GMOサイン
セキュリティガイド

Ver.20240719

GMO GlobalSign Holdings K.K.

改訂履歴
改訂履歴
版

日付

Ver.20220922

2022/9/22

初版発行

Ver.20221111

2022/11/11

ISO/IEC27017: 2015 JIS Q 27017:2016 取得を追記
利用メールサーバーをGMOクラウドサーバーからAWSへ変更

Ver.20230724

2023/7/24

メールOTP（オプション）を追加
タイムスタンプに総務大臣認定を追記
SOC2 type2 保証報告書の受領を追加
サービス稼働率に2022年実績を追記
障害発生件数を2022年実績に更新

Ver.20231227

2023/12/27

GMOサインのサービス推奨環境を更新

2024/7/19

SOC2 type2に更新
ISMAPを追加
PGマルチペイメントに口座振替を追加
Pardotを削除
サービス稼働率に2023年実績を追記
障害発生件数を2023年実績に更新

Ver.20240719

改訂内容

2

GMO GlobalSign Holdings K.K.

目次
はじめに：P4
機密性（アクセス制限・暗号化）：P5
・GMOサインへのアクセスについて（お客さま側・運用者側）
・外部からの攻撃・不正アクセス対策
・暗号化による保護

可用性（サービス提供・サポート） ：P8・システム構成について・システム監視について
・お客さまへの通知について
・サービス提供・サポート窓口について
・BCP（事業継続計画）について
・GMOサインのサービス推奨環境（管理画面、署名画面）

完全性（改ざん防止・データ管理）：P12
・データ・ファイルの改ざん防止について
・データ取得について・クロックの同期について・バックアップについて

その他（第三者認証・基盤など）：P15
・第三者認証・基盤について・セキュリティに関する当社の対応およびお客さまの義務
・インシデント対応について
・開発体制・方針について・解約時のデータの扱い
・外部サービスの利用

電子印鑑GMOサイン クラウドサービスレベルチェックリスト：P22
お問い合わせ：P27

用語・機能詳細等につきましては、GMOサイン ヘルプセンターにて検索もしくは当社へお問い合わせください

ヘルプセンター

https://helpcenter.gmosign.com/hc/ja

3

GMO GlobalSign Holdings K.K.

はじめに本文書(※)は、GMOグローバルサイン・ホールディングス株式会社（以下、当社）が運営・提供する【電子印鑑GMOサイン】について、情報セキュリティの三要素である「機密性」「可用性」「完全性」を軸に、情報セキュリティへの取り組みを説明したものです。また、お客さまに安心・安全にサービスをご利用いた
だくため、お客さまに対応いただきたい点についても記載しています。
また、クラウドサービスチェックリストも掲載していますので、併せてご確認ください。
(※)GMOサインサービス本体についての説明となります。一部のオプションサービスや他社サービスとの連携機能等については該当しない場合があります。詳しくは利用時にお問い合わせください。

セキュリティガイドでは情報セキュリティの三要素を軸にご説明しています

情報セキュリティ
三要素

機密性

可用性

完全性

• 閲覧できる権限を持つユー• お客さまや運用者は、いつ• 情報が最新で正確なデータ

ザーや運用者だけにアクセス権限を付与でも情報の確認やサービスの利用が可能が保護、および取得できる• 情報の漏えい、不正アクセ• 障害やシステムの停止など

スから保護すること• データなど情報の改ざんから保護することから保護すること

4

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの機密性- アクセス制限・暗号化 -5

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの機密性
電子印鑑GMOサインの機密性については、下記の機能および運用体制により担保しています。

