Vtiger - 技術的および組織的対策 (TOM)

• 施錠された建物とオフィス
• 生体認証アクセス
• 手動ロックシステム
• 自動ロックシステム付きドア
• 警備員
• 入口のビデオ監視
• オンサイトで本番サーバーは不要

• 主要な規制チェックリスト
• 警備員による受付
• 訪問者ブック
• 従業員/訪問者バッジ
• 従業員同伴の訪問者
• 情報セキュリティポリシー
• 作業指示書 アクセス制御

• ユーザー名と強力なパスワードでログイン
• ファイアウォール
• 侵入検知システム
• リモートアクセスにはVPNを使用する
• ディスク、デバイス/ラップトップ/タブレットの暗号化
• 二要素認証
• デスクトップ/ラップトップの自動ロック
• デバイスとサーバーにインストールされているウイルス対策ソフトウェア
• アクセスは監視され、記録されます
• ログイン/認証に失敗した場合の自動アカウントロックアウト
• すべての使用アクティビティとデータの変更が記録されます

• ロールベースの認証を含むユーザー権限管理
• ユーザー固有のプロファイルの作成
• 情報セキュリティポリシー
• パスワードポリシー
• モバイルデバイスポリシー
• 作業手順: IT セキュリティ SOP と従業員のアクセス制御
• 従業員の調査
• トレーニングと意識向上
• デミニミス原則

• データキャリア/デバイスの物理的な削除
• SSH暗号化アクセス
• 認定SSL暗号化
• 使わなくなったファイルや書類を細断する
• 保存期間後または顧客の要求に応じてアーカイブからバックアップを自動的に削除
• アプリケーションへのアクセスのログ、特にデータの入力、変更、削除のログ

• 情報セキュリティポリシー
• 管理者の役割を最小限に抑える
• 管理者によるユーザー権限の管理
• 情報および資産の取り扱いに関する作業指示

• 物理的な分離（システム/データベース/データキャリア）
• 関連アプリケーションのマルチテナント
• クライアントアプリケーションとデータは論理的に分離されている
• 開発、テスト、本番環境のステージング

• 情報セキュリティポリシー
• データ保護ポリシー
• 承認コンセプトによる制御
• 作業指示書: 運用セキュリティ、ソフトウェア開発とテストにおけるセキュリティ

転送中のデータ暗号化（インモーション）

• すべてのデータ転送にトランスポート層セキュリティ (TLS 1.2 以上) および Secure Sockets Layer (SSL) プロトコルを実装しました。
• これらのプロトコルは、システム間でデータが移動するときにデータを暗号化し、傍受した人がデータを読み取ることができないようにします。

保存時のデータ暗号化

• ストレージディスク: ディスクレベルの暗号化で暗号化
• 機密データ: AES-256 (256 ビット高度暗号化標準) で暗号化
• キー管理: AWS キー管理サービス (KMS)
• バックアップ: AWS S256 で AES-3 で暗号化
• データ マスキング: 顧客固有の詳細は難読化されます。

• キーのローテーション: データとバックアップに使用される暗号化キーを定期的にローテーションして、キーの侵害に関連するリスクを最小限に抑えます。
• アクセス制御: 暗号化キーへのアクセスを、厳密に知る必要がある人員に限定します。
• 監査: アクセスを監視し、潜在的な異常を特定するために、詳細なキー使用ログを維持します。

• VPNの使用
• アクセスと取得のログ
• SFTP、HTTPS、安全なクラウドストアなどの暗号化された接続を介してプロビジョニング

• 定期的な検索と送信プロセスの調査
• 輸送人員と車両の慎重な選択
• プロトコルによる個人の引き継ぎ
• 情報セキュリティポリシー
• データ保護ポリシー

• データの入力、変更、削除の技術的ログ
• ログの手動または自動制御（厳格な社内仕様に準拠）

• どのプログラムを使用してどのデータを入力、変更、または削除できるかの調査
• 個々のユーザー名によるデータの入力、変更、削除の追跡可能性
• 承認コンセプトに基づいたデータの入力、変更、削除の権限の割り当て
• 削除の責任を明確にする
• 情報セキュリティポリシー

