やくも水神ネットワーク セキュリティの概要
いつも「やくも水神」をご利用いただきありがとうございます。
本ドキュメントではやくも水神のサーバー、ネットワーク、監視装置等のセキュリティ対策の状況を記載いたします。今後とも「やくも水神」を何卒よろしくお願いいたします。
以下の内容は PDFでダウンロード 頂けます。
1.データセンター（東西２拠点共通）
-
マルウェア対策
- やくも水神で稼働している全てのサーバーはアンチウィルスソフトによりマルウェア等から保護しています。
- 同様に、ファイル共有機能によりお客様からアップロードされるデータについてもウィルスチェックを行っています。
- マルウェアが発見された場合、自動的に管理者へ通知し管理者は原因の究明と対処を行います。
-
データセンター内での通信の監視
- データセンター内でのサーバー間、またはサーバーとインターネット間で不審な通信（マルウェア等による通信）が行われていないか常に監視しています。
- 不審な通信が発見された場合、自動的に管理者へ通知し管理者は原因の究明と対処を行います。
-
サーバー操作ログの監視・保管
- サーバー等の操作ログはリアルタイムに監視しており、当社社員が通常行わない操作が行われていないか常時監視しています。
- 不審な操作が行われた場合、自動的に管理者へ通知し管理者は原因の究明と対処を行います。
- また、不審かどうかにかかわらず、クラウドシステムに対する全ての操作はログに保管し最低１年間は破棄いたしません。
-
アクセスログの監視・保管
- ユーザーによる当サービスへのアクセスログを常時取得し１年間保管しております。
- 不審なアクセスを検知すると、自動的に管理者へ通知し管理者は原因の究明と対処を行います。
-
定期的なセキュリティアップデート
- やくも水神のサーバーは毎月１回、セキュリティアップデートを実施し常に最新の状態に保っています。
- 定期更新とは別に緊急性の高い脆弱性が公表され、その内容が当社サービスに影響ある場合は直ちにセキュリティアップデートを実施します。
-
バックアップ体制
- やくも水神の運用により蓄積した各種データ（施設の状態データ、日報データ、トレンドデータ等）は定期的にバックアップします。
- やくも水神ネットワークを構成するサーバー群はサーバーイメージとして定期的にバックアップします。
-
データの暗号化
- データベース、ファイル、バックアップデータなど、全てのデータは暗号化して保存しております。
-
データセンター事業者のセキュリティ対策
- やくも水神を稼働しているデータセンター事業者においては、ISO 27001、ISO 27017、ISO 27018、PCI DSS レベル 1、SOC 1、2、3 など、世界的に認められたセキュリティ保証フレームワークと認定に基づいて適切な技術的で体系的なセキュリティ対策を実装し管理しています。
- データセンターへの物理的アクセスは、建物の入り口において、サーベイランスシステム、侵入検知システム、その他の電子的システムを用いて、専門の保安要員によって厳重に管理されています。
-
現場監視装置のセキュリティと閉域網
- データセンターと現場監視装置の通信は閉域網で行われインターネットを経由しません。従ってインターネット上の第三者から監視装置に対する直接の攻撃や通信データの盗聴は不可能です。
-
データの冗長化
- データベースやファイル、バックアップ、サーバーイメージ等のデータは東西データセンターに冗長化して保存しており、大規模災害やランサムウェア攻撃からサービスを保護しています。
-
データの保管地域は国内に限定
- やくも水神のデータは全て日本国内のみに保管しており、海外には保管しておりません。
-
東西データセンター間の通信
- 東西データセンター間の通信にはクラウド事業者が提供する専用線を使用し、インターネット回線は経由いたしません。
2.監視端末（PC等） - データセンター間のネットワーク
-
ここでの監視端末とは、監視画面を提供するPC、スマートフォン、タブレットを指します。
-
通信の暗号化
- PC、スマートフォン等の監視端末とデータセンター間の通信はSSL/TLSにより暗号化を実施しています。
-
海外からのアクセスの遮断
- サイバー攻撃の多くが海外のサーバーから行われている事から、やくも水神ネットワークでは海外からのアクセスを全て遮断しています。
-
DDoS攻撃への対応
- やくも水神データセンターでは、攻撃がサーバーに到達するより前段でDDoS攻撃への対策を行っております。
-
ファイアウォールによる保護
- SQLインジェクションやクロスサイトスクリプティング、既知の脆弱性を狙った攻撃等、外部からの攻撃に対してファイアウォールでサーバーを保護しています。
