ワークスモバイル株式会社
System and Organization Controls 3 ReportLINE WORKS サービスのセキュリティ、可用性、処理のインテグリティ、機密保持および個人情報保護に関する独立サービス監査人の報告書
2021 年 1 月 1 日 - 2021 年 12 月 31 日

目次
Section I: 独立サービス監査人の報告書.................................................................................. 2
Section II: 経営者の主張 .................................................................................................... 4
Section III: LINE WORKS サービスシステムの範囲に関する記述書............................................... 5
1. 概要 .......................................................................................................................... 5会社の紹介.............................................................................................................. 5サービス .................................................................................................................... 5
報告書の適用範囲 .................................................................................................... 6
2. サービスの構成要素........................................................................................................ 7
インフラストラクチャー .................................................................................................... 7ソフトウェア................................................................................................................ 7人員 ....................................................................................................................... 7手続 ....................................................................................................................... 8
データ ...................................................................................................................... 8
Section IV: 主要サービス責任とシステム要求事項 ..................................................................... 9

Deloitte Anjin LLC
9F., One IFC,
10, Gukjegeumyung-ro,Youngdeungpo-gu, Seoul
07326, Korea

Section I: 独立サービス監査人の報告書

Tel: +82 (2) 6676 1000
Fax: +82 (2) 6674 2114
www.deloitteanjin.co.kr

ワークスモバイル株式会社 御中
京畿道城南市盆唐区盆唐内谷路117
クラフトンタワー 10 階範囲
デロイト安進会計法人（以下、「サービス監査人」または「私ども」）は、ワークスモバイル株式会社（以下、「サービス組織」または「会社」）の LINE WORKS サービス環境（以下、「システム」）に対する統制が米国公認会計士協会が制定した 2017
Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality and Privacy （AICPA,Trust Services Criteria）の TSP Section 100 で提示されたセキュリティ、可用性、処理のインテグリティ、機密保持、個人情報保護に関する Trust サービスの準拠基準（以下、「該当 Trust サービス準拠基準」）により会社のサービス責任とシステム要求事項を達成したという 合理的な確信を提供できるよう 2021 年 1 月 1 日から 2021 年 12 月 31 日までの間に効果的であったという添付「Section II: 経営者の主張」（以下、「経営者の主張」）を監査しました。

サービス組織の責任
会社はサービス責任とシステム要求事項、そしてこれらが達成されたという合理的な確信を提供するために、システム内で統制を効果的に設計および実装し運営する責任があります。また、会社はシステム内の統制の効果性について添付の「SectionII：経営者の主張」を提示しました。経営者の主張を作成するに際し、会社は該当 Trust サービス準拠基準を選定し、これを経営者の主張に表示する責任があり、システム内の統制効果を評価して経営者の主張に対する合理的な根拠を確保する責任があります。

監査人の責任
私どもの責任は、私どもが実施した評価に基づいて会社のサービス責任とシステム要求事項が該当 Trust サービス準拠基準によって達成されたという合理的な確信を提供するためにシステム内に統制が報告期間の間に効果的であったという経営者の主張に対して意見を表明することです。私どもは米国公認会計士協会（American Institute of Certified ProfessionalAuditors; AICPA ） が 制 定 し た 保 証 業 務 基 準 と 国 際 監 査 ・ 保 証 基 準 審 議 会 （ International Auditing andAssurance Standards Board; IAASB）が制定した国際保証業務基準 3000、過去財務情報の監査またはレビュー以外の保証業務基準（ISAE 3000, Assurance Engagements Other than Audits or Reviews of Historical FinancialInformation）により、業務を実施しました。この基準は、経営者の主張が重要性の観点から公正に表示されたかに対して2

合理的な確信を得られるように監査を計画し、実施することを求めています。私どもは、私どもが入手した証拠が私どもの意見のための根拠として十分であり、適合していると確信します。
私どもが実施した監査業務には以下の手続が含まれています。
•

