Thinkings株式会社
2024/2/9更新
サービスレベル項目

規定内容

1 可用性

サービス時間サービスを提供する時間帯（設備やネットワーク等の点検 時間帯／保守のための計画停止時間の記述を含む）

24時間365日(計画停止時間を除く)

2

計画停止予定通知

定期的な保守停止に関する事前連絡確認（事前通知 有無のタイミング／方法の記述を含む）

有
毎月 第3木曜日 AM1:00からAM7:00まで（JST）
実施の10営業日前までに、SONAR内のインフォメーションに掲載もしくはメールにて通知

3

サービス提供終了時の事前 サービス提供を終了する場合の事前連絡確認（事前通 有無
通知
知のタイミング／方法の記述を含む）

有
半年程度前にサービス内インフォメーションにて告知する

4

突然のサービス提供停止に プログラムや、システム環境の各種設定データの預託等の 有無
対する対処
措置の有無

無
プログラム及びデータ預託の計画無し

5

サービス稼働率

サービスを利用できる確率（（計画サービス時間－停止 稼働率 (%)
時間）÷計画サービス時間）

年間*使用可能時間割合99.0%を保証* サービス稼働率の年間とは、1月1日から12月31日（JST）の期間を意味します6

ディザスタリカバリ

災害発生時のシステム復旧／サポート体制

有無

有
Webアプリケーション・データベース・ストレージは
Microsoft Azureの複数リージョンによる地理冗長化構成とし、フェイルオーバーで復旧

7

重大障害時の代替手段

早期復旧が不可能な場合の代替措置

有無

有
バックアップ環境の西日本リージョンでサービスを再開する
BCP計画を策定、年1回以上復旧テストを実施

8

代替措置で提供するデータ 代替措置で提供されるデータ形式の定義を記述
形式

有無(ファイル形式)

有
全情報をCSV形式、物理ファイルをZIP形式でダウンロード可能

9

アップグレード方針

バージョンアップ／変更管理／パッチ管理の方針

有無有ISMS規程に準じたシステムの開発及び変更管理の運用手順（変更・リリースフロー）に従い随時アップデートを実施

10 信頼性

平均復旧時間(MTTR)

障害発生から修理完了までの平均時間（修理時間の和÷故障回数）

時間

非公開

11

目標復旧時間(RTO)

障害発生後のサービス提供の再開に関して設定された目 時間
標時間

非公開

12

障害発生件数

1年間に発生した障害件数／1年間に発生した対応に長時間（1日以上）要した障害件数回数は非公開
正確な情報提供を行うべく、サービスヘルスサイトを準備中

13

システム監視基準

システム監視基準（監視内容／監視・通知基準）の設 有無定に基づく監視

有
死活監視、パフォーマンス監視、ログ監視、エラー監視

14

障害通知プロセス

障害発生時の連絡プロセス（通知先／方法／経路）

有システム稼働状態を常時リソース監視、アラートをメール及び携帯電話へ通知、ISMSで規程する緊急連絡体制に従った連絡を実施

15

障害通知時間異常検出後に指定された連絡先に通知するまでの時間 時間

10分以内

16

障害監視間隔障害インシデントを収集/集計する時間間隔

時間 (分)

5分

17

サービス提供状況の報告方 サービス提供状況を報告する方法／時間間隔
法／間隔

時間

必要に応じてサービス内インフォメーション、専用ガジェットなどで告知

18

ログの取得

有無

19 性能

応答時間

利用者に提供可能なログの種類 (アクセスログ、操作ログ、エラーログ等)
処理の応答時間時間 (秒)

有
アプリケーションの操作ログを抽出・表示する機能を提供
非公開

20

遅延

処理の応答時間の遅延継続時間

時間 (分)

非公開

21

バッチ処理時間

バッチ処理（一括処理）の応答時間

時間 (分)

非公開

22 拡張性カスタマイズ性

カスタマイズ（変更）が可能な事項／範囲／仕様等の 有無
条件とカスタマイズに必要な情報

有
画面上に表示する項目、参照可能な情報、利用可能な機能などの設定が可能

23

外部接続性

既存システムや他のクラウド・コンピューティング・サービス等 有無の外部のシステムとの接続仕様（API、開発言語等）

有
APIを公開https://sonar-developers.snar.jp/

24

同時接続利用者数

オンラインの利用者が同時に接続してサービスを利用可能 有無 (制約条件)
なユーザ数

無同時接続可能なユーザー数の制限無し

25

提供リソースの上限

ディスク容量の上限／ページビューの上限

処理能力

有
専用ストレージに利用上限の制限あり

サービス提供時間帯（障害対応）

障害対応時の問合せ受付業務を実施する時間帯

時間帯

平日10:00〜17:00
年末年始・祝日を除く

時間帯

平日10:00〜17:00
年末年始・祝日を除く

No.