GMOサインへのアクセスについて（お客さま側）
ID／パスワードによる認証

ID＝メールアドレス
パスワード＝8文字以上、半角英数および記号の2種類以上の組合わせ

二要素認証

ID/パスワードによる認証に加え、ワンタイムパスワードを利用可能

メールOTP（オプション）

ID/パスワードによる認証に加え、メール送信されたワンタイムパスワー
ドを利用可能SAMLによるSSO認証（オプション）

ID/パスワードによる認証を停止し、IdPで設定した認証を利用可能

IPアドレス制限 （オプション）

IPアドレスによるアクセス制限を利用可能

契約印タイプでの署名制限

アクセスコード（任意）によるアクセス制限

実印タイプでの署名制限

PINコード入力による署名操作制限

ロールによる閲覧制限

7種類のロールによるデータへのアクセス（閲覧、操作）制限

フォルダ、ユーザーグループによる
閲覧制限

フォルダ、ユーザーグループによるデータへのアクセス（閲覧、操作）
制限

通信方法

TLS1.2（常時暗号化）、IPv4（IPv6には対応していません）

GMOサインへのアクセスについて（運用者側）

サーバーへのアクセス制限

特定のIPから権限のある担当者のみアクセス可能

データベースへのアクセス制限

外部からのアクセス不可
特定のIPから権限のある担当者のみアクセス可能

サーバー特権アカウントの管理権限のある担当者のみ利用可能

運用者の操作ログの記録と保管サーバーやデータベースへのログイン、操作内容、特権アカウントの使用内容を記録し、編集できない場所へ保管※インシデント調査のために、お客さま環境のログを確認することがあります。
※法令等に基づく場合、例外的に第三者機関（警察や裁判所など）へ開示する場合があります。

6

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの機密性
外部からの攻撃・不正アクセス対策
FW(Firewall)

FWにより、特定のIPや必要ポートのみ通信を許可

WAF(Web Application Firewall)

WAFにより、アプリケーションへの不正な攻撃からシステムを保護

IDS/IPS

アプリケーション、ネットワークやサーバーOSへの不正な攻撃を検知し、防御。WAFと組み合わせて簡易的なDDoS・DoS攻撃をブロック

ウィルススキャン

サーバーおよび作業端末にセキュリティソフトを導入し、定期的なウィ
ルススキャンを実施

第三者の客観的な評価

外部セキュリティ診断専門会社による脆弱性診断を実施（年1〜2回）

セキュリティパッチ・アップデート

GMOインターネットグループ全体でCSIRT（Computer Security
Incident Response Team)を組織し、脆弱性情報を確認。確認した情報にもとづきGMOサインにおいて、パッチ適用やソフトウェアアップデー
トを実施

暗号化による保護

暗号化技術採用基準

暗号技術を採用する際には、CRYPTREC電子政府推奨暗号リストから採用

暗号技術規制管理

暗号輸出入の規制に抵触することがないように配慮

暗号化の対象と方式

通信：TLS1.2
各種データ（※）：AES暗号化方式
パスワード：ハッシュ化してデータベース保存

電子証明書・署名鍵（秘密鍵）

電子署名に必要な電子証明書・署名鍵は堅牢な専用環境HSM（Hardware Security Module）にて厳重に保管※SEIKOクラウドHSM利用※各種データ・・・個人情報や署名者情報などの機密データ、文書PDF
暗号鍵はサーバーのキーストアおよびデータベースに保管
各種データは暗号化された状態でバックアップ

7

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの可用性- サービス提供・サポート -8

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの可用性
電子印鑑GMOサインの可用性については、下記の運用体制により担保しています。

システム構成について
システム基盤AWS ：Amazon Web Service（東京、大阪リージョン）

システムの冗長構成

障害発生時において早急な復旧ができるよう、複数データセンター間で冗長構成にて稼働

DDoS・DoS攻撃への対応

WAFとIDS/IPSの組み合わせで対応

システム監視について

システム監視について・サーバーリソース、稼働負荷状況を常時監視（アラート発生時や利用の伸びを予測し、リソース追加など対処）
・ログ監視の実施（サービスの異常や異常処理、署名処理を検知・対処）

お客さまへの通知についてお知らせの通知方法
・プレスリリース・セミナーやキャンペーンなど
・機能アップデート、改善・メンテナンス作業

Webサイトのお知らせ欄・サービスTOP画面への掲載、メールで通知

機能アップデート、改善の通知時期

既存の利用方法に変更可能性のないアップデート：1週間前〜事後通知
既存の利用方法に変更可能性のあるアップデート：2週間前までに通知（緊急時を除く）

メンテナンス停止の事前通知時期

2週間前までに通知（緊急時を除く）

障害・不具合状況の通知方法と時期障害・不具合を検知後、2時間以内に通知（初回通知以降、障害収束まで適時、情報更新）
通知方法については、障害内容に応じて、Webサイトのお知らせ欄・サービスTOP画面への掲載、メールや電話で通知

