HCLSoftware の技術的・組織的措置 (TOMS) – セキュリティー

以下に示す技術的・組織的措置 (TOMS) は、すべての HCLSoftware 製品に適用されます。HCLSoftware Security によって実施・維持されている措置の証拠は、顧客からの要求に応じて、最新のコンプライアンス証明書、監査報告書、または独立機関からの文書の形で提示できます。

セキュリティーポリシー

HCLSoftware は堅牢な情報セキュリティー・マネジメントシステム (ISMS) を維持しています。セキュリティーポリシーは毎年見直され、セキュリティーコンプライアンスを維持するために必要に応じて HCLSoftware によって改訂されます。

正式なマネジメントレビューは 6 か月ごとに実施され、技術的・組織的措置の有効性が評価・検証されます。これには、情報セキュリティー・マネジメントシステムにおけるガバナンス、リスク、コンプライアンスに関連する指標の追跡が含まれます。

HCLSoftware の従業員は毎年セキュリティーとプライバシーに関する研修を受講します。 HCLSoftware には明確に定義された情報セキュリティー組織体制があり、HCLSoftware におけるすべての情報セキュリティー関連のプロセスと活動を監督しています。

• HCL では、個人データへのアクセスに対応するデータプライバシー・ポリシーとプロセスを定義・文書化しています。
• 情報セキュリティーに関する必須の意識向上トレーニングが実施されています。
• HCL は、悪意のある行動や異常な行動を検知するためにイベントログを継続的に確認しています。
• 報告されたすべての確認済みインシデントは、根本原因と影響について分析されます。是正措置はプロセスオーナーによって開始されます。主要なインシデントについてはその根本原因と影響が HCL の経営陣に報告されます。
• HCLSoftware のデータセンターとサポート組織は ISO 27001 認証を取得しています。

社内の IT および IT セキュリティーのガバナンスと管理

正式な内部監査プログラムが運用されており、ISMS コントロールの適合性とガバナンスを測定しています。内部監査プログラムの指標は、マネジメントレビューで報告されます。

プロセスおよび製品の認証と保証

独立した外部監査が組織され、認証や保証に関するビジネスニーズを満たすように管理されています。これには、当社の ISMS によってサポートされるプロセスおよび製品の完全かつ正式な検証が含まれます。

詳細については 「認証の要求」 を参照してください。

リスク管理

HCLSoftware は、ISO 27005 に基づき、セキュリティー、プライバシー、その他契約上の要件に関連するリスクを特定するためのリスク管理フレームワークを定義・文書化し、実装しています。すべてのリスクはビジネスへの影響を評価され、その後、適切な対応措置を決定するためにさらに評価されます。

HCLSoftware はリスクを評価してそれらに対処し、特定されたリスクを軽減するためのアクションプランを策定します。HCLSoftware のすべての部門には、リスクの特定と管理を支援するリスク担当者が配置されています。すべてのリスクは必要に応じて見直され、少なくとも年に 1 回はレビューが行われます。

インシデント管理

HCLSoftware はインシデント対応ポリシーを維持しており、文書化されたインシデント対応計画に従っています。これには、発生した侵害が顧客データに影響を及ぼすことが判明した場合、またはその可能性が合理的に疑われる場合に、関係当局、顧客、データ主体に対して速やかに侵害通知を行うことが含まれます。

HCLSoftware のインシデント対応プログラムは NIST 800-61 r2 に準拠しています (下図参照)

HCLSoftware は、次の種類のインシデントについて個別のフローを維持しています。

• サイバーセキュリティー・インシデント
• データインシデント (個人データが影響を受ける場合はプライバシーチームが関与)

HCL はセキュリティーインシデントを 24 時間 365 日監視しており、イベントが検知されると適切なインシデント管理対応チームにエスカレーションされます。インシデント対応プロセスには、必要に応じて隔離、除去、保持が含まれます。また、重大またはクリティカルなインシデントについては根本原因分析が実施されます。インシデント後の活動には、必要に応じてプロセスやツールを改善するためのレビューも含まれます。

物理的・環境的セキュリティー

HCLSoftware は、自社施設とデータセンターの物理的セキュリティーを維持しており、環境的脅威や電力障害に対する予防措置を含みます。

• データセンターへのアクセスは職務に応じて制御・制限され、承認が必要です。
• データセンターへのアクセスは必要最小限に限定され、定期的に見直されます。
• オフィスへの物理的アクセスはアクセス制御メカニズムによって管理されています。
• 来訪者の入館は監視され、記録されます。
• すべての重要区域は CCTV で監視されており、録画は少なくとも 30 日間保存されます。

