sonar ATS サービス
ホワイトペーパー

For ISO/IEC 27017:2015

Thinkings 株式会社

2023 年 11 月 1 日

目的
このホワイトペーパーは、ISO/IEC 27017:2015(情報-セキュリティ技術-ISO27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）に準拠した ISMS（情報セキュリティマネジメントシステム）で求められている要求事項の実現のために、当社がお客様に対し提供しているセキュリティ仕様について明確にするものです。

適用範囲
当社の ISO27017 の適用範囲は、以下のサービス内容に対するものです。
・採用業務支援サービス（sonar ATS）
・sonar ATS の開発・運用

sonar ATS サービス

1. sonar ATS サービスについて
sonar ATS サービスとは、企業の新卒・中途採用等あらゆる採用ニーズに対応し、統合的に応募者管理ができる採用管理クラウドサービスであり、以下のメニューを含みます。

採用担当者向け機能

求人作成機能、応募者管理機能、採用フロー管理機能、イベント・選考スケジュール管理機能、面接アサイン機能（アドオン）、エントリーページ作成機能、メール・メッセージ機能、フォローアクション・通知機能、マイペー
ジ管理機能、マイページ CMS 機能（アドオン）、分析機能、シミュレーシ
ョン機能、サーベイ作成機能、ユーザー管理機能、マスタ管理機能、ファイル出力（アドオン）、PDF ファイル取込み（アドオン）

面接官向け機能

面接評価入力機能（アドオン）、面接スケジュール管理機能（アドオン）

応募者向け機能ジョブボード、マイページ、モバイルチェックイン（アドオン）、ファイル提出（アドオン）

人材紹介会社（エー

求人情報・推薦機能、推薦者管理機能ジェント）向け機能

2. 責任について
SONAR ATS サービスについての責任は、サービスにおいての通常の運用におけるデータの消失、漏えい等の責任は当社に在するものとしますが、お客様側で行われる作業についての責任については、お客様側に在するものとします。
また、当社のサービスは Microsoft Azure を使用しており、Microsoft 側の責任については、以下のサイトに公開されています。

https://docs.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility

クラウドサービスにおけるセキュリティについて
1.

2.

クラウドサービスプロバイダの地理的所在地
東京日本橋オフィス

東京都中央区日本橋本町 4-8-16 KDX 新日本橋駅前ビル 5 階

徳島サテライトオフィス

徳島県徳島市東大工町 1 丁目 9-1 徳島ファーストビル 6 階

クラウドサービスデータを保存する可能性のある国(ISO27017:A.6.1.3)
クラウドサービスデータの保存場所は日本国内です。

3.

教育(ISO27017:A.7.2.2)
当社は、クラウドサービス派生データを適切に取り扱うために、従業員に、意識向上、教育及び訓練を提供し、委託先等にも同様の教育訓練の実施を要求します。

4.

資産目録(ISO27017:A.8.1.1)
当社は、資産目録の管理を行うにあたり、クラウドサービスカスタマデータ及びクラウドサービス派生データの識別を行います5.

資産の除去(ISO27017:CLD.8.1.5)
サービスの利用終了時には、即時リソースの削除を行います。
バックアップの有効期限は 35 日間です。35 日間を経過するとリソースの復旧は出来なくなります。

6.

利用者登録及び削除(ISO27017:A.9.2.1)
sonar ATS サービスの利用者登録及び削除は、システム上でお客様が直接実施可能です。
サポートサイト上に登録、削除手順をご提供しています。

7.

利用者アクセスの提供(ISO27017:A.9.2.2, A.9.2.3)
セキュリティに配慮したログオン手順（例：アカウントのロックアウト、多要素認証、シングルサインオン）や、良質なパスワード（例：セキュリティ強度を高める文字種別や文字数）の利用を確実にする仕組み等を整備しています。
また、IP アドレスフィルタリング機能により、特定の IP アドレスからのアクセスに制限できます。

8.

