‭QualitySoft Corporation All rights reserved.‬

I‭SM CloudOne‬‭ キュリティ運用方針（4版）‬
セ‭2024年5月22日‬‭http://www.qualitysoft.com/‬‭0‬‭QualitySoft Corporation All rights reserved.‬‭概要‬‭はじめに‬

‭目次‬
‭‬
2
‭2‬

‭セキュリティ運用方針‬‭利用者との責任分界点‬‭クオリティソフト（以下当社）の責任‬‭利用者様の責任‬‭データの保管場所‬‭データの削除‬‭削除する条件‬‭削除するタイミング‬‭削除対象‬‭ラベル付け‬‭組織‬‭個別ポリシー‬‭管理者登録、削除および権限の管理‬‭管理者登録‬‭管理者削除‬‭管理者権限の管理‬‭パスワードの管理‬‭暗号化の対象‬‭サービス稼働状況の管理‬‭変更の管理‬‭マニュアルのご提供‬‭本サービスのバックアップについて‬‭サービスのクロック同期について‬‭脆弱性管理について‬‭運用環境のセキュリティについて‬‭サービス開発におけるセキュリティについて‬‭セキュリティインシデント発生時の対応‬‭カスタマデータの保護および第三者提供について‬‭適用法令‬‭認証‬‭セキュリティに関する独立したレビュー‬
‭免責‬

‭‬
2
‭2‬
‭2‬
‭2‬
‭2‬
‭2‬
‭2‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭3‬
‭4‬
‭4‬
‭4‬
‭4‬
‭4‬
‭4‬
‭4‬
‭4‬
‭5‬
‭5‬
‭5‬
‭5‬
‭5‬
‭6‬

‭ 改訂履歴‬‭6‬‭1‬‭QualitySoft Corporation All rights reserved.‬‭1.‬ ‭概要‬‭1.1.‬ ‭はじめに‬‭ ‬‭本‬‭書‬‭は、‬‭ISM‬ ‭CloudOne‬‭再‬‭販‬‭版‬‭サー‬‭ビ‭ス‬ ‬‭（以‬‭下‬‭本‬‭サー‬‭ビ‬‭ス）‬‭の‬‭セ‬‭キュ‬‭リ‬‭ティ‬‭運‬‭用‬‭方‬‭針‬‭に‬‭つ‬‭い‬‭て‬‭記‬‭し‬‭て‬‭ います。‬‭2.‬ ‭セキュリティ運用方針‬‭ .1.‬ ‭利用者との責任分界点‬
2‭ ‬‭ 本サービスのセキュリティは、当社と利用者様の責任範囲を定め、それぞれの役割を分担し対策する‬‭ 考え方（共同責任モデル）にて実施いたします。‬‭2.1.1.‬ ‭クオリティソフト（以下当社）の責任‬‭当社は本サービスにおいて、以下のセキュリティ対策を実施します。‬‭ 本サービスを提供するプログラムおよびミドルウェアの脆弱性対応‬
・‭・本サービスユーザーコンソールのセキュリティ対策‬‭・クライアントプログラムからのデータ通信処理についてのセキュリティ対策‬‭2.1.2.‬ ‭利用者様の責任‬‭‭

利用者様は、本サービスユーザーコンソールにログインするための管理者アカウントにおいて、‬以下のセキュリティ対策を実施する必要があります。‬‭‭

・管理者アカウントの適切な管理（登録、削除、各種権限の設定）‬
・パスワードの適切な管理‬‭2.2.‬ ‭データの保管場所‬‭ お客様にご利用いただくにあたり、本サービスにて収集するデータは下記クラウドベンダーのデータ‬‭ センターに保管しています。‬‭ データ保管場所：Amazon Web Services（以下、AWS） 日本国

東京リージョン‬‭ .3.‬ ‭データの削除‬
2‭ ‬‭ 本サービスの解約手続きなどをおこなった場合、本サービスにて収集したお客様のデータ（カスタマ‬‭ データ）を削除いたします。削除したカスタマデータにつきましては復旧できません。‬‭ 削除する条件、タイミングおよび対象となるデータは次項とします。‬‭ データを保存している物理装置の再利用、処分については、AWSのポリシーに準拠しています。‬‭ （‬‭https://aws.amazon.com/jp/compliance/data-center/controls/‬‭ デバイスの管理を参照）‬‭‭‭2.3.1.‬ ‭削除する条件‬‬
本サービスの解約処理を実施済みであること‬‭2‬‭QualitySoft Corporation All rights reserved.‬‭‭‭2.3.2.‬ ‭削除するタイミング‬‬
本サービス解約日より60日経過後即時‬‭‭‭2.3.3.‬ ‭削除対象‬‬
本サービスをご利用時にお伝えする企業コードに紐づくすべてのカスタマデータ‬‭2.4.‬ ‭ラベル付け‬‭ 本サービスにてグルーピングができる項目を記します。‬‭2.4.1.‬ ‭組織‬‬
「組織」として、「グループ」と「ユーザー」を設定できます。‬
登録したクライアントを、グループ毎またはユーザー毎にグルーピングが可能です。‬‬‭2.4.2.‬ ‭個別ポリシー‬‬
登録したクライアントに適用したいポリシーを個別に追加し、グルーピングが可能です。‬
‬‭
‭‭‭
‭
‭
‭