9

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの可用性
サービス提供・サポート窓口について

サービス提供時間

・サービス提供 24時間365日（計画停止を除く）
・定期保守なし
・サポート体制 平日10〜18時で対応※メール、フォーム受付は24時間365日

サポート窓口メール・チャット・お問い合わせフォーム・電話※GMOサインのお客さま（有料・無料プラン）およびお客さまからGMO
サインを通じて署名依頼を受けた相手方も利用可能

導入に関する支援サポート

対応可能（お問い合わせください）

Webアプリ以外のサービスについて・API ※形式:REST型 構文:JSON（POST）
・対面契約プロ・スマートフォン向けアプリ
・その他SaaSサービス連携

BCP（事業継続計画）について
災害等によるデータセンター障害でのサービス停止時

遠隔地データセンターにて設備を再設定、サービスを再稼働

目標復旧時間（RTO）※

3.6時間

目標復旧地点（RPO）※

10分〜最大24時間

サービス停止時の代替措置

・契約締結済文書の確認→PDFリーダーにより、文書内容および電子署名の確認が可能→CSVファイルにより、文書詳細情報の確認が可能※PDF、CSVファイルをお客さま側で保管している場合
・契約の締結→書面（紙）での契約締結を検討ください※目標時間であり、SLAとして保証するものではありません。

10

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの可用性
GMOサインのサービス推奨環境（管理画面の推奨環境）
Windows

Macintosh

Windows 10 以上

MacOS 10.15.7 以上＜ブラウザ＞
Google Chrome 最新版
Firefox 最新版
Microsoft Edge(Chromium版)最新版＜ブラウザ＞
Safari 最新版
Google Chrome 最新版

GMOサインのサービス推奨環境（署名画面の推奨環境）
Windows

Macintosh

Android

Windows 10 以上

MacOS 10.15.7 以上

Android 10.0以上＜ブラウザ＞
Google Chrome 最新版
Firefox 最新版
Microsoft Edge 最新版(Chromium版)＜ブラウザ＞
Safari 最新版
Google Chrome 最新版＜ブラウザ＞
Google Chrome 最新版※Galaxyブラウザ、らくらくスマートフォンなどの簡単操作のスマートフォンは対応外

11

iPhone / iPad
iOS 15.4以上(iPhone 8以上)
iPad OS 15.4以上＜ブラウザ＞
Safari 最新版
Google Chrome 最新版

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの完全性- 改ざん防止・データ管理 -12

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの完全性
電子印鑑GMOサインの完全性については、下記の運用体制により担保しています。

データ・ファイルの改ざん防止について

電子署名とタイムスタンプ

文書PDFに電子署名とタイムスタンプを付与し、いつ誰が署名したか、署名後に改ざん・編集がないことを担保しています

セキュリティソフト・
IPS/IDSの導入

ウィルス駆除、ファイル改ざんや不正アクセスの検知・進入遮断など対策

データの暗号化

文書PDFおよびデータベースを暗号化して保存（バックアップデータも暗号化して保存）

アクセス制限について

サーバー、データベースへのアクセス制限を実施し、改ざんを防止

運用者の操作ログの記録と保管サーバーやデータベースへのログイン、操作内容、特権アカウントの使用内容を記録し、編集できない場所へ保管

運用者への教育

情報セキュリティに関する教育・テストを年２回実施

データ取得について

お客さまのデータについて

・文書ごとにPDFダウンロードが可能(※)
・契約情報（文書詳細情報）は、CSVダウンロードが可能
・登録ユーザーアカウント情報のCSV一括ダウンロードが可能

お客さまの操作ログ

・操作ログは過去1年間、3か月分ごとにCSVダウンロード可能
・送信件数明細を過去 年間、 ヶ月ごとにダウンロード可能

システム側のログ

当社にて3年以上保管（システムログ、アプリケーションログ）※大量にある場合は、文書一括ダウンロードサービスも提供しています。お問い合わせください。

クロックの同期についてサーバーについて

GMOサイン提供のサーバインスタンスはAWSの提供するAmazon Time Sync
Serviceと時刻同期を行い、各サーバの時間のずれが発生しないよう対応しています

タイムスタンプについて

電子契約締結のPDF文書に付与するタイプスタンプは、一般財団法人日本デー
タ通信協会および総務大臣認定のセイコータイプスタンプサービスを利用し、電子署名の時刻を正確に処理しています

13

GMO GlobalSign Holdings K.K.

