クラウドサービスセキュリティ ホワイトペーパー

クラウドサービスセキュリティ

ホワイトペーパー

スーパーストリーム株式会社

第 1.0 版 2023 年 9 月 20 日 制定

- 1 -

クラウドサービスセキュリティ ホワイトペーパー

目次
1.用語の定義 .............................................................................................................................................................................. 4
1.1 用語 ................................................................................................................................................................................... 4
1.2 略語 ................................................................................................................................................................................... 4
2.「セキュリティ ホワイトペーパー」の目的.................................................................................................... 4
3.本書の適用範囲 .................................................................................................................................................................... 4
4.クラウドサービスの責任分界点について.............................................................................................................. 5
5.情報セキュリティのための方針群............................................................................................................................. 6
6.情報セキュリティの役割および責任........................................................................................................................ 6
7.関係当局との連絡 ............................................................................................................................................................... 6
8.クラウドコンピューティング環境における役割および責任の共有および分担 .............................. 6
9.情報セキュリティの意識向上、教育及び訓練.................................................................................................... 7
10.クラウドサービス利用者の資産の除去 ............................................................................................................... 7
11.資産目録................................................................................................................................................................................ 7
12.情報のラベル付け............................................................................................................................................................ 7
13.利用者登録及び利用停止............................................................................................................................................. 814.利用者アクセスの提供.................................................................................................................................................. 815.特権的アクセス権の管理............................................................................................................................................. 816.利用者の秘密認証情報の管理................................................................................................................................... 817.情報へのアクセス制限.................................................................................................................................................. 918.特権的なユーティリティプログラムの使用 ..................................................................................................... 919.仮想コンピューティング環境における分離 ..................................................................................................... 920.仮想マシンの要塞化....................................................................................................................................................... 921.暗号による管理策の利用方針................................................................................................................................... 922.装置のセキュリティを保った処分又は再利用 ............................................................................................ 1023.変更管理............................................................................................................................................................................ 1024.容量・能力の管理........................................................................................................................................................ 1025.実務管理者の運用セキュリティ.......................................................................................................................... 1026.情報のバックアップ................................................................................................................................................... 1127.イベントログ取得........................................................................................................................................................ 1128.クロックの同期............................................................................................................................................................. 11- 2 -クラウドサービスセキュリティ ホワイトペーパー

29.クラウドサービスの監視......................................................................................................................................... 1130.技術的脆弱性の管理................................................................................................................................................... 1131.ネットワークの分離................................................................................................................................................... 12
32.仮想および物理ネットワークのためのセキュリティ管理の整合 .................................................... 1233.情報セキュリティ要求事項の分析および仕様化 ....................................................................................... 1234.セキュリティに配慮した開発のための方針 ................................................................................................. 1235.供給者との合意におけるセキュリティの取扱い ....................................................................................... 1336.ICT サプライチェーン.............................................................................................................................................. 1337.責任および手順............................................................................................................................................................. 1338.情報セキュリティ事象の報告............................................................................................................................... 1339.証拠の収集....................................................................................................................................................................... 1440. 適用法令および契約上の要求事項の特定.................................................................................................... 1441.知的財産権....................................................................................................................................................................... 1442.記録の保護....................................................................................................................................................................... 14
43.暗号化機能に対する規制......................................................................................................................................... 1444.情報セキュリティの独立したレビュー ........................................................................................................... 15
改訂履歴 .................................................................................................................................................................................... 16- 3 -クラウドサービスセキュリティ ホワイトペーパー

1.用語の定義「セキュリティ ホワイトペーパー」（以下、本書）では、JIS Q 27017:2016 で定義されたクラウドサービスの用語の定義を原則として使用します。
1.1 用語本書における当社独自の用語については、以下に定義します。
・ クラウドサービス利用者（CSC：クラウドサービスカスタマー）・ クラウドサービス提供者（CSP:クラウドサービスプロバイダ）
・ お客様サポート窓口（サポートデスク、営業窓口）
・ 営業日（祝日および当社規定の休日は除く）