種別

測定単位設定アプリケーション運用

サポート
26 サポート
27
データ管理
28 データ管理

サービス提供時間帯(一般 一般問合せ時の問合せ受付業務を実施する時間帯問合せ)
バックアップの方法

回

有無

バックアップ内容（回数、復旧方法など）、データ保管場 有無/内容
所／形式、利用者のデータへのアクセス権など、利用者に所有権のあるデータの取扱方法

Microsoft Azure SQL Databaseで完全バックアップを毎週、差分バックアップを 12 から 24 時間ごと、そしてトランザクション ログ バックアップを 5 から 10 分ごとに作成
バックアップデータへの取り扱いは運用責任者および運用責任者が指名した担当者に限定

29

バックアップデータを取得する バックアップデータをとり、データを保証する時点
タイミング
(RPO)

時間

バックアップデータ保存期間の任意の時点に復元可能

30

バックアップデータの保存期
間

時間

35日間

データをバックアップした媒体を保管する期限

1

Thinkings株式会社
2024/2/9更新
31

データ消去の要件

サービス解約後の、データ消去の実施有無／タイミング、 有無
保管媒体の破棄の実施有無／タイミング、およびデータ移行など、利用者に所有権のあるデータの消去方法

有
サービス解約より一定の期間が経過した後データの削除を実行

32

バックアップ世代数

保証する世代数

世代数

35日分33

データ保護のための暗号化 データを保護するにあたり、暗号化要件の有無
要件

有無

有
データベースストレージの暗号化を実施、パスワード等一部のデータは不可逆の暗号化で保存

34

マルチテナントストレージにお マルチテナントストレージのキー管理要件の有無、内容
けるキー管理要件

有無/内容

有
テナント固有のIDでデータを論理的に分離

35

データ漏えい・破壊時の補償／保険

データ漏えい・破壊時の補償／保険の有無

有無

有サイバー保険加入36

解約時のデータポータビリ
ティ

解約時、元データが完全な形で迅速に返却される、もしく 有無/内容は責任を持ってデータを消去する体制を整えており、外部への漏えいの懸念のない状態が構築できていること

有サービス解約より一定の期間が経過した後データの削除を実行、バックアップを含め約35日経過で完全消去

37

預託データの整合性検証
作業

データの整合性を検証する手法が実装され、検証報告の 有無確認作業が行われていること

有
データ入力時、送信時に検証、通信経路での盗聴、改ざんを防止するためにTLSにより保護

38

入力データ形式の制限機能

入力データ形式の制限機能の有無

有無

有
データ入力時、送信時に検証

公的認証取得の要件

JIPDECやJQA等で認定している情報処理管理に関する公的認証（ISMS、プライバシーマーク等）が取得されていること

有無

有ISMS (ISO/IEC 27001:2013) 認証
ISMS-CS (ISO/IEC 27017:2015) 認証
ISMS-PIMS (ISO/IEC 27701:2019) 認証を取得
登録番号：JUSE-IR-467、JUSE-IR-467-CS01、
JUSE-IR-467-PI01
有効期間：2023年12月21日〜2026年12月20日（初回登録日：2020年12月21日）

40

アプリケーションに関する第三者評価

不正な侵入、操作、データ取得等への対策について、第 有無／実施状況
三者の客観的な評価を得ていること

41

情報取扱い環境提供者側でのデータ取扱環境が適切に確保されているこ 有無と

42

通信の暗号化レベルシステムとやりとりされる通信の暗号化強度

43

会計監査報告書における 会計監査報告書における情報セキュリティ関連事項の監 有無
情報セキュリティ関連事項の 査時に、担当者へ以下の資料を提供する旨「最新の確認
SAS70Type2監査報告書」「最新の18号監査報告書」

無44

マルチテナント下でのセキュリ 異なる利用企業間の情報隔離、障害等の影響の局所
ティ対策
化

有
テナントIDによりデータを論理的に分離

45

情報取扱者の制限

46

セキュリティインシデント発生 IDの付与単位、IDをログ検索に利用できるか、ログの保 設定状況
時のトレーサビリティ
存期間は適切な期間が確保されており、利用者の必要に応じて、受容可能に期間内に提供されるか

IDは個人ごとに発行、管理
アクセスログは1年以上保管

47

ウイルススキャン

全てのPCにてウイルス定義の定期更新、リアルタイムスキャンの有効化、状態の中央管理を実施

48

二次記憶媒体の安全性対 バックアップメディア等では、常に暗号化した状態で保管し 有無策ていること、廃棄の際にはデータの完全な抹消を実施し、また検証していること、USBポートを無効化しデータの吸い出しの制限等の対策を講じていること

有
セキュリティ管理ソフトウェアのグループポリシー設定にて二次記憶媒体の利用を禁止

49

データの外部保存方針

データ保存地の各種法制度の下におけるデータ取扱い及び利用に関する制約条件を把握している

セキュリティ
39 セキュリティ

有無

有無

利用者のデータにアクセスできる利用者が限定されている 有無／設定状況
こと、利用者組織にて規定しているアクセス制限と同様な制約が実現できていること

ウイルススキャンの頻度

頻度

データ保存地の各種法制度の下におけるデータ取扱い及 把握状況
び利用に関する制約条件を把握しているか

有
外部診断会社によるアプリケーションの脆弱性診断を実
施
全体：年一回
リリース単位：月一回
有データベースへのアクセスは業務上必要な担当者へ作業申請の承認経て必要最低限のアクセス権を付与する
有
ウェブアプリケーション上の通信はTLS1.2以上での暗号化を強制

有
データアクセス権は業務上必要最低限の開発者のみに制限2