会社のシステム、サービス責任とシステム要求事項の理解•

統制が効果的でないことにより、該当 Trust サービス準拠基準により会社のサービス責任とシステム要求事項が達成されないリスクの評価•

該当 Trust サービス準拠基準に従って会社のサービス責任とシステム要求事項が達成されるようにシステム内の統制が効果的であったかに対する証拠を入手するための手続の実施

私どもは状況によって必要であると認められるその他の手続も実施しました。

固有の限界
全ての内部統制体系は人的ミス、統制を迂回する可能性などによりその効果性が悪化する可能性のある固有の限界を有しています。このような特性により統制が該当 Trust サービス準拠基準によって会社のサービス責任とシステム要求事項が達成されたという合理的な確信を提供するように常に効果的に運営されない可能性があります。また、統制の効果性に対する現在の評価を未来の期間に延長することは、環境の変化により会社の統制が効果的でなくなっており、ポリシーまたは手続を遵守する程度が低くなるリスクを伴います。

意見
私どもの意見としては、LINE WORKS サービス環境内の統制が該当 Trust サービス準拠基準により会社のサービス責任とシステム要求事項が達成されたという合理的な確信を提供できるように 2021 年 1 月 1 日から 2021 年 12 月 31 日の期間の間に効果的であったという経営者の主張は重要性の観点で公正に提示されています。

2022年3月25日
大韓民国、ソウル

3

Section II: 経営者の主張
私ども（以下、「ワークスモバイル」、「会社」または「サービス組織」）はLINE WORKSサービスのセキュリティ、可用性、処理のイ
ンテグリティ、機密保持および個人情報保護基準に関するサービス責任とシステム要求事項を達成したという合理的な確信を提供するために2021年1月1日から2021年12月31日までの期間に対してシステム内の統制を効果的に設計、実装、運営及び維持する責任があります。該当システムの範囲に対する記述書はSection IIIで提示されており、同記述書には私どもの主張に含まれるシステムの側面が表示されています。
ワ ー ク ス モ バ イ ル は 米 国 公 認 会 計 士 協 会 が 制 定 し た 2017 Trust Services Criteria for Security, Availability,Processing Integrity, Confidentiality, and Privacy の TSP Section 100（AICPA, Trust Services Criteria）で提示したセキュリティ、可用性、処理のインテグリティ、機密保持、個人情報保護に関する Trust サービス準拠基準（以下、「該当 Trust サービス準拠基準」に従って、ワークスモバイルのサービス責任とシステム要求事項が達成されたという合理的な確信を提供するために 2021 年 1 月 1 日から 2021 年 12 月 31 日までの期間のシステム内の統制の効果性を評価しました。該当Trust サービス準拠基準を適用するためのシステムの目的は、該当 Trust サービス準拠基準に関するサービス責任とシステム要求事項に反映されており、該当 Trust サービス準拠基準に関する主要なサービス責任とシステム要求事項は Section IV に記述されています。
全ての内部統制体系は人的ミスと統制を迂回する可能性などを含めて、効果性に対する固有限界を持っています。このような固有限界により、サービス組織はサービス責任とシステム要求事項が達成されたという絶対的な確信ではなく、合理的な確信を達成できます。
私どもはワークスモバイルのサービス責任とシステム要求事項が該当 Trust サービス準拠基準に従って達成されたという合理的な確信を提供できるようにシステム内の統制が 2021 年 1 月 1 日から 2021 年 12 月 31 日までの期間に効果的であったと主張します。

4Section III: LINE WORKSサービスシステムの範囲に関する記述書

1. 概要
会社の紹介
ワークスモバイル株式会社（以下、「ワークスモバイル」または「会社」）は 2012 年からネイバーのメールサービスの提供を開始しました。
会社は 2015 年 4 月にグローバル企業型サービス市場へ本格的に進出するためにネイバーから分社し、日本市場への進出のために 2015 年 6 月に日本法人（WORKS MOBILE Japan Corp）を設立しており、2016 年 1 月にはワークスモバイルサービス（現在の LINE WORKS）の提供を開始しました。
会社名