利用者の秘密認証情報の管理 (ISO27017:A.9.2.4)
パスワード管理の安全性を高めるために以下について実施しています。
⚫ 長いパスワード（最長 100 文字）⚫ システムで表示可能な記号や空白の仕様を許可⚫ 推測されやすい予約語の使用を禁止⚫ 連続で認証失敗した場合に強制的にアカウントをロック（オプション設定）⚫ パスワードの有効期限を強制しない（オプション設定）⚫ 多要素認証（オプション設定）⚫ シングルサインオンによる外部の認証基盤との連携（アドオン）

9.

特権(ISO27017:A.9.2.3, A.9.4.4)
特権については、原則お客様側に 1 アカウントご提供しています。
特権ユーザが発行した一般アカウントについては、特権ユーザにて権限の付与が可能です。
また、特権ユーザの操作ログは全て当社側で取得しています。

10. 情報へのアクセス制限(ISO27017:A.9.4.1)
sonar ATS サービスのアクセス制限は、特権アカウントにより設定可能です。

11. 仮想コンピューティング環境における分離(ISO27017:CLD.9.5.1)
サービスレイヤでの認証プロセス・アクセス元 IP アドレス制限により、テナント間のアクセスを制御しています。

12. 仮想マシンの要塞化(ISO27017:CLD.9.5.2)
仮想マシンは、要塞化として次のセキュリティ対策を実施しています。
⚫ ポートの制限⚫ ファイアウォールの設置⚫ マルウェア対策⚫ 監視

13. 暗号による管理策の利用方針(ISO27017:A.10.1.1, A.18.1.5)
sonar ATS サービス上の情報は、暗号化しております。
TDE によりデータベース内のすべてのデータファイルおよびログファイルが暗号化されています。
暗号化管理制御等の詳細については、以下のリンクをご参照ください。
https://docs.microsoft.com/ja-jp/sql/relationaldatabases/security/encryption/transparent-data-encryption?view=sql-server-2017
伝送中のデータの暗号化については以下の通りです。
⚫ Database: Port 1433, Protocol TDS⚫ Storage: Port 443, Protocol https※暗号 TLS の設定はウェブサーバの設定と等しい
個人情報を含むデータとファイルを格納するストレージおよびデータベースは鍵長 256bit の AES で透過的に暗号化しています。

14. 装置のセキュリティを保った処分又は再利用(ISO27017:A.11.2.7)
当社では直接装置の処分を行うことはありません。
Microsoft Azure の施設、建物、および物理上のセキュリティに基づきます。

https://docs.microsoft.com/ja-jp/azure/security/fundamentals/physical-security

15. 変更管理
sonar ATS へのシステム変更等を行う場合は、約 1 ヵ月前にサービス内インフォメーションにて告知します。

16. 容量・能力の管理(ISO27017:A.12.1.3)
容量・能力についてはサービスを提供するのに十分な容量・能力を確保しています。
不足することが予測される場合、適宜増強等を行います。

17. 実務管理者の運用のセキュリティ(ISO27017:CLD.12.1.5)
重要データを取扱う情報システムや情報等へアクセスする利用者とそのアクセス権を適切に管理するため、利用者及びアクセス権の登録・変更・削除の正式なプロセスに係る申請ルート、承認者、作業者等を明確化するとともに、運用中においては利用者アクセス権の定期的なレビューを実施しています。
情報システムへの特権的アクセス権の割当及び利用は特に厳重に管理しています。
最小権限および職務の分離の原則を踏まえて、重要インフラサービスの提供に係る情報システムや情報へのアクセス（リモートアクセスを含む）を制限しています。

18. クラウドサービスの監視(ISO27017:CLD.12.1.5)
sonar ATS サービスは常時監視しております。
不正アクセスの可能性、システム停止、リソースについてはお客様に影響がある場合は個別にお知らせします。

19. 情報のバックアップ(ISO27017:A.12.3.1)
sonar ATS サービスのバックアップ体制は、東日本リージョンをメインとし、サブとして西日本リージョンを利用しており、必要に応じて相互復旧が可能です。
また、バックアップデータは全て Azure 内のストレージに自動的に保管されており、年 1 回復旧テストも行っています。

