アクセルツールズではお客様の情報およびAmazonサーバから取得した情報（Amazon情報）について、情報資産を事故・災害・犯罪などの脅威から守り、お客様ならびに社会の信頼に応えるべく、情報セキュリティリスク管理に取り組んでいます。
体制
当社では情報セキュリティに関するすべての業務を開発者一人が行っています。業者（サードパーティー）に作業を委託していません。運営・開発は社内で行っています
権限
情報資産を取り扱うのは開発者1人のみです。すべての作業の権限はこの者のみにあります
モバイルデバイスポリシー
許可のないモバイルデバイスでの情報資産へのアクセスは禁止しています
情報資産の管理
1年に1回、資産の確認を行っています
特権アカウントの管理
システムの起動・停止や設定変更などが可能なアカウントについて、ログインに必要な情報は社外からはアクセスできない場所に記録・保管しています
サードパーティのリスクの管理
当社では業者（サードパーティー）に作業を委託していないため、このリスクは発生しません
脆弱性の管理プロセス
脅威と脆弱性への対策を行っています
定期的（約30日ごと）または重要パッチリリース後に脆弱性スキャンを実施
定期的（1年ごと）ごとにペネトレーションテストを実施
ファイアウォールのプログラムの稼働
アンチウィルスのプログラムの稼働、自動アップデート
開発用PCでアンチウィルス・マルウェア対策ソフトウェアの稼働
パッチ管理
OS、ミドルウェア、ライブラリのセキュリティパッチは速やかに適用
定期的に未適用パッチの確認と更新
アクセス制御
管理者アカウントは開発者のみ
Webアプリケーションの使用は認証済みユーザーのみ
侵入検知・ログ監視
専用アプリを使用したアクセス監視
異常接続や不正アクセスを検出した場合、通知・対応
脆弱性対応手順
脆弱性を発見した時は影響範囲を評価して、優先度を設定します
修正パッチ適用、設定変更、アクセス制御でリスク軽減
対応後は再スキャンで修正確認
対応はファイルに記録
システムのログ記録と監視
アプリケーションのサーバへのアクセス、外部からサーバ設置側アプリへのアクセス、ポータルサイトへのログイン、についてログを残しています。通常とは異なるアクセスと判断した場合にはメールで通知するシステムを稼働しています
ログは1年間以上保管します
AWS CloudTrailを導入しています
使用するパスワード
PCへのログイン、サーバへのログイン、Amazonデータにアクセスするアプリへのログインについてはパスワードの入力を必要としています。
パスワードの文字については、半角英字の大文字と小文字、半角数字、半角記号のすべてが含まれていることが必須です
PCについては、最低12文字が必要で、365日を経過後はパスワードの更新が必要です
アプリのパスワードは90日を経過後は更新が必要です
WEBサーバの管理ページへのログインについて
Amazonデータにアクセスするアプリのうち、「WEBサーバに設置したアプリ」の管理ページへのログインについては、次のようなセキュリティ対策をしています
レート制限（Rate Limiting）: 1時間あたり無効なログイン試行を10回までに制限
短時間での複数アカウントへのログイン試行: 同じIPアドレスから、1時間以内に異なる3つ以上のメールアドレスでログイン試行があった場合、不審な行動として検知
試行の場所: 短時間（例：10分以内）に、**地理的に大きく離れた場所（例：日本と米国）**から同じアカウントへのログイン試行があった場合、不審な行動として検知
1つのデバイスからの不審な試行: 同じIPアドレスとUser-Agentの組み合わせ（つまり、同じデバイス）から、5分間に10回以上のログイン試行があった場合、不審な行動として検知
パスワードの設定：過去10回のパスワードと異なる値が必要、90日を経過後はパスワードの更新が必要
2段階認証
ＯＳ・ソフトウェアのパッチ管理
使用しているＯＳとソフトウェアについて、脆弱性やバグを修正するための更新プログラムがリリースされた場合、緊急性がある場合にはすぐインストールします。緊急性がない場合には更新プログラムにより発生する不具合の情報がないことを確認してからインストールします
ソフトウェア開発ライフサイクル(SDLC)
セキュリティ強化を意識したアプリケーションの開発を行っています
定期的にソースコードスキャンを行い、脆弱性のチェックを実施しています
バックアップ
サーバのバックアップは1か月に1回行っています
Amazonデータについて
アプリの１つはサーバ内に一時的に保存します、データは暗号化されます
使用後は自動的に削除されます
PII（個人情報）は保存していません
暗号化
データ通信、重要なデータの保存には暗号化を行っています
データ通信についてはTLS1.3の暗号化を使用、
データの保存についてはAES-256-CBCを使用、暗号化キーはデータとは分離独立して保存し定期的に更新
クラウドセキュリティ
クラウド設定の監視：AWS ConfigとAWS SNSを導入しています
物理セキュリティポリシー
第3者が侵入できないように施錠された環境で業務を行っています
アクセス管理ポリシー
PCの使用・サーバの内部データへのアクセスは開発者1人のみが行えます。
例外として他人がPCを操作する必要がある場合には、開発者が横で監視します
許可されていないソフトウェアの使用の制限
使用を許可していないソフトウェアはPCへの設置・使用は行いません
リモートアクセス制御
リモートで社内システムにアクセスすることは行いません
できないように設定されています
人的資源のセキュリティ
従業員は1年に1回、セキュリティに関するトレーニングを行います
インシデント発生時の連絡先
下記のページをご参照ください
https://acceltools.com/tokuteisyou_torihikihou/
