セキュリオ

セキュリティホワイトペーパー

セキュリオ
セキュリティホワイトペーパー
2.26 版

LRM 株式会社1

セキュリオ1

セキュリティホワイトペーパー

利用者との責任分界点

LRM の責任LRM は、以下のセキュリティ対策を実施します。
⚫

セキュリオ アプリケーションのセキュリティ対策⚫

セキュリオ アプリケーションに保管されたお客様データの保護⚫

セキュリオ アプリケーションの提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策

お客様の責任
お客様は、以下のセキュリティ及びプライバシー保護の対策をお客様のセキュリティポリシー及びプライバシーポリシーに基づき実施する必要があります。
⚫

各利用者に付与されたパスワードの適切な管理⚫

セキュリオアカウントの適切な管理（登録、削除、権限設定、組織管理者設定など）⚫

セキュリオの利用にあたり生成、保管されたデータの管理（受講記録、訓練記録、個別に入力された情報など）⚫

セキュリオの利用にあたり生成されたデータの利用に関する責任⚫

セキュリオに登録する個人情報の取扱いに関する適切な管理（利用目的の通知・公表その他の個人情報保護法上必要な対応）

2

データ保管場所⚫

お客様がセキュリオ登録したデータは、AWS 東京リージョンならびに大阪リージョンに保管されます。

3

データの削除

⚫

セキュリオ の利用にあたり生成、保管されたデータをお客様の判断により削除が行われた場合は、お客様の操作に基づき速やかにデータベース上から削除が行われます。また、お客様の判断により削除が行われたデータはデータベース上から完全に削除され、削除されたデータの復元を行うことができません。

⚫

セキュリオ 利用に関する契約が終了した場合、契約終了から 90 日以内に、お客様からお預かりしたデータは完全に消去されます。ただし、サプライチェーンセキュリティ機能に基づいて、お客様が作成されたアンケートに関するデータは、質問データ及び回答データともに、匿名化した状態で保持します。メール送信記録をはじめとした通信記録や操作履歴などのログは適切なアクセス権のもとで保管されます。
2

セキュリオ

セキュリティホワイトペーパー

4

ラベル付け機能⚫

お客様は、ユーザーをお客様自ら追加したグループにグルーピングすることが可能です。

【操作手順書】○

グループを新規作成する(https://teachme.jp/3233/manuals/2488588)○

複数のグループを一括で新規作成する（手入力）(https://teachme.jp/3233/manuals/3740828)○

複数のグループを一括で新規作成する（csv 登録）(https://teachme.jp/3233/manuals/12180386/)○

既存グループの変更(ユーザー追加/削除・グループ名修正)をおこなう(https://teachme.jp/3233/manuals/2489296)○

グループを削除する(https://teachme.jp/3233/manuals/6737480/)○

グループを一括削除する(https://teachme.jp/3233/manuals/13279609/)○

既存グループからユーザーを外す(減らす)(https://teachme.jp/3233/manuals/2489005)

5

利用者登録および削除⚫

お客様は、契約の範囲内において、いつでも自由にユーザーの登録・削除を行うことが可能です。

【操作手順書】○

セキュリオ に新規ユーザー(従業者)を登録する(https://teachme.jp/3233/manuals/1890000)○

メールアドレスを持っていない新規ユーザー(従業者)を セキュリオ に登録する(https://teachme.jp/3233/manuals/1978983)○

csv ファイルを使って セキュリオ に新規ユーザー(従業者)を一括登録する(https://teachme.jp/3233/manuals/4316393)○

ユーザーを削除する(https://teachme.jp/3233/manuals/3383663)

3

セキュリオ

セキュリティホワイトペーパー

6

アクセス権の管理⚫

お客様は、LRM から提供する権限を、ユーザーに対して自由に付与することが出来ます。

【操作手順書】○

ユーザーの権限を変更する(https://teachme.jp/3233/manuals/5323417)○

ユーザー追加時にデフォルトで付与される権限を変更する(https://teachme.jp/3233/manuals/5323390)○

各権限でどのような機能を利用できるのか確認する(https://teachme.jp/3233/manuals/5323236)⚫

組織管理者に設定することで、付与されている権限に関わらず、全機能を利用することが出来ます。

【操作手順書】○

組織管理者を追加する(https://teachme.jp/3233/manuals/3142683)○

組織管理者を削減する(https://teachme.jp/3233/manuals/3142683)