‭2.5.‬ ‭管理者登録、削除および権限の管理‬
‭ ‬‭
‭
‭

‭2.5.1.‬ ‭管理者登録‬‬
本サービス開始時にお伝えする初期設定アカウントにて、以降のサービスを利用する際に使用する‬管理者の登録が行なえます。‬‭‭‭‭2.5.2.‬ ‭管理者削除‬‬
登録した管理者情報は、いつでも削除が可能です。ただし、削除にあたっては削除したい管理者以‬外の管理者にてユーザーコンソールにログインする必要があります。‬‭2.5.3.‬ ‭管理者権限の管理‬‭‬‭
管理者の権限を、設定し管理することができます。権限の詳細はマニュアルを参照ください（複数‬‭選択が可能です）。‬‭‬‭また、作成したグループを選択することで、選択したグループに対してのみの権限を設定すること‬‭ができます。 ‬‭‬‭2.6.‬ ‭パスワードの管理‬‭ ‬‭ 管理者のパスワードは、管理者登録時に設定できます。パスワードの変更は、ユーザーコンソールに‬‭ ログインした際、または、別の管理者にてログインした際に変更できます。‬‭ ‬‭2.7.‬ ‭暗号化の対象‬
‭‭
‭
‭
‭

‬
本サービスで暗号化の対象は下記です。‬
・ユーザーコンソールへの接続にあたっては、SSL通信によって暗号化されます。‬
・ISMクライアントとISMサーバー間の通信は、SSL通信にて暗号化 または、データを暗号化した‬上でhttp通信にて送信しています。‬‭3‬‭QualitySoft Corporation All rights reserved.‬‭ ・ユーザーコンソールにログインする管理者アカウントのパスワードは、暗号化されて保存していま‬‭す。‬‭ .8.‬ ‭サービス稼働状況の管理‬2‭ ‬‭ 本サービスの稼働状況は、下記URLのメンテナンス情報サイトに公開しています。‬‭ ・「‬‭https://www.qualitysoft.com/product/supports/notice/‬‭」‬‭ .9.‬ ‭変更の管理‬2‭ ‬‭ 本サービスの停止をともなうメンテナンス作業については、下記にてお知らせしています。‬‭ 緊急時を除き、原則作業の2週間前にお知らせいたします。‬‭ ・ユーザーコンソールのおしらせ‬‭ ・登録いただいているお客様情報にたいしてのメール告知‬‭ ・「‬‭https://www.qualitysoft.com/product/supports/notice/‬‭」 のメンテナンス情報サイト‬‭2.10.‬‭マニュアルのご提供‬‭‭‭‭‭

本サービスの各機能をご利用にあたってのマニュアルは、ユーザーコンソールよりご利用可能です。‬
マニュアルは、ユーザーコンソール上で利用できるオンラインマニュアルとダウンロードしてご利用‬
いただくPDF形式の2種類がございます。‬
また、ユーザーコンソールから本サービスにおいての制限事項（PDF形式）もダウンロードしてご利‬用いただけます。‬‭2.11.‬ ‭本サービスのバックアップについて‬
‭‭‭‭‭
‭‭‭‭

本サービスのバックアップは、AWSが提供するスナップショット機能にて取得しています。‬
取得したバックアップデータは、AWSの高可用、高耐久性ストレージのS3サービスにて保管しま ‬す。‬
バックアップは、本サービス全体の復旧を目的として取得しています。このため、個々のお客様の ‬データを個別に復旧することはできません。‬
バックアップは仮想マシンのOS部分とデータ部分でそれぞれ下記ポリシーで取得、保持します。‬
OS部分： 毎日6時に取得
7世代保持‬
データ部分 ： 2時間おきに取得 36世代保持‬
毎日6時に取得
15世代保持‬‭ またこれに加え、メンテナンス作業時の開始前、開始後に取得します。‬‭2.12.‬ ‭サービスのクロック同期について‬‭ ‬‭ 本サービスはAWSが提供するNTPサービスと同期しています。‬‭2.13.‬ ‭脆弱性管理について‬
‭
‭
‭
‭
‭

当社は、本サービスを稼働させるにあたって利用しているOS、ミドルウェア等に関する脆弱性情報‬を、定期的に収集しています。‬
本サービスに利用しているOS、ミドルウェア等の脆弱性に対するパッチが公開された場合は、当社‬内で十分な検証をおこなった後、速やかに適用します。‬‬‭2.14.‬ ‭運用環境のセキュリティについて‬‭ ‬‭ 本サービスはAWSのサービスをもちいてセキュリティ対策を実施しています。‬‭4‬‭QualitySoft Corporation All rights reserved.‬‭2.15.‬ ‭サービス開発におけるセキュリティについて‬‭ サービス開発段階のプログラムに対して、第三者機関による脆弱性検証を実施しています。‬‭2.16.‬ ‭セキュリティインシデント発生時の対応‬
‭
‭
‭
‭
‭