ワークスモバイルジャパン株式会社設立

2015 年 6 月 3 日

資本金55 億 2,000 万円

代表者

福山 耕介

本社

東京都渋谷区神宮前 1-5-8 神宮前タワービルディング 11F（〒150-0001）

届出電気通信事業者

A-27-14402

LINE WORKS サービスは企業型メッセンジャー、音声/ビデオ通話、メール、カレンダー、掲示板、アドレス帳、クラウドストレージ、モニタリングなどの多様な機能で構成されたクラウド（SaaS）型コミュニケーションおよび協業サービスです。LINE WORKS サー
ビスは、PC、スマートフォン、タブレットなどの多様なデバイスを通じてアクセスおよび利用が可能であり、企業や団体は場所にかかわらず効率的なコミュニケーションを実現できます。管理者を対象にメンバー管理、セキュリティ設定、利用統計、監査、モニタリングなどの機能を提供しています。

サービス
会社のサービスは顧客の便利なサービス利用のため、PC ウェブ、モバイルを通じて提供されます。このようなサービスを提供するために多様な IT システムとセキュリティ機器、そして自社開発したサービス管理システムを使用しています。本記述書に含まれるサービスは以下の通りです。
•LINE WORKS – 企業型メッセンジャー、メール、Drive、カレンダー、アドレス帳など、多様な機能で構成された企業
内役職員の協業およびコミュニケーションサービス以外にも、企業内管理者のためのメンバー管理、セキュリティ設定、サービス統計、監査、メール送受信のモニタリングなどの管理者機能を提供します。

5

利用者企業は、会社のサービスを安全で正しく利用するために、サービス利用規約の「お客様の義務」を遵守しなければなりません。また、利用者企業は本人のデータを保護するためにパスワードを周期的に変更しなければならず、他人に公開しないなど、一般的に利用者企業が個人情報保護のために実施すべき活動を認識し、履行しなければなりません。

報告書の適用範囲
本報告書の範囲は LINE WORKS サービスに限られており、その他のサービスに対する内容は含まれていません。

6

2. サービスの構成要素
会社はサービスを提供するため、インフラストラクチャー、ソフトウェア、データとこれを運営するための手続および人員で構成されています。

インフラストラクチャー
会社は、サービスを提供するためにサーバー、ネットワーク、セキュリティシステムなどのインフラを構築して運営しており、各インフラは独立したデータ網で構成されています。インフラストラクチャーに対するアクセス統制手続を樹立して非認可者による論理的/物理的なアクセスを遮断しており、異常行為のログを記録して周期的にモニタリングしています。
また、会社は、インフラストラクチャーで発生可能な脆弱性を持続的に探知、補完するために自動化した脆弱性の点検ツールを運営し、発見された脆弱性に対する改善措置を実施しています。インフラストラクチャーが位置しているデータセンターは火災、地震、洪水などの災害から保護するための火災感知器、消火設備、無停電電源装置（UPS）、恒温恒湿器、漏水探知器などの保護設備を運営しています。

ソフトウェア
サービスを提供するためのアプリケーションの開発・運用はサービス別の担当部署で担当しており、利用者に提供するサービスの品質向上、障害および性能改善などの事由でアプリケーションの追加開発または高度化が必要な場合、サービスの企画部署と開発部署間の協議を通じてセキュリティ要求事項を定義し、定義された内容はイントラネットを通じて利害関係者に共有しています。
アプリケーションの変更事項は責任者により事前承認され、変更後に発生可能な障害を最小化するために QA（QualityAssurance）組織の検討の上、自動化したシステムを通じて本番環境に適用されます。利用者の個人情報処理に関する重大な変更が含まれる場合、個人情報影響評価を実施してその影響度を検討し、必要に応じて改善措置を実施しています。