1.2 略語本書で用いる略語を、以下に示します。
IaaS インフラストラクチャアズアサービス（Infrastructure as a Service）
PaaS プラットフォームアズアサービス（Platform as a Service）
PII 個人を特定できる情報（Personally Identifiable Information）
SaaS ソフトウェアアズアサービス（Software as a Service）
SLA サービスレベル合意書（Service Level Agreement）

2.「セキュリティ ホワイトペーパー」の目的「セキュリティ ホワイトペーパー」（以下、本書）は、クラウドサービスのセキュリティ強化のために、スーパーストリーム株式会社（以下、当社）が、クラウドサービス提供者として実施する管理策をご確認いただくことを目的としています。

3.本書の適用範囲
本書の適用範囲は、当社が提供するクラウドサービス（SuperStream-NX Cloud）となります。
※クラウドベンダーが提供している環境で稼働している約款に記載の各種サービス（製品プロダクト）を適用範囲とします。
なお、クラウドサービスで提供する機能の詳細に関しては、以下の顧客向けサイト（以下、「SDS：Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/- 4 -クラウドサービスセキュリティ ホワイトペーパー

4.クラウドサービスの責任分界点について当社が提供するクラウドサービスに関する責任分界点は、以下のように定めます。
当社は、IaaS のクラウドベンダーが提供している環境を利用した SaaS 型のクラウドサービスを提供しています。

4.1 当社の責任
当社は、以下のセキュリティ対策を実施します。
⚫

当社が提供するクラウドサービスのセキュリティ対策⚫

上記サービスに保管された利用者データの保護⚫

上記サービスの提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策

4.2 利用者の責任
利用者は、以下のセキュリティ対策を実施する必要があります。
⚫

パスワードの適切な管理（二段階認証や多要素認証で利用するデバイスの適切な管理も含む）⚫

アカウントの適切な管理 (登録、利用停止、管理権限の付与など)⚫

登録された利用者データの適切な管理- 5 -クラウドサービスセキュリティ ホワイトペーパー

5.情報セキュリティのための方針群
クラウドサービス提供者は、 クラウドサービスの提供および利用に取り組むため、 情報セキュリティ基本方針を拡充することが求められています。当社は、クラウドサービス提供者として、当社の「クラウドサービス情報セキュリティ基本方針」に従ってサービスを運用しています。

6.情報セキュリティの役割および責任
当社は、クラウドサービス提供者として、「サービス利用約款」および「約款別紙」（以下、「約款」といいます。
）で契約やサービスの内容を定義し、サービス提供を実施しています。
また、サービス利用中に発生する QA 等の問い合わせ対応に関しては、当社クラウドサービス利用時に合意いただいた約款でサービスの内容を定義し、サービス提供を実施しています。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

7.関係当局との連絡
当社は、クラウドサービス提供者として、クラウドサービス利用者に、クラウドサービスを運営している当社の地理的所在地と、クラウドサービス利用者の情報資産を保管する国を以下のとおり通知します。
① 本社所在地：〒140-8526 東京都品川区東品川 2-4-11 野村不動産天王洲ビル② クラウドベンダーの情報資産の所在：日本国内

8.クラウドコンピューティング環境における役割および責任の共有および分担
当社は、クラウドサービス提供者として、サービス利用約款でサービスの内容を定義し、クラウドサービス提供を実施しています。また、サービスに関するお問い合わせは、契約締結後にお客様サポート窓口までご連絡ください。なお、責任分界点については、前出の「4.クラウドサービスの責任分界点について」をご参照ください。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud- 6 -クラウドサービスセキュリティ ホワイトペーパー

9.情報セキュリティの意識向上、教育及び訓練
当社は、クラウドサービス提供者として、情報セキュリティ要件の周知徹底とクラウドサービスの運営ルール徹底を目的として、クラウドサービスに従事する要員を対象とした教育・訓練および意識向上のためのセキュリティ対策を実施しています。