データプライバシー

HCLSoftware は、同社と、当社が保有する個人データに適用されるすべてのプライバシー規制に準拠するよう設計されたプライバシープログラムを導入し、これを将来も維持します。また、顧客の個人データを当社の法的義務と顧客契約に従って取り扱うようにするためのプロセスも採用しています。このプライバシープログラムには、特に以下の内容が含まれます。

1. データ保護の影響評価
2. ポリシーと手順
3. プライバシーに関する従業員向け意識向上トレーニング
4. 顧客契約
5. データ転送の影響評価
6. ベンダーとサードパーティのプライバシー評価
7. 設計による製品プライバシー
8. データ主体要求への対応
9. インシデント対応
10. 世界的なプライバシー規制への準拠を文書化する

限定的なデータ保持の確保

• サポートは、お客様へのサポートや関連サービスを提供する目的で必要な個人データのみを収集します。サポートは、必要以上に顧客データを保存することはなく、内部ポリシーと適用法に従って個人データを保護し削除するために必要なすべての措置を講じます。
• 顧客データリポジトリ (CuDaR) に保存される診断データは、ケースがクローズされた後、アクティブなリポジトリから削除され、バックアップから完全に削除されるまで最大 60 日を要します。チケット管理システムに格納されたケースデータは、ケースクローズ後最大 5 年間保持されます。

顧客データへのアクセスと消去

サポートは、内部ポリシーと適用法に従ってデータ主体要求を処理する能力を有しています。お客様はカスタマーサポート・ポータルを通じてご自身のデータにアクセスでき、必要に応じてデータをエクスポートすることが可能です。さらに、HCL サポートでは、お客様からのご依頼に応じてデータのエクスポートを支援することも可能です。

仮名化および匿名化

サポートの非本番環境においては、必要な範囲で個人データの仮名化または匿名化の措置が実施されています。

個人データの暗号化

• 個人データが送信される際には、通信のエンドツーエンド暗号化が確保されます。すべての個人データ転送は HTTPS または SFTP を介して行われ、TLS 1.2 以上のプロトコルが使用されます。バックエンドデータベースは AES-256 暗号化を使用して保存時に暗号化されます。
• 転送中のデータ - ログイン時を含むすべてのインターネット接続において TLS (Transport Layer Security) 暗号化が必須とされ、すべてのデータは転送されている間に暗号化されます。
• 保存データ - 保存されている顧客データは暗号化されます。鍵管理は業界のベストプラクティスに準拠しています。暗号化は AES 256 標準を採用しています

暗号化の対策

• 暗号鍵管理 - 暗号鍵管理手順は文書化され、自動化されています。データ暗号鍵を暗号化した状態で保持するために、ソフトウェアベースのソリューションやハードウェア・セキュリティーモジュール (HSM) などの製品またはソリューションを導入しています。これはソフトウェアベースの暗号化であり、鍵管理手順は自動化されます。データの暗号化は保存時と転送時に設定されています。
• 暗号化の使用 - 機密情報をパブリックインターネット上で送信する場合は、常に暗号化されたチャネルが使用されます。送信が自動化されている場合には、暗号化の詳細が文書化されています。手動での暗号化が必要な場合には、承認を受けた専任のスタッフがデータの暗号化と復号を担当します。機密情報は、HTTPS、SSL、SFTP などの安全なプロトコルを使用して、あらゆるネットワークを介した転送中に暗号化されます。VPN 通信も暗号化されたチャネルを通じて行われます。

システム構成

デフォルト構成は、パスワードを含め、デバイスをネットワークに接続する前に HCLSoftware が定めたシステム構成に従って強化されます。

処理システムおよびサービスの機密性・完全性・可用性・レジリエンス

• サポートは、サポートシステムと顧客データの機密性・完全性・可用性を保護するために、適切な管理策を講じます。
• サポートは、ユーザーのオンボーディングとオフボーディングに関するプロセスを導入しており、これによりデータへの不正アクセスを防止します。サポートは、文書化された ISMS インシデント対応ポリシーに従い、データプライバシーおよびセキュリティーの問題をエスカレーションするためのプロセスを備えています。
• サポート組織内では、権限と責任が分離されており、データの不正または意図しない改ざんや誤用の機会を減らしています。サポートは、すべてのサポート要員が毎年必須のセキュリティーとプライバシーに関する研修を修了するようにしています。
• サポートのチケット管理データセンターとクラウドベースのインフラストラクチャは、単一障害点を回避するために冗長コンポーネントと複数のネットワーク経路を備え、高可用性を実現するよう設計されています。高度な高可用性 (AHA) アーキテクチャは、可用性に影響を及ぼす可能性のある障害の発生時にサービスを復旧するための主要な手段です。サポートのチケット管理システムでは、7 日ごとにフルバックアップがディスクに直接実行され、28 日間保持されます。また、差分バックアップが 24 時間ごとに実行されます。

