セキュリティチェックシート
| No. | 種別 | サービスレベル項目例 | 規定内容 | 測定単位 | 設定例 |
| 補足説明 → | 事業者に確認すべき項目 | 確認すべき項目の内容 | 測定単位 | 回答 | |
| アプリケーション運用 | |||||
| 1 | 可用性 | サービス時間 | サービスを提供する時間帯（設備やネットワーク等の点検／保守のための計画停止時間の記述を含む） | 時間帯 | 24時間365日（計画停止／定期保守を除く） |
| 2 | 計画停止予定通知 | 定期的な保守停止に関する事前連絡確認（事前通知のタイミング／方法の記述を含む） | 有無 | 有 遅くとも1週間前にintra-mart Procurement Cloud内のお知らせで通知します。 |
|
| 3 | サービス提供終了時の事前通知 | サービス提供を終了する場合の事前連絡確認（事前通知のタイミング／方法の記述を含む） | 有無 | 有 現時点で終了の予定はありませんが、半年前を目安にサービス内およびintra-mart Procurement Cloud内のお知らせで通知する予定です。 |
|
| 4 | 突然のサービス提供停止に対する対処 | プログラムや、システム環境の各種設定データの預託等の措置の有無 | 有無 | 無 現状定義しておりません。 |
|
| 5 | サービス稼働率 | サービスを利用できる確率 （計画サービス時間－停止時間）÷計画サービス時間 |
稼働率（%） | 測定次第公開いたします。 | |
| 6 | ディザスタリカバリ | 災害発生時のシステム復旧 サポート体制 |
有無 | 有 サーバーは複数データセンターで冗長化して運用しています。 |
|
| 7 | 重大障害時の代替手段 | 早期復旧が不可能な場合の代替措置 | 有無 | 無 利用規約の通りデータのバックアップは利用者自身でお願いいたします。 |
|
| 8 | 代替措置で提供するデータ形式 | 代替措置で提供されるデータ形式の定義を記述 | 有無 （ファイル形式） |
無 | |
| 9 | アップグレード方針 | バージョンアップ／変更管理／パッチ管理の方針 | 有無 | 有 サービスのソースコードレベルの変更管理は Git を利用して行なっています。 |
|
| 10 | 信頼性 | 平均復旧時間(MTTR) | 障害発生から修理完了までの平均時間（修理時間の和÷故障回数） | 時間 | 測定次第公開いたします。 |
| 11 | 目標復旧時間(RTO) | 障害発生後のサービス提供の再開に関して設定された目標時間 | 時間 | 4営業日以内を目標としております。 | |
| 12 | 障害発生件数 | 1年間に発生した障害件数／1年間に発生した対応に長時間（1日以上）要した障害件数 | 回 | 測定次第公開いたします。 | |
| 13 | システム監視基準 | システム監視基準（監視内容／監視・通知基準）の設定に基づく監視 | 有無 | 有 社内基準に則り監視を実施しております。 |
|
| 14 | 障害通知プロセス | 障害発生時の連絡プロセス（通知先／方法／経路） | 有無 | 有 intra-mart Procurement Cloud内のお知らせおよび必要に応じてカスタマーサポートチャットにて通知いたします。 |
|
| 15 | 障害通知時間 | 異常検出後に指定された連絡先に通知するまでの時間 | 時間 | 2営業日以内を目安としております。 | |
| 16 | 障害監視間隔 | 障害インシデントを収集／集計する時間間隔 | 時間（分） | メトリクスの取得方法と更新頻度に応じて随時監視を行っております。 | |
| 17 | サービス提供状況の報告方法／間隔 | サービス提供状況を報告する方法／時間間隔 | 時間 | 随時intra-mart Procurement Cloud内のお知らせ上にて告知いたします。 | |
| 18 | ログの取得 | 利用者に提供可能なログの種類 （アクセスログ、操作ログ、エラーログ等） |
有無 | 監査ログ機能によりご参照いただけます。 | |
| 19 | 性能 | 応答時間 | 処理の応答時間 | 時間（秒） | 公開しておりません。 |
| 20 | 遅延 | 処理の応答時間の遅延継続時間 | 時間（分） | 公開しておりません。 | |
| 21 | バッチ処理時間 | バッチ処理（一括処理）の応答時間 | 時間（分） | 公開しておりません。 | |
| 22 | 拡張性 | カスタマイズ性 | カスタマイズ（変更）が可能な事項／範囲／仕様等の条件とカスタマイズに必要な情報 | 有無 | 無 サービス自体のカスタマイズはできません。 必要な機能は随時標準機能としてご提供します。 |
| 23 | 外部接続性 | 既存システムや他のクラウド・コンピューティング・サービス等の外部のシステムとの接続仕様（API、開発言語等） | 有無 | 有 API及びCSV出力機能を提供しております。 |
|
| 同時接続利用者数 | オンラインの利用者が同時に接続してサービスを利用可能なユーザ数 | 有無 （制約条件） |
無 接続上限に達した場合スケールアウトで対応を行うため基本的に制限はございません。 |
||
| 25 | 提供リソースの上限 | ディスク容量の上限／ページビューの上限 | 処理能力 | 無 容量上限に達した場合スケールアウトで対応を行うため基本的に制限はございません |
|
| サポート | |||||
| 26 | サポート | サービス提供時間帯 （障害対応） |
障害対応時の問合せ受付業務を実施する時間帯 | 時間帯 | 平日 10:00-17:00 |
