BtoB プラットフォーム
セキュリティホワイトペーパー

株式会社インフォマート

BtoB プラットフォーム

セキュリティホワイトペーパー

目次１

はじめに ..................................................................................................... 3２

セキュリティ対策 ............................................................................................ 3２-１

不正アクセス対策 .................................................................................... 3２-１-１

ネットワーク ...................................................................................... 3２-１-２

サーバ ........................................................................................... 4２-１-３

アプリケーション .................................................................................. 4２-１-４

脆弱性対策 .................................................................................... 4２-２

暗号化................................................................................................ 4２-２-１CRYPTREC 暗号リスト........................................................................ 4２-２-２

通信内容 ....................................................................................... 5２-２-３

データ ............................................................................................ 5２-２-４

ハードディスク .................................................................................... 5２-３

物理的セキュリティ .................................................................................... 5２-３-１

オフィス・執務室 ................................................................................. 5２-３-２

データセンター ................................................................................... 5２-４

ユーザー側管理機能 ................................................................................. 6２-４-１

権限設定 ....................................................................................... 6２-４-２

シングルサインオン ............................................................................... 6２-５セキュリティ強化オプション ............................................................................ 6２-５-１

パスワード有効期限 ............................................................................ 6２-５-２

セッションタイムアウト ............................................................................ 6２-５-３

アカウントロック .................................................................................. 6２-５-４

IP アドレス制限 ................................................................................. 6２-５-５

2 段階認証 ..................................................................................... 6パスワードポリシー .................................................................................... 6２-７ログイン画面のテーマ設定 ........................................................................... 7３２-６運用体制 .................................................................................................. 7３-１監視 .................................................................................................. 7３-１-１

24 時間 365 日 ............................................................................... 7３-１-２

有人監視 ....................................................................................... 7３-１-３

監視内容（死活監視、リソース）、監視間隔 ............................................... 7３-２

運用環境 ............................................................................................. 7３-２-１閉域網 .......................................................................................... 7３-２-２

専用 PC ........................................................................................ 7３-２-３

権限管理 ....................................................................................... 7３-３

ログの取得について ................................................................................... 81

BtoB プラットフォーム

セキュリティホワイトペーパー

特権 ID について ..................................................................................... 8３-５

CSIRT の設置 ....................................................................................... 8３-６

監査 .................................................................................................. 8４３-４３-６-１

システムアカウント ............................................................................... 8３-６-２

ログ .............................................................................................. 8災害対策/障害対策 ...................................................................................... 8４-１４-１-１

UPS・発電機 ................................................................................... 8４-１-２

空調設備 ....................................................................................... 8４-１-３

消火設備 ....................................................................................... 9４-１-４

地震対策 ....................................................................................... 9４-１-５

水害対策 ....................................................................................... 9４-２障害対策 ............................................................................................. 9４-２-１

冗長化 .......................................................................................... 9４-２-２

リソース拡張 .................................................................................... 9４-２-３

対応フローの整備............................................................................... 9４-３

データバックアップ...................................................................................... 9４-３-１

取得種別 ....................................................................................... 9４-３-２

取得間隔 ....................................................................................... 9４-３-３

保持期間 ....................................................................................... 9４-３-４遠隔地保存 .................................................................................... 9４-４５データセンター ......................................................................................... 8DR（ディザスタリカバリ）サイト .....................................................................10コンプライアンス ............................................................................................10５-１５-１-１

ISMS ..........................................................................................10５-１-２クラウドサービス認定 ...........................................................................10５-１-３

情報開示認定 ................................................................................10５-２６認証 .................................................................................................10準拠法...............................................................................................10

改訂履歴 .................................................................................................11

資料 （システム構成図）.......................................................................................122

BtoB プラットフォーム

１

セキュリティホワイトペーパー

はじめに
本資料は、BtoB プラットフォームのご利用を検討されている企業様、または既にご利用いただいている企
業様に向けて、BtoB プラットフォームのセキュリティ対策への取り組みについてご確認いただくとともに、BtoB プラットフォームをより安心・安全にご利用いただくための留意事項をご確認いただくことを目的としています。
また、本資料に記載している内容の対象サービスは以下となります。
BtoB プラットフォーム 商談
BtoB プラットフォーム 受発注
BtoB プラットフォーム 受発注ライト
BtoB プラットフォーム 規格書
BtoB プラットフォーム 請求書
BtoB プラットフォーム 契約書
BtoB プラットフォーム TRADE
BtoB プラットフォーム 業界チャネル
BtoB プラットフォーム 見積書
BtoB プラットフォーム 受発注 for 製造業
BtoB eSmart
電子請求書早払い
掛売決済