10.クラウドサービス利用者の資産の除去
当社は、クラウドサービス提供者として、クラウドサービス利用者が作成・保存した情報資産の除去に関して、クラウドサービス利用者が退会した時に、約款および「解約申請書」の合意内容に従い、解約日翌日より利用停止し、30 日以内に環境を削除します。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

11.資産目録
当社は、クラウドサービス提供者として、クラウドサービス利用者の情報資産と当社が運営するための情報資産は明確に分離しています。なお、クラウド環境上にクラウドサービス利用者が作成・保存する情報資産（クラウドサービスカスタマーデータ）は、クラウドサービス利用者の管理範囲となります。

12.情報のラベル付け
当社は、クラウドサービス提供者として、クラウドサービス利用者に対して、当社のクラウドサービスに保存する情報資産を分類しラベル付けするためのサービス機能を提供しています。クラウドサービス利用者の情報資産の分類 （一般情報/個人情報/秘密情報の区別、利用者別権限設定）に、ご利用いただけます。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/- 7 -クラウドサービスセキュリティ ホワイトペーパー

13.利用者登録及び登録削除
当社は、クラウドサービス提供者として、クラウドサービス利用者に対して、当社のクラウドサービスへのアクセスを管理できるように、アカウントの登録や削除（利用停止）に関する機能を提供しています。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

14.利用者アクセスの提供
当社は、クラウドサービス提供者として、クラウドサービス利用者に対して、当社のクラウドサービスへのアクセス権を管理できる機能（セキュリティポリシーの設定・変更機能）を提供しています
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

15.特権的アクセス権の管理
当社は、クラウドサービス提供者として、クラウドサービス利用者に対して、当社のクラウドサービスで特権的アクセス権が付与されている利用者アカウントを十分に強い認証技術で保護する機能（パスワード管理を強化する設定）を提供しています。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

16.利用者の秘密認証情報の管理
当社は、クラウドサービス提供者として、クラウドサービス利用者の秘密認証情報（初期パスワード、通常パスワードなど）を管理する機能を提供しています。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/- 8 -クラウドサービスセキュリティ ホワイトペーパー

17.情報へのアクセス制限
当社は、クラウドサービス提供者として、クラウドサービスへのアクセス権、クラウドサービス機能へのアクセス権、クラウドサービス利用者の情報資産へのアクセス権を、クラウドサービス利用者が制限できるように、アクセス制御機能（ユーザ・セキュリティの設定）を提供しています。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：
Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

18.特権的なユーティリティプログラムの使用
当社のクラウドサービスは、全てのサービス利用において、認証が必要となっており、セキュリティ手順を回避し各種サービス機能の利用を可能とするユーティリティプログラムの提供は行っておりません。

19.仮想コンピューティング環境における分離
当社は、クラウドサービス提供者として、仮想化環境を利用し、アプリケーション、オペレーティングシステム、ストレージおよびネットワークの論理的分離を確実に実施しています

20.仮想マシンの要塞化
当社は、クラウドサービス提供者として、構築するすべての仮想化環境で、以下のセキュリティ対策を実施しています。
① 必要なポートだけを有効としています。
② 必要なプロトコルだけを有効としています。
③ マルウェア対策を実施しています。
④ ログの取得を実施しています。

21.暗号による管理策の利用方針
当社は、クラウドサービス提供者として、以下のとおり、暗号化によるセキュリティ対策を適用しています。

- 9 -クラウドサービスセキュリティ ホワイトペーパー① クラウドサービス利用者の利用者情報
・ データベースに保管されるクラウドサービス利用者の各種情報（指名、メールアドレスなど）は、暗号化されませんが、適切なアクセス権のもとで保管されます。
・ クラウドサービス利用者のパスワードは、不可逆暗号化（ハッシュ化）された状態で保管されます。
② クラウドサービスとの通信
・ 利用者の端末と当社が提供するサービス間のインターネット通信は、SSL 通信によって暗号化されます。

