運用セキュリティ方針

所管

項目	値
所管	Takayuki KIKUCHI
発効日	〈承認日〉

目的

情報処理システムおよび施設の正確かつ安全な運用を確保すること。

適用範囲

事業上重要である、かつ／または会社データを処理・保存・送信する、Rendering Consulting Inc.（以下「当社」）のすべての情報システム。本方針は、当社のすべての従業員、および当社のネットワークおよびシステムリソースにアクセスするその他の第三者に適用される。

運用手順の文書化

技術的および管理的の双方の運用手順は、必要に応じて文書化し、それを必要とするすべての利用者が参照できるようにしなければならない。

変更管理

組織、業務プロセス、情報処理施設、本番ソフトウェアおよびインフラストラクチャ、ならびに本番環境および財務システムにおける情報セキュリティに影響を与えるシステムへの変更は、本番デプロイに先立ちテスト・レビュー・承認しなければならない。対象システムおよびネットワークへのすべての重要な変更は、文書化しなければならない。

変更の文書化およびレビュー：
- システム、ネットワーク、および処理施設へのすべての重要な変更は、文書化しなければならない。
- 文書には、変更の目的、仕様、依存関係を考慮した潜在的な影響、およびデプロイ計画を含めなければならない。
- 変更は、本番環境および開発環境の双方から分離された環境（例：ステージング環境）でテストおよびレビューすべきである。
承認および権限付与：
- 情報セキュリティおよび運用機能に重大な影響を与える変更は、デプロイ前に正式な権限付与を得なければならない。
- 緊急の変更は迅速に実施できるが、事後のレビューおよび権限付与を経なければならない。
変更管理手順：
- 計画立案および影響評価：システムの依存関係を考慮し、変更の潜在的な影響を評価する。
- 権限付与：変更を開始する前に必要な承認を確保する。
- 情報伝達：計画された変更、スケジュール、および想定される影響について、関連する社内外の利害関係者に事前に通知する。
- テストおよび品質管理：実装前に、変更が十分にテストされ（テストおよび受け入れの詳細は 8.29 節を参照）、品質基準を満たすことを確保する。
- 実装およびデプロイ：計画されたデプロイスケジュールに沿って変更を実施する。
- 緊急時管理・是正：変更が失敗した場合または予期しない問題が発生した場合は、これを差し戻す。
- 文書の維持：チケットシステムまたはコードリポジトリプラットフォームが、変更、コミット、およびデプロイの記録を保持することを確保する。
継続性および一貫性：
- ICT の事業継続計画、対応手順、および復旧手順が、実施された変更に対して適切かつ整合性を保つよう更新されることを確保する。
- 運用文書および利用者手順が修正され、適切性を保つことを確保する。
セキュリティおよび完全性：
- 変更が、処理施設およびシステムにおける情報の機密性・完全性・可用性を維持し、損なわないことを確保する。

キャパシティ管理

システムの可用性およびパフォーマンスが当社の要件を満たすことを確保するため、処理リソースおよびシステムストレージの使用状況を監視し、調整しなければならない。

人的リソースのスキル、可用性、およびキャパシティは、キャパシティ計画の一要素として、また年次リスクアセスメントプロセスの一環として、レビューおよび検討しなければならない。

システムを変更することなく、追加の処理能力またはストレージ容量のためにリソースをスケーリングする場合は、標準の変更管理およびコードデプロイのプロセス外で実施することができる。

データ漏洩防止

本データ漏洩防止方針を遵守し、機密情報の漏洩リスクを最小化するため、当社は以下を実施するものとする。

データ管理方針に従って情報を識別・分類する
機密情報の適切な使用および取り扱いを含め、利用者への意識向上トレーニングを提供する

組織およびデータ主体に対するリスクに応じて、技術的な監視およびデータ損失防止（DLP）ツールの使用を検討する。

Web フィルタリング

当社は、当社の人員による安全・セキュアかつ適切なインターネット利用を確保するものとする。

Web サイトへのアクセスおよびブロック：

セキュア DNS や IP アドレス・ドメインのブロックなどの仕組みを実装し、コンテンツまたはマルウェア・ウイルス・フィッシング資材の既知の配布により重大なリスクをもたらす Web サイトへのアクセスを制限する。
Web サイトの自動ブロックが可能な、またはそのように設定可能なブラウザおよびアンチマルウェア技術を採用する。
正当な業務上の理由により正当化される場合を除き、以下の Web サイトへのアクセスのブロックを検討する。
1. 情報アップロード機能を有するもの。
2. 悪意のあるコンテンツが既知または疑われるもの。
3. コマンド＆コントロール（C2）サーバーとして機能するもの。
4. 脅威インテリジェンスにより悪意があると識別されたもの。
5. 違法コンテンツを共有するもの。