電子印鑑GMOサインの完全性

バックアップについて

バックアップ対象・頻度

以下を対象にバックアップを実施
・データベース（暗号化）：日次、30世代・PDF、印影画像（暗号化）：日次、30世代
・サーバー：日次、3世代・システムログ：日次、全世代
・アプリケーションログ：日次、全世代復旧について

有事の際には直近のバックアップからデータベース及びPDF、コンテンツファイ
ル等を復旧

バックアップ方法

遠隔地へのレプリケーション（複製）、スナップショット

アクセス制御データへのアクセスは本番環境サーバーにアクセスできる作業担当を限定し、かつ、操作記録をログに残し、監視することで不正アクセスを抑止しています。

どこに保管されるか

AWS東京、大阪リージョン内（バックアップ格納場所へのアクセスを制限）

保管期間

データベース：1世代あたり1ヶ月保管
PDF等コンテンツファイル：1世代あたり1ヶ月保管
システムログ：3年間以上
アプリケーションログ：3年間以上お客さまの操作ログ：1年間以上※お客さまは、必要に応じて文書PDFファイルおよび文書詳細情報をCSVファイルでダウンロードしバックアップ
として保存することが可能です。
データが大量にある場合は、文書一括ダウンロードサービスも提供していますので、お問い合わせください。

14

GMO GlobalSign Holdings K.K.

その他
- 第三者認証・基盤など -15

GMO GlobalSign Holdings K.K.

第三者認証・基盤について

第三者認証について

ISO/IEC27001（情報セキュリティ）ISO/IEC27001: 2013 JIS Q 27001:2014を取得（※）
https://www.gmogshd.com/isms/

ISO/IEC27017（クラウドサービスセキュリティ）ISO/IEC27017: 2015 JIS Q 27017:2016を取得
https://www.gmogshd.com/isoiec27017/gmosign.html

ISMAP

ISMAPを取得
https://www.gmosign.com/products/security.html

SOC2 保証報告書

SOC2 type2 保証報告書を受領
https://www.gmosign.com/products/security.html

WebTrust（国際的な電子商取引認証局監査プログラム）

GMOグローバルサイン株式会社において、電子認証局に関するWebTrustを取得
https://jp.globalsign.com/webtrust/

公的個人認証サービスにおける総務大臣認定

GMOグローバルサイン株式会社において、電子署名等に係る地方公共団体情報システム機構の認証業務に関する法律第17条第1項第6号の規定に基づく主務大臣認定を取得
https://jp.globalsign.com/service/nintei.pdf※ISO/IEC27001: 2013 JIS Q 27001:2014の運用ルールに従い、外部審査機関による監査を年に2回実施しており、情報セキュリティ体制の維持・向上を徹底しています。

GMOサインの基盤について

クラウド基盤AWS （Amazon Web Service）を利用（東京、大阪リージョン）※データセンター設備および環境状況の安全性については、定期的に運用事業者に確認

適用法令

日本法

16

GMO GlobalSign Holdings K.K.

セキュリティに関する当社の対応およびお客さまの義務

当社の対応
当社は、主に下記のセキュリティ対策を実施します。
• アプリケーションのセキュリティ対策→外部セキュリティ診断専門会社による脆弱性診断を実施（年1〜２回）• お客さまデータの保護→暗号化による保護、WAF、セキュリティソフト、IDS/IPSによる保護を実施• サービス提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策→脆弱性情報をチェックし、ソフトウェアのセキュリティパッチやアップデートを事前テストの上、実施。
→外部セキュリティ診断専門会社によるプラットフォーム診断を実施（年1〜2回）

お客さまの義務

お客さまは、下記のセキュリティ対策を実施するものとします。
• GMOサイン アカウントの管理（必要ユーザーの登録、削除、権限設定、組織管理設定など）• ID/パスワードの管理（強度の高いパスワードの利用やメモ、共有しないなど漏洩防止の徹底）• 利用端末のセキュリティ対策（WEBブラウザやOSなどのソフトウェアアップデート、ウィルス対策の徹底）• インシデントの発見やインシデントに発展する可能性のある不審な事象を発見した際の当社への速やかな連絡（連絡窓口は次ページ参照）

17

GMO GlobalSign Holdings K.K.

