ANDPAD セキュリティホワイトペーパー

利用者との責任分界点

株式会社アンドパッド(以下、当社)の責任
当社は、以下のセキュリティ対策を実施します。

• ANDPAD のセキュリティ対策
• ANDPAD に保管されたお客様データの保護
• ANDPAD の提供に利用するミドルウェア、OS、その他インフラのセキュリティ対策

お客様の責任
お客様は、以下のセキュリティ対策を実施する必要があります。

• 各利用者に付与されたパスワードの適切な管理
• ANDPAD アカウントの適切な管理（登録、削除、組織管理者権限の付与など）

データ保管場所

• お客様からお預かりしたデータは、AWS および Google Cloud の日本及び米国リージョンに保管されます。

データの削除

• ANDPAD 利用に関する契約が終了した場合、データの論理削除を実施します。

ラベル付け機能

• お客様は、会社、ユーザー、案件情報、物件情報、顧客情報等、主要なデータ構造にラベル付けが可能です。また、写真や資料のフォルダによる分類が可能です。

利用者登録および削除

• お客様は、契約の範囲内において、いつでも自由にユーザーの登録・削除を行うことが可能です。

アクセス権の管理

• お客様は、登録したユーザーの権限を、自由に切り替えることが出来ます。会社権限と案件権限の設定によって柔軟な権限管理が可能です。

パスワードの配布方法

• 新規登録されたユーザーは招待メールのリンクから初期パスワードの設定が可能です。
• ユーザーはパスワードを忘れた場合、自らパスワードの再設定を行うことが可能です。

暗号化の状況

• データベースに保管される、お客様の各種情報は、クラウドベンダーが提供する機能によって暗号化が行われます。また、パスワードはハッシュ化された状態でデータベースに保管されます。
• お客様の端末と、システムとの間のインターネット通信は、SSL 通信(TLS 1.2以上)によって暗号化されます。

変更管理

• ANDPAD の各種変更に関する情報は、サービス内の「アンドパッドからのお知らせ」に掲載します。

手順書の提供

• ANDPAD の利用手順は、サービス内の「使いかた動画」、「ANDPADガイド」からご確認いただくことが可能です。

バックアップの状況

• データベースに保管される、お客様の各種情報は、日次でバックアップを取得しています。バックアップは、35世代分保管されます。
• 但し、お客様によるバックアップデータの復元等に関する要望は、承っておりません。

ログのクロックに関する情報

• ANDPAD サービス内で提供されるログは、タイムゾーンJST(UTC+9)で提供されます。
• ログは、クラウドベンダーから提供されるNTPサービスを利用して時刻同期しています。

脆弱性管理に関する情報

• ANDPAD 開発チームは、システムで利用しているOS、ミドルウェア等に関する脆弱性情報を、定期的に収集しています。
• システムで利用しているコンポーネントに対する脆弱性パッチが公開された場合は、テスト環境での検証を経た後、速やかに適用されます。

開発におけるセキュリティ情報

• ANDPAD の開発言語は、主に Ruby、Go、JavaScript(TypeScript)、Swift、Kotlin、Python、Dart が用いられています。
• 開発は社内で定められたコーディング規約に従って実施され、ソースコードレビュー及びテストを通過したコードのみが本番環境に適用されます。
• テストは CI を用いて自動実行され、リリース前に専門の部署による QA を実施して品質を確保しています。

インシデント発生時の対応

• お客様に影響を与える情報セキュリティインシデントが発生した場合は、当社が定めるインシデント対応マニュアルに基づいて対応し、お客様にご報告いたします。
• 情報セキュリティインシデントに関する問合せは、サイト内の「お問い合わせ」に記載の窓口にて受け付けています。

お客様データの保護及び第三者提供について

• お客様から預かったデータを適切に保護することは、当社の責任です。ログデータを含むお客様データは、不正なアクセスや改ざんを防ぐため、ANDPAD 開発チームの一部の人間しかアクセスできない、限られたアクセス権のもとで保管されます。
• 但し、裁判所からの証拠提出命令など、法的に認められた形でお客様のデータの提供を要請された場合、当社は、お客様の許可なく、必要最小限の範囲で、お客様情報を外部に提供する可能性があります。

適用法令

• お客様と当社との間の契約は、日本法に基づいて解釈されるものとします。

認証

• 当社は、情報マネジメントシステム認定センター(ISMS-AC)が運営する、ISMS適合性評価制度における、ISMS認証を取得しています。

外部クラウドサービスの利用

ANDPADでは、次に示す機能を運用するために、外部のクラウドサービスを利用しています。