利用規則およびガイドライン：

利用者は、情報セキュリティポリシーに含まれる行動規範および許容利用ポリシー（AUP）に従い、当社のすべての規則を遵守しなければならない。

開発・ステージング・本番環境の分離

運用環境への不正アクセスまたは変更のリスクを低減するため、開発環境およびステージング環境は、本番の SaaS 環境から厳格に分離しなければならない。機密の本番顧客データは、開発環境またはテスト環境で使用してはならない。

機密データの定義については、データ管理方針を参照すること。本番顧客データを開発またはテストの過程で使用することが承認された場合は、可能な限り、当該機密情報を除去（スクラブ）しなければならない。

システムおよびネットワークの構成・ハードニング・レビュー

システムおよびネットワークは、本方針の付録 A に記載された構成およびハードニング標準に従ってプロビジョニングおよび維持しなければならない。

本方針に従い、ファイアウォールおよび／または適切なネットワークアクセス制御・構成を使用して、本番環境との間のネットワークトラフィックを制御しなければならない。

本番ネットワークのアクセス構成ルールは、少なくとも年 1 回レビューしなければならない。必要な変更の承認を得るために、チケットを作成しなければならない。

マルウェアからの保護

悪意のあるソフトウェアの侵入から当社のインフラストラクチャを保護するため、適切な利用者の意識向上と組み合わせて、マルウェアから保護するための検知・防止・復旧の管理策を実装しなければならない。

アンチマルウェア対策は、通常は悪意のあるソフトウェアの影響を受けにくいオペレーティングシステムを実行するものを除き、当社が支給するすべてのエンドポイントで利用しなければならない。加えて、当社のメールには脅威検知・対応ソフトウェアを利用しなければならない。利用するアンチマルウェア対策は、一般的な形態の悪意のある脅威を検知し、適切な緩和措置（削除、ブロック、または隔離など）を実行できるものでなければならない。

当社は、システムへの導入時にすべてのファイルをスキャンし、アクセス・変更・ダウンロードの際にファイルを継続的にスキャンすべきである。アンチマルウェアの定義およびエンジンの更新は、新しい更新が利用可能になり次第、自動的にダウンロード・インストールされるよう設定すべきである。既知または疑われるマルウェアのインシデントは、セキュリティインシデントとして報告しなければならない。

権限なくアンチマルウェア対策を無効化または構成変更することは、当社方針への違反である。

情報のバックアップ

システム、データベース、情報、およびデータのバックアップの必要性を検討し、適切なバックアッププロセスを設計・計画・実装しなければならない。バックアップ手順には、文書化された SLA に従って顧客データを維持・復旧するための手順を含めなければならない。バックアップを保護するためのセキュリティ対策は、データの機密性または重要度に応じて設計・適用しなければならない。データ損失から保護するため、情報・ソフトウェア・システムイメージのバックアップコピーを定期的に取得しなければならない。バックアップおよび復元機能は、少なくとも年 1 回、定期的にテストしなければならない。

バックアップは、本番データの保存場所とは分離して保存しなければならない（ペアリングされた Azure リージョンへの地理冗長バックアップ）。

当社は、ラップトップなどの利用者デバイスを定期的にバックアップしない。利用者は、重要なファイルおよび情報を、会社が認可したファイルストレージリポジトリに保存することが求められる。

バックアップは、対象システム上で毎日実行されるよう設定されている。バックアップのスケジュールは、バックアップアプリケーションソフトウェア内で維持される。

バックアップデータおよびバックアッププロセスを検証するため、少なくとも年 1 回、バックアップ復元テストを実施すべきである。

ログ記録と監視

本番インフラストラクチャは、システムまたはデバイスが果たす機能に応じた詳細なログを生成するよう設定しなければならない。利用者の活動、例外、障害、および情報セキュリティイベントを記録するイベントログを生成・保持し、必要に応じて手動または自動のプロセスを通じてレビューしなければならない。本番システムまたは機密データの機密性・可用性・完全性に対する重大な脅威となるイベントについては、適切なアラートを設定しなければならない。

