株式会社スカイアーチネットワークス

セキュリティチェックシート

項目番号

更新日:2024年5月10日

確認内容

回答

1．組織的対策

１-１ 情報セキュリティの運営

１-２ 情報セキュリティの基本方針について
１-３ 情報セキュリティの独立したレビューの実施

経営者の主導で情報セキュリティの方針を示しているか。

会社HP内に情報セキュリティポリシーを公開しています。

情報セキュリティ対策を実施するための体制を整備し、問題が起きたときには

https://www.skyarch.net/profile/security.html
社内にてISO運営委員会を設置し継続して改善を行っています。

体制改善を行っているか。
ISO27001の認証を取得済か。

ISO27001、プライバシーマークについて認証取得済です。

またプライバシーマークの認証も取得しているか。

・ISO27001（登録番号:IC11J0324 登録日:2005年4月8日）

秘密情報を扱う従業員（パートタイマー、アルバイト、派遣社員、顧問、委託先要員など）

・プライバシーマーク（認定番号 :第21000270（09）号 取得日:2007年2月6日）
情報セキュリティ基本方針や個人情報保護基本規程を定めています。

に対して個人情報・法人顧客情報の取扱いに関する基本方針・規程等を定めているか?
情報セキュリティ確保のための、技術的対策や運用、投資状況について定期的もしくは、毎年マネジメントレビューを実施しています。

重大な変化が発生したときに、独立したレビューを実施しているか。
内部監査・外部監査の定期的な受審や、ISMSの定期的な見直し等を実施しているか。

定期的に受審し、不適合箇所については迅速に見直しを行っています。

2．人的セキュリティ
2-1

雇用契約

従業員の雇用契約時にセキュリティ遵守事項を定め雇用契約を実施しているか。

入社時に全社員を対象に機密保持に関する誓約書を締結しています。

2-２

教育及び訓練また機密保持契約も締結しているか。
業務に必要な情報セキュリティの知識について、従業員へ定期的な教育やまたセキュリティ遵守について就業規則に明記しています。
入社時にセキュリティ研修を実施しています。

訓練を実施しているか。

また、全社員を対象に年4回の全社勉強会及び標的型攻撃メール訓練を実施しています。

セキュリティ教育や実践的な訓練について、潜在的なリスクを考慮し、情勢に応じて定期的に勉強会や訓練の見直しを実施しています。

急速に変化する情報技術の動向を反映した内容となっているか。
2-3

2-4

アクセス権限退職後の秘密保持

従業員のアクセス権限は、業務に必要な最小権限に限定し付与しているか。

アクセス権限の付与は最低限にしています。

従業員に付与した権限について、台帳等で詳細に管理し棚卸を行っているか。

台帳管理を行い退職者などの不要なアカウントが残っていないか、従業員が退職する際に、退職後の秘密保持義務への合意をもとめているか。

毎月棚卸を実施しています。
退職時に誓約書の提出にて秘密保持への合意を取っています。

オフィスへの入退室管理や不正侵入防止のための対策を実施しているか。

実施しています。生体認証を用いての入室管理及び監視カメラを設置し録画しています。

またどのように管理しているか。
オフィスの執務室内にてセキュリティ区画とセキュリティレベルを物理的に定め、静脈認証のログは半年間保管しています。
オフィス内にセキュリティエリアを構築し分離しています。

3.物理的セキュリティ
3-1

オフィス管理3-2

情報管理

区画を分離しているか。
書類、PC、データ記録媒体を持ち出す場合は、紛失･盗難対策を講じているか。

PCのHDDを暗号化しています。 機器の外部持出についてのルールを定めています。

3-3

廃棄管理

業務で使用したPCや記憶媒体装置の廃棄については、適切なデータ消去をHDDや記憶媒体装置は初期化後、物理的に破壊して廃棄しています。

実施・確認したうえで廃棄しているか。
廃棄した資産について管理・記録しているか。

廃棄情報は資産管理ツールに記録しています。保管期限は定めていません。

脅威となる自然災害やインフラ災害を想定し、対応策を講じているか。

社内サーバはiDCに設置しています。

3-4

災害対策

4.情報システムの開発と保守
4-1
4-2

セキュリティ要求
暗号化

情報システムの開発において、セキュリティ要求事項を定めているか。

システム開発規程にて定めています。

システムの新規開発や改修時にシステムに脆弱性がないか診断を行うことがあるか。

システム開発規程にて技術的脆弱性の定期監視を行うことを定めています。

インターネットを利用するシステムについては、通信及びサーバに保管するデータのシステム開発規程にて暗号化の実施を義務付けています。

暗号化を実施しているか。
暗号化は電子政府推奨方式に準拠したものを採用しているか。

採用しています。

4-3

プロセス

開発や保守のプロセスにおいて、セキュリティを確保する手段を講じているか。

システム開発規程にて定めています。

4-4

セキュリティ情報の収集

情報セキュリティの脆弱性情報を適宜収集し必要に応じて社内共有しているか。

JPCERTが公開する脆弱性対策情報を毎日確認し、影響度の高い内容について社内で共有しています。

5.運用管理5-1

メール

メールの誤送信を防止するための対策を講じているか。

送信前確認機能を導入しています。

重要な情報をメールで送信する場合は、ファイルをパスワード保護し、また定期勉強会などのセキュリティ意識向上啓発活動を行っています。
添付ファイルはパスワードで暗号化しパスワードを別メールで通知しています。

5-2

変更管理

別手段や別メールでパスワードを伝えているか。
F/Wの設定変更において、変更前のセキュリティ評価と実施内容の確認を行うための変更作業は、上⾧の承認のもとで実施しています。

