クラウドセキュリティ基本方針 | アラカルト型人事労務ソフト「オフィスステーション」

当事業本部は、あらゆる事業者のバックオフィス業務改善に貢献することを使命としています。

この使命のもと、安全かつ確実なサービスの提供を行うために、人事労務クラウドソフト「オフィスステーション」をはじめとするクラウドサービスの積極的な提供および利用を推進しています。

クラウドサービスの提供および利用においては、情報セキュリティにおける固有のリスクが存在します。このリスクへの安全対策を実施し、リスクが顕在化した際の影響を最小限に抑えることを最重要課題と捉え、これらに取り組むために最大限の対策を講じます。

本基本方針に基づき、以下の事項を実践することをお約束します。

マネジメントシステムの構築と運営

情報セキュリティマネジメントシステム（ISMS）の一部として、クラウドセキュリティに特化した管理体制を構築・運営し、お客様の情報資産に対し必要な保護と適切な安全対策を継続的に実施します。

法令・規制・契約の遵守

情報セキュリティに関する法令、国が定める指針、その他の規範、ならびにお客様との契約上のセキュリティ義務を遵守します。

教育・啓発の実施

当事業本部の全従業員（関係者を含む）に対し、本方針の重要性を周知徹底するとともに、クラウドセキュリティを維持・向上させるための教育・啓発活動を継続的に実施します。

継続的な改善

本基本方針が有効に機能しているかを定期的に評価し、内外の環境変化に応じて継続的な見直しと改善に努めます。

以上の活動を通じて、お客様に信頼される安全かつ確実なサービスを永続的にご提供してまいります。

１．対象範囲

本方針は、以下の2つの立場におけるクラウドサービスの提供および利用に関するセキュリティ活動に適用します。

クラウドサービスプロバイダ（提供者）として
お客様に提供するSaaS型クラウドサービス（オフィスステーション）の開発・提供および運用に関わる当事業本部の部門、従業員および情報資産
クラウドサービスカスタマ（利用者）として
自社の業務およびサービス提供基盤として利用するクラウドサービス（AWS等のIaaS型基盤等）を利用・管理する当事業本部の部門および従業員

２．クラウドサービスの管理体制および責任の明確化

クラウドサービスの提供および利用は、以下の体制により管理を徹底します。

情報セキュリティマネジメントシステムの一部としてクラウドセキュリティにフォーカスし、提供するクラウドサービスおよび提供を受ける個々のクラウドサービスに責任を持ち、管理者権限を付与するクラウドサービス管理者を設置します。クラウドサービス管理者は、クラウドサービスにおけるリスクアセスメントの実施を含め、必要なセキュリティ対策の構築・運営に関して従業員を指導します。
クラウドサービスに関わる従業員は、クラウドサービス管理者の指揮・管理のもと、許可された環境およびアクセスにより定められたセキュリティ対策を実践し、クラウドセキュリティに関する取組みを推進します。
クラウドサービスの提供および利用にあたっては、クラウドサービスプロバイダと当事業本部の間、および当事業本部とお客様の間における情報セキュリティに係る責任分界点を明確にするとともに、当事業本部が担うべき責任範囲において、セキュリティ対策を確実に実施します。

３．クラウドサービス上固有のリスクへの対応（情報および資産）

当事業本部のクラウドサービスの提供および利用においては、以下の固有リスクを特定し、必要なセキュリティ管理策を実施します。また、クラウドセキュリティを正しくかつ確実に運営できるようにするために、これらの管理策は定期的に見直しを行います。

【クラウドサービスプロバイダとして考慮する事項】

マルチテナント環境および仮想化におけるお客様（テナント）間のデータの隔離（契約ごとの内部ID等を用いた厳格な論理的分離の実施）。
当事業本部のスタッフ（内部関係者）によるお客様の資産・データへの意図しないアクセス（専用のセキュリティルーム、生体認証を用いた二要素認証、および厳格な承認プロセスによるアクセス権限制御）。
クラウドサービスの設計および実装に適用する最低限の情報セキュリティ要求事項。

【クラウドサービスカスタマとして考慮する事項】

利用するクラウドサービスプロバイダの権限による、クラウドサービス上の保存情報への意図しないアクセスおよび管理リスク。
仮想化されたマルチテナント環境上での処理リスク。
アプリケーションプログラム等の資産が意図せずクラウドサービス上に保持されるリスク。
クラウドサービスプロバイダが国外のデータセンター等でデータを保存する可能性に関するリスク（原則として日本国内のデータセンターを利用する方針の徹底）。

４．クラウドサービスにおける障害等への対応

クラウドサービスにおいて障害等のインシデント又は事象が発生した場合は、発見者は速やかに定められた連絡経路（部門責任者等）を通してクラウドサービス管理者又はISMS管理責任者にその内容を報告し、「情報セキュリティインシデント管理手順書」や「障害発生運用フロー」等に基づき、必要に応じて当事業本部の実施可能な緊急措置を講じます。また、提供するクラウドサービスにおいて、お客様のデータや業務に影響を及ぼすインシデントが発生した場合は、あらかじめ定めた手順に従い、速やかにお客様への情報提供および通知を行います。インシデントについては、その原因を可能な限り分析し、再発防止又はその影響を最小限にとどめるための措置を講じるよう努めます。

５．法律・規範等の遵守

クラウドサービスの提供および利用において、関連する法規制等および契約上の要求事項を遵守します。また、利用するクラウドサービスプロバイダの所在地および当該プロバイダがクラウドサービス上のデータを保存する可能性のある国を考慮し、関連する法規制等を特定します。

６．本基本方針違反に対する措置

クラウドサービスに関わる従業員は、本基本方針に従って行動します。違反した場合は、就業規則および法令等に従い処分を行います。