この文書は日本語で表示されています。

コンプライアンスおよびセキュリティ

CNF は、お客様のデータおよびインフラストラクチャーを保護するため、最高水準のセキュリティとコンプライアンスを維持します。

1. 認証および標準

ISO 27001:2013 有効

情報セキュリティのベストプラクティスに対する当社の取り組みを示す、情報セキュリティマネジメントシステム（ISMS）認証です。

証明書番号: ISO-27001-2023-001
有効期限: December 31, 2025
適用範囲: すべてのクラウドインフラストラクチャーおよびサービス

SOC 2 Type II 有効

セキュリティ、可用性、処理の完全性、機密性およびプライバシーに関する当社の統制を検証する独立監査です。

報告期間: January - December 2024
監査人: [Audit Firm Name]
対象範囲: すべての本番システム

PCI DSS Level 1 有効

クレジットカード情報の取扱いに関する Payment Card Industry Data Security Standard への準拠です。

認証レベル: 1（最高）
最終評価: October 2024
適用範囲: 決済処理システム

2. 規制遵守

2.1 データ保護およびプライバシー

規制	状態	適用範囲	最終評価
GDPR (EU)	準拠	EU のすべての顧客データ処理	December 2024
CCPA (California)	準拠	カリフォルニア州居住者のデータ	November 2024
HIPAA	準拠	医療データの処理	October 2024

3. セキュリティ統制およびポリシー

3.1 アクセス制御

ID およびアクセス管理（IAM）:
- すべてのアクセスに多要素認証（MFA）を必須化
- ロールベースアクセス制御（RBAC）の実装
- 定期的なアクセス審査および認証
- 特権アクセス管理（PAM）ソリューション
認証統制:
- パスワードの複雑性要件
- 定期的なパスワード変更
- セッション管理およびタイムアウトポリシー
- ログイン失敗試行の監視

3.2 ネットワークセキュリティ

境界セキュリティ:
- 次世代ファイアウォール
- DDoS 保護
- ウェブアプリケーションファイアウォール（WAF）
- 侵入検知・防止システム（IDS/IPS）
暗号化:
- 転送中のデータには TLS 1.3
- 保存データには AES-256
- 鍵管理手順

4. リスク管理

4.1 リスク評価プロセス

特定

すべてのシステムおよびプロセスにわたる潜在的リスクの体系的な特定

評価

リスクの発生可能性および潜在的影響の評価

低減

特定されたリスクを低減する統制の実施

監視

リスク統制の継続的な監視および再評価

4.2 リスク対応

リスクレベル	対応戦略	審査頻度
重大	即時の低減措置が必要	毎月
高	リスク対応計画が必要	四半期ごと
中	統制を用いて監視	半年ごと
低	監視を条件に受容	年次

5. 監査および監視

5.1 監査プログラム

内部監査:
- 四半期ごとのセキュリティ評価
- 毎月のコンプライアンス審査
- 継続的な統制監視
- 定期的な脆弱性評価
外部監査:
- 年次 SOC 2 Type II 監査
- ISO 27001 維持審査
- PCI DSS 評価
- 侵入テスト

5.2 監視システム

セキュリティ情報イベント管理（SIEM）
24 時間 365 日対応セキュリティオペレーションセンター（SOC）
リアルタイムアラートシステム
自動コンプライアンス監視
ログ管理および分析

6. インシデント対応

6.1 インシデント管理プロセス

対応段階

検知および分析
封じ込めおよび根絶
復旧および復元
インシデント後の審査

応答時間

重大度	初期応答	解決目標
重大	15 分	4 時間
高	1 時間	8 時間
中	4 時間	24 時間
低	24 時間	72 時間

7. データ保護対策

7.1 データ分類

分類	説明	保護要件
制限	極めて機微なデータ	暗号化、アクセスログ、MFA
機密	事業上機微なデータ	暗号化、アクセス制限
社内	社内業務データ	標準的なアクセス制御
公開	公開情報	基本的な保護

7.2 データ保持

保持期間:
- 顧客データ: サービス契約に定める期間
- 取引データ: 7 年
- ログデータ: 1 年
- バックアップデータ: 30 日

8. ベンダー管理

8.1 ベンダー評価

評価基準

セキュリティ統制および認証:
- SOC 2 準拠状況
- ISO 認証
- 業界固有のコンプライアンス
- セキュリティ統制の評価
データ保護対策:
- データ取扱手順
- プライバシーポリシーの審査
- 侵害通知プロセス
事業継続:
- 災害復旧能力
- サービスレベル契約
- 事業継続計画

8.2 継続的監視

審査の種類	頻度	要件
セキュリティ評価	年次	完全なセキュリティ審査および文書化
パフォーマンス審査	四半期ごと	SLA 準拠状況および指標の審査
コンプライアンス検証	半年ごと	認証および準拠状況の確認

9. コンプライアンス研修

9.1 研修プログラム

必須研修:
- セキュリティ意識向上研修（年次）
- データプライバシー研修（年次）
- 行動規範研修（年次）
- 役割別コンプライアンス研修（必要に応じて）
専門研修:
- インシデント対応研修
- PCI DSS コンプライアンス研修
- HIPAA コンプライアンス研修
- リスク管理研修

9.2 研修指標

修了要件

必須研修の修了率 100%
合格点 90% 以上
修了状況の追跡および報告
年次再研修の要件

10. 事業継続

10.1 事業継続計画

目標復旧時間（RTO）:
- 重要システム: 4 時間
- 主要システム: 8 時間
- 非重要システム: 24 時間
目標復旧時点（RPO）:
- 重要データ: 15 分
- 主要データ: 1 時間
- 非重要データ: 24 時間

10.2 災害復旧

構成要素	復旧戦略	テスト頻度
データセンター	複数リージョンへのフェイルオーバー	四半期ごと
中核サービス	自動フェイルオーバー	毎月
バックアップシステム	定期テスト	毎週

11. 環境コンプライアンス

11.1 環境基準

ISO 14001 環境マネジメントシステム
エネルギー効率基準
廃棄物管理手順
カーボンフットプリント削減施策

11.2 持続可能性目標

2025 年目標

再生可能エネルギー利用率 100%
炭素排出量を 50% 削減
埋立廃棄物ゼロ
水使用量の最適化

12. 業界固有のコンプライアンス

12.1 医療（HIPAA）

業務提携契約（BAA）
PHI 取扱手順
セキュリティ規則への準拠
プライバシー規則の実施

12.2 金融サービス

PCI DSS 準拠
SOX 準拠
FINRA 要件
KYC/AML 手続き

13. 報告および開示

13.1 コンプライアンス報告

定期報告:
- 毎月のセキュリティ指標
- 四半期ごとのコンプライアンス更新
- 年次コンプライアンス評価
- インシデント報告書
開示要件:
- セキュリティインシデント
- データ侵害
- 規制の変更
- 準拠状況の更新