クラウドサービスチェックリスト
No.

種別

サービスレベル項目

規定内容

測定単位

対応可否

実施内容/備考

契約1

守秘義務は事業者側・ユーザ側の双方同等であること〇☓〇

利用規約に記載2

データ消失対策について規定されていること〇☓〇

利用規約に記載3

損害賠償について規定されていること（データ消失時、障害時）
契約終了時のデータ返還、クラウド上のデータ完全消去が規定されていること
サービス変更に関する規定がある（内容、方法、通知期間、通知方法等）こと
契約は事業者側が一方的に解除できる条件になっていないこと
契約をユーザ側が解除する場合にペナルティがない（利用料、拘束期間）こと
サービス利用において免責条項定義〇☓〇

利用規約に記載〇☓〇

利用規約に記載〇☓〇

利用規約に記載〇☓〇

利用規約に記載〇☓〇

利用規約に記載〇☓〇

利用規約に記載4
5

契約条項 利用規約

6
7
8
アプリケーション運用
9

サービス時間サービスを提供する時間帯（設備やネットワーク等の点検／保守の 時間帯ための計画停止時間の記述を含む）

24時間366日（計画停止/定期保守を除く）

10

計画停止予定通知

定期的な保守停止に関する事前連絡確認（事前通知のタイミング／〇☓方法の記述を含む）

〇

11
12

計画停止頻度サービス提供終了時の事前通知

13

サービス稼働率

14 可用性1516

3営業日前にはサービストップページのアナウンス項目内と公式Twitterアカウントにて通知

回

年2回

〇☓

〇

稼働率99.989% (直近1年の実績)

ディザスタリカバリ

年間における計画停止の頻度
サービス提供を終了する場合の事前連絡確認（事前通知のタイミン
グ／方法の記述を含む）
サービスを利用できる確率（計画サービス時間－停止時間）÷計画サービス時間
災害発生時のシステム復旧のサポート体制〇☓〇

重大障害時の代替手段

早期復旧が不可能な場合の代替措置〇☓〇

必要に応じて、自動バックアップから履歴の提供が可能

代替措置で提供するデータ形式

代替措置で提供されるデータ形式の定義を記述〇☓〇

JSONファイルエクスポート機能を提供しており、任意のタイミングでダウンロード可能

バージョンアップ／変更管理／パッチ管理の方針〇☓〇

セキュリティ上重要なアップデートは即時対応、その他は定期的(最長でも3ヶ月に1回程度)にアップデートを実施

信頼性・可用性を確保する対策が講じられている（サーバやストレー 〇☓ジやネットワークの多重化・冗長化、システムの自動バックアップ等）〇

AWSのマルチアベイラビリティーゾーン構成、自動スケーリングを実施

17
アップグレード方針1819

障害発生件数

1年間に発生した障害件数／1年間に発生した対応に長時間（1日以 回上）要した障害件数

2回

20

システム監視基準

システム監視基準（監視内容／監視・通知基準）の設定に基づく監視体制〇☓〇

21 信頼性障害通知プロセス

障害発生時の連絡プロセス（通知先／方法／経路）がある〇☓〇

利用者に提供可能な各種ログ（アクセスログ、操作ログ、エラーログ
〇☓
等）の提供

〇

22
ログ管理

最低1ヶ月間の予告期間をもうけ、本ツールに関するお知らせもしく
は当社公式ブログ等にて通知

下記事項の管理を実施
・AWS IAMユーザごとの各マネージドサービスごとの最終利用日時
・AWSの各マネージドサービスのAPI呼び出し履歴発生から1時間以内に公式Twitterアカウントにて通知
・アプリケーションの例外履歴の記録
セキュリティ（不正アクセス）ログ／バックアップ取得結果ログを利用
・各種インフラの死活監視者の要望に応じて提供
・各種インフラのパフォーマンス監視クラウドサービスチェックリスト
信頼性

No.