本番アプリケーションおよびそれを支えるインフラストラクチャについて、ログ記録は以下の基準を満たすべきである。

利用者のログインおよびログアウトを記録する
アプリケーションおよびシステムの利用者・オブジェクトに対する CRUD（作成・読み取り・更新・削除）操作を記録する
セキュリティ設定の変更（ログ記録の無効化または変更を含む）を記録する
顧客データに対するアプリケーションオーナーまたは管理者のアクセスを記録する（すなわちアクセスの透明性）
ログには、ユーザー ID、IP アドレス、有効なタイムスタンプ、実行された操作の種類、およびその操作の対象を含めなければならない。
ログは少なくとも 30 日間保存しなければならず、機密データまたはペイロードを含めるべきではない

ログ情報の保護

ログ記録機能およびログ情報は、改ざんおよび不正アクセスから保護しなければならない。

管理者および運用者のログ

システム管理者およびシステム運用者の活動は、システムの分類および重要度に応じて、ログ記録・レビューおよび／またはアラートを行わなければならない。

データ復元ログ

サービスの提供またはテストの目的で、当社が PII を含む本番データをバックアップから復元する必要が生じた場合は、監査可能なチケットにログ記録または追跡しなければならない。

時刻同期

組織またはセキュリティドメイン内のすべての関連する情報処理システムの時刻は、信頼できる時刻ソースを用いて、ネットワークタイムサーバーに同期しなければならない。

ファイル完全性監視と侵入検知

当社の本番システムは、可能な限り、重要なシステムファイルへの不審な変更を監視・ログ記録し、自己修復および／またはアラートを行うよう設定しなければならない。

不審な状態についてはアラートを設定し、エンジニアは定期的にログをレビューしなければならない。

当社システムへの不正な侵入・アクセスの試み、または変更は、インシデント対応計画に従って調査・是正しなければならない。

運用ソフトウェアの管理

本番システムへのソフトウェアのインストールは、本方針に定める変更管理要件に従わなければならない。

脅威インテリジェンス

情報セキュリティの脅威に関する情報を収集・分析し、脅威インテリジェンスを生成すべきである。

収集：ブログ、ニュース記事、ベンダーの更新情報、公開データベース、業界コミュニティなど、多様なソースから収集する。

分析：データを精査して実行可能な洞察を導き出し、予防的な対応の取り組みを可能にする。実行可能な洞察または具体的な脅威は CEO に報告する。

周知：効果的な対応のため、関連チームへ脅威インテリジェンスを効果的に伝達することを確保する。CEO は、Slack、メール、緊急アラートなどの伝達手段を通じて、実行可能な情報を周知する。

フィードバック：フィードバックを方針の改善に活用することで、継続的改善を促進する。フィードバックを方針の改訂に反映し、定期的な方針レビューを実施する。

技術的脆弱性管理

使用中の情報システムの技術的脆弱性に関する情報を適時に取得し、当該脆弱性への組織のエクスポージャーを評価し、関連するリスクに対処するための適切な措置を講じなければならない。技術的脆弱性に関する情報の取得には、スキャンおよびベンダーアラートを含む多様な方法を用いなければならない。

本番環境の公開システムに対する脆弱性スキャンは、少なくとも四半期ごとに実施しなければならない。

CEO は、あらゆるソースから特定された脆弱性の深刻度を評価し、リスク上重要なクリティカルまたは高リスクの脆弱性であると判断された場合は、サービスチケットを作成する。当社が評価する深刻度レベルは、技術アーキテクチャおよび実世界での影響・悪用可能性に関する当社の内部的な知見および理解に基づき、スキャンソフトウェアによって自動生成された、または外部の研究者によって判定されたレベルと異なる場合がある。チケットは、さらなる調査および／または是正のため、システム・アプリケーション・プラットフォームのオーナーに割り当てられる。

当社が評価した脆弱性は、以下の期間内にパッチ適用または是正しなければならない。

判定された深刻度	是正期間
クリティカル	30 日
高	30 日
中	60 日
低	90 日
情報提供	必要に応じて

標準期限内に是正できない脆弱性のサービスチケットには、リスク対応計画および是正予定時期を示さなければならない。

ソフトウェアインストールの制限

利用者によるソフトウェアのインストールを規律する規則を、当社の情報セキュリティポリシーに従って確立・実装しなければならない。

情報システム監査に関する考慮事項

運用システムの検証を伴う監査要件および活動は、業務プロセスへの支障を最小化するよう慎重に計画・合意しなければならない。

システムセキュリティ評価および要件

システム、技術、または施設の取得または重要な変更に先立ち、リスクを検討しなければならない。要件が正式に特定される場合は、関連するあらゆるセキュリティ要件を含めなければならない。新規のサプライヤーおよびサービスの取得は、第三者管理方針に従って行わなければならない。

当社は、新規のシステムコンポーネントやネットワークトポロジーなど、環境への主要な変更のレビューを含む、年次のネットワークセキュリティ評価を実施しなければならない。