| 27 | サービス提供時間帯 （一般問合せ） |
一般問合せ時の問合せ受付業務を実施する時間帯 | 時間帯 | 平日 10:00-17:00 チャットは24時間365日受け付けています。 |
|
| データ管理 | |||||
| 28 | データ管理 | バックアップの方法 | バックアップ内容（回数、復旧方法など）、データ保管場所／形式、利用者のデータへのアクセス権など、利用者に所有権のあるデータの取扱方法 | 有無／内容 | 有 日次でバックアップを取得しております。 |
| 29 | バックアップデータを取得するタイミング(RPO) | バックアップデータをとり、データを保証する時点 | 時間 | 当日午前3時ごろまでに取得します | |
| 30 | バックアップデータの保存期間 | データをバックアップした媒体を保管する期限 | 時間 | 有 7日間保管しております。 |
|
| 31 | データ消去の要件 | サービス解約後の、データ消去の実施有無／タイミング、保管媒体の破棄の実施有無／タイミング、およびデータ移行など、利用者に所有権のあるデータの消去方法 | 有無 | 有 サービス解約時ににデータおよび保管媒体を破棄 |
|
| 32 | バックアップ世代数 | 保証する世代数 | 世代数 | 7世代 | |
| 33 | データ保護のための暗号化要件 | データを保護するにあたり、暗号化要件の有無 | 有無 | 有 | |
| 34 | マルチテナントストレージにおけるキー管理要件 | マルチテナントストレージのキー管理要件の有無、内容 | 有無／内容 | 無 アプリケーション側でアクセス制御を行なっています。 |
|
| 35 | データ漏えい・破壊時の補償／保険 | データ漏えい・破壊時の補償／保険の有無 | 有無 | 無 | |
| 36 | 解約時のデータポータビリティ | 解約時、元データが完全な形で迅速に返却される、もしくは責任を持ってデータを消去する体制を整えており、外部への漏えいの懸念のない状態が構築できていること | 有無／内容 | 有 サービス解約から一定期間経過後にデータを削除いたします。 |
|
| 37 | 預託データの整合性検証作業 | データの整合性を検証する手法が実装され、検証報告の確認作業が行われていること | 有無 | 有 データ入力時、送信時に検証を行っています。通信経路はTLSにより盗聴、改ざんを防いでいます。 |
|
| 38 | 入力データ形式の制限機能 | 入力データ形式の制限機能の有無 | 有無 | 有 データ入力時、送信時に検証を行っています。 |
|
| セキュリティ | |||||
| 39 | セキュリティ | 公的認証取得の要件 | JIPDECやJQA等で認定している情報処理管理に関する公的認証 （ISMS、プライバシーマーク等）が取得されていること |
有無 | 有 プライバシーマークを取得しております。 ※ISMS取得中 |
| 40 | アプリケーションに関する第三者評価 | 不正な侵入、操作、データ取得等への対策について、第三者の客観的な評価を得ていること | 有無／実施状況 | 有 外部企業による脆弱性診断を半期に一度実施し、指摘事項について対応する予定です。 |
|
| 41 | 情報取扱い環境 | 提供者側でのデータ取扱環境が適切に確保されていること | 有無 | 有 運用者は限定されております。 |
|
| 42 | 通信の暗号化レベル | システムとやりとりされる通信の暗号化強度 | 有無 | 有 ユーザーとサービス間の通信は TLS1.2 以上を利用しております。 |
|
| 43 | 会計監査報告書における情報セキュリティ関連事項の確認 | 会計監査報告書における情報セキュリティ関連事項の監査時に、担当者へ以下の資料を提供する旨「最新のSAS70Type2監査報告書」「最新の18号監査報告書」 | 有無 | 無 | |
| 44 | マルチテナント下でのセキュリティ対策 | 異なる利用企業間の情報隔離、障害等の影響の局所化 | 有無 | 無 データベースやサーバーのテナントごとの分離は行っておりません。 アプリケーションレベルでアクセス制御を行っております。 |
|
| 45 | 情報取扱者の制限 | 利用者のデータにアクセスできる利用者が限定されていること 利用者組織にて規定しているアクセス制限と同様な制約が実現できていること |
有無／設定状況 | 無 | |
| 46 | セキュリティインシデント発生時のトレーサビリティ | IDの付与単位、IDをログ検索に利用できるか、ログの保存期間は適切な期間が確保されており、利用者の必要に応じて、受容可能に期間内に提供されるか | 設定状況 | ID は個人に付与されており、ログ検索に利用可能です。 | |
| 47 | ウイルススキャン | ウイルススキャンの頻度 | 頻度 | サーバ → ウイルス対策ソフト導入なし 運用者端末 → 随時スキャンを実施 |
|
| 48 | 二次記憶媒体の安全性対策 | バックアップメディア等では、常に暗号化した状態で保管していること、廃棄の際にはデータの完全な抹消を実施し、また検証していること、USBポートを無効化しデータの吸い出しの制限等の対策を講じていること | 有無 | 有 バックアップはクラウド上に保持しており、持ち出し可能な外部媒体への保管は行わないようにしております。 |
|
| 49 | データの外部保存方針 | データ保存地の各種法制度の下におけるデータ取扱い及び利用に関する制約条件を把握しているか | 把握状況 | データ保存地の各種法制度の下におけるデータ取扱い及び利用に関する制約条件を把握しています。 | |