5-3

性能管理

事前レビューを組織として実施しているか。
情報システムの稼働及び性能管理を実施しているか。

ISMSの委託先管理手順に従って管理しています。

5-6

ウィルス対策コンピュータウィルスの対策を実施しているか。

全PCにウィルス対策ソフトを導入しています。

標的型メール攻撃への対策を講じているか。

全従業員を対象に年4回の訓練を実施し対策に努めています。

ソフトウェアのセキュリティパッチを適宜に実施しているか。

管理サーバ経由で強制的に適用しています。

パターンファイルの更新は即時実施されているか。

即時実施しています。

5-7

バックアップ

コンピュータやソフトウェアの障害に備えたバックアップを実施しているか。

定期的なバックアップを実施しています。

5-8

ネットワーク管理

インターネットと自社ネットワークからの不正アクセスに対する防護対策をゲートウェイにFirewallを設置しています。

実施しており、具体的な対策が文書化されているか。
本サービスへの不正アクセスは検知、遮断されるようにしているか。

また具体的な対策は情報通信ネットワーク規程にて定めています。
FirewallにてIPアドレスによるアクセス制御を実施しています。

USBメモリ、携帯電話、ＤＶＤなどの外部記憶メディアの利用制限を実施しているか。

PCの常駐管理ソフトウェアにて、外部メディアの接続を無効化しています。

インターネットに公開しているシステムへの不正アクセスや改ざんについて定期的に各サーバのログを確認しています。

モニターを実施しているか。
不正アクセスとして検知している通信設定内容のポリシーが一覧化されているか。

構成管理ツールにて管理しています。

不正アクセスとして検知された通信は必要に応じて遮断等の防御が実施されているか。

自動遮断は未実施ですが、検知の際アラートが発動し担当者が迅速に対応致します。

モニタリングのルール及び不正行為への対策の定期的な見直しの実施を行っているか。

定期的な見直しを行い、確認結果を記録し保管しています。

5-11 メンテナンス記録

またその見直し結果についてレビュー記録として保管しているか。
アプリケーション、サーバ、通信機器などのＩＴシステムに対する保守作業について構成管理ツールに記録し管理しています。保管期限はありません。

5-12 障害記録

作業記録を保管しているか。またその保管期限は何年か。
アプリケーション、サーバ、通信機器の障害ログを取得し解析と確認を実施しているか。

定期的に各サーバのログを確認しています。

解析・確認結果の記録が1年以上保管されているか。

構成管理ツールに記録し管理しています。保管期限はありません。

テレワーク等の社外から社内情報へアクセスする場合は、接続可能なIPアドレスを限定しID、PASSによるログイン管理を行っています。

5-9

メディアの管理5-10 外部からの不正行為について

5-13 サービス設備面の顧客データ管理

セキュリティリスクを考慮した対策を講じているか。

6.アクセス制御及び認証
6-1

特権ID管理特権IDについて、利用者の限定、利用記録、適切なパスワード強度を実施しているか。

特権IDは構成管理ツールにて管理しています。

また使用者台帳及び使用記録を保管しているか。
特権ID発行時の審査、定期的なパスワードの変更、廃棄時の即時提示を実施しているか。

使用者台帳及び使用記録台帳の保管期間は３年です。
定期的なパスワード変更は未実施ですが、解約時は即時AWSアカウントを削除しています。

特権IDの定期的な棚卸は実施しているか。

定期的な棚卸は未実施ですが、特権IDの発行は最小限に限定しています。

アクセス権のレビュー

特権IDやネットワークのアクセスコントロール内容について定期的な棚卸は未実施ですがお客様からのご依頼に応じて実施しています。

6-3

社内ネットワークの定期的な棚卸を実施しているか。
サービスで利用しているネットワークと自社業務で利用しているネットワークについて専用AWSアカウントを発行し、それぞれ独立した環境で運用しています。

6-4

アクセスコントロール
F/Wのアクセスポリシー

分離を実施しているか。
外部との接続制限を行うF/Wについて基本的なアクセスポリシーを定めているか。

サーバ運用規程にて、ポートの開放は必要最低限とすることを定めています。

6-5

パスワード

パスワード設定に関して強度など社内ルールはあるか。

情報システム利用ガイドラインにてルールを定めています。

6-6

クリアスクリーン

従業員が使用するPCについてクリアスクリーンの対策は講じているか。

情報システム利用ガイドラインにて以下の対策を義務付けています。

6-2

・一定時間(10分)経過でパスワード付きスクリーンセーバーの自動ロック・離席時のコンソールロック実施
7.情報セキュリティインシデントの管理
7-1

報告と改善

世の中のセキュリティ事故や自社で発生した事故を報告し対策実施する仕組みはあるか。

事業継続基本規程にて定めています。

7-2

ログの収集

セキュリティ事故を調査し証明するため、通信記録やセキュリティシステム、対象のログは1年以上保管しています。

7-3

事業継続

サーバなどのログを保管しているか。
緊急事態やサイバー攻撃発生時の対応について危機管理対応手順を定めているか。

事業継続基本規程にて緊急時の対応手順を定めています。

また訓練も行っているか。

訓練は年1回実施しています。

個人番号や特定個人情報の安全管理について管理ルールを定め、定期的に個人情報保護ガイドライン等の社内規程にてルールを定めています。

社内周知を行っているか。

また勉強会にて全従業員に定期的に周知しています。

８．個人情報の取扱いについて
8-1

個人情報の取扱い