可用性と個人データへのアクセスを復旧する能力

• サポートは、物理的または技術的インシデント発生時にサポートの可用性を確保するための事業継続計画 (BCP) を用意しています。サポートの BCP は、事業中断後にあらかじめ定められた期間内に、あらかじめ定義されたレベルまで業務を復旧させることを指針としており、毎年テストされます。
• データベースのバックアップは、技術的な障害や人的エラーが発生した場合に個人データを失わないことを目的として実施されます。CuDaR (顧客データリポジトリ) では、増分バックアップが 12 時間ごと、差分バックアップが毎週、フルバックアップによる上書きは毎月実行されます。データバックアップの復旧は定期的にテストされ、少なくとも年に 1 回は実施されます。

事業継続性と障害回復計画

• バックアップ手順は、すべての重要な開発システムに適用されます。
• バックアップはストレージレベルで実行され、業界標準に従っています。 各データセンターは独自のバックアップインフラを備えています。 データ保存手順は ISO 27001 規格に準拠しています。
• 障害や停止が発生した場合は、影響を受けたお客様に通知されます。通知には以下の情報が含まれます。
  • 影響の内容
  • 影響を受ける場所、部門、プロセス
  • 影響の範囲
  • IT ヘルプデスクの所在地と連絡先情報

技術的・組織的対策の有効性のテスト・評価・検証

当社の技術的・組織的対策は、正式な監査と内部テストプログラムを通じて評価されます。経営幹部による正式なマネジメントレビューは 6 か月ごとに実施され、情報セキュリティー・マネジメントシステム、ひいては技術的・組織的対策の有効性が評価・検証されます。これには、情報セキュリティー・マネジメントシステムのガバナンス、リスク、コンプライアンスに関する指標や測定が含まれます。

ユーザーアクセスの管理

HCL は、システムへのユーザーアクセスの申請、承認、権限付与、取り消し、再認証に関して適切な管理を行っています。データにアクセスできるのは、業務上必要な社員に限られます。アクセス申請は個人の役割に基づいて承認され、ユーザーアクセスは定期的に見直されます。

論理アクセス手順では、申請、承認、アクセス権の付与・解除のプロセスが定義されています。論理アクセス手順では、アプリケーション、データベース、システムに対して職務に応じたロールやプロファイルベースの適切なアクセスを適用し、職務分掌を確保するために、ユーザーアクセス (ローカルまたはリモート) が制限されます。この手順は、入社、異動、または退職に基づいて見直され、運用され、文書化されます。ユーザーアクセスのレビューは、年間を通じてアクセスが適切であることを確認するために実施されます。

• すべての HCLSoftware システム管理者は、特権アクセス管理を通じてシステムにアクセスする際、マルチファクター認証、Tacca、VPN、Active Directory (AD) によって認証されます。
• さらに、特権アクセス管理の使用は、監査およびフォレンジック分析のために記録されます。