-
脆弱性診断（ぺネトレーションテスト）
- １週間に１回、サーバーシステムに対するぺネトレーションテストを実施し、脆弱性レポートの作成と必要に応じて対策を実施しています。
-
メールの保護
- やくも水神からユーザーへ送信する警報メールは、SPF（IPアドレスによる送信元確認）、DKIM（電子署名による送信元確認）、DMARC（SPFやDKIMの認証が失敗した場合の対応策の設定）により、なりすましやメールの改竄からお客様を守ります。
3.監視端末（PC・スマートフォン・タブレット）
-
パスワード総当たり攻撃への対策
- ログインIDとパスワードによる認証に一定回数失敗するとアカウントをロックし、以後は解除するまでの間、正しいパスワードでもログインできません。
- ロックの解除はお客様のメールアドレス宛に解除用メールを送信しますので、そのメール内から実施可能です。
-
デバイス認証（スマートフォン・タブレット）
- スマートフォン・タブレットでは内部でデバイス認証を行っています。
- クラウド側でデバイスの認証枠を設けており、ユーザー様の最初の認証時、デバイスが認証枠に登録されます。
- 以降は、認証枠に登録されていないスマートフォン・タブレットからはたとえID・パスワードが正しくてもログインできません。
-
生体認証
- iOSデバイスでは、パスワード認証の他に顔認証・指紋認証による生体認証がご利用いただけます。
-
2段階認証（PC）
- PC監視画面では2段階認証がご利用いただけます。
- 2段階認証が有効になっているユーザーでログインする場合、通常のパスワード認証に成功すると登録されているメールアドレス宛に認証コードが送信され、その認証コードを入力するとログインが完了します。
4.インシデント発生時の対応
-
セキュリティ・インシデントが発生した場合は、社内規定に基づき定められた「セキュリティインシデント対応マニュアル」に従って対応いたします。
-
やくも水神のサービスに障害が発生した場合は、社内規定に基づき定められた「やくも水神クラウドサービス復旧計画書」に従って、復旧作業を実施します。
5.責任範囲
-
当社は以下の範囲において責任を負います。
- やくも水神サービスを提供するサーバー
- やくも水神の内部ネットワーク
- やくも水神のデータセンター内に蓄積されたデータ
- やくも水神のセキュリティ体制
-
以下の範囲については当社責任範囲外となります。
- お客様PC、スマートフォンなどのデバイス環境
- お客様がご利用の内部ネットワークおよび関連機器（ルータ、無線親機等）
- お客様がご利用のインターネット環境
- お客様環境のセキュリティ体制
- その他、当社が直接関わらない環境
6.その他
-
社内ネットワークへの侵入の遮断
- データセンターに加え、当社ネットワークからデータセンターへの不正侵入を防止するため、以下の対策を講じています。
-
社員PCの保護
- 当社社員が使用するPCには、アンチウイルスソフトおよびセキュリティ強化を目的としたVPNソフトを導入しており、外部からの不正侵入による乗っ取りを防止するとともに、PCからの不審な通信を監視し、必要に応じて通信を遮断しています。
- 社内ネットワークにはUTM（統合脅威管理）を設置し、外部からの攻撃や情報漏洩のリスクからネットワークを保護しています。
- 社員PCにはデータ記憶領域の暗号化を施し、機密情報や社外秘情報の漏洩防止を図っています。PCの廃棄時には、完全初期化を行うか、廃棄業者による「廃棄証明書」または「データ消去証明書」の取得を義務付けています。
- 社員が使用するPCには、定期的なセキュリティアップデートを実施し、常に最新の状態で運用することを義務付けています。
-
社員へのセキュリティ教育の実施
- 当社は社員に対して定期的なセキュリティ研修を実施し、最新のセキュリティ情報（ニュース、脆弱性情報等）の共有を日常的に行っています。
- 当社に入社する社員には入社時にセキュリティ研修を義務付け、実施しております。
-
定期的なセキュリティ審査
- ISMSの社内規定に基づき、定期的な内部審査・外部審査を実施します（内部審査は直近で2024年夏に実施済み。公的な審査機関による外部審査は本年4月に第一回を実施予定）
-
サプライチェーンのセキュリティ管理
- 当社と取引のあるサプライチェーン全体において、セキュリティ対策状況の確認を定期的に実施しております。
-
ISO27001の取得（2025年7月予定）
- やくも水神ネットワークを含めた水神事業全体でISMS（情報セキュリティマネジメントシステム）を構築しており、本年7月にISO27001を取得予定です。