7

パスワードの配布方法⚫

新規登録したユーザーに初期パスワードを配布する方法は 2 通りあります。お客様は、以下の 2 通りの方法から、好きな方法を選んで、ユーザーに初期パスワードを配布することが可能です。
①

新規ユーザーを追加したと同時に、新規ユーザーのメールアドレスに、初期パスワードを登録するための、一意の URL を含むメールが送信されます。
新規ユーザーは、その URL にアクセスし、パスワードを入力・設定することで、サービスの利用を開始できます。

②

新規ユーザーを追加したと同時に、初期パスワードが生成され、ユーザー追加者に対して、新規ユーザーの初期パスワードが表示されます。
ユーザー追加者は表示された初期パスワードを、メールや、紙媒体への記載など、組織の慣習に合わせた自由な方法で、新規ユーザーに配布することが可能です。

【操作手順書】○

セキュリオ ユーザー登録手順(https://teachme.jp/3233/manuals/1913715)⚫

ユーザーはパスワードを忘れた場合、自らパスワードの再設定を行うことが可能です。

4

セキュリオ

セキュリティホワイトペーパー【操作手順書】○

パスワードを再設定する(https://teachme.jp/3233/manuals/3239080)

8

暗号化の状況

全般⚫

データベースに保管される、お客様の各種情報（氏名、メールアドレス、各機能で利用するデータなど）は暗号化され、適切なアクセス権のもとで保管されます。また、パスワードは、不可逆暗号化(ハッシュ化)された状態で、データベースに保管されます。

⚫

お客様の端末と、システムとの間のインターネット通信は、SSL/TLS 通信によって暗号化されます。
なお、対応している SSL/TLS は、TLSv1.2 以降(SHA256 以上)となります。

⚫

セキュリオにアップロードされたファイルは、暗号化(AES256)され、適切なアクセス権のもとで保管されます。
（アップロード後に不要となったファイルは自動で削除されます。
）

9

変更管理

⚫

サービスの機能変更に関する情報は、下記のリンク先 Web ページより閲覧することが可能です。
○⚫

リリースノート

https://support.lrm.jp/hc/ja/sections/360011627331

サービスの機能変更が実施された場合、メール通知を受け取れるようご設定いただけます。

【操作手順書】○

セキュリオ に関するお知らせ、リリース情報をメールで受信する方法(https://teachme.jp/3233/manuals/10823445/)

10 手順書の提供⚫

お客様が利用できる手順書は、下記リンク先より閲覧することが可能です。
○

マニュアル

https://teachme.jp/r/seculio

11 バックアップの状況
全般⚫

データベースに保管される、お客様の各種情報（氏名、メールアドレス、各機能で利用するデータなど）は、日次でバックアップを取得しています。バックアップは、7 世代分保管されます。
5

セキュリオ

セキュリティホワイトペーパー⚫

但し、お客様によるバックアップデータの復元等に関する要望は、承っておりません。

⚫

セキュリオにアップロードされたファイルは、高可用性のクラウドストレージに格納されます。ある箇所でデータが破損しても、冗長データより自動で修復されます。

12 ログのクロックに関する情報⚫

セキュリオ サービス内で提供されるログは、タイムゾーン JST(UTC+9)で提供されます。

⚫

ログの時刻は、Amazon Time Sync Service と同期しています。

13 脆弱性管理に関する情報⚫

セキュリオでは、定期的に第三者による Web アプリケーションの脆弱性診断を受けています。

⚫

セキュリオ 開発チームは、システムで利用している OS、ミドルウェア等に関する脆弱性情報を、定期的に収集しています。

⚫

システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適用されます。

14 開発におけるセキュリティ情報⚫

セキュリオ システムの開発では、利用している言語の業界標準やベストプラクティスに沿って開発を行っています。

⚫

開発プロセスは、社内で定められたコーディング規約に従って実施されます。

15 インシデント発生時の対応⚫

情報セキュリティインシデントに関する問合せは、本セキュリティホワイトペーパー末尾の「セキュリオ サポート担当」窓口より受け付けています。

⚫

お客様に大きな影響を与えるセキュリティインシデント(データの消失、長時間のシステム停止等）が発生した場合は、インシデント発生から 72 時間以内を目標に、下記のリンク先 Web ページに情報を掲載します。
○⚫

お知らせページ

https://support.lrm.jp/hc/ja/sections/360011627911

お知らせページには、インシデント情報、契約情報やアップデート情報といった重要な情報が多数掲載されますので、更新時にメール通知を受け取れるようご設定をお願いいたします。