データマスキング

当社は、リスクまたは特定の要件に基づいてデータマスキングを実装する。

技術に関するガイダンス：

PII およびその他の機密データを効果的に保護するため、データマスキング、仮名化、または匿名化などの適切な技術を採用する。
仮名化および匿名化の手法が、PII と個人、または機密データ要素との結び付きを効果的に断ち切ることを保証する。
適切なデータ匿名化のため、情報のすべての要素が考慮されていることを確認する。
暗号化、文字の空白化・削除、数値や日付の変動、置換、値のハッシュへの置き換えなど、追加のデータマスキング手法を採用する。

データマスキングに関する考慮事項：

プライバシーとセキュリティを保護するため、必要最小限のデータのみを利用者に開示するよう、データクエリおよびマスクを設計する。
特定のデータを利用者から秘匿すべき具体的な状況を考慮し、データ難読化の仕組みを構築する。
PII 主体が難読化されたデータの可視性を制御できる選択肢を提供し、データマスキングに関連する適用可能な法的または規制上の要件を遵守する。

データマスキング・仮名化・匿名化の使用：

処理済みデータについて、適切な強度レベル、アクセス制御、利用者との合意、および使用制限を決定する。
PII 主体を特定するために処理済みデータを他の情報と組み合わせることを防止し、提供および受領した処理済みデータのトレーサビリティを確保する。

例外

本方針への例外の申請は、承認を得るために CEO に提出しなければならない。

違反と執行

本方針に違反していることが判明した場合は CEO に報告しなければならない。本方針への違反は、会社の手続きに従い、システムおよびネットワークの利用権限の即時剥奪または停止、ならびに雇用の終了を含む懲戒処分の対象となる場合がある。

バージョン履歴

バージョン	日付	説明	作成者	承認者
2.0	2026年5月13日	バージョン 2.0	Takayuki KIKUCHI	Takayuki KIKUCHI

付録 A — 構成およびハードニング標準

サーバーおよび仮想マシン

以下の標準は、自己管理型の仮想マシンなどの Infrastructure-as-a-Service（IaaS）ワークロードが将来採用される場合に適用される。当社は現在、Platform-as-a-Service（PaaS）の提供、主に Azure Static Web Apps および Azure Database for PostgreSQL Flexible Server のみで運用しており、基盤となるサーバーおよび VM のハードニングは Microsoft Azure によって管理されている。

これは、システムレベルのサーバーおよび仮想サーバー（VM）の構成ハードニングに関する標準である。適切な名称、グループ、認証設定、およびその他の個別設定オプションの設定など、特定の対象環境向けにシステムを構成するために、これらの設定への一部のカスタマイズが必要となる場合がある。

加えて、すべての物理システムおよび仮想システムは、以下の技術要件を遵守しなければならない。

すべてのベンダーのデフォルトパスワード（オペレーティングシステム、セキュリティサービスを提供するソフトウェア、アプリケーションおよびシステムアカウント、Simple Network Management Protocol（SNMP）コミュニティ文字列などのデフォルトパスワードを含む）は、システムをネットワーク上に設置する前に変更しなければならない。
不要なデフォルトアカウント（オペレーティングシステム、セキュリティソフトウェア、アプリケーション、システム、SNMP などで使用されるアカウントを含む）は、システムをネットワーク上に設置する前に削除または無効化しなければならない。
異なるセキュリティレベルを必要とする機能が同一システム上で共存することを防ぐため、サーバーまたは仮想マシンごとに実装できる主要機能は 1 つのみとする。
必要なサービス、プロトコル、デーモンなどのみを、システムの機能に必要な範囲でのみ有効化できる。すべての不要な機能（スクリプト、ドライバ、機能、サブシステム、ファイルシステム、および不要な Web サーバーなど）は無効化しなければならない。
クリティカル、高、または中と識別されたすべてのセキュリティパッチは、本方針で確立された SLA 内でシステムに適用しなければならない。
システムが業界標準のベースライン（CIS ベンチマーク、NIST ガイドライン）に整合していることを確保する。

技術的な遵守

ベンダーデフォルト：すべてのデフォルト構成、特にパスワードは、ネットワーク統合前に変更しなければならない。
役割の特化：職務分離を維持し、ラテラルムーブメントの機会を低減するため、VM ごとに単一の主要機能を維持する。
パッチ管理：定められた SLA を満たすためのパッチ管理戦略を確立する。

