる電子署名が施されるため、署名サービスの

性能

20

21

遅延

画面の応答時間の遅延継続時間

時間（秒）

処理が遅延した場合、60秒でタイムアウトとなり切断さ

電子署名の所要時間

電子署名の付与に関する処理時間

時間（分）

書類の送信・同意時等の電子署名の付与では、ファイ22

バッチ処理時間

23

カスタマイズ性

外部接続性

24

拡張性

25

サポート

27

同時接続利用者数

提供リソースの上限

26

サービス提供時間帯（障
害対応）

28

サービス提供時間帯（一29

バックアップの方法

般問合せ）

れます。

ル数や署名サービスの負荷状況によっては数分以上時間を要することがあります。

バッチ処理（一括処理）の応答時間

時間（分）

定期的なバッチ処理はございません。

カスタマイズ（変更）が可能な事項／範有無

無囲／仕様等の条件とカスタマイズに必要な情報

既存システムや他のクラウド・コンピュー

ティング・サービス等の外部のシステムとの接続仕様（ API、開発言語等）

オンラインの利用者が同時に接 続して有無

無（制約条件）

ディスク容量の上限／ページビューの上

処理能力

障害対応時の問合せ受付業務を実施す
る時間帯

時間帯

一般問合せ時の問合せ受付業務を実施

時間帯

バックアップ内容（回数、復旧方法など）、

有無／内容

する時間帯

データ保管場所／形式、利用者のデーす。

有サービスを利用可能なユーザ数

限サービス自体のカスタマイズには未対応となっておりま有無

タへのアクセス権など、利用者に所有権API を公開しております。

接続上限に達した場合スケールアウトで対応を行うため基本的に制限はございません。
無容量上限に達した場合スケールアウトで対応を行うため基本的に制限はございません。

基 本 的 には一 般 問 い 合 わ せと変 わらず平日10:00 -18:00（メール、チャット）を予定。

ステータスページで状況は随時更新予定

チャットで受け付けており、受付は24時間365日、対応

は平日10:00 -18:00となります。
有・ データベース: 日次でフルバックアップ、IaaS 機能
により差分バックアップを随時取得のあるデータの取扱方法

データ管理

30

負荷状況によっては遅延が生じることがございます。

・ 書類ファイル: 随時遠隔地にレプリケーション
・ ログ: 随時レプリケーション

アクセス権はデータベース、ログはインフラチームのみ、
バックアップデ ー タ
を 取 得 するタイミン グ（RPO）© 2021 - 2024 Bengo 4 .com inc.

バックアップデータをとり、データを保
証する時点

時間

書類ファイルは基本的にインフラチームもアクセス権なし

データベースは IaaS 機能により当日10 分前まで保証

ファイル、ログは随時レプリケーションしているので直
前まで保証

27

No.

種別

31

サービスレベル項目例

規定内容

バックアップデータの保データをバックアップした媒体を保管す

存期間

る期限

測定単位

時間

回答

バックアップはクラウド上に保持しており、外部媒体へは保管しておりません。

保存期限は以下の通りです。
・ データベース: 7日間

・ ログについて: 10 年間保管サービスの性質上、書類ファイルについては無期限にデータ消去の要件

32

サービス解約後の、データ消去の実 施
有無／タイミング、保管媒体の破棄の実有無など、利用者に所有権のあるデータの消33

バックアップ世代数

34

デ ー タ保 護 のため の 暗

データ管理

35

号化要件

マルチテナントストレー

ジにお けるキ ー 管 理 要
件

世代数

データベースは 8 世代

データを保 護するにあたり、暗 号 化要

有無

有

件の有無

マルチテナントストレージのキー管理要件の有無、内容

有無／内容

デ ー タ 漏 えい ・ 破 壊 時

データ漏えい・破壊時の補 償 ／保険の有無

37

解 約 時 のデータポータ

解約時、元データが完全な形で迅速に

有無／内容

ビリティ

有無

返却される、もしくは責任を持ってデー

預 託 データの 整 合 性 検証作業

入 力データ形式 の 制 限

39

機能

データの外部保存方針

40

公的認証取得の要件

41

ていること

データの整合性を検証する手法が実装され、検証報告の確認作業が行われていること

入力データ形式の制限機能の有無

データ保 存地の各種法制度の下におけるデータ取 扱い及び 利用に関する制約条件を把握しているか

JIPDECやJQA等で認 定している情 報
処理管理に関する公的認証（ISMS 、プ

セキュリティ

42

アプリケーションに関す
る第三者評価43

情報取扱い環境

44

通信の暗号化レベル© 2021 - 2024 Bengo 4 .com inc.