２

セキュリティ対策

２-１ 不正アクセス対策
２-１-１ ネットワーク
２-１-１-１ ファイアウォール
ファイアウォールはシステムを不正なアクセスから守るための装置です。
ファイアウォールにて必要最小限のポートのみを許可し、不正な探査やポートスキャンに対する対策を講じています。

２-１-１-２ IPS
IPS（Intrusion Prevention System）は、侵入防止システムと呼ばれ、システムへの不正な侵入を検知し、ブロックするシステムです。
シグネチャの更新は内容を確認し、月次で適用しています。

２-１-１-３ WAF
WAF（Web Application Firewall）は、Web アプリケーションの脆弱性を悪用した攻撃から Webサイトを保護するセキュリティ対策です。IPS と同様に、不正なアクセスを検知し、ブロックします。
シグネチャの更新は内容を確認し、月次で適用しています。また、緊急性の高いシグネチャがリリースされた場合は速やかに適用しています。
3

BtoB プラットフォーム

セキュリティホワイトペーパー

２-１-１-４ DoS 攻撃/DDoS 攻撃対策
DoS 攻撃や DDoS 攻撃への対策として CDN（コンテンツ・デリバリー・ネットワーク）を導入し、不正アクセスを検知・ブロックしています。

２-１-２ サーバ
２-１-２-１ ウイルス対策
ウイルス対策ソフトを導入し、毎日最新のウイルス検出パターンファイルに更新することにより、ウイルス感染を未然に防止しています。

２-１-２-２ 不要なサービスの停止
サーバの用途に応じて必要のないサービスを停止し、サーバの要塞化を図っています。

２-１-３ アプリケーション
２-１-３-１ セキュアコーディング
各種脆弱性に対応するため、入力値のサニタイジングやパラメータチェック、SQL 作成時のプレースホルダ利用などを開発規約として規定し、遵守しています。

２-１-４ 脆弱性対策
２-１-４-１ パッチ適用
セキュリティパッチについて、サービスへの影響や緊急度を確認のうえ、原則月次にて適用を行います。
セキュリティパッチの適用状況については一覧表を作成し、適用記録を管理しています。
また、緊急の脆弱性が公表された場合のプロセスが明確化され、影響や緊急度を確認し、速やかに対応を行います。

２-１-４-２ 脆弱性診断
脆弱性検査については、第三者機関による脆弱性診断を行い、ネットワーク診断（ポートスキャンなどネットワーク層の診断）は日次で実施し、アプリケーション診断（XSS、SQL インジェクションなど）を週次で実施しています。
脆弱性診断の実施および情報の収集を行い、脆弱性が発見された場合には、サービスへの影響や緊急度から優先順位付けを行い、順次対応を行います。対応に伴い、お客様に影響のある変更を行う場
合は、サイト内にて告知を行います。
また、お客様による脆弱性診断は禁止としています。

２-２ 暗号化
２-２-１ CRYPTREC 暗号リスト
総務省及び経済産業省にて、電子政府で利用される暗号技術の評価を行い、「電子政府における調達のために参照すべき暗号のリスト(CRYPTREC 暗号リスト)」を策定しています。
暗号化を行う際は、このリストに基づいた暗号化方式によって暗号化を実施しています。

4

BtoB プラットフォーム

セキュリティホワイトペーパー

２-２-２ 通信内容
２-２-２-１ EV-SSL 証明書を取得
EV-SSL 証明書とは、Web サイトの証明書として最も厳格な基準であり、運営元企業の法的、物理的な実在証明を必要とした証明書です。
全画面 HTTPS 化され、常時 SSL による暗号化通信を実施しています。

２-２-２-２ TLS1.2 未満の通信無効化
SSL3.0、TLS1.0、TLS1.1 といった脆弱性が存在する古いプロトコルの使用を禁止するため、TLS1.2 未満の通信はエラーとして処理しています。

２-２-３ データ
２-２-３-１ 機密情報の暗号化
パスワード等の機密情報については、暗号化して保存しています。

２-２-４ ハードディスク
２-２-４-１ ストレージシステム
ストレージシステムによりハードディスク全体のデータを暗号化しています。

２-３ 物理的セキュリティ
２-３-１ オフィス・執務室
業務を行うオフィスでは入室時に非接触 IC カードによる認証を行っています。
また、執務室とセキュリティエリアの区画は分離され、荷物の受渡等によりセキュリティエリアに立ち入ることができないよう管理しています。

２-３-２ データセンター
BtoB プラットフォームのサービスはデータセンター事業者のホスティングサービスを利用して提供し、サーバおよびネットワークの管理を委託しています。
委託先とは秘密保持契約および SLA を締結し、安全管理措置について月次報告会にて確認を行うなど、適切に管理しています。
サーバはデータセンター内の施錠ラックに設置され厳重に管理しています。