ネットワーク標準

ネットワークルールおよび設定の管理は、権限を有する人員のみが実施でき、すべての変更は運用セキュリティ方針に定める変更管理手順に準拠しなければならない。
本番ネットワークでサポートされるネットワーク制御は、ファイアウォールおよびネットワークアクセス制御リスト（NACL）である。本番ネットワークシステムの管理は、集中型構成管理システムおよびセキュアなアクセスプロトコルの使用を通じて行う。
本番環境では、信頼できないネットワーク（例：公開サービス）から内部本番ネットワークへのトラフィックを制御するため、定められたルールおよび構成を強制しなければならない。
ネットワーク制御システムは、内部 IP アドレスのインターネットへの開示を防止するため、デフォルトのネットワークアドレス変換（NAT）を使用するよう構成しなければならない。
本番ネットワークに接続するモバイルデバイスは、情報セキュリティポリシーに含まれるモバイルデバイスポリシーの要件を満たさなければならない。
すべてのネットワーク制御システムは、インターネットを発信元とする内部アドレスの受信をブロックまたは拒否するため、デフォルトのアンチスプーフィングルールを構成しなければならない。
外部構成は、許可された公開サービス・プロトコル・ポートを提供するシステムコンポーネントのみに受信トラフィックを制限しなければならない。
リスクを軽減するために実装された追加のセキュリティ機能の正当化および文書化なしに、安全でないサービスおよびプロトコルを使用することは禁止する。
リモートアクセスセッションは、2 時間の指定期間経過後にタイムアウトを強制するよう構成しなければならない。
本番システムへのアクセスに使用される、ベンダーおよびビジネスパートナー向けのリモートアクセス技術は、業務目的で必要な場合にのみ有効化し、使用後は直ちに無効化しなければならない。
クラウドとオンプレミスの両方のアクセスを有するハイブリッドネットワークは、セキュリティ要件が維持されていることを確保するため、少なくとも年 1 回スキャンおよびテストしなければならない。
変更管理：ネットワーク設定へのいかなる変更も、変更管理プロセスを遵守しなければならない。

本番環境におけるトラフィック管理

ルールの強制：あらかじめ定義されたルールを厳格に強制し、少なくとも年 1 回、再検討および検証すべきである。
リモートアクセス制御：リモートアクセスを厳格に制御・監査し、すべての接続を制限・ログ記録することを確保する。

NACL およびトラフィック制御

定められた業務上の正当な理由に従い、トラフィックを規律する厳格なルールを確立する。

クラウドハードニング

アイデンティティおよびアクセス管理（IAM）

最小権限の原則：各エンティティ（利用者、サービス、システム）が必要最小限のアクセスのみを有することを確保する。
本番アクセスに対して多要素認証（MFA）を強制する。

データストレージおよび管理

データ暗号化：暗号化ポリシーに従い、保存時および転送時のデータの暗号化を確保する。
プライベートエンドポイント：データの傍受を防ぐため、プライベートエンドポイントおよび VPN を有効化する。
データライフサイクル管理：顧客データリポジトリのバックアップを構成する。

ネットワークセキュリティ

分離：VPC およびサブネットを利用して環境を分離し、ネットワークをセグメント化する。
ファイアウォール：クラウドネイティブまたは第三者製のファイアウォールソリューションおよび DDoS 保護サービスを実装する。

監視およびログ記録

ログ記録：改ざんを防止するため、Write-Once-Read-Many（一度書き込むと変更不可）ストレージに重点を置いたログ記録を構成する。
アラート：リアルタイムのインシデント対応のため、クラウドベースのアラート（Azure Alerts）を実装する。

コンテナハードニング

以下の標準は、コンテナベースのインフラストラクチャが将来採用される場合に適用される。当社は現在、本番環境でコンテナベースのワークロードを運用していない。

イメージセキュリティ

セキュアなソースイメージ：当社が認可したベースイメージまたはリポジトリからのみイメージを作成する。
ミニマリスト設計：攻撃対象領域を低減するため、最小限のベースイメージを採用する。

ランタイムセキュリティ

ランタイム分析：稼働中の脆弱性および脅威の検知のため、ランタイムセキュリティツールを実装する。

ネットワークセキュリティ

ポリシーベースの制御：第三者製またはクラウドネイティブのツールを使用してネットワークポリシーを実装する。

オーケストレーションセキュリティ

API サーバー：適切なファイアウォール、IAM 制御、およびセキュアな通信チャネルで API サーバーを保護する。
RBAC：オーケストレーションのアクセス権を確立・定期的にレビューし、最小権限の原則への適合を確保する。

CI/CD セキュリティ

依存関係スキャン：ビルドプロセス中に脆弱な依存関係をスキャンする。