セキュリティチェックシート

本ページは、CSIRT-Pro の導入を検討する企業の情報システム部門とセキュリティ部門に向けて、セキュリティ対応状況をまとめたものです。

エンタープライズ調達時のセキュリティ評価に利用できます。

正式版・データ所在地

詳細な正式版(ISO/IEC 27001:2022 管理策・CSA CCM v4 対応、150 項目)は「CSIRT-Pro セキュリティチェックシート」(S&J 発行)を参照してください。 顧客データと分析処理は国内に保持します。アプリケーション層、ログ分析基盤、認証基盤のいずれも、国内リージョンのマネージドクラウド上で稼働します。 GA: 2026 年 9 月。

データ保護

#	チェック項目	CSIRT-Pro の対応状況
1.1	保存データ（Data at Rest）は暗号化されているか	AES-256 によるストレージ暗号化を適用。マネージドクラウドのオブジェクトストレージ・データベース、および列指向ログ分析基盤に適用
1.2	通信データ（Data in Transit）は暗号化されているか	TLS 1.2 以上を必須適用。すべての API 通信および UI アクセスを HTTPS で保護
1.3	テナント間のデータ分離は保証されているか	論理分離。組織ごとに列指向ログ分析基盤の専用ユーザーと専用ビューを払い出し、ロール経由で自組織のビューのみ参照可能。顧客は分析データストアに直接アクセス不可
1.4	データのバックアップは実施されているか	メタデータ用リレーショナルデータベースの自動バックアップ（日次）およびポイントインタイムリカバリに対応。ログ分析基盤のデータも定期的にバックアップ
1.5	データの保持期間は設定可能か	取り込み定義（Pipeline）ごとに TTL（0 日 = 無制限〜 3650 日）を設定可能。期間経過後に自動削除
1.6	データの削除要求に対応可能か	取り込み定義（Pipeline）単位でのデータ削除、および組織単位でのデータ完全削除に対応
1.7	個人情報の取り扱いポリシーはあるか	プライバシーポリシーに基づき、個人情報の収集・利用・保管を管理。ログデータ内の個人情報はテナント管理者の責任で管理

認証・認可

#	チェック項目	CSIRT-Pro の対応状況
2.1	多要素認証（MFA）に対応しているか	認証基盤（IdP）経由で Passkey（WebAuthn）による認証に対応。生体認証・セキュリティキーを利用可能（限定サポート）
2.2	SSO（シングルサインオン）に対応しているか	OIDC ベースの認証基盤（IdP）を採用。OAuth2 / OIDC（PKCE 対応）による SSO に対応
2.3	RBAC（ロールベースアクセス制御）を実装しているか	ユーザーごとにロールを割り当て、機能やデータへのアクセスを制御。取り込み定義（Pipeline）の共有権限（read / write / admin）も個別に設定可能
2.4	API 認証はセキュアか	API キー認証（ハッシュ化して保存、scope による権限制御）に対応。Web セッションは署名付き JWT の Cookie でサーバ側検証
2.5	パスワードポリシーは設定可能か	認証基盤（IdP）でパスワードポリシー（最小文字数、複雑性要件等）を設定可能。Passkey 利用時はパスワードレス
2.6	セッション管理は適切か	アクセストークンの有効期限は 24 時間。不正なセッション検出時の無効化に対応
2.7	アカウントロックアウト機能はあるか	連続ログイン失敗時のアカウントロックアウトに対応（認証基盤（IdP）で管理）

ネットワークセキュリティ

#	チェック項目	CSIRT-Pro の対応状況
3.1	ネットワーク分離は実施されているか	マネージドクラウドの仮想ネットワーク内にデプロイ。公開サブネットと非公開サブネットを分離し、データベースは非公開サブネットに配置
3.2	ファイアウォール / セキュリティグループは設定されているか	ネットワークレベルのアクセス制御で通信を制限。必要最小限のポートのみ開放
3.3	DDoS 対策は講じられているか	マネージドクラウドの DDoS 保護を適用。ロードバランサと CDN によるトラフィック分散
3.4	WAF（Web Application Firewall）は導入されているか	ロードバランサ前段に WAF を適用。OWASP Top 10 に対応するルールセットを設定
3.5	IP アドレス制限は設定可能か	テナント単位でのアクセス元 IP 制限に対応可能（要相談）

暗号化

#	チェック項目	CSIRT-Pro の対応状況
4.1	暗号化アルゴリズムは業界標準に準拠しているか	AES-256（保存データ）、TLS 1.2 以上（通信データ）を使用。脆弱な暗号スイートは無効化
4.2	暗号鍵の管理はセキュアか	マネージドクラウドの鍵管理サービスで暗号鍵を管理。鍵のローテーションに対応
4.3	シークレット情報は暗号化されているか	Playbook の環境変数（API キー等）はサーバーサイドで暗号化して保存。UI 上ではマスク表示
4.4	UEBA クレデンシャルは安全に保存されているか	UEBA のアセットアクセス用クレデンシャルは暗号化して保存。UI 上ではシークレットインジケーターとして表示