インシデント対応について

インシデントについて

お客さまからの情報共有

お客さまは、GMOサインに関するインシデント（サービスの利用不能、情報漏洩、データ消失、なりすましサイトの存在）もしくはインシデントに発展する可能性のある不審な事象を発見した場合、当社に速やかに連絡するものとします。

当社は、インシデントを認知した場合には、下記に従い、お客さまにインシデントに関する情報を通知するものとします。
【通知までの目標時間】
インシデントを認知したときから6時間以内
当社からのイン
シデント報告【通知方法】
インシデントの内容や状況により、下記のいずれかの方法で通知します。
・GMOサイン Webサイトお知らせ欄への掲載
・GMOサインのログイン画面やログイン後のTOP画面のお知らせ欄への掲載
・利用者へメール通知
・利用者へ電話連絡

インシデント発生時の連絡先

窓口

電子印鑑GMOサイン 運営事務局

連絡先

お電話：03-6415-7444（受付時間 平日10:00-18:00）
メールアドレス：sales@cs.gmosign.com
お問い合わせフォーム：https://www.gmosign.com/form/

18

GMO GlobalSign Holdings K.K.

開発体制・方針について

開発体制・方針について

GMOサインのシステムは、自社で開発をしており、下記の手順に基づきテストおよびリリースを実施しています。

開発体制

開発方針

・アプリケーションコード開発（新機能追加、改善、修正）・ローカル開発環境でのテスト
・コードレビューの上、アプリケーションコードへの組み込み・ステージング環境でのシステムテスト
・本番環境へのリリース手順書作成
・本番環境へのアプリケーションコードのリリース

フロントエンドについては、当社が定義する「GMOサイン・デザインシステム」の内容に従い、ユーザービリティに配慮した統一的な開発を行います。
バックエンドについては、当社が定義する「開発ガイドライン」の内容に従い、セキュリテ
ィに配慮した統一的な開発を行います。

19

GMO GlobalSign Holdings K.K.

解約時のデータの扱い

解約時のデータの扱い

削除についてお客さまがGMOサインを解約された際は、解約月の翌々月末にGMOサイン上にアップロードした文書PDF、印影画像をサーバー上より物理削除し、削除ログに証拠を記録します。
バックアップ保存している文書PDF、印影画像は物理削除から３１世代目で削除が完了となりま
す。

削除対象

•
•

文書PDF
登録済印影画像

文書PDF削除条件••

相手方（署名依頼先）のGMOサインアカウントに保存されていない文書PDF
解約後、ダウンロード、文書同期の有効期限が切れている文書PDF

GMOサインを利用して電子署名を付したことを証明するためのログおよび取引データ（文書名や署名者情報等）については、解約後もサーバーおよびデータベース上に残ります。
※論理削除とし、物理削除は行いません。

削除しない
データ

また下記のログについては、一定の期間以上保管します。
・システムログ：3年間以上
・アプリケーションログ：3年間以上
・お客さまの操作ログ：1年間以上

20

GMO GlobalSign Holdings K.K.

外部サービスの利用

クラウドサービス

機能

運営会社

情報

AWS

インフラ基盤

Amazon Web Services

サーバー、ネットワーク、データベー
ス等

SEIKOタイムスタンプ
サービス

電子署名時のタイ
ムスタンプ付与

セイコーソリューション
ズ株式会社

署名ハッシュデータSEIKOクラウドHSM

署名用電子証明書、
署名鍵の保管（暗号化）

セイコーソリューション
ズ株式会社

電子証明書、署名鍵と付随の管理情報（Key IDなど）

PG マルチペイメント※

クレジットカード決済、口座振替GMOペイメントゲートウ
ェイ株式会社

クレジットカード情報、決済情報

Doc Mail※※

SMS送信株式会社クローバー・ネ
ットワーク・コム

携帯電話番号

Salesforce

SFA、CRM
MA

株式会社セールスフォー
ス・ジャパン

お問い合わせなど各種フォームに入力された情報、お申し込み時の情報（会社名、氏名、メールアドレス等）※GMOサイン ペイメントにおいて利用※※SMS送信の機能を有するオプションサービスにおいて利用

21

GMO GlobalSign Holdings K.K.

電子印鑑GMOサイン
クラウドサービスレベルチェックリスト

22

GMO GlobalSign Holdings K.K.

電子印鑑GMOサイン クラウドサービスレベルチェックリスト
No.

