クラウドサービスレベルのチェックリスト（経済産業省）に基づくセキュリティチェックシート
No.

種別

サービスレベル項⽬

規定内容

ITRA株式会社 2022/6/1

測定単位

設定等

アプリケーション運⽤
1 可⽤性

サービス時間2

計画停⽌予定通知

3
4

サービス提供終了時の事前通知

サービスを提供する時間帯（設備やネットワーク等の点検／保守のための計画停⽌時間の記述を含む）
定期的な保守停⽌に関する事前連絡確認（事前通知のタイミング／⽅法の記述を含む）
サービス提供を終了する場合の事前連絡確認（事前通知のタイミン
グ／⽅法の記述を含む）

突然のサービス提供停⽌に対するプログラムや、システム環境の各種設定データの預託等の措置の有対処

無5

サービス稼働率

6

ディザスタリカバリ

7

重⼤障害時の代替⼿段

有無

代替措置で提供されるデータ形式の定義を記述

9

アップグレード⽅針

バージョンアップ／変更管理／パッチ管理の⽅針

11

⽬標復旧時間(RTO)

無有無

早期復旧が不可能な場合の代替措置

障害発⽣から修理完了までの平均時間（修理時間の和÷故障回数）。
障害発⽣後のサービス提供の再開に関して設定された⽬標時間1年間に発⽣した障害件数／1年間に発⽣した対応に⻑時間（1⽇以通知有無（%）

サポート体制有。実施の5営業⽇前までにメンテナンス情報のページにて有。1年以上前に契約者宛にメールまたは郵便にて通知

稼働率

災害発⽣時のシステム復旧

24時間365⽇（計画停⽌／定期保守を除く）

有無（計画サービス時間－停⽌時間）÷計画サービス時間

代替措置で提供するデータ形式

平均復旧時間(MTTR)

有無サービスを利⽤できる確率

8

10 信頼性時間帯

有無（ファイル形式）
有無

99.9%以上有。災害時規定に基づき、システム復旧ならびにサポート実施
無無有。機能追加などは随時実施し、お客様への影響が⼤きいものについては事前にメール等で連絡。パッチ管理は適宜

時間

⾮公開

時間

⾮公開回

⾮公開

有無

有（パフォーマンス監視、死活監視、エラー監視）

12

障害発⽣件数13

システム監視基準

14

障害通知プロセス

障害発⽣時の連絡プロセス（通知先／⽅法／経路）有無有。指定された緊急連絡先にメールで連絡15

障害通知時間異常検出後に指定された連絡先に通知するまでの時間

時間

可能な限り迅速に⾏う

障害監視間隔障害インシデントを収集／集計する時間間隔

時間（分）

1分

サービス提供状況を報告する⽅法／時間間隔

時間

⾮公開

有無

有。操作履歴16
17
18

サービス提供状況の報告⽅法／間隔
ログの取得上）要した障害件数
システム監視基準（監視内容／監視・通知基準）の設定に基づく監視

利⽤者に提供可能なログの種類（アクセスログ、操作ログ、エラーログ等）

1 ページ

19 性能応答時間

処理の応答時間

時間（秒）

⾮公開

20

遅延処理の応答時間の遅延継続時間

時間（分）

⾮公開

21

バッチ処理時間

バッチ処理（⼀括処理）の応答時間

時間（分）

⾮公開

22 拡張性カスタマイズ性有無有。可能な範囲や仕様等を記載したマニュアルを提供

23

外部接続性有無有。APIを公開

24

同時接続利⽤者数

25

カスタマイズ（変更）が可能な事項／範囲／仕様等の条件とカスタマイズに必要な情報
既存システムや他のクラウド・コンピューティング・サービス等の外部のシステムとの接続仕様（API、開発⾔語等）

オンラインの利⽤者が同時に接続してサービスを利⽤可能なユーザ 有無（制約

制約は無（ベストエフォート）

数条件）

提供リソースの上限

ディスク容量の上限／ページビューの上限

処理能⼒有。プランによるサービス提供時間帯(障害対応)

障害対応時の問合せ受付業務を実施する時間帯

時間帯

24時間365⽇（フォーム）

⼀般問合せ時の問合せ受付業務を実施する時間帯

時間帯

24時間365⽇（フォーム）

サポート
26 サポート
27

サービス提供時間帯(⼀般問い合わせ)

