コンプライアンス

1. 目的

ITの進歩により、私たちの生活はより便利になりましたが、その一方で、企業は情報の漏洩、改ざん、破壊、紛失など、様々な脅威にさらされています。SYSCOM GLOBAL SOLUTIONSは、データセンターやパブリッククラウドを利用し、IaaSの導入支援や運用支援を行う中で、お客様の機密情報を取り扱っています。お客様の大切なビジネスをITで支えるにあたり、これらの情報資産を適切に管理・運用することが社会的責務であると考えています。この責任を果たし、情報資産の機密性、完全性、可用性を維持するために、SOC2に準拠した社内プロセスを構築・運用し、組織的な情報セキュリティ対策を実施しています。

2. SOC報告書とは

SOC for Service Organizations報告書は、他の事業体にサービスを提供するサービス機関が、独立した公認会計士による報告書を通じて、実施したサービスおよびサービスに関連する統制に対する信頼と信用を構築できるように設計されています。

SOC 2® – SOC for Service Organizationsは、信託サービス基準を意味し、セキュリティ、可用性、処理の完全性、機密性またはプライバシーに関連するサービス機関の統制に関する報告書のことを指します。

これらの報告書は、ユーザーのデータを処理するためにサービス組織が使用するシステムのセキュリティ、可用性、処理の整合性、および情報の機密性とプライバシーに関連する統制について、詳細な情報と保証を必要とする幅広いユーザーのニーズに対応することを目的としています。これらの報告書は、以下のような重要な役割を果たします：

・組織に対する監視

・ベンダーマネジメントプログラム

・内部コーポレートガバナンスとリスクマネジメントプロセス

・規制の監視

3. 対象サービス

・米国全土におけるSYSCOMデータセンターIaaSの実装サービスおよびサポート運用

・米国全土におけるパブリッククラウドIaaSの実装サービスおよびサポート運用

4. トップマネジメントとコミットメント

SOC2の指導に従い、トップマネジメントは効果的な情報セキュリティ管理システム（ISMS）の確立に下記の通り、コミットしています。

・明確に定義され、全社的に承認された目的を持ち、文書化されたISMSポリシーであること。

・現在承認されている範囲内のプロセス、システム、および人々で運用され、社内で周知されているISMSであること。

・ISMSを確立、維持、および持続的に改善するために必要なリソースを割り当てること。

・経営陣のコミットメントとサポートを全社に明確に伝え、ISMSの目的、実装、および持続的改善を支援すること。

・ISMSの実装を監視し、ISMS自体およびその評価対象となる目的の持続的改善を促進すること。

・ISMS内で実装する情報セキュリティコントロールを監視および測定する責任を持つ人物をサポートすること。

・ISMS管理チームによって開発され、経営陣によって承認されたISMSの目的とポリシーに沿ったベンダー関係、契約、および合意の開発を支援すること。

・SYSCOMにおいて情報セキュリティを企業のコアバリューとして推進し、本ISMSから派生した方針と手順に従うよう、従業員および関係者に要件を課し、改善する機会を報告する方針を策定すること。

5. 組織の役割、責任、および権限

トップマネジメントは、ISMC (Information Security Management Committee) を設立し、以下の権限を与えています。

・SYSCOM内の特定の人員や事業部に対して役割と責任を割り当て、必要に応じてISMSのパフォーマンスを監視するために定期的に報告書を収集すること。

・ISMSに関連する人員の資格と能力を決定すること。

・ISMSを管理するために特別なグループや機関と連絡を取り、人員をサポートすること。

・情報セキュリティに関する責任をマネージャーに割り当てること。

・設立されたISMS関連のポリシーや手順に違反したことが原因とされるセキュリティインシデントが発生した場合に、必要となる人事措置が取れるHRポリシーとなっているか確認すること。

6. 法律および社会倫理への遵守

SYSCOMは、個人情報保護など情報セキュリティに関連する法律、規制、契約上のセキュリティ義務に忠実に遵守します。

7. 情報セキュリティリスクアセスメントおよび処理計画

SYSCOMは、リスクに基づくアプローチが組織にとって最適であると判断し、少なくとも年に1回の頻度でリスクアセスメントを実施します。ISMCは、必要と判断した場合に追加の中間リスクアセスメントを開始し、必要に応じて各スコープを定義します。

・リスクアセスメントは、SYSCOM Risk Management Methodologyに従って実施されます。ISMCは、このメソドロジーに必要な変更が少なくとも年に1回ある場合には、変更を検討し承認します。

・SYSCOMは、現在のリスクがトップマネジメントが承認したリスク閾値を超えた場合、必要なプロセスでリスクを低減するための行動計画を立案します。

・リスク処理計画は、SYSCOM Risk Management Methodology に従って文書化されます。ISMCは、メソドロジーに必要な
変更が少なくとも年に1回ある場合に、変更を検討し承認します。

8. 教育・トレーニング

SYSCOMは、SOC2に準拠することの重要性とメリットを認識し、ポリシーや手順に沿ってセキュリティオペレーションが実施されるように、継続的に教育・トレーニングを提供します。

9. インシデント管理および予防

SYSCOMは、情報セキュリティインシデントが発生しないよう必要な予防措置を講じ、もしインシデントが発生した場合には、迅速に原因を調査・分析し、再発防止のための是正措置を講じます。