人員
該当サービスの安定的な提供のために、会社は情報保護および個人情報保護の担当者、サービス企画者、開発者、インフラ運営者、CS（Customer Satisfaction）担当者などを指定して運営しており、各人員の情報保護に対する認識向上のために毎年、情報保護および個人情報保護教育を実施しています。
新規入社者および退職者の発生時には適宜情報保護誓約書を作成・提出するようにして機密保持義務に対する遵守事項を伝達しており、全役職員は毎年、情報保護誓約書を作成・提出しています。

7

手続
会社はセキュリティ、可用性、処理のインテグリティ、機密保持、個人情報保護原則を遵守するためにポリシー、指針、ガイドラインなどの情報保護規程を設けており、各規程は関連法令の要求事項の変化によって周期的にモニタリングし、必要時に改定され、改定時に責任者の承認を得た後、イントラネットを通じて全体役職員に公表しています。
利用者の個人情報および個人情報保護のための関連規程は利用者がいつでも確認できるようにホームページのプライバシーポリシーなどを通じて公開しています。

データ
利用者の個人情報を含む重要な情報は電気通信事業法、個人情報保護法などの関連法令とサービスの利用規約および会社の情報保護規程で提示している基準によって保護しており、関連業務担当者のみによって処理されるように管理しています。
重要な情報の保護のためにアクセス統制、暗号化、ログ記録などの技術的保護措置を適用しています。

8

Section IV: 主要サービス責任とシステム要求事項
会社は利用者企業に LINE WORKS サービスの利用に対する責任を約束し、システム要求事項を確立しました。これらの責任のうち一部はサービスの遂行および該当 Trust サービス準拠基準と関連があります。会社はサービス責任とシステム要求事項、そしてこれらの事項が達成されたという合理的な確信を提供するためにシステム内に統制を適切に設計および実装し、効果的に運営する責任があります。
顧客に約束するサービス責任は利用規約、プライバシーポリシー、青少年保護ポリシー、迷惑メール対策、検索結果の収集に対するポリシーなどを文書化してカスタマーセンターを通じて顧客と共有し、これと共にオンラインでサービスに対する説明を提供しています。会社のサービス責任には以下の内容が含まれており、これに限定されるものではありません。:•セキュリティ: 会社は暗号化、利用者認証、アクセス統制、物理的セキュリティなどの統制を通じて、顧客のデータを認可されないアクセスおよび使用から安全に保護し、認可された利用者による誤用・濫用の防止および周期的なモニタリングを実施する責任があります。

•可用性: 会社は性能に対するモニタリング、周期的なデータのバックアップおよび復旧などの統制を通じてサービスを中断なく持続的に提供する責任があります。

•処理のインテグリティ: 会社は安全なシステムの開発環境および本番環境の構築、本番環境の移管時に責任者の承認などを通じて顧客の情報を安全、正確、かつ適時に処理する責任があります。

•機密保持: 会社は重要な利用者情報の伝送および保存時の暗号化を含むセキュリティ統制を通じて顧客情報の機密を保護する責任があります。

•個人情報保護: 会社は関連法令および会社のプライバシーポリシーによる個人情報の収集、保存、利用、提供、委託および破棄手続を通じて顧客の個人情報を保護し、個人情報の漏洩および誤用・濫用を防ぐことにより、顧客のプライバシーを保護する責任があります。

会社はサービス責任、関連法規およびシステム要求事項を達成するために運営要求事項を定義しています。このような要求事項は会社のポリシーおよび手続、システムの設計文書に明示しており、ホームページを通じて顧客に伝達されます。
会社の情報保護ポリシーは全社を対象にシステムとデータがどのように保護されるべきであるかについて定義しており、これにはサービスの設計および開発、システムの運営、内部業務システムの管理、ネットワーク管理および役職員の入社と教育に対するポリシーが含まれます。これと共に LINE WORKS サービスに関するシステムの運営、または開発において必要な手動および自動化した詳細な手続きについて運営手順書に明示しています。

9