• 最低 99.9% の稼働率 (週末の夜に予定されているメンテナンスを除く)。
• データの継続的な可用性
• 火災および煙検知システム
• 消火器サーバールーム
• サーバールームの温度と湿度の監視
• サーバールームの空調
• UPSシステムと非常用ディーゼル発電機
• サーバールームの保護用ソケットストリップ
• RAIDシステム/ハードディスクミラーリング
• ビデオ監視サーバールーム

• バックアップコンセプト
• 緊急時対応計画の存在
• オフサイトのバックアップストレージ
• 必要に応じてOSとデータパーティションを分離する

• バックアップの監視とレポート
• 自動化ツールからの復元可能性
• 重要度と顧客の仕様に応じたバックアップコンセプト

• 災害復興計画
• バックアッププロセスの制御
• データ復旧の定期的なテストと結果の記録
• バックアップメディアをサーバールーム外の安全な場所に保管する
• 緊急時対応計画の存在

• 従業員がアクセスできるすべてのデータ保護規制の中央文書
• ISO 27001に準拠したセキュリティ認証
• TOMの有効性のレビューは少なくとも年に1回実施され、TOMは更新されます。

• データ保護責任者 (DPO) が任命されます。
• すべてのスタッフはトレーニングを受けており、機密性とデータの秘密性を維持する義務があります。スタッフは少なくとも年に 1 回は定期的な意識向上トレーニングを受けます。
• データ保護影響評価 (DPIA) は必要に応じて実行されます。
• GDPR の第 13 条および第 14 条に従って情報義務を遵守するためのプロセスが確立されています。
• データ主体からの情報要求を処理するための正式なプロセスが整備されています。
• データ保護の側面は当社の企業リスク管理に統合されています。
• データセンター運営を含む当社の主要部分は ISO 27001 認証を取得しており、毎年監視監査が実施されています。

• ファイアウォールの使用と定期的な更新
• スパムフィルターの使用と定期的な更新
• ウイルススキャナの使用と定期的なアップデート
• 注文中の顧客システム向け侵入検知システム (IDS)
• 注文中の顧客システム向け侵入防止システム (IPS)

• 監督当局への報告義務を含む、セキュリティインシデントやデータ侵害を特定して報告するための文書化されたプロセス
• データ保護責任者（DPO）が関与するセキュリティインシデントを処理するための標準手順
• 社内チケットシステムを使用してセキュリティインシデントやデータ侵害を文書化する
• セキュリティインシデントやデータ侵害のフォローアップの標準プロセス
• 違反通知ポリシー

• サードパーティ アプリケーションの承認: 開発で使用されるすべてのサードパーティ アプリケーションには、チーム リーダーと IT 運用マネージャーの承認が必要です。
• 安全なダウンロード ソース: 開発ツールのダウンロードは、製造元のサーバーなどの安全なソースからのみ行うように義務付けます。
• シングル サインオン (SSO): 可能な場合は、サードパーティ アプリケーションがアクセスを集中管理できるように SSO を実装します。
• 安全性の低いアプリケーションの無効化: 管理者の設定により、安全性の低いサードパーティ アプリケーションをデフォルトで無効にします。

• プライバシーに配慮した設計: ユーザーが入力する必要があるデータの量を最小限に抑える製品開発を奨励します。不要なデータ フィールドを避けるか、オプションにします。
• デフォルトのプライバシー設定: ユーザーデータ保護を優先するために、デフォルトでプライバシーに配慮した設定を事前に選択します。
• PbD: データ保護ポリシー (「設計によるプライバシー/デフォルトによるプライバシー」の原則を含む)

• 外部からのリモートアクセスの監視（リモートサポートなど）
• それに応じて下請業者を監視します。

• 顧客の指示に従ってデータを処理する
• サプライヤー管理とサプライヤー評価のための作業指示書を作成する
• 追加の下請業者の使用に関する規制を遵守する
• データ保護とセキュリティに重点を置いて、サブプロセッサーを慎重に選択する
• 委託処理やEU標準契約条項などの必要なデータ処理契約を締結する
• 請負業者の従業員がデータの機密性を維持し、情報セキュリティポリシーを遵守していることを確認する
• 契約終了後は必ずデータを破棄してください。