アクセス制御ポリシー
当社は、強固なアクセス制御に取り組み、システム、データ、リソースへのアクセスを慎重に管理・保護しています。当社には、アクセス権の付与、管理、取り消しの手順を定めたアクセス制御ポリシーが文書化されており、特権の昇格、従業員の異動、一時的なアクセス、緊急事態への対応も含まれています。当社のアプローチには、組織アカウントと社内スタッフの両方に対するロールベースアクセス制御（RBAC）の使用が含まれており、自動プロビジョニングはOktaによって処理されます。また、セキュリティを維持するため、特権アカウントのアクセスリストを四半期ごとに確認しています。
資産管理ポリシー
データ分類ポリシー
当社には、機密性と重要性に基づいて、会社、従業員、顧客のデータを分類し保護する方法を定めた、強固なデータ分類および取り扱いポリシーがあります。このポリシーは、適切なデータ管理と保護について担当者に明確な指針を示し、当社のシステム上で処理、送信、保存されるすべてのデータが安全に取り扱われるようにします。当社のセキュリティ責任者が定期的な監査を通じてこのポリシーを施行し、セキュリティ委員会が変化する要件に対応するため、年1回見直しと更新を行っています。
情報セキュリティポリシー
セキュアソフトウェア開発ポリシー
当社には、ソフトウェア開発プロセス全体を導く、ソフトウェア開発ライフサイクル（SDLC）ポリシーが文書化されています。このポリシーにより、情報セキュリティの原則が製品ライフサイクル全体に組み込まれます。当社の変更管理プロセスは、リスクと混乱を最小限に抑えるため、綿密に計画、承認され、文書化、テスト、レビューによって支えられています。
バックアップポリシー
バックアップは暗号化され、アクセスは承認された担当者に制限されています。また、バックアップおよび復旧戦略を含む事業継続計画と災害復旧計画を定期的にテストおよび検証し、その有効性を確認するため、少なくとも年1回実施しています。
変更管理ポリシー
当社には、インフラストラクチャ、システム、アプリケーションの変更を監督・管理するために確立された計画と手順を定めた、正式な変更管理ポリシーがあります。この体系的なアプローチにより、すべてのコード変更が合理化され、目的に沿い、リスクと混乱を最小限に抑えたものになります。提案された変更はすべて、優先順位付け、承認、文書化、テスト、レビューが行われ、必要に応じてバージョンの注記とロールバック戦略が含まれるよう、綿密に計画しています。当社のJIRAシステムでは、ワークフローを使用して、これらのプロセスを正確かつ円滑に実行しています。
データ保持ポリシー
インシデント対応ポリシー
パスワードポリシー
当社は、強固なパスワードポリシーを導入してユーザーアカウントのセキュリティを優先しています。パスワードマネージャーアプリケーションを使用して、ユーザー認証情報を暗号化されたデータベースに安全に保存・管理しています。また、可能な場合は、本番システムおよびアカウントに対してシングルサインオン（SSO）と多要素認証（MFA）を必須とすることで、セキュリティをさらに強化しています。SSO/MFAを使用していないシステムについては、最小文字数、複雑さ、定期的な有効期限など、強力なパスワード要件も適用しています。
物理セキュリティポリシー
当社は、施設、資産、担当者を不正アクセス、損害、盗難から保護するうえで重要な要素である物理セキュリティに全力で取り組んでいます。全担当者を対象とした年次のセキュリティ意識向上セッションなど、厳格な物理セキュリティ対策を実施・施行しています。当社のデジタル環境はセキュリティプロトコルによって保護されており、業務の物理的および基盤レベルのクラウドセキュリティについては、クラウドサービスプロバイダーであるAWSと提携しています。
リスク評価／管理ポリシー
当社には、業務、資産、情報に対する潜在的なリスクを特定、評価、軽減するための包括的なリスク管理ポリシーと体系的な枠組みがあります。進化する脅威に常に警戒し、特定された脆弱性を迅速に軽減できるよう、年次のリスク評価と四半期ごとのリスク評価を実施しています。当社のアプローチには、ベンダー管理や脆弱性管理などのポリシーが組み込まれており、リスクに先 proactively 対応し、業務の完全性とレジリエンスを確保しています。
ベンダー管理ポリシー
当社には、ベンダー、その顧客データへのアクセス、セキュリティ、可用性、機密性、プライバシーへの影響を管理するためのデューデリジェンスプロセスを詳しく定めた、ベンダー管理ポリシーが文書化されています。データを共有する第三者企業について、セキュリティ評価を実施しています。また、Bitsightなどのツールやその他のベンダー管理ツールを使用して、第三者を追跡、評価し、フォローアップしています。
脆弱性管理ポリシー
当社には、システムおよびアプリケーション内のセキュリティ上の弱点を体系的に特定、評価、修正するための包括的な脆弱性管理ポリシーがあります。このポリシーは、強固なリスク評価プロセスに統合されており、潜在的なリスクを効果的に予測、評価、対応できます。脆弱性管理アナリストを含む専任のセキュリティチームが、管理策の有効性と妥当性を確保するため、継続的に監視・評価しています。
