TOP / SECURITY
— SECURITY
お客様のデータを、
事業の生命線として扱う。
私たちは、お客様の顧客データ・経営データをお預かりする仕事です。保管場所、アクセス、支援時の取り扱い、施設側の管理範囲を、確認できる形でご説明します。
— DATA LOCATION
第三者認証と監査情報を確認できる環境で、
お客様のデータを扱う。
第三者認証や監査情報を確認できる環境を基本に、データの性質、法令、業務の使いやすさ、将来の運用を踏まえて構成を選びます。
自社サーバーに置かず、認証取得済みクラウドで扱う
お客様データは自社サーバーやNASには置かず、Salesforce・Google Cloudなど、第三者認証や監査情報を確認できるクラウド基盤上で扱います。個人PCやローカルディスクへの恒常保存も原則行いません。
分析基盤は国内リージョンを基本にする
BigQueryなどのデータ分析基盤を構築する場合、保管場所は原則として国内リージョン（東京: asia-northeast1）を選択します。データの越境が制約となる場合も、要件を確認して構成を検討します。
お客様ごとに環境を分ける
お客様のデータは、お客様自身のSalesforce組織・Google Cloudプロジェクト内で扱うことを基本とし、複数のお客様のデータを同一環境に混在させません。連絡・ファイル共有もお客様ごとの専用チャネルで行います。
— ACCOUNT PROTECTION
「誰がアクセスしたか」を、
確認できる状態にする。
認証を強化し、利用者・操作・異常の確認につながるログを扱います。
多要素認証を利用する
社内で利用するSalesforce・Google Workspaceでは、多要素認証（2段階認証）を利用する運用としています。パスワードだけに依存しない認証を基本にします。
アクセスログを確認できるようにする
Salesforceのログイン履歴・設定変更履歴、Google Workspaceの監査ログなど、誰がいつアクセスし、どのような操作を行ったかを確認できる機能を利用します。
不審なアクセスを早期に把握する
通常と異なるログインや不審な操作を検知した場合に、管理者が確認できるアラート機能を利用し、異常の早期把握につなげます。
パスキー・生体認証を利用する
指紋・顔認証などを用いたパスキーを含め、フィッシングに強い認証方式を利用できる環境を整えています。
コミュニケーションも管理された基盤で行う
お客様とのやり取りにはエンタープライズ向けプランのSlack（Enterprise Grid）を利用しています。メッセージ・ファイルの暗号化や監査ログを確認できる機能を利用し、専用チャネルで情報を扱います。
端末紛失時は遠隔でアクセスを止める
端末の紛失や盗難があった場合は、遠隔でセッションを終了し、アカウントへのアクセスを止める体制を整えています。発生時の連絡先と初動も確認しています。
退職時にアカウントを停止する
退職などでメンバーの在籍状況が変わった場合は、対象アカウントとアクセス権を確認し、不要になった利用を停止します。
多要素認証、ログ、外部接続、アプリ連携などの設定は、契約プランと管理コンソールの最新状態を確認したうえで運用します。
— SECURITY CULTURE
学びと気づきを、
日々の運用に反映する。
情報セキュリティは、仕組みだけでなく、扱う一人ひとりの判断にも関わります。
4年以上続く社内のセキュリティ共有
社内にセキュリティ専用のチャンネルを設け、2022年から注意喚起、最新の動向、外部の事故事例を継続的に共有しています。
外部事例を、自社のルールに落とし込む
事例を共有して終わりにせず、ファイル共有、プロジェクト終了後の削除、端末紛失時の連絡など、自社の運用で気をつけることまで確認します。
定期的に情報セキュリティ研修を行う
メンバーを対象に、情報の取り扱いに関する研修を定期的に実施しています。顧客情報や業務データを適切に扱うための共通理解をつくります。
日々のアラートや気づきを確認する
外部共有や不審な操作など、日々の運用で見つかった事象は、本人確認や影響範囲の確認につなげます。
— FACILITY SECURITY
施設側の物理・
ネットワークセキュリティ。
施設側の管理と、X-mov Japanが行う業務上の管理を分けて確認します。
入退室・ゲスト管理
本社所在地として利用する拠点では、執務エリアを区画管理し、個人に紐づくセキュリティカードで入退室を管理しています。入室ログは管理システムに記録され、ゲストは登録・受付確認を経て受け入れる運用です。ビル側では、防災センターによる常時監視も行われています。
施設運営会社の認証・ネットワーク対策
施設運営会社が公開するセキュリティホワイトペーパーでは、ISO27001（ISMS）を7拠点で取得し、同様の管理を全拠点に適用すると説明されています。また、企業専用Wi-Fiには暗号化プロトコルとRADIUS認証が採用されています。
施設運営会社のセキュリティホワイトペーパー ↗施設の設備・運用、認証の範囲は利用拠点の最新案内および契約条件に基づきます。お問い合わせはこちら、個人情報の取り扱いはプライバシーポリシーをご覧ください。