データ管理
バックアップ内容（回数、復旧⽅法など）、データ保管場所／形
28 データ管理29

バックアップの⽅法
バックアップデータを取得するタイミング(RPO)30

バックアップデータの保存期間31

データ消去の要件

式、利⽤者のデータへのアクセス権など、利⽤者に所有権のある有。同⼀データセンター内に⽇次でフルバックアップ。ア
有無／内容

データの取扱⽅法

クセス権は、必要な管理者に割り当てられ、その者が復旧も⾏う

バックアップデータをとり、データを保証する時点

時間

24時間

データをバックアップした媒体を保管する期限

時間

72時間

サービス解約後の、データ消去の実施有無／タイミング、保管媒体の破棄の実施有無／タイミング、およびデータ移⾏など、利⽤者に 有無有。サービス解約後、適宜データを削除

所有権のあるデータの消去⽅法
32

バックアップ世代数

保証する世代数

世代数

3世代

33

データ保護のための暗号化要件

データを保護するにあたり、暗号化要件の有無

有無

有マルチテナントストレージのキー管理要件の有無、内容有無／内容データ漏えい・破壊時の補償／保険の有無

有無

34
35
36

マルチテナントストレージにおけるキー管理要件
データ漏えい・破壊時の補償／保険
解約時のデータポータビリティ

37

預託データの整合性検証作業

38

⼊⼒データ形式の制限機能

解約時、元データが完全な形で迅速に返却される、もしくは責任を持ってデータを消去する体制を整えており、外部への漏えいの懸念 有無／内容のない状態が構築できていること
データの整合性を検証する⼿法が実装され、検証報告の確認作業が⾏われていること
⼊⼒データ形式の制限機能の有無

セキュリティ

2 ページ

有。共通のキーを使⽤し、ストレージはテナントごとに分離無有。お客様⾃⾝でデータのダウンロードが可能。サービス
解約後、弊社にて適宜データを削除

有無

有

有無有

39 セキュリティ 公的認証取得の要件

JIPDECやJQA等で認定している情報処理管理に関する公的認証（ISMS、プライバシーマーク等）が取得されていること有無有。プライバシーマーク（登録番号17001388-05）

アプリケーションに関する第三者

不正な侵⼊、操作、データ取得等への対策について、第三者の客観 有無／実施評価的な評価を得ていること

41

情報取扱い環境提供者側でのデータ取扱環境が適切に確保されていること

有無有

42

通信の暗号化レベルシステムとやりとりされる通信の暗号化強度有無有。TLS 1.2

40

43
44
45

46
47

会計監査報告書における情報セ
キュリティ関連事項の確認
マルチテナント下でのセキュリティ対策
情報取扱者の制限
セキュリティインシデント発⽣時のトレーサビリティ
ウイルススキャン状況

有会計監査報告書における情報セキュリティ関連事項の監査時に、担当者へ以下の資料を提供する旨「最新のSAS70Type2監査報告書」 有無

無「最新の18号監査報告書」
異なる利⽤企業間の情報隔離、障害等の影響の局所化
利⽤者のデータにアクセスできる利⽤者が限定されていること
利⽤者組織にて規定しているアクセス制限と同様な制約が実現できていること
IDの付与単位、IDをログ検索に利⽤できるか、ログの保存期間は適有無
有無／設定状況

切な期間が確保されており、利⽤者の必要に応じて、受容可能に期 設定状況
間内に提供されるかウイルススキャンの頻度頻度有。テナントごとにデータスペースは完全に分離有。利⽤者データにアクセスできる利⽤者を制限するための仕組みがあり、お客様側で設定が可能。詳細情報はマニュアルで提供権限に沿ったID管理を実施。1年以内のログを確認することが可能
リアルタイムスキャンをオプションにて提供

バックアップメディア等では、常に暗号化した状態で保管している
48

49

⼆次記憶媒体の安全性対策

データの外部保存⽅針

こと、廃棄の際にはデータの完全な抹消を実施し、また検証していること、USBポートを無効化しデータの吸い出しの制限等の対策を講じていること
データ保存地の各種法制度の下におけるデータ取扱い及び利⽤に関する制約条件を把握しているか

3 ページ

有無

把握状況有。⼆次記憶媒体は使⽤せず、データセンター内のみに案誤化した状態で保管
データの保存地ならびに法制度等による制約条件は適切に把握