国内データ主権とコンプライアンス

本ページは、CSIRT-Pro における顧客データの所在地、暗号化、テナント分離、国内法対応の考え方をまとめたものです。エンタープライズ調達時のデータ主権・コンプライアンス評価に利用できます。個々のチェック項目に対する詳細な回答は、セキュリティチェックシートを参照してください。

提供形態

CSIRT-Pro はマルチテナント型の SaaS として提供し、組織（テナント）単位でデータを論理分離します。顧客データと分析処理はすべて国内に保持します。上位要件に応じて、専有コンピュート構成を個別に提供することも可能です（個別見積もり）。 GA は 2026 年 9 月を予定しています。

データ所在地

CSIRT-Pro の顧客データと分析処理は、国内に保持します。アプリケーション層、列指向ログ分析基盤、認証基盤（OIDC ベースの IdP）のいずれも、国内リージョンのマネージドクラウド上で稼働します。 AI 機能の処理も国内リージョンを利用します。

対象	所在地
取り込んだ生ログ・抽出フィールド（列指向ログ分析基盤）	国内リージョン
ケース・取り込み定義（Pipeline）等のメタデータ	国内リージョン
認証・セッション情報（認証基盤）	国内リージョン
監査ログ	国内リージョン
AI 機能の処理	国内リージョン

主要な顧客データ（ログ・分析データ）の越境移転は行いません。サブプロセッサの機能と所在地のレベルでの開示は、セキュリティチェックシートに記載しています。

暗号化

転送時と保存時のいずれも暗号化を適用します。

転送時：TLS 1.2 以上を必須とします（TLS 1.3 を推奨）。すべての API 通信および UI アクセスを HTTPS で保護します。
保存時：AES-256 によるストレージ暗号化を適用します。オブジェクトストレージ、メタデータ用データベース、列指向ログ分析基盤に適用します。

暗号鍵は鍵管理サービスで管理し、定期的にローテーションします。弱い暗号スイートは無効化しています。

テナント分離

CSIRT-Pro は組織（テナント）単位でデータを論理分離します。組織ごとに列指向ログ分析基盤の専用ユーザーと専用ビューを払い出し、ロール経由で自組織のビューのみを参照できる構成です。顧客が分析データストアへ直接アクセスすることはできません。データの参照・検索・エクスポートは、いずれも CSIRT-Pro の API および UI を経由します。

テナント内のアクセス制御

テナント内のユーザー間のアクセス制御は、ロールと取り込み定義（Pipeline）の共有権限で行います。詳細はセキュリティチェックシートの「認証・認可」を参照してください。

データの完全性と監査ログ

監査用途のログテーブルは追記専用の設計で、更新と削除ができません。これにより改ざんを防いでいます。 API リクエストは全件を監査ログとして記録します。

項目	内容
監査ログの記録範囲	API リクエスト全件（タイムスタンプ、利用者、組織、パス、メソッド、成否、実行時間、IP）
保管期間	1 年（個別契約で延長可）
お客様の参照	自組織の操作ログを Dashboard で閲覧、API でエクスポート可能

個人情報保護法・国内法対応の考え方

CSIRT-Pro は、国内法に基づく個人情報の取り扱いを前提に設計しています。当社は本サービスでデータプロセッサー（処理者）の立場です。データ主体からの権利行使請求は、原則としてデータコントローラー（顧客企業）を経由して対応します。

取り扱いの責任分界

ログデータに含まれる個人情報の特定・分類・取り扱い方針の決定は、テナント管理者（顧客）の責任で行います。 S&J は、契約に基づき顧客データへのアクセス権限を最小化したうえで、基盤の運用と保護を担います。

保持と削除

データの保持期間は、取り込み定義（Pipeline）ごとに TTL で設定でき、期間経過後に自動削除します。削除要求への対応として、取り込み定義（Pipeline）単位でのデータ削除、および組織単位でのデータ完全削除に対応します。解約時には、一定のバッファ期間（誤解約からのリカバリやバックアップのローテーションのための期間）を経て、組織のデータを物理削除します。

退会時のデータ返却

退会時の専用エクスポート機能は提供していません。必要なデータは、サービス利用中にお客様自身で取得してください（API および UI でエクスポート可能）。解約日以降はサービスへのアクセスを停止し、解約後のデータ返却対応は行いません。

要確認

次の点は社内資料間で記載が一致していないため、契約時に確定します。

解約後にデータを物理削除するまでのバッファ期間の正確な日数〔要確認: 資料により 30 日 / 90 日の記載あり〕
データ消去証明書の発行可否〔要確認: 発行可（書面）/ 対応不可の双方の記載あり〕
個人情報に関する問い合わせ窓口および標準対応日数〔要確認〕

第三者認証・評価制度

国内向けの主要な第三者認証・評価制度の状況を以下に示します。最新の状況および NDA のもとでの詳細開示については、営業窓口へお問い合わせください。

認証・制度	概要	状況
ISO/IEC 27001（ISMS）	情報セキュリティマネジメントシステムの国際規格	S&J 株式会社にて取得済（対象：情報セキュリティサービスの提供等）
プライバシーマーク（Pマーク）	個人情報保護体制に対する国内認定制度	〔要確認: 取得状況を契約時に開示〕
ISMAP	政府情報システム向けクラウドサービスのセキュリティ評価制度	未登録（政府調達対応が必要な場合は個別協議）
SOC 2 Type II	内部統制の保証報告書（米国準拠）	取得予定（GA 後 1 年以内）
FISC 安全対策基準	金融機関向けの安全対策基準	準拠対応可（金融顧客向け契約時に対応）
PCI DSS	カード情報を扱う環境のセキュリティ基準	個別協議（該当環境構築時に対応）
個人情報保護法（日本）	国内の個人情報保護法	対応（個人情報取扱規程を整備）

ISO/IEC 27001 の適用範囲について

ISO/IEC 27001 は S&J 株式会社として取得済です。 CSIRT-Pro サービスを対象に含む認証範囲の詳細は、契約検討段階で開示します。

利用するクラウド基盤は、ISO/IEC 27001、SOC 1/2/3、PCI DSS 等を取得した事業者を選定しています。