セキュリティポリシー

ストアレコード株式会社（以下「当社」）は、小売業の経営データを一元管理するクラウドサービス「ストアレコード」（以下「本サービス」）を提供しています。お客様からお預かりする売上・在庫・仕入その他の経営情報は、お客様の事業活動の根幹をなす情報資産です。

当社は、これらの情報資産を漏えい・改ざん・滅失その他の脅威から保護することが事業の前提であると認識し、本方針を定めて情報セキュリティの維持・向上に取り組みます。

本方針は、本サービスの提供に関して当社が取り扱うすべての情報資産、およびこれらを取り扱うすべての役員・従業員（雇用形態を問わず、派遣社員および業務委託先の従事者を含みます）に適用されます。

当社は、取り扱う情報資産を重要度に応じて次のとおり分類し、分類に応じた取扱いルールを定めて運用します。

情報資産の分類は定期的に見直し、実態との齟齬がないことを確認します。

当社は、情報セキュリティに関する責任者を任命し、方針の策定、実施状況の点検、および改善の意思決定を行う体制を整備します。

• 代表取締役が情報セキュリティの統括責任者を兼任し、最終的な責任を負います。
• 情報セキュリティおよび個人情報保護に関する規程を整備し、役員・従業員に周知します。
• インシデント発生時の対応体制については、別途「情報セキュリティインシデント対応方針」に定めます。

5.1 組織的安全管理措置

• 情報の取扱いに関する規程を整備し、規程に従って運用します。
• 情報資産の取扱状況を確認する手段を整備し、システムの操作ログおよびアクセスログを記録・保管します。
• 情報セキュリティに関するリスクを評価し、評価結果に基づいて必要な対策を実施します。
• 取扱状況および安全管理措置の有効性を定期的に点検し、見直しと改善を行います。

5.2 人的安全管理措置

• 役員・従業員に対し、入社時および定期的に情報セキュリティおよび個人情報保護に関する教育を実施します。
• 役員・従業員から秘密保持に関する誓約を取得します。
• 日常業務における基本的な取扱いルールとして、次の事項を定めて遵守させます。
  • 業務用端末について、離席時の画面ロックおよび一定時間経過後の自動ロックを設定すること
  • 業務で利用するアカウントについて、推測が困難なパスワードを設定し、他サービスとの使い回しを禁止すること
  • 業務で利用する主要なサービス（クラウドインフラストラクチャの管理コンソール、ソースコード管理、業務用メール等）について、多要素認証を有効にすること
  • 機密情報を含む書類および記録媒体を離席時および退勤時に施錠保管し、机上および画面上に放置しないこと
  • 業務上必要のない外部記録媒体の利用を制限すること
• 退職・異動時には、貸与端末の返却およびアカウントの速やかな削除・権限変更を行います。

5.3 物理的安全管理措置

• 業務を行う区域について、入退の管理を行います。
• 業務用端末および記録媒体の盗難・紛失を防止するための管理を行います。業務用端末には、OS標準のディスク暗号化機能（macOS の FileVault、Windows の BitLocker）を有効にします。
• 機密情報を含む記録媒体を廃棄する場合は、復元が不可能な方法で処理します。
• 本サービスの稼働環境には、第三者が運営する信頼性の高いクラウドインフラストラクチャ（Amazon Web Services）を利用しており、データセンターの物理的セキュリティは当該事業者の管理体制に依拠します。

5.4 技術的安全管理措置

アクセス制御と最小権限

• 本サービスおよび社内システムへのアクセスについて、業務上必要な範囲に限って権限を付与する最小権限の原則を適用します。
• 従業員に個別のアカウントを発行し、共用アカウントの利用を禁止します。
• 本サービスにおいては、お客様の企業単位でデータを論理的に分離し、他のお客様のデータにアクセスできない仕組みを実装しています。
• 本サービス内の操作権限は、お客様側の管理者が利用者ごとに設定できる仕組みを提供します。
• 本番環境のデータへのアクセスは、必要最小限の担当者に限定し、アクセス記録を保管します。

ネットワークの保護

• 本番環境をネットワーク上で分離し、外部から直接到達できる範囲を必要最小限に制限します。
• セキュリティグループおよびアクセス制御により、許可された通信のみを通過させます。
• データベースはインターネットから直接到達できない private subnet に配置します。
• 不審な通信および不正アクセスの兆候を検知するための監視を実施します。
• 開発環境・検証環境と本番環境を分離して運用します。

マルウェア対策

• 業務用端末において、OSに標準搭載されたマルウェア検知機構を有効な状態に保ちます。
• OSおよびソフトウェアの修正プログラムを適用します。

暗号化

• 通信の暗号化: 本サービスへのすべての通信を TLS により暗号化します。
• 保存データの暗号化
  • お客様の外部サービス連携用の認証情報（APIキー、アクセストークン、パスワード等）は、アプリケーション層で暗号化してデータベースに保存します。
  • オブジェクトストレージ（Amazon S3）に保存されるデータは、サーバーサイド暗号化により暗号化されます。
  • データベース（Amazon RDS）に保存されるデータは、ストレージレベルの暗号化により暗号化されます。
• 暗号化に用いる鍵は、暗号化されたデータとは分離して管理します。

ログの記録と監視

• 本サービスおよびインフラストラクチャのアクセスログ・操作ログ・エラーログを記録し、一定期間保管します。
• 記録したログを監視し、異常を検知した場合は「情報セキュリティインシデント対応方針」に従って対応します。

当社は、本サービスおよびその稼働環境に関する脆弱性を継続的に管理します。

• 本サービスが利用するライブラリおよびミドルウェアについて、脆弱性情報を収集し、影響を評価します。
• 評価の結果、影響があると判断した脆弱性については、深刻度に応じた優先度を設定し、修正版の適用その他の対策を実施します。
• ソースコードの変更については、他の開発者によるレビューを必須とし、静的解析および自動テストを継続的インテグレーション上で実行したうえで反映します。
• 第三者からの脆弱性の報告を受け付ける窓口を設け、報告内容を確認のうえ必要な対応を行います（窓口は「情報セキュリティインシデント対応方針」に記載）。

• 本サービスの提供に関する業務の一部を第三者に委託する場合、委託先の情報セキュリティ管理体制を事前に確認します。
• 委託先とは秘密保持および安全管理措置に関する事項を含む契約を締結し、必要な監督を行います。
• 本サービスが連携する外部サービスに対しては、お客様の指示に基づき、連携に必要な範囲でのみデータを送受信します。

本サービスのデータは、日本国内（Amazon Web Services 東京リージョン）で保管および処理されます。

• お客様のデータについて定期的にバックアップを取得し、障害発生時に復旧できる体制を維持します。
• 障害の発生に備え、復旧手順を定めます。

お客様との契約が終了した場合、当社は、当社が管理するサーバーに保存された当該お客様のデータを、契約終了日から90日以内に削除します。バックアップとして保存されたデータについても、同期間内に削除します。

ただし、次の情報については、それぞれ記載の範囲および期間において保有する場合があります。

お客様は、契約終了前にデータの出力または保存を行ってください。削除したデータについて、当社は復元および提供の義務を負いません。

当社は、お客様または連携先のプラットフォーム事業者から削除の完了について報告を求められた場合、合理的な範囲でこれに応じます。

当社は、個人情報の保護に関する法律その他の情報セキュリティに関連する法令、国が定める指針および規範を遵守します。

当社は、本方針および関連規程の実施状況を定期的に点検し、事業環境の変化、技術の進展、および新たな脅威の出現に応じて見直しを行い、情報セキュリティ管理を継続的に改善します。