２-３-２-１ 入退室管理
非接触 IC カードおよび生体認証にて入退室管理を実施し、記録は 3 年間保存しています。

２-３-２-２ 監視カメラ
24 時間かつ全範囲を網羅する監視カメラを配置し、90 日間のデジタル録画を保存しています。

２-３-２-３ 24 時間有人監視
24 時間 365 日の有人監視で不測の事態に備えています。

5

BtoB プラットフォーム

セキュリティホワイトペーパー

２-４ ユーザー側管理機能
２-４-１ 権限設定
管理者権限を有するユーザーにて、利用者 ID（社員）の追加・削除や権限設定が可能です。
利用者毎に利用できる機能やアクセスできる画面を制限可能です。

２-４-２ シングルサインオン
SAML 認証や OpenIDConnect を使用したシングルサインオンに対応しています。

２-５ セキュリティ強化オプション
企業様のセキュリティポリシーに対応できるよう、セキュリティを強化するためのオプションをご用意しています。
※ご利用中のサービスによって設定できない場合があります。詳しくはお問い合わせ下さい。

２-５-１ パスワード有効期限
任意の日数で、パスワードの有効期限を設定することが可能です。

２-５-２ セッションタイムアウト
ログイン後、一定時間操作が行われなかった場合に自動ログアウトします。
機能の ON/OFF、セッションタイムアウトまでの時間の設定が可能となっています。

２-５-３ アカウントロック
一定時間内に連続してパスワードを間違えた場合、一定時間アカウントをロックします。
ロック時間やロックまでの回数について変更が可能となっています。

２-５-４ IP アドレス制限
接続元グローバル IP アドレスによる接続制限が可能です。

２-５-５ 2 段階認証
ID/パスワードでの認証後に、ワンタイムパスワードによる認証を追加することが可能です。
ワンタイムパスワードはご登録いただいたメールアドレス宛に送られます。

２-６ パスワードポリシー
パスワードは 8 桁以上 15 桁以下かつ、英大文字、英小文字、数字、記号から 3 種類以上を設定することが必須となっています。

6

BtoB プラットフォーム

セキュリティホワイトペーパー

２-７ ログイン画面のテーマ設定
ログイン画面に自分で選んだテーマ（色や模様）を設定することが可能です。
テーマを設定することで、なりすましサイトにアクセスしてしまった場合でも視覚的に判別ができるようにします。

３運用体制

３-１ 監視３-１-１ 24 時間 365 日
システムを安定稼働させるため、24 時間 365 日の監視を行っています。

３-１-２ 有人監視
有事の際に対応できるよう、有人監視を行っています。

３-１-３ 監視内容（死活監視、リソース）、監視間隔ハードウェア、ミドルウェア、アプリケーションなど、お客様のご利用に影響にあるものは全て監視対象としています。
また、各監視の間隔は以下の通りとなります。異常を検知した場合はアラート通知される仕組みを構築しています。
・機器死活監視：1 分・サービス稼働監視：1 分・システムリソース監視：1 秒

３-２ 運用環境
３-２-１ 閉域網
インターネットとは分離された専用の閉域網にてデータセンターと接続しています。
閉域網を使用し、システムの運用を行っています。

３-２-２ 専用 PC
インターネットへアクセスすることができない専用 PC からのみデータセンターへアクセス可能となっています。
専用 PC はすべての操作ログを取得し作業内容を管理しています。

３-２-３ 権限管理
サーバ操作は、弊社情報セキュリティ管理責任者が承認した社員のみが可能であり、閉域網・専用 PCを利用したリモートアクセスにて行います。

7

BtoB プラットフォーム

セキュリティホワイトペーパー

３-３ ログの取得についてシステムログや操作ログ、アクセスログなど各種ログを取得し、一定期間保存しています。

３-４ 特権 ID についてデータへのアクセスは弊社の情報セキュリティ管理責任者が承認した社員のみに権限を付与しています。

３-５ CSIRT の設置
年々多様化・複雑化するサイバー攻撃に対して、組織的に取り組む体制を強化するため CSIRT を設置しています。CSIRT では、セキュリティインシデントの発生に備えた体制整備やセキュリティインシデントの対応、また、外部機関や他社 CSIRT との連携を強化し、自社サービスならびに自社内の更なるセキュリティ強化に向けた活動を行っています。

３-６ 監査３-６-１ システムアカウント
BtoB プラットフォームのシステムアカウントは四半期毎に監査を行い、必要なアカウントのみがシステムへアクセスできるよう制限を行っています。

３-６-２ ログ
システム操作のログを月次で監査し、承認された操作のみが実施されていることを確認しています。また、重要なイベントについてはリアルタイムで通知され、承認されていない操作が行われた際に検知できる仕組みを構築しています。