6

セキュリオ

セキュリティホワイトペーパー【操作手順書】○

セキュリオ に関するお知らせ、リリース情報をメールで受信する方法(https://teachme.jp/3233/manuals/10823445/)

16 お客様データの保護及び第三者提供について⚫

お客様から預かったデータを適切に保護することは、LRM の責任です。ログデータを含むお客様デー
タは、不正なアクセスや改ざんを防ぐため、セキュリオ 開発チームの一部の人間しかアクセスできない、限られたアクセス権のもとで保管されます。

⚫

但し、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された場
合、LRM は、お客様の許可なく、必要最小限の範囲で、お客様情報を外部に提供する可能性があります。

17 適用法令⚫

お客様と LRM との間の契約は、日本法に基づいて解釈されるものとします。

18 認証
⚫

LRM は、情報マネジメントシステム認定センター(ISMS-AC)が運営する、ISMS 適合性評価制度における、ISMS 認証¹を取得しています。

⚫

LRM は、情報マネジメントシステム認定センター(ISMS-AC)が運営する、ISMS 適合性評価制度における、ISMS クラウドセキュリティ認証2を取得しています。

⚫

LRM は、情報マネジメントシステム認定センター(ISMS-AC)が運営する、ISMS 適合性評価制度における、ISMS-PIMS 認証3を取得しています。

7

セキュリオ

セキュリティホワイトペーパー【ISMS 認証登録範囲】
・情報セキュリティコンサルティング
・ISO 認証取得コンサルティング
・情報セキュリティサービスの企画、販売
・SaaS 型情報セキュリティマネジメントシステム運用支援システムの開発、運用、カスタマーサポー
ト・Web サイト制作
・Web マーケティング
2023 年 12 月 6 日付 適用宣言書 第 8 版【他の事業所】
東京オフィス【ISMS クラウドセキュリティ認証登録範囲】
セキュリオ の提供に係るクラウドサービスプロバイダとしてのシステム開発・運用・保守、及びアマゾンウェブサービスのクラウドサービスカスタマとしての利用に係る ISMS クラウドセキュリティ
マネジメントシステム【ISMS-PIMS 認証登録範囲】
PII 管理者および PII 処理者としてのセキュリティ支援サービス¹ https://isms.jp/lst/ind/CR_IS_x0020_605509.html² https://isms.jp/isms-cls/lst/ind/CR_CLOUD_x0020_682774.html³ https://isms.jp/isms-pims/lst/ind/CR_PM_x0020_740706.html

19 セキュリオにおける物理的な機器の廃棄及び再利用時のセキュリティ⚫

当社クラウドサービスのインフラストラクチャとして Amazon Web Services を利用しています。

⚫

サーバなどの装置は、Amazon Web Services, Inc により適切に管理され、不要になった場合は、安全な方法で廃棄が行われています。

より詳細な情報は、以下からご確認ください。
クラウドセキュリティ | AWS

https://aws.amazon.com/jp/security

20 外部クラウドサービスの利用⚫

セキュリオ では、次に示す機能を運用するために、外部のクラウドサービスを利用しています。

8

セキュリオクラウドサービス機能

セキュリティホワイトペーパー

運営会社

情報

AWS

インフラ構築,運用

Amazon

個人名,メールアドレス,PDF ファイル 等

SendGrid⁴

メール送信

SendGrid

メールアドレス,メール内容,送信日時 等

Wrike⁴

お問い合わせ管理

Wrike

個人名,会社名,お問い合わせ内容 等

Zendesk⁴

お問い合わせ管理

Zendesk

メールアドレス,お問い合わせ内容 等

Zoho⁴

ご契約管理、メール送信

Zoho

個人名,会社名,ご契約内容 等

BugSnag⁴

エラー検知

Smart

個人名,メールアドレス 等

Bear
New Relic⁴

パフォーマンス監視

New Relic

個人名,メールアドレス 等

⁴ 当セキュリティホワイトペーパーに記載されている内容は、クラウドサービスにおいて管理されている範囲には及ばず、また、その内容の遵守を保証するものではありません。

この資料に関するお問い合わせ
LRM 株式会社
セキュリオ サポート担当
03-6773-7547
seculio@lrm.jp

9セキュリオ

セキュリティホワイトペーパー

改訂履歴
版

改訂日

1.0

2017/03/01

改訂内容
初版発行
「4. ラベル付け機能」E ラーニング機能 における、ラベル付けの新たな1.1

2017/06/20

機能として、「テーマのカテゴリ」を追加。
新規ユーザー登録のサービス仕様変更に伴い、「7. パスワードの配布方法」の記載内容を刷新。

1.2

2017/07/07

2.0

2017/10/23「17. 認証」に記載されている内容を明確化。
「18. 免責」を追加。
デザインを刷新。
資料名称を「 セキュリオ セキュリティホワイトペーパー」に変更。
「9. 変更管理」を追加。