種別

サービスレベル項目
ログ管理

23
24

規定内容

測定単位

対応可否

システムの操作ログの管理が行われていること〇☓〇

参照または提示可能な障害ログの期間

期間

2年間

実施内容/備考
システムの操作、データベースの操作全てログ管理実施

外部接続性

既存システムや他のクラウドサービス等の外部システムとの接続仕〇☓様（API、開発言語等）がある〇

26

ヘルプデスクヘルプデスク窓口が設置されている

〇☓

〇

27

サービス提供時間帯（障障害対応時の問合せ受付業務を実施する時間帯
害対応）

時間帯

24時間366日（メール）28

サービス提供時間帯（一一般問合せ時の問合せ受付業務を実施する時間帯
般問合せ）

時間帯

営業時間(10:00-19:00)内（メール）（年末年始・土日・祝祭日を除く）

29

FAQ

FAQが公開されている

〇☓

〇

30

暗号化

暗号化が自動的に行われる、または、暗号化機能が提供されている〇☓〇

Amazon Aurora のリソース暗号化を適用し、パスワードの暗号化/データベースの暗号化/通信の暗号化を実施

31

データバックアップ

データのバックアップが行われ、最低でも1日前の状態に復旧できる 〇☓ような対策が講じられている〇

最長21日間、デイリーのデータベースのスナップショットを作成

32

バックアップの方法

バックアップ内容（回数、復旧方法など）、データ保管場所／形式、利用者のデータへのアクセス権など、利用者に所有権のあるデータ 〇☓の取扱方法が確立されている〇

データベースは日次バックアップを自動取得。アプリケーションコード
やインフラ定義はバージョン管理を実施

サービス解約後の、データ消去の実施〇☓〇

利用終了後、自動で削除

複数のサーバにデータを保存している場合、レコード単位でデータを消去したときには各サーバ上のデータ消去がされている〇☓〇

データの作成・更新・削除は同期されている全てのサーバやネットワーク機器で時刻の同期がとられている〇☓〇全ての情報処理システムのクロックで使用している時刻源がある〇☓〇

Amazon Time Sync Serviceを使用

添付ファイルの容量上限に到達した場合、過去の添付ファイルを削除することで対策が可能

25 拡張性API（プログラム機能を外部から利用するための手続き）を公開サポート

サポート

データ管理

33
データ消去の要件

34
35

同期36
データ管
理
37

利用データ制限

クラウドサービスを利用するにあたって、利用企業にシステム資源（CPU、メモリ、ディスクなど）を割り当てる場合、割り当てられているシステム資源の限界値と超えた場合の対策

〇☓〇

38

バックアップ世代数

保証する世代数

世代数

20世代

39

データ保護のための暗号化要件

データを保護するにあたり、暗号化要件

〇☓〇

データ管
理

クラウドサービスチェックリスト
No.

種別

サービスレベル項目

規定内容

測定単位

対応可否

実施内容/備考

40

解約時、元データが完全な形で迅速に返却される、もしくは責任を解約時のデータポータビ 持ってデータを消去する体制を整えており、外部への漏えいの懸念 〇☓リティのない状態が構築できている〇

41

預託データの整合性検証作業

データの整合性を検証する手法が実装され、検証報告の確認作業が行われている

〇☓

〇

42

入力データ形式の制限
機能

入力データ形式の制限機能

〇☓〇

43

環境

サービスの開発環境、試験環境、および運用環境は分離されている 〇☓〇44

情報取扱い環境提供者側でのデータ取扱環境が適切に確保されている

〇☓

〇

45

通信の暗号化レベル

端末からサーバまでの通信が暗号化されていて、システムとやりとりされる通信の暗号化強度対策がされている〇☓〇全ての通信でSSL/TLSを使用

46

情報取扱者の制限

・利用者のデータにアクセスできる利用者が限定されており、利用者組織にて規定しているアクセス制限と同様な制約が実現できている 〇☓〇利用者のデータにアクセスできる社員等はセキュリティ管理者の許可を得た者に限る

47

セキュリティインシデント IDの付与単位、IDをログ検索に利用できるか、ログの保存期間は適発生時のトレーサビリ切な期間が確保されており、利用者の必要に応じて、受容可能に期 〇☓ティ
間内に提供されている〇

48

ウイルス対策ウイルス、マルウェア感染への対策が講じられている〇☓〇開発マシンはウイルス対策ソフトのインストール、サーバーへはデプ
ロイでのみファイル等のアップロードがされるように対応