４

災害対策/障害対策

４-１ データセンター
利用しているデータセンターは、データセンターファシリティスタンダード Tier3 相当となっています。

４-１-１ UPS・発電機受電構造の冗長化（スポットネットワーク方式）および、UPS、非常用発電機装置を配備しています。
UPS のバッテリー保持時間は 90 分、非常用発電設備は常備燃料で 20 時間以上の電力供給可能であり、燃料補給を行うことにより継続して電源供給可能です。

４-１-２ 空調設備
床置型空冷式 CRAC ユニット（N+2 冗長構成）を配備しています。

8

BtoB プラットフォームセキュリティホワイトペーパー

４-１-３ 消火設備
防火対策としてガス消火設備（ハロン 1301 消火設備）、高温度検知装置、VESDA（早期高感度煙感知）を備えています。

４-１-４ 地震対策
耐震構造（震度７クラス対応）、耐震架台にボルト固定したラックにサーバを固定設置しています。

４-１-５ 水害対策
浸水予想 50cm 未満地域に位置し、さらに高層階への設置および屋上防水措置がとられています。

４-２ 障害対策
４-２-１ 冗長化
全てのネットワーク機器やサーバ、アプリケーション、回線は冗長構成で設計されているため、一部の障害が全体に影響しないような構成となっています。

４-２-２ リソース拡張
システムリソースの利用傾向を分析の上、適宜スケールアップやスケールアウトを行っています。

４-２-３ 対応フローの整備システム障害を想定した対応手順書や、対応フロー、体制、連絡網などを整備し、定期的な訓練および見直しを行っています。

４-３ データバックアップ
４-３-１ 取得種別
データベースやアプリケーションを含むシステム全体のバックアップを取得しています。

４-３-２ 取得間隔
日次で差分バックアップを取得、月次にてフルバックアップを取得しています。

４-３-３ 保持期間
バックアップの保持期間は 6 か月です。

４-３-４ 遠隔地保存
取得したバックアップは国内遠隔地にて保管し、正常にリストアできることを定期的に確認しています。遠隔地での保管についても、データセンターにて厳重に管理・保管しています。

9

BtoB プラットフォーム

セキュリティホワイトペーパー

４-４ DR（ディザスタリカバリ）サイト
大規模災害に備え、国内の遠隔地に DR サイトを構築しています。大規模災害の発生によりデータセン
ターが被災した場合においても、DR サイトへの切り替えを行うことで、BtoB プラットフォームを継続してご利用いただけるよう、環境を整備しています。

５

コンプライアンス

５-１ 認証５-１-１ ISMS
ISMS（Information Security Management System）は情報セキュリティマネジメントシステムと呼ばれ、組織における情報資産のセキュリティを管理するための枠組みです。
ISMS の認証を取得し、すべての従業員への教育・管理を徹底しています。規定した ISMS に則り、大規模障害時を想定した訓練を定期的に実施しています。

５-１-２ クラウドサービス認定
クラウドサービス認定は、一般社団法人クラウドサービス推進機構がクラウドを活用した IT 経営の促進を目指し、中小企業の経営者が安全にかつ安心して継続的に利用できるクラウドサービスであることを認定するプログラムです。BtoB プラットフォームはクラウドサービス認定を取得しています。

５-１-３ 情報開示認定
情報開示認定制度は、クラウドサービス事業者が安全・信頼性に係る情報を適切に開示している事を第３者が認定し、同一フォーマットで公開することにより、クラウドサービス利用者のサービス比較、評価、選択を支援し安全性向上を目指す制度です。
BtoB プラットフォームは ASP・SaaS の安全・信頼性に係る情報開示認定を取得しています。

５-２ 準拠法
データセンターは国内に位置し、日本の法律に準拠します。

10

BtoB プラットフォーム

６

セキュリティホワイトペーパー

改訂履歴

版数

日付

改訂内容

初版

2020/09/24

初版発行

第 1.1 版

2020/11/11

書式および文章の重複箇所を修正

第 1.2 版

2021/07/01

2-5-2 に注記を追加、3-5 および 4-4 を追加、その他書式の修正

第 1.3 版

2021/07/28

2-1-2-1、2-5、2-5-2 の文章を修正

第 1.4 版

2021/12/23

2-5-4 の文章を修正、資料（システム構成図） 追加

第 1.5 版

2022/04/11

5-1-3 の文章を修正

第 1.6 版

2023/02/06

1 に対象サービスを追加、2-5-5 および 2-7 を追加

第 1.7 版

2023/03/27

2-1-1-2、2-1-1-3、2-1-1-4 を修正、3-6 を追加、その他書式の修正

第 1.8 版

2023/07/26

対象サービスに掛売決済を追加

第 1.9 版

2023/12/04

5-1-1 の文章を修正

11

資 料 （ システム構 成 図 ）BtoB プラットフォーム システム構成図◆システム構 成 図◆特 徴©Infomart Corporation

12