2.1

2017/12/27「9. 変更管理」の追加に伴い、「10. 手順書の提供」以降の見出し番号を修正。
「18. 認証」に記載されている内容を変更。

2.2

2018/02/15

2.3

2018/04/25

2.4

2018/07/26

2.5

2018/08/15

操作方法の記載から、該当操作手順書のリンクの記載に変更。
「18. 認証」の ISMS クラウドセキュリティ認証に注釈を追加。
「19. 免責」の表記方法を変更し、「G Suite」を対象に追加。
「4. ラベル付け機能」「5. 利用者登録および削除」にマニュアルを一部追加「8.暗号化の状況」に記載されている内容を変更。
管理者を組織管理者に変更。
「15. インシデント発生時の対応」に報告までの目標時間を明記。

2.6

2018/10/18「19. 免責」を「19. 外部クラウドサービスの利用」とし、AWS を追加、また、一部の外部クラウドサービスがホワイトペーパーの範囲外であることを注釈として追加。

2.7

2018/11/19「19. 外部クラウドサービスの利用」に「Zendesk」を追加。
権限管理機能の提供に伴い、「1. 利用者との責任分界点」「6. アクセス権

2.8

2019/01/25の管理」「7. パスワードの配布方法」に記載されている内容を変更。
操作手順書の URL を変更。
「E ラーニング」から「e ラーニング」に表記を変更。

2.9

2019/06/20「18. 認証」に ISO/IEC27018 を追加。

2.10

2020/04/22「19. 外部クラウドサービスの利用」の「G Suite」を「Wrike」に変更。

2.11

2020/05/01

問い合わせ先電話番号を変更。

2.12

2020/05/12

標的型攻撃メール訓練の提供に伴い、「2. データ保管場所」にシドニーリ
10セキュリオ

セキュリティホワイトペーパーージョンを追加。新機能の提供に合わせ、サービス全体に関わるデータ削除のポリシーを変更。
「9. 変更管理」についてバージョンアップの際の周知のポリシーを変更。
「14. 開発におけるセキュリティ情報」に node.jsの使用について追記。
2.13

2020/08/26「テーマ」の表記を「教材」に統一
標的型攻撃メール訓練機能のメール送信ログ保管場所がシドニーから東

2.14

2020/09/03

京に変更になったことに伴い、一部表記を削除。
問い合わせ先メールアドレスを変更。

2.15

2020/11/11

インシデント発生時の通知先の表記を変更。安否確認機能に関する記載を追加。
暗号化の状況に関する記載を変更。教材ファイルの復元について、詳細を

2.16

2021/6/7追加。外部クラウドサービスに「Zoho」を追加。お問い合わせ先を変更。
ISMS-PIMS 認証に関する記載を追加。お知らせやリリース情報の通知方法を変更。
「14. 開発におけるセキュリティ情報」にセキュリティアウェアネス機

2.17

2021/7/2

2.18

2021/10/8

2.19

2022/8/31

2.20

2022/11/17

ログの取得時間に関する説明を変更。

2.21

2023/2/10「Seculio」が「セキュリオ」に変更。ロゴが変更。

2.22

2023/4/10

データの保管場所に大阪リージョンを追加。

2.23

2023/7/3

2.24

2023/7/21

能に関する説明を追加。
お客様の責任を明確化。各種マニュアルへのリンクを追加。ISO27018 に関する記載を削除。プライバシーマークに関する記載を追加。
お客様により生成、保管されたデータの削除について、「お客様の責任」及び「3.データの削除」の項目に説明を追加。

お客様の責任に、セキュリオの利用にあたり生成されたデータの利用に関する責任を追加。
適用宣言書の版を更新。
「13.脆弱性に関する情報」の記載内容を一部変更。
「14.開発におけるセキュリティ情報」の記載内容を一部変更。
「18.認証」における適用宣言書を更新。

2.25

2024/2/21「19. セキュリオにおける物理的な機器の廃棄及び再利用時のセキュリティ」を追加。
「20.外部クラウドサービスの利用」に記載の一部サービスを追加。

2.26

2024/7/16

18 認証 において、プライバシーマークの項目を削除。

11