種別

サービスレベル
項目例

測定
単位

規定内容

回答

アプリケーション運用

1

可用性

サービス時間サービスを提供する時間帯（設備やネットワーク等の点検／保守のための計
画停止時間の記述を含む）

時間帯

24時間365日※計画停止／定期保守を除く

2

可用性

計画停止予定通知

定期的な保守停止に関する事前連絡確認（事前通知のタイミング／方法の記
述を含む）

有無

無
停止を伴うメンテナンスが発生する場合は、2週間前までにWebサイトのお知らせ欄、サービスTOP画面へ告知掲載、メールにて通知の上、適宜実施

3

可用性

サービス提供終了時の事前通知

サービス提供を終了する場合の事前連
絡確認（事前通知のタイミング／方法の記述を含む）有無

有
サービス終了の6ヶ月前までにWebサイトのお知らせ
欄、サービスTOP画面へ告知掲載、メールにて通知

4

可用性

突然のサービス提供停止に対する対処

プログラムや、システム環境の各種設
定データの預託等の措置の有無

有無

無告知なしのサービス停止無し
プログラムや各種設定データの預託無し

5

可用性

サービス
稼働率

サービスを利用できる確率
稼働率（計画サービス時間－停止時間）÷計画（%）
サービス時間6

可用性

ディザスタリカバリ

災害発生時のシステム復旧
サポート体制有無

有
遠隔地にあるサーバおよびバックアップデータより
サービス復旧7

可用性

重大障害時の代替手段

早期復旧が不可能な場合の代替措置

有無

有
遠隔地にバックアップした各種ファイル／データから復旧を実施可用性

代替措置で提供するデータ形式

代替措置で提供されるデータ形式の定
義を記述

有無
（ファ
イル形
式）

有
文書データ（PDF）、文書詳細データ（CSV）のダ
ウンロード
もしくはオプション提供のAPIにて上記データ取得

8

2021年： 99.96%
2022年：100.00%
2023年：99.96%※停止時間は当社基準による

9

可用性

アップグレード方針

バージョンアップ／変更管理／パッチ
管理の方針

有無

有
機能追加・修正対応を随時実施し、アップデートの
事前もしくは事後にWebサイトのお知らせ欄、サービスTOP画面へ告知掲載、メールにて通知。お客さまへの影響が大きい変更は、原則2週間前に通知。
変更管理（パッチ管理含む）申請、承認運用を実施。

10

信頼性

平均復旧時間(MTTR)

障害発生から修理完了までの平均時間（修理時間の和÷故障回数）時間

3.6時間以内

11

信頼性

目標復旧時間(RTO)

障害発生後のサービス提供の再開に関して設定された目標時間

時間

3.6時間以内 ※災害による被害を除く

12

信頼性

障害発生件数

1年間に発生した障害件数／1年間に発生した対応に長時間（1日以上）要した
障害件数

回

23件
0件（対応に1日以上要した障害）※2023年実績有無

有
サービス稼働状況、サーバーリソース、パフォーマ
ンス、ネットワークトラフィック等をツールにて監視特定の基準値を超えたり、異常な値を検知した場合にアラート通知13

信頼性

システム監視基準

システム監視基準（監視内容／監視・通知基準）の設定に基づく監視

23

GMO GlobalSign Holdings K.K.