監査・コンプライアンス

#	チェック項目	CSIRT-Pro の対応状況
5.1	操作ログ（監査ログ）は記録されているか	ユーザーのログイン、ケース操作、Playbook 実行、取り込み定義（Pipeline）変更等の操作ログを記録
5.2	監査ログは改ざん防止されているか	監査ログは列指向ログ分析基盤に追記専用（Append-only）で保存。書き込み後の変更は不可
5.3	監査ログの保持期間は設定可能か	TTL 設定により保持期間を管理可能
5.4	GDPR / 個人情報保護法に対応しているか	データ削除要求への対応、データポータビリティ、処理目的の明確化に対応
5.5	コンプライアンスレポートは出力可能か	Dashboard 機能によりコンプライアンス状況を可視化。API 経由でのデータエクスポートにも対応

可用性・事業継続

#	チェック項目	CSIRT-Pro の対応状況
6.1	SLA（サービスレベル契約）は定義されているか	契約プランに応じた SLA を提供（詳細は営業担当にお問い合わせください）
6.2	インフラの冗長構成は取られているか	コンテナ実行基盤によるオーケストレーション。複数アベイラビリティゾーン構成でアプリケーション層を冗長化
6.3	データベースの冗長構成は取られているか	メタデータ用リレーショナルデータベースの複数アベイラビリティゾーン配置による自動フェイルオーバー。ログ分析基盤のレプリケーション
6.4	障害時の復旧手順は策定されているか	RTO / RPO を定義した DR 計画を策定。定期的な復旧テストを実施
6.5	スケーラビリティは確保されているか	コンテナ実行基盤のオートスケーリングにより、負荷に応じた自動拡張が可能。ログ分析基盤の水平スケーリングにも対応
6.6	メンテナンスウィンドウは事前通知されるか	計画メンテナンスは事前に通知。緊急メンテナンスは可能な限り速やかに通知

インシデント対応

#	チェック項目	CSIRT-Pro の対応状況
7.1	セキュリティインシデント対応プロセスは整備されているか	インシデント対応手順書を策定。検知→分析→封じ込め→復旧→報告の体制を整備
7.2	脆弱性管理プロセスはあるか	定期的な脆弱性スキャンを実施。CVE 情報のモニタリングとパッチ適用プロセスを運用
7.3	セキュリティインシデント発生時の連絡体制は整備されているか	インシデント発生時の顧客通知プロセスを策定。重大なインシデントは速やかに通知
7.4	ペネトレーションテストは実施しているか	定期的に第三者によるペネトレーションテストを実施（結果は NDA のもと開示可能）

第三者認証

#	チェック項目	CSIRT-Pro の対応状況
8.1	ISO 27001（ISMS）認証を取得しているか	お問い合わせください
8.2	SOC 2 Type II レポートはあるか	お問い合わせください
8.3	ISMAP（政府情報システム向けクラウドセキュリティ評価）に登録されているか	お問い合わせください
8.4	CSA STAR 認証を取得しているか	お問い合わせください
8.5	プライバシーマークを取得しているか	お問い合わせください

インフラストラクチャ構成

CSIRT-Pro は役割ごとに分かれた複数のサービスで構成します。アプリケーション層、ログ分析基盤、認証基盤のいずれも国内リージョンのマネージドクラウド上で稼働します。

下表はクラウド事業者名を伏せ、各レイヤーの機能で構成を示します。

レイヤー	機能	説明
アプリケーション	コンテナ実行基盤（国内リージョン）	サーバーレスのコンテナ実行環境
データベース（メタデータ）	メタデータ用リレーショナルデータベース	複数アベイラビリティゾーンで冗長化、自動バックアップ
データベース（ログ）	列指向（カラム型）ログ分析基盤（国内リージョン）	schema-on-read 方式の分析データストア。HTTPS 接続
メッセージング / 取込	メッセージバス（ストリーミング取り込み基盤）と取り込みパイプライン処理基盤	ログ取り込みパイプライン
認証	OIDC ベースの認証基盤（IdP）（国内リージョン）	OAuth2 / OIDC / Passkey
ロードバランサー	ロードバランサ	HTTPS 終端、トラフィック分散
WAF / DDoS	WAF / DDoS 保護	Web アプリ保護・DDoS 保護
鍵管理	鍵管理サービス	暗号鍵管理・自動ローテーション（年次）
ネットワーク	仮想ネットワーク	サブネット分離

主なサブプロセッサ

コンプライアンス上の開示は、機能と所在地のレベルにとどめます。

サブプロセッサ	用途	データ所在地
国内リージョンのマネージドクラウド事業者（アプリ層）	アプリケーション実行・メタデータ用リレーショナルデータベース・オブジェクトストレージ・関数実行基盤・ロードバランサ・メッセージバス等	国内（東京）
国内リージョンのマネージドクラウド事業者（ログ分析基盤）	列指向ログ分析基盤	国内（東京）
認証基盤（IdP）事業者	認証基盤（OAuth2 / OIDC）	国内リージョン
監視サービス事業者	内部監視メトリクス	国内（東京）
マネージド生成 AI 基盤事業者	生成 AI（パースルール生成 / AI Investigate）	国内（東京）
通知サービス事業者	SMS・音声通知	利用時に通信経路を明示

Note

サブプロセッサの追加・変更時には事前に通知します。顧客データへのアクセス権限は契約に基づき最小化されています。

お問い合わせ

セキュリティに関する詳細な質問や、NDA のもとでの詳細情報の開示は、営業担当までお問い合わせください。

個別のセキュリティ要件への対応可否
ペネトレーションテスト結果の開示
第三者認証の取得状況の最新情報
カスタムセキュリティ要件への対応