22.装置のセキュリティを保った処分又は再利用
当社は、IaaS としてクラウドベンダー環境を利用した SaaS 型のクラウドサービスを提供しています。情報資産については、公開されているクラウドベンダーの廃棄プロセスにより適切に管理されています。

23.変更管理
当社は、クラウドサービス提供者として、クラウドサービス利用者のセキュリティに悪影響を与える可能性のあるクラウドサービスの変更を実施する前に、お客様サポート窓口を通じて変更内容の連絡を行います。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

24.容量・能力の管理
当社は、クラウドサービス提供者として、安定的にクラウドサービスを提供するために、日々の運用プロセスの中で稼働監視を行っています。また、監視の結果として必要と判断した場合は、適切なタイミングで、システムメンテナンスを実施します。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

25.実務管理者の運用セキュリティ
当社は、クラウドサービス提供者として、クラウドサービス利用者にとって重要な当社のクラウドサービスの操作方法に関して、「SDS：Super Stream-NX Download Site」- 10 -

クラウドサービスセキュリティ ホワイトペーパー

で各種マニュアルを提供しています。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

26.情報のバックアップ
クラウドサービス利用者が実施可能なバックアップ機能は提供しておりません。

27.イベントログ取得
当社は、クラウドサービス提供者として、当社の責任範囲において、クラウドサービスの維持管理に必要となる適切なイベントログを取得し、クラウドサービス利用者に、各種ログの参照機能を提供していますが、サービスによっては利用機能に一部制限があります。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

28.クロックの同期
当社のクラウドサービスでは、NTP サーバを参照することで時刻を同期 (日本標準時）します。

29.クラウドサービスの監視
当社は、クラウドサービス提供者として、クラウドサービス利用者が適切に容量・能力を利用できるように、各クラウドサービス利用者の現在のメモリ利用率や、過去の利用状況などの統計データやサービスの適切な利用に関する監視を実施しています。現在、監視結果をクラウドサービス利用者に公開できるサービス機能は有しておりません。サービスに関するお問い合わせは、契約締結後にお客様サポート窓口までご連絡ください。

30.技術的脆弱性の管理
当社は、クラウドサービス提供者として、定期的にぜい弱性情報の収集を実施し、クラウドサービス利用者で対応が必要となる脆弱性情報があった場合には、クラウドサービス利- 11 -

クラウドサービスセキュリティ ホワイトペーパー用者に通知連絡します。当社のクラウドサービス側での対応が必要になった場合、重要度に応じてお客様サポート窓口を通じて通知連絡します。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

31.ネットワークの分離
当社は、クラウドサービス提供者として、他のクラウドサービス利用者とのネットワーク環境を適切に分離しています。さらに、当社の社内ネットワークと、クラウドサービス利用者に提供するクラウドサービスそのものも分離しています。

32.仮想および物理ネットワークのセキュリティ管理の整合
当社は、IaaS のクラウドベンダーが提供している環境を利用した SaaS 型のクラウドサービスを提供しています。

33.情報セキュリティ要求事項の分析および仕様化
当社は、クラウドサービス提供者として、当社のクラウドサービスで実装している情報セキュリティ対策および機能は、本書に記載しています。以下に示す主なセキュリティ機能の詳細は、本書の該当項番をご参照ください。
・ アクセス制限機能【17.情報へのアクセス制限】・ アクセス制限機能【20.仮想マシンの要塞化】
・ 通信暗号化機能【21. 暗号による管理策の利用方針】
・ バックアップ機能【26.情報のバックアップ】
・ ログ取得機能【27.イベントログの取得】

34.セキュリティに配慮した開発のための方針
当社は、クラウドサービス提供者として、WEB 開発に関する社内で取り決められたガイドライン（コーディング規約）に従ってプログラム開発を行っており、定期的にレビューを実施しています。また、委託先も同様の規約で開発を行っています。 第三者によるセキ
ュリティ診断を実施してサービスを提供しています。また、提供中のクラウドサービスにおいても、年 1 回の脆弱性診断にてセキュリティ対策を実施しています。