電子印鑑GMOサイン クラウドサービスレベルチェックリスト
測定
単位

種別

サービスレベル
項目例

14

信頼性

障害通知プロ 障害発生時の連絡プロセス（通知先／
セス
方法／経路）

有無

有障害を確認した後、Webサイトのお知らせ欄に記載
し、サービス担当者（申込み時登録情報）に対し、メール、電話等の方法で連絡を行う

15

信頼性

障害通知時間異常検出後に指定された連絡先に通知するまでの時間時間

障害確認から2時間以内目標

16

信頼性

障害監視間隔障害インシデントを収集／集計する時
間間隔

時間
（分）

1-5分

17

信頼性

サービス提供サービス提供状況を報告する方法／時
状況の報告方
間間隔
法／間隔

時間

通常稼働時は報告等の実施なし
障害発生時は対応状況に応じ適宜更新

18

信頼性

ログの取得

利用者に提供可能なログの種類（アクセスログ、操作ログ、エラーロ
グ等）

有無

有
利用者のアクセスログ、操作ログ

19

性能

応答時間

処理の応答時間時間（秒）

ウェブ応答時間：0.5〜5秒（ベストエフォート）

20

性能

遅延

処理の応答時間の遅延継続時間

時間
（分）

2分

21

性能

バッチ処理時バッチ処理（一括処理）の応答時間
間

時間
（分）

1件/1秒目安（ベストエフォート）

22

拡張性

カスタマイズ（変更）が可能な事項／
カスタマイズ
範囲／仕様等の条件とカスタマイズに
性
必要な情報

有無

有
組織アカウント単位で一部カスタマイズ可能な機能を提供（サービス内の管理パネル参照）

23

拡張性

外部接続性

既存システムや他のクラウド・コンピューティング・サービス等の外部のシステムとの接続仕様（API、開発言語
等）

有無

有
APIを提供24

拡張性

同時接続利用 オンラインの利用者が同時に接続して者数サービスを利用可能なユーザ数

有無
（制約
条件）

無
利用量に応じリソースを拡張するため、基本的な制
限なし

25

拡張性

提供リソース ディスク容量の上限／ページビューの
の上限
上限

処理能
力

利用量に応じリソースを拡張

時間帯

無料・有料プラン共に
電話受付時間：10時〜18時
メール、お問い合わせフォームからの受付：24時間
365日対応（年末年始・土日・祝祭日を除く）※対応時間は平日10時〜18時

No.

規定内容

回答

サポート

26

サポート

サービス提供時間帯（障害対応）

障害対応時の問合せ受付業務を実施す
る時間帯

27

サポート

サービス提供時間帯（一般問合せ）

一般問合せ時の問合せ受付業務を実施
する時間帯

時間帯

無料・有料プラン共に
電話受付時間：10時〜18時
メール、お問い合わせフォームからの受付：24時間
365日対応（年末年始・土日・祝祭日を除く）※対応時間は平日10時〜18時

28

サポート

リードタイム

一般問合せ時の回答までに要する時間時間帯

1-2営業日を基本とする

24

GMO GlobalSign Holdings K.K.

電子印鑑GMOサイン クラウドサービスレベルチェックリスト
No.

種別

サービスレベル
項目例

規定内容

測定
単位

回答

データ管理

データ管
29
理

バックアップの方法

バックアップ内容（回数、復旧方法など）、データ保管場所／形式、利用者のデータへのアクセス権など、利用者に所有権のあるデータの取扱方法

有無／
内容

有
日次でバックアップを実施
データベース：30世代
PDF等コンテンツファイル：30世代
有事の際には直近のバックアップからデータベース
及びPDF等コンテンツファイルを復旧する。
個人情報、PDFファイル等の機密情報は暗号化して保管（AES暗号化方式）
データへのアクセスは本番環境サーバーにアクセスできる作業担当者を限定し、かつ、操作の記録をログに残し、監視することで不正アクセスを抑止して
いる。

データ管
30
理

バックアップ
データを取得するタイミング(RPO)

バックアップデータをとり、データを保証する時点時間10分〜最大24時間

データ管理

バックアップ
データの保存期間

データをバックアップした媒体を保管
する期限

時間

データベース：1世代あたり1ヶ月保管
PDF等コンテンツファイル：1世代あたり1ヶ月保管
システムログ：3年間以上利用者の操作ログ：1年間

データ管
32
理

データ消去の要件

サービス解約後の、データ消去の実施
有無／タイミング、保管媒体の破棄の実施有無／タイミング、およびデータ
移行など、利用者に所有権のあるデー
タの消去方法有無

有
解約月の翌々月末にサーバー上より物理削除し、削除ログに証拠を記録
バックアップ保存しているデータは物理削除から３１世代目で削除完了

33

データ管
理

バックアップ
世代数

保証する世代数

世代数

30世代

34

データ管
理

データ保護のための暗号化
要件

データを保護するにあたり、暗号化要
件の有無

有無

有
AES暗号化方式

データ管
35
理

マルチテナン
トストレージにおけるキー
管理要件

マルチテナントストレージのキー管理要件の有無、内容

有無／
内容

有
ID、ロールによる分離※直接ストレージにアクセス不可

データ管
36
理

データ漏え
い・破壊時の補償／保険データ漏えい・破壊時の補償／保険の
有無

有無

有
利用規約参照https://www.gmosign.com/order/pdf/agreemen
t.pdf
保険加入

データ管
37
理

解約時のデー
タポータビリティ

解約時、元データが完全な形で迅速に返却される、もしくは責任を持ってデータを消去する体制を整えており、外部への漏えいの懸念のない状態が構築できていること

有無／
内容

有
解約時は必要データをPDFおよびCSV形式でダウンロ
ード可能
解約後は一定の期間経過後にデータ削除を実施

38

データ管
理

預託データの整合性検証作業

データの整合性を検証する手法が実装され、検証報告の確認作業が行われて
いること

有無

有
電子署名の付与および一括検証により整合性の検証
が可能

39

データ管
理

入力データ形式の制限機能

入力データ形式の制限機能の有無

有無

有
入力可能なコンテンツデータを制限

31

25

GMO GlobalSign Holdings K.K.