不正な侵 入、操作、データ取得等への対 策について、第三者の客観的な評価を得ていること

有無

有無

把握状況

有無

有無 ／実 施状況
有無システムとやりとりされる通信の暗号化

有無

強度

ます。

無

ストレージの分離は行なっていません。

アプリケーション側でアクセス制御を行なっています。
有

利用規約に保証について記載がございます。

有

解約時には書類ファイルの一括ダウンロードが可能でません。契約締結相手からは引き続き閲覧可能です。
有書類ファイルについては電子署名の付与により改ざんされていないことを担保しております。
有アップロードされるファイルは適切なPDF 形式のデー
タである必要があります。

データは AWSの国内リージョンに保存しております。

AWSとの契約においては準拠法を日本法に変更する
契約を行なっています。

有ISO/IEC 27001、ISO/IEC 27017 認証を取得しております。

提供者側でのデータ取扱環境が適切に確保されていること

書類ファイルは AES - GCMで暗号化して保存しておりサービスの性質上、書類ファイルの削除は行っており

ライバシーマーク等）が取得されている
こと

書 類ファイル、ログは基本的に世代なしす。

タを消去する体制を整えており、外部への漏えいの懸念のない状態が構築でき

38

データベース、ログは保管期間経過後に削除保証する世代数

36の補償／保険一部有書類ファイルは契約書という性質上、削除なし

施有無／タイミング、およびデータ移行
去方法

保存いたしております。

有

外部企業による脆弱性診断を半期に一度実施し、指摘事項について対応しております。
有

運用者は限定されております。

有

ユーザーとサービス間の通信はTLS1. 2 以上を利用しております。

28

No.

種別

45

サービスレベル項目例

規定内容

会 計 監 査 報 告書におけ

会計監 査報告書における情 報セキュリ

事項の確認

下の資料を提供する旨

る情報セキュリティ関連

マルチテナント下でのセ46

キュリティ対策

ティ関連事項の監査時に、担当者へ以

測定単位

有無

異なる利用企業間の情報隔離、障害等の影響の局所化有SOC2 Type1に対応しております。詳しくは以下をご覧ください。

「最新のSAS70Type2 監査報告書」「最新の18号監査報告書」

回答

https://help.cloudsign.jp/ja/articles/5028947

有無

無データベースやサーバーのテナントごとの分離は行っておりません。

アプリケーションレベルでアクセス制御を行っておりま
情報取扱者の制限

47

利用者のデータにアクセスできる利用者が限定されていること

利用者組織にて規定しているアクセス制
情報取扱者の行動把握

48

50

セキュリティ

49

ネットワークのセキュリ
ティ対策

限と同様な制約が実現できていること

情報取扱者が不審な行動をした際、検知できるかファイアウォールでの侵入遮断、IDSでの侵入検知などの対策を行っているか

セキュリティインシデン

IDの付与単位、IDをログ検索に利用でティが 確保されており、利用者の必 要に応ト発生時のトレーサビリ

きるか、ログの保 存 期間は適切な期間

有無 ／設 定状況

有無 ／設 定状況

有無 ／設 定
状況

設定状況

す。
有

クラウドサインではチームの管理者権限の付与により限定しております。
有

管理者によるパスワード変更等の通知はございますが、書類のダウンロード等は通常機能であるため通知はございません。
有FWでポートを制限、合わせてWAFを導入しております。