ユーザーの識別と承認

すべてのユーザーは、自分のアカウントにアクセスするための固有の名前付きアクセス制御 (ユーザー ID とパスワード) を保持します。

保管中のデータの保護

各ユーザーは自分専用のデータにのみアクセスでき、すべてのストレージにアクセスできるわけではありません。

資産の管理とコントロール - ノートパソコン、デスクトップ、サーバー、ネットワーク機器、ソフトウェア資産

• すべての資産は、正式に資産台帳に登録、確認、管理されます。
• ベンダーが推奨するオペレーティングシステムのパッチは、デスクトップ、ノートパソコン、サーバー、ネットワーク機器に対して定期的にテスト・適用されます。
• デフォルト ID は変更・無効化されます。初期インストール後にはパスワードが変更されます。製造元のデフォルトのパスワードは使用されません。
• サーバーから他のコンピュータへファイルやディレクトリを共有する必要がある場合は、共有へのアクセスが、必要なユーザーだけに許可され、最小権限の原則が遵守されるように、共有を有効にする必要があります。
• すべてのサーバーおよびネットワーク機器は、システムクロックが同期され、設置場所のタイムゾーンに設定されています。システムクロックの時刻の変更やリセットは、認可された担当者のみが実行できます。
• 管理者アカウントは強力なパスワードで設定され、権限は特定の担当者のみに付与されます。管理者アクセスは定期的に見直されます。
• エンドポイント検知・対応 (NexGen Antivirus & Malware) ソフトウェアは、該当する場合にインストールされます。
• 指定されたシステムに対し、要求に基づいてバックアップが実行され、復元チェックが実行されます。
• 施設内に持ち込めるものは、会社が所有・管理するノートパソコンのみです。
• HCL の全従業員は、企業の IT システムにアクセスするために固有のユーザー ID とパスワードを必要とします。
• 各ユーザー ID にはパスワードを設定します。ユーザーは HCL のパスワードポリシーに従ってパスワードの設定や変更を行う必要があります。
• ユーザー ID は定められた手順と適切な承認に基づき作成されます。
• 共有サービスアカウントは、特権アクセス管理プラットフォームを通じて管理されます。

無線管理

• 無線管理の適用方法:
  • 無線アクセスポイント (AP) は、無線管理のために認可されたアクセス権を持つネットワークチームのジャンプサーバーからのみアクセス可能です。
• 無線管理の適用方法:
  • PNP-CORP SSID 認証 – 無線認証は RADIUS/AD サーバーを通じて実行できるようになっており、有効な HCLSW ユーザーのみが SSID に接続できます
  • HCL-Software ゲスト認証 – 無線認証は内部キャプティブポータル認証を通じて許可されます。サーバーの要求に基づきユーザー名とパスワードを作成します (無線ゲストチケットにより 2 つのタスクが生成されます。1 つは認証情報の作成、もう 1 つは認証情報の無効化です。後者のタスクは Wi-Fi 要求の終了日の後に割り当てられます)。
  • HCL-TECH-SSID 認証 – 無線認証は事前共有鍵を用いて行えるようになっており、この鍵は HCL Tech ユーザーに共有されます。パスワードは 3 週間ごとに変更されます。
• ベンダーのデフォルト設定の置き換え方法:
  • HCLSW 標準テンプレートが使用されます。

電子メールのセキュリティー

• すべての電子メールは、ゲートウェイレベルでウイルスや悪意あるコードがスキャンされます。
• 電子メールシステムは、なりすましやスパム送信、リレーを制限するように構成されており、それらから保護されます。

クラウドセキュリティー

クラウド資産とサービスは Center for Internet Security (CIS) ベンチマークによって強化されています。

• クラウドセキュリティー体制管理の標準と構成は、24 時間 365 日の検知・分析・対応チームによってリアルタイムで監視されています。
• クラウドワークロード保護およびエンドポイント検知・対応 (NexGen Antivirus & Malware) ソフトウェアは、該当する場合にインストールされます。
• HCLSoftware では、DDoS やその他の外部攻撃ベクトルからの保護を行うために、クラウドベンダーの Web アプリケーションファイアウォール (WAF) を活用しています。

セキュリティー運用

HCLSoftware は 24 時間 365 日稼働の検知・分析・対応 (DART) チームを維持しており、定義された基準からの逸脱、悪意のあるまたは異常な活動、脅威モデリングに対する監視と対応サービスを提供しています。

• 定義済みの CSIRT 応答チーム。
• サイバーセキュリティー・フォレンジックサービス。

その他のセキュリティーコントロール

• ファイアウォールは、認可されたレイヤー 7 アプリケーショントラフィックのみが許可されるように構成されています。
• HCL におけるすべてのセキュア通信は、現行の暗号化標準に従っています。
• EDR と DLP がすべてのエンドユーザーマシンに導入されています。

サブプロセッサーの利用

• HCLは、サービスの提供に関連して、特定の第三者を利用しています。これには、クラウドホスティング、サポートおよび関連サービスの提供に利用する第三者が含まれます。お客様の個人データにアクセスする可能性のあるサブプロセッサーは、当社のトラストセンターサイトに掲載されています。https://www.hcltechsw.com/resources/data-processing-and-transfers , 顧客はサブプロセッサーのリストの更新を受け取るために登録することができます。
• HCLSoftware は、顧客の個人データにアクセスする可能性のあるすべてのサブプロセッサーと、必要に応じてデータ処理契約を締結しており、データ保護と安全なデータ転送のための適切な保護措置が確保されています。