電子印鑑GMOサイン クラウドサービスレベルチェックリスト
No.

種別

サービスレベル
項目例

測定
単位

規定内容

回答

セキュリティ

40

セキュリ
ティ

公的認証取得の要件

JIPDECやJQA等で認定している情報処
理管理に関する公的認証（ISMS、プライバシーマーク等）が取得されていること

41

セキュリ
ティ

アプリケーシ
ョンに関する
第三者評価

不正な侵入、操作、データ取得等への対策について、第三者の客観的な評価を得ていること

有無

有「ISO/IEC 27001: 2013 JIS Q 27001:2014」「ISO/IEC 27017: 2015 JIS Q 27017:2016」「ISMAP」「SOC2 type2 保証報告書」
を取得

有無／
実施状
況

有
サービスリリース以降、年1〜2回、第三者機関による脆弱性診断（WEBアプリケーション診断、プラッ
トフォーム診断、ペネトレーションテスト）を実施

42

セキュリ
ティ

情報取扱い環境

提供者側でのデータ取扱環境が適切に確保されていること有無

有オフィスネットワークに接続され秘密鍵を持った特定端末のみデータの取り扱いを行う
事業所はIDカードによる入退室管理を実施し、第三者の立ち入り不可

43

セキュリ
ティ

通信の暗号化レベルシステムとやりとりされる通信の暗号
化強度

有無

有
SSL通信、TLS1.2

セキュリ
44
ティ

会計監査報告書における情報セキュリティ関連事項の確認

会計監査報告書における情報セキュリ
ティ関連事項の監査時に、担当者へ以下の資料を提供する旨「最新のSAS70Type2監査報告書」「最新の18号監査報告書」

有無

無

セキュリ
ティ

マルチテナン
ト下でのセキュリティ対策異なる利用企業間の情報隔離、障害等の影響の局所化有無

有ID、ロールによる情報隔離※直接ストレージにアクセス不可

セキュリ
46
ティ

情報取扱者の制限

利用者のデータにアクセスできる利用者が限定されていること
利用者組織にて規定しているアクセス制限と同様な制約が実現できているこ
と

有無／
設定状
況

有
本番環境サーバーにアクセスできる担当者を限定し、かつ、編集不可の場所へ操作のログを記録し、不正アクセスを抑止している

47

セキュリ
ティ

セキュリティ
インシデント
発生時のトレーサビリティ

IDの付与単位、IDをログ検索に利用できるか、ログの保存期間は適切な期間が確保されており、利用者の必要に応じて、受容可能に期間内に提供される
か

設定状
況

IDはユーザー単位で付与されており、操作ログを
CSVダウンロードした上で、ID単位で操作内容の確認が可能
操作ログは1年間保存

48

セキュリ
ティ

ウイルススキャン

ウイルススキャンの頻度

頻度

サーバー：リアルタイムスキャン
フルスキャン（月次）
作業端末：日次有無

有バックアップデータはクラウド上に保管し、持ち出し可能な媒体への保存は不可

把握状
況

把握している保存地（東京、大阪）

45

49

セキュリ
ティ

二次記憶媒体の安全性対策バックアップメディア等では、常に暗号化した状態で保管していること、廃棄の際にはデータの完全な抹消を実施
し、また検証していること、USBポートを無効化しデータの吸い出しの制限等の対策を講じていること

50

セキュリ
ティ

データの外部
保存方針

データ保存地の各種法制度の下におけるデータ取扱い及び利用に関する制約条件を把握しているか

26

GMO GlobalSign Holdings K.K.

お気軽にお問い合わせください
電子印鑑GMOサイン 運営事務局
お電話

03-6415-7444（受付時間 平日10:00-18:00）

メールアドレス

support@cs.gmosign.com

お問い合わせフォーム

https://www.gmosign.com/form/

オンライン商談

https://www.gmosign.com/online/

GMOサイン

検索

27

GMO GlobalSign Holdings K.K.