20. クラウドサービスの監視(ISO27017:CLD.12.4.5)
sonar ATS サービスは、自動化された侵入検知プラットフォームを使用して、常に監視します。

21. 仮想及び物理ネットワークのセキュリティ管理の整合(ISO27017:CLD.13.1.4)
仮想ネットワークのセキュリティ管理は、当社で定められている物理ネットワークと同様の管理策を実施します。

22. 公衆ネットワーク上のアプリケーションサービスのセキュリティの考慮(ISO27017:A14.1.2)
sonar ATS サービスにおける公衆ネットワーク上のアプリケーションサービスのセキュリティの考慮事項として、通信の暗号化は TLS1.2 以上を使用します。

23. セキュリティに配慮した開発のための方針(ISO27017:A.14.2.1)
sonar ATS については、リリース前および、定期的なぜい弱性診断の実施や、定期的なネットワーク診断を行うことを方針として定めています。
セキュリティの取り組みについて > セキュリティ診断結果

24. 供給者との合意におけるセキュリティの取扱い(ISO27017:A.15.1.2)
当社がお客様に対し提供する情報セキュリティ対策については、次の通りです。
⚫ 監視⚫ ID、パスワード発行⚫ ぜい弱性管理と対策⚫ バックアップ⚫ データ暗号化

25. ICT サプライチェーン(ISO27017:A.15.1.3)
sonar ATS サービスは、Microsoft Azure をピアクラウドサービスプロバイダとして運用しています。
Microsoft Azure のセキュリティ等に関する事項については、こちらをご参照ください。

https://docs.microsoft.com/ja-jp/azure/security/26. 責任及び手順(ISO27017:A.16.1.1, A.16.1.2)
当社で確認した次のインシデントについては、sonar ATS サポートにて対応をご案内します。
⚫ サービスの中断、停止を伴うインシデント⚫ 情報漏えいの可能性（お客様が該当する場合）
インシデントが発生した場合、検出から 1 時間以内に該当するお客様にご案内します。
お客様でのご対応が必要となる場合は、その旨を個別のお客様にご案内します。
お客様からの問い合わせや報告は、sonar ATS サポートサイトにて承ります。
また、お問い合わせ及び対応の履歴は追跡可能となっています。

27. 証拠の収集(ISO27017:A.12.4.1, A.16.1.7)
インシデントの対応結果については、sonar ATS サポートサイト上に掲載いたします。
sonar ATS サービス上で提供している利用者の操作ログの内容には「ユーザー区分」、「担当者名」「ページ名」、「操作日時」、「ブラウザ」、「IP アドレス」が含まれます。
sonar ATS サービスにおけるシステムログ等は、ご依頼をいただければ可能な範囲で開示します。

28. 適用法令及び契約上の要求事項の特定(ISO27017:A.18.1.1)
当社のクラウドサービスにおける準拠法は日本法と定めています。
また、当社においての法的準拠については、コンプライアンス担当を設定し、管理を行っています。29. 知的財産権(ISO27017:A.18.1.2)
知的財産権に関する苦情・相談等があった場合は、sonar ATS サポートサイトでお問い合わせください。

30. 情報セキュリティの独立したレビュー(ISO27017:A.18.2.1)
情報セキュリティに関する独立したレビューとして、第三者審査機関による審査を受けています。
サイトのぜい弱性等に対する対応は外部の監査サービスを使用して定期的に検査をしています。

31. 情報システムの監査に対する管理策(ISO27001:A.12.7.1)
sonar ATS では、外部診断会社によるアプリケーションの脆弱性診断を次の通り実施しています。
⚫ クラウドサービス全体：年 1 回⚫ リリース単位：月 1 回*本文書に記載の ISO/IEC27017 に関連する項目は、お客様に公表すべき事項に限定しており、当社の認証にかかわるすべての項目を網羅しているわけではありません。