情報セキュリティ

当社にとって情報セキュリティ及びその一部であるプライバシー保護は、
・Aperportの開発・運用事業
・Experportの開発・運用事業
・ソフトウェア開発事業
及びこれらに関連する当社のビジネス活動において、ステークホルダーとの関係を構築・維持し、長期的な利益を生み出すための最も重要な活動である。また、当社は、情報セキュリティ事故とプライバシー侵害を未然に防止することを、弊社の社会的な責務として認識している。

【セキュリティ目的及びプライバシー保護目的】
当社は、以下のセキュリティ目的及びプライバシー保護目的を設定し、これらの目的を達成するための諸施策を確実に実施する。
・お客様との契約及び法的または規制要求事項を尊重し遵守する。
・情報セキュリティ事故を未然に防止する。
・情報セキュリティ上の脅威から情報資産とプライバシーを保護する。

【施策】
1. 当社は、情報セキュリティマネジメントシステム（ISMS）を適切に構築・運用し、情報資産の機密性、完全性、可用性の確保に努め、その有効性を継続的に確保する。ISMSはISO27001:2022、ISO27017（CLS）、ISO27701（PIMS）の3つの認証を基盤として構築する。
2. 当社は、ISMSの運営のために情報セキュリティ委員長と情報セキュリティ委員会を設置し、運用するために必要な組織体制を整備する。
3. 当社は、取り扱うすべての重要な情報資産のリスクを受容可能な水準に保つため、リスクアセスメントに関する体系的な手順と評価基準を定め、リスクアセスメントに基づく適切なリスク対策を講じる。
4. 当社は、ISMSの維持向上のため情報資産を扱う全従業員に対して定期的に教育を実施し、効果を測定する。

スフィアネット株式会社は、当社にて確立した「情報セキュリティ方針」を拡充し、クラウドサービス情報セキュリティ方針を制定します。

クラウドサービスプロバイダー(CSP):ISO27017(ISMS-CLS)
スフィアネット株式会社は、Aperport、Experportのサービスの提供に関して、情報セキュリティを維持し、お客様のビジネスへの貢献を継続的に行うため、サービスプロバイダーとしての方針を以下に定めます。

1. クラウドサービスの設計及び実装に適用する情報セキュリティ要求事項
・お客様からの情報セキュリティ要求事項及び当社にて確立した本方針を適用し、クラウドサービスの設計及び実装を行います。
2. クラウドサービス提供に関するリスク
・クラウドサービスの手協に関して、リスクアセスメントにて特定された社内外の脅威によってもたらされるリスクに対し、管理策を実施します。
3. クラウドコンピューティング環境の隔離
・仮想化されたマルチテナント環境を利用して、クラウドコンピューティング環境を論理的に隔離し、セキュリティの確保を行います。
4.当社従業員による、お客様データへのアクセス及び保護
・クラウドサービスを提供するにあたって、または技術的な問題の解決のため、当社が定める約款に従って、お客様のアカウントにアクセスすることがありますが、当社の約款に定める場合を除き、お客様の事前の許可なく、お客様のデータを監視、編集、開示しません。
5. アクセス制御手順
・お客様が利用されるクラウドサービスに対し、適切な認証方法を整備します。
6. お客様への変更通知
・クラウドサービスに関する仕様変更等については、当社ウェブサイト等への掲載等を通じて情報提供します。
7. 仮想化セキュリティ
・ハイパーバイザ（仮想化ソフトウェア）を攻撃から守り、ホスト基盤を仮想化環境において生じる脅威から守り、仮想マシンのライフサイクルを通じて保全します。
8. お客様のアカウント管理
・お客様のアカウント管理は、当社が定める約款に基づき、お客様の責任において作成し、管理していただくこととします。
9. 情報共有指針
・違反の通知、調査及びフォレンジック支援のための情報共有を実施します。通知・連絡の手段は当社の定める約款にて定義します。

クラウドサービスカスタマー(CSC):ISO27017(ISMS-CLS)
スフィアネット株式会社は、弊社のサービス提供および会社としての責務を果たすためのオペレーションにおいて他社クラウドサービスを利用しています。安定した事業の継続とお客様をはじめとする各ステークホルダーからの信頼を維持するために、クラウドサービスの利用を適切に行うための方針を以下に定めます。

1. クラウドサービス利用管理者（責任者・担当者）を設置する
2. 利用管理者の役割を明確に定める
3. クラウドサービスの利用者を明確にし、利用対象外の者はアクセスできないようにする
4. 各利用ユーザが行える操作・処理を決定し、不要な操作を行えないよう権限管理する
5. クラウドサービスを利用するにあたり管理者を定め、常に適切な対処ができる状態にする
6. クラウドサービスプロバイダーの所在地・国と、クラウドサービスのデータが保存されるデータセンターの所在地・国を把握し、情報の保護が適切になされるための管理策を実施する
7. クラウドサービス利用により発生が想定されるリスクやトラブル等が、業務上の許容範囲内となるよう管理策を実施する
8. クラウドサービスを利用する際の実行処理は、マルチテナントの仮想化されたクラウドサービス上で行われることを念頭に、隔離が失敗した場合などを考慮し、情報の保護のために適切な管理策を実施する
9. アプリケーションプログラム等の情報資産は、クラウド環境の中に保持され続ける可能性があることを念頭に、情報の保護のために適切な管理策を実施する
10. クラウド環境の保存された情報は、クラウドサービスプロバイダによるアクセスおよび管理の対象となることを念頭に、情報の保護のために適切な管理策を実施する