セキュリティインシデントが発生した場合は、当社Webサイトのメンテナンス情報ページへ掲載いた‬します。あわせて、ご契約時に登録いただいたメールアドレス宛にメールでもご報告します。‬‬
セキュリティインシデントに対してのお問い合わせは、下記リンク先よりご連絡ください。‬‬‭https://www.qualitysoft.com/contact/‬‭2.17.‬ ‭カスタマデータの保護および第三者提供について‬
‭
‭
‭
‭‭
‭
‭
‭
‭

カスタマデータについては、本サービスのデータベースサーバー内にて保管しています。‬
このサーバーに対してのアクセスは、当社内においてもサービス運用に携わる一部の者しかアクセス‬できないよう権限を設定しています。‬
ログデータについては、AWSの高可用、高耐久性ストレージのS3サービスにて保管しています。‬
こちらも同様にサービス運用に携わる一部の者しかアクセスできないよう権限を設定しています。‬
ただし、法令に基づき裁判所もしくは政府機関の命令等により開示が求められた場合には、カスタマ‬
データを第三者へ開示することができるものとします。‬
カスタマデータの保護は利用者様の責任範囲においてデータのバックアップを行い実施するものとし‬ます。‬‭2.18.‬ ‭適用法令‬‭ 利用者様と当社との契約に関する解釈は日本法に準拠いたします。‬‭2.19.‬ ‭認証‬
‭ ‭当
‬ ‬‭社‬‭は、‬‭情‬‭報‬‭セ‬‭キュ‬‭リ‬‭ティ‬‭マ‬‭ネ‬‭ジ‬‭メ‬‭ン‬‭ト‬‭シ‬‭ス‬‭テ‬‭ム‬‭の‬‭国‬‭際‬‭規‬‭格‬‭で‬‭あ‬‭る‬‭「‬‭ISO/IEC27001:2013‬ ‭/‬ ‭JIS‬ ‭Q‬ ‭ ‬‭ 27001:2014」（‬‭https://isms.jp/lst/ind/CR_JQA-IM1459.html‬‭）および「ISO/IEC 27017:2015」（‬‭ ‬‭https://isms.jp/isms-cls/lst/ind/CR_JQA-IC0048.html‬‭）の認証を取得しています。‬‭ ‭情‬ 報セキュリティマネジメントシステム認証登録範囲‬‭
情報セキュリティパッケージソフトウェアの開発‬‭
自社パッケージソフトウェアによるクラウドセキュリティサービスの提供‬‭
自社パッケージソフトウェアによるクラウドセキュリティサービスの販売及びサポート‬‭
ドローンの販売及び操作方法のトレーニング‬‭ ‭I‬SMSクラウドセキュリティ認証登録範囲‬‭
クラウドサービスプロバイダとして以下のサービスを提供‬‭
・ＩＴ資産管理‬‭・エンドポイントセキュリティ管理ツール‬‭
クラウドサービスカスタマとして以下のサービスを利用‬‭
・ＩａａＳ型システム開発運用環境‬‭2.20.‬ ‭セキュリティに関する独立したレビュー‬‭ ‬‭ 年一回、情報セキュリティマネジメントシステムおよび、情報セキュリティマネジメントシステムク‬‭ ラウドについてレビューを行ない、必要に応じて見直しを行っています。‬‭ レビューは弊社内担当部門に対して、内部監査をを実施し、予防や是正を行っています。‬‭ 内部監査員は、ISO/IEC27001:2013内部監査員セミナー受講者、‬‭ISMSクラウドセキュリ‬‭ティ関連セミ‬‭5‬‭QualitySoft Corporation All rights reserved.‬‭ナー‬‭受講者で構成されています。‬‭2.21.‬ ‭免責‬
‭ ‬‭当‬‭社‬‭が‬‭提‬‭供‬‭す‬‭る‬‭本‬‭サー‬‭ビ‬‭ス‬‭は、‬‭外‬‭部‬‭の‬‭ク‬‭ラ‬‭ウ‬‭ド‬‭サー‬‭ビ‬‭ス‬‭（‬‭AWS‬‭／‬‭運‬‭営‬‭会‬‭社‬‭Amazon‬ ‭Web‬ ‭Service,Inc.‬‭ ）を利用しています。本書に記載したセキュリティ運用方針は、AWSのサービスに対して及ぶもので‬‭ はありません。また、AWSサービスに対して、本書の遵守を保証するものではありません。‬‭ ‬‭ 改訂履歴‬
‭版数‬

‭改定日‬

‭改定内容‬‭1.0‬‭2020年5月11日‬

‭初版‬

‭2.0‬

‭2020年9月1日‬‭ 2.11本サービスのバックアッ‬「‭プについて」の内容更新‬‭3.0‬‭2020年11月5日‬‭ 2.7暗号化の対象」の内容修正‬「‭「2.19認証」の内容追加‬‭4.0‬‭2024年5月22日‬‭ 2.20セキュリティに関する独‬「‭立したレビュー」の内容更新‬‭以上‬‭6‬