49

ウイルススキャン

ウイルススキャンの頻度頻度

自動で対応

AWS GuardDutyを用いて検知しており、自動で定義が更新

50

防御対策

障害や攻撃に対する監視、検知、解析、防御対策が行われている〇☓〇

AWS WAFを用いた攻撃への対策を実行

セキュリティ

51

不正アクセス

不正アクセスを防止するための技術が実装されている〇☓〇

下記事項を実施・セキュリティグループを用いて必要最低限の通信のみを許可
・ロードバランサーを除いた全てのサーバはNATゲートウェイを配備したプライベートサブネット内に設置し、パブリックインターネットに直接接続不可
・AWS GuardDutyを用いてVPC内での不正な通信を検出
・AWS WAFを用いてDoS対策を実施

52

不正利用

システムユーティリティを利用する場合に不正操作がなされないよう〇☓に管理されている〇

バックアップ等はAWS上で操作が可能で、AWS IAMを用いて操作可能な権限を管理クラウドサービスチェックリスト
No.

種別

サービスレベル項目

規定内容

測定単位

対応可否

実施内容/備考

53

二次記憶媒体の安全性対策

バックアップメディア等では、常に暗号化した状態で保管しており、廃棄の際にはデータの完全な抹消を実施し、また検証し、USBポート 〇☓を無効化しデータの吸い出しの制限等の対策を講じている〇

54

データの外部保存方針

データ保存地の各種法制度の下におけるデータ取扱い及び利用に〇☓関する制約条件を把握している〇

AWSのデータセンター管理に基づく十分な物理的および環境的セキュリティを備えたオフィスや施設においてサービスが提供されている〇☓〇

下記事項の管理を実施
・入退館（室）管理・オフィス、部屋及び施設に対する、物理的セキュリティ設計
・自然災害、悪意のある攻撃又は事故に対する、物理的保護の設
計・セキュリティを保つべき領域での作業手順の定義
・荷物の受渡場所などの立寄り場所、およびび認可されていない者が施設に立ち入ることもある場所の管理

56

システムへのアクセス権限や管理者特権の管理が行われている〇☓〇

限られたメンバーのみアクセス権付与を実施し、権限付与のログも管理

57

利用企業のシステム管理者は、利用者IDごとに利用可能な機能及びアクセス権限を割り当てることができる

〇☓

〇

58

利用企業のシステム管理者が、利用企業の利用者ID及びアクセス権の確認方法がある〇☓〇

クラウドベンダーの管理者やオペレータなどのアカウントについて、不要時の速やかな削除および定期的な棚卸をおこなっている

〇☓

〇

60

接続元のグローバルIPアドレスを指定することで、指定した以外のグローバルIPアドレスからの利用制限ができる

〇☓

〇

61

モバイル端末（タブレット、スマホ、携帯電話など）の置き忘れや、放置したまま離席するなどによって、許可された本人以外の利用者が 〇☓クラウドサービスを利用する事を防止するための機能〇

短期間に一定回数以上ログイン失敗の際にアカウントロックを実施

62

クラウドベンダーのシステム管理者による管理者権限での接続は、二要素での認証となっている〇☓〇

ID/Passwordによる認証
2段階認証

利用企業によるクラウドサービスへの接続を特定IPアドレスや証明書保有端末に制限できる〇☓〇

特定IPアドレス帯

利用企業によるクラウドサービスへの認証方法を二要素での認証と 〇☓すること〇

ID/Passwordによる認証
2段階認証

セキュリ
ティ
55

59

63
64

施設管理

アクセス管理認証

設定画面からチームメンバーの権限確認可能

クラウドサービスチェックリスト
No.

65

種別

サービスレベル項目

セキュリティプロセス

規定内容

全てのシステム開発ライフサイクルを通して、セキュリティに配慮したプロセスの確立

測定単位

〇☓

対応可否

〇

実施内容/備考
下記を継続的に実施
・アプリケーションの自動テスト、自動デプロイ
・ソースコードを保管するリポジトリのアクセス制限
・プロビジョニングツールを用いたサーバ構成のコード化、構築の自動化、自動テスト
・インフラ定義のコード化、構築の自動化
・開発、検証データの適正化