- 12 -

クラウドサービスセキュリティ ホワイトペーパー

35.供給者との合意におけるセキュリティの取扱い
当社のクラウドサービスは、SaaS 型のクラウドサービスであり、責任分界点の詳細は、前出の「4．クラウドサービスの責任分界点について」をご参照ください。また、当社のクラウドサービスの情報セキュリティ対策に関しても、「4．クラウドサービスの責任分界点について」で定めた当社クラウドサービスの提供範囲において、必要な情報セキュリティ対策を実施しています。

36.ICT サプライチェーン
当社は、SaaS 事業者として、IaaS のクラウドベンダーが提供するクラウド環境を利用して、当社のクラウドサービスを実現しています。このため、クラウドサービスの供給者関係において、当社はクラウドサービス提供者であるとともにクラウドサービス利用者でもあります。従って、「情報セキュリティ基本方針」ならびに「クラウドサービス情報セキュリティ基本方針」に則り、当社のクラウドサービス提供に必要となる構成要素について、適切なリスク管理を実施しています。

37.責任および手順
当社は、クラウドサービス提供者として、当社で確認できたセキュリティインシデントに関して、情報セキュリティ基本方針に則り、適切に対応します。また、確認できたセキュリティインシデントがクラウドサービス利用者に重大な影響を及ぼす可能性がある場合は、公開基準を定め、インシデントの検知から１営業日を目標にクラウドサービス利用者にお客様サポート窓口から通知します。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud38.情報セキュリティ事象の報告
当社は、クラウドサービス提供者として、セキュリティインシデントが発生した場合、お客様サポート窓口にて対応します。クラウドサービス利用者が発見したセキュリティインシデントの報告、セキュリティインシデントに関するお問い合わせは、お客様サポート窓口までご連絡下さい。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud- 13 -

クラウドサービスセキュリティ ホワイトペーパー

39.証拠の収集
当社は、クラウドサービス提供者として、裁判所、捜査機関または監督官庁からの開示請求など、法律に基づいた正当な開示請求が行われた場合、クラウドサービス利用者の同意なく、クラウドサービス利用者の情報資産を第三者に開示することがあります。なお、クラウドサービス利用者への通知および同意を経ることなく、当該機関にクラウドサービス利用者の情報資産を開示することについては、サービス利用約款で契約時に合意します。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

40. 適用法令および契約上の要求事項の特定当社のクラウドサービスの利用に関して、適用される準拠法は日本国内法となります。

41.知的財産権
当社のクラウドサービス上でサービスをご利用いただく上で、知的財産権に関わるお問い合わせは、お客様サポート窓口までご連絡下さい。
サービス利用約款はホームページで公開し、約款別紙は契約時に個別で提供しています。
サービス利用約款：https://www.superstream.co.jp/product/cloud

42.記録の保護
当社は、クラウドサービス提供者として、クラウドサービス利用者にアクセスログの参照機能を提供しています。アクセスログは利用者が削除操作をしない限り、過去分を参照することができますが、サービスによっては利用機能に一部制限があります。
なお、クラウドサービスで提供する機能の利用に関しては、以下の顧客向けサイト（「SDS：Super Stream-NX Download Site」といいます。
）をご参照ください。
SDS：https://ssdownload.superstream.co.jp/downloadsite/

43.暗号化機能に対する規制
クラウドサービス利用者が利用する当社のクラウドサービスでは、SSL/TLS による通信の暗号化を使用しています。なお、輸出規制の対象となる暗号化の利用はありません。

- 14 -

クラウドサービスセキュリティ ホワイトペーパー

44.情報セキュリティの独立したレビュー
定期的に情報セキュリティに対する状況確認・レビューを行うことで、常に安全なセキュリティレベルを確保しています。

以上- 15 -

クラウドサービスセキュリティ ホワイトペーパー

改訂履歴版

改訂種別

改訂内容

1.0

新規

新規頁

発行/改訂日2023/9/20- 16 -