IDは個人に付与されており、ID（アカウント）での検索が可能です。

クラウドサインでは、お客様向けのログ（監査ログなど）

じて、受容可能に期間内に提 供されると当社内部用のログ（アプリケーションログ、アクセスか

ログ など）を保管しています。各ログは別々に保管されます。

・ お客様用のログ:現在は監査ログのみ提供しており、1年間保存します。監査ログ機能はコーポレートプ

ラン以 上でご 利用いただけます。監査ログの記録

対象操作や取得可能期間など、詳しくは https://
help.cloudsign.jp/ja/articles/5264188 をご覧ください。

・ 当社内部用のログ: 当社内部での調査を目的とした

51

52

ウイルススキャン

二 次 記憶 媒体の安 全 性対策

ウイルススキャンの頻度

バックアップメディア等では、常に暗号化した状 態 で 保 管していること、廃 棄の際にはデータの完全な抹消を実施し、また検証していること、USBポートを無効 化しデータの吸い出しの制限等の対策を講じていること© 2021 - 2024 Bengo 4 .com inc.

頻度有無

ログであり、非公開です。10 年間保存します。

以下のようになっております。

サーバ → ウイルス対策ソフト導入なし
運用者端末 → 随時スキャン

有バックアップはクラウド上に保持しており、持ち出し可

能な外部媒体への保管は行わないようにしております。

29

改訂履歴
本紙の改訂履歴は下記のとおりです。
版数

改訂日

改訂内容

1. 0

2021年 05月12日

・ 初版発行2.0

2021年 07月16日

3.0

2021年10月06日

・「 2- 4 -3. ログ調査」の内容を変更

・ 付録「No.18 ログの取得」の内容を変更

・ 付録「No.49 セキュリティインシデント発生時のトレーサビリティ」の内容を変更
・「 2- 4 -3. ログ調査」の内容を変更

・「1- 5 -2. ビジネスプランでご利用いただける機能」の内容を変更
・ 付録「No. 30 バックアップデータの保存期間」の内容を変更

・「1- 5 -2. エンタープライズプランでご利用いただける機能」の内容を変更
・ 付録「No. 5 サービス稼働率」の内容を変更

4.02022 年 05月13日

・ 付録「No.10 平均復旧時間（MTTR）」の内容を変更
・ 付録「No.12 障害発生件数」の内容を変更
・ 付録「No.18 ログの取得」の内容を変更

・ 付録「No. 30 バックアップデータの保存期間」の内容を変更

・ 付録「No.49 セキュリティインシデント発生時のトレーサビリティ」の内容を変更

5.02022 年 07月01日

・「1- 4. タイムスタンプと時刻の同期」の内容を変更

5 .1

2023 年 02 月22日

・ 巻末に改訂履歴を追加

6.0

7. 0

8.0

2023 年 05月01日

2023 年 06月09日

2023 年 09月10日

・ 付録「No. 5 サービス稼働率」の内容を変更

・ 付録「No.10 平均復旧時間（MTTR）」の内容を変更
・ 付録「No.12 障害発生件数」の内容を変更

・「1- 8 -2. バックアップからの復旧と目標時間」の内容を変更

・「1-3 - 4. データの削除」の内容を追記

・「1- 4. タイムスタンプと時刻の同期」の内容を変更

・ 付録「No. 30 バックアップデータの保存期間」の内容を変更

・ 付録「No.49 セキュリティインシデント発生時のトレーサビリティ」の内容を変更
・「1-2-1. 通信の暗号化」の内容を変更

・ 付録「No.16 障害監視間隔」の内容を変更
・ 付録「No.19 応答時間」の内容を変更

9.0

2023 年10月24日

・ 付録「No. 20 遅延」の内容を変更

・ 付録「No. 21 電子署名の所要時間」を追記

・ 付録「No.41 公的認証取得の要件」の内容を変更

・ 付録「No. 50 セキュリティインシデント発生時のトレーサビリティ」の内容を変更

10.02024 年 01月11日

11.0

2024 年 02 月19日

12.0

2024 年 07月11日

・「1- 9. 3 条 Q&Aへの対応」を追記

・ 付録「No.9 アップグレード方針」の内容を変更
・「1- 8 -3. お客さまによる代替措置（縮退運用）」の内容を変更
・「 2- 4.書類確認用URLの取り扱い」を追加

・「 2- 5.お客さまによるインシデント報告とご連絡・ご依頼」および配下コンテンツの項番を変更© 2021 - 2024 Bengo 4 .com inc.