セキュリティ

パレットは、企業・団体の研修と試験をお預かりするサービスです。このページでは、情報システムご担当者様の確認事項に沿って、当社の取り組みをご説明します。記載のない事項や、貴社所定のチェックシートへのご記入が必要な場合は、お問い合わせください。

データの保管場所

お預かりするデータは、日本国内(東京)のデータセンターで保管・処理しています。アプリケーションの実行環境とデータベースの両方を国内に限定しており、通常の運用で海外へデータを転送することはありません。

通信の保護

すべての通信を TLS で暗号化しています。ブラウザに対しては HSTS を宣言し、暗号化されていない通信での接続を受け付けません。あわせて、コンテンツの読み込み元の制限、表示の埋め込みの禁止、リファラの制限を設定しています。

組織(テナント)の分離

お客様ごとにデータを分離し、データベースの行単位のアクセス制御で、他のお客様のデータに到達できない構成としています。分離が保たれていることは、別の組織の権限で機密性の高いテーブルを網羅的に照会し、1件も取得できないことを確認する自動テストで、変更のたびに検証しています。

アクセス制御

権限: 管理者・担当者・受講者(受験者)などの役割ごとに、操作できる範囲を制限します
二要素認証: 認証アプリによるワンタイムパスワードに対応しています。役割を指定して必須化できます
パスワード: 文字数・文字種の要件と有効期限を、お客様ごとに設定できます
ログイン試行の制限: 一定回数の失敗でアカウントを一時的にロックします
接続元の制限: 許可する IP アドレスの範囲を指定できます(組織全体・試験単位)
セッション: 無操作時の自動ログアウト、他の端末からの一括ログアウトに対応しています
シングルサインオン: パレットLMS は SAML 2.0 に対応し、SCIM 2.0 によるユーザー同期も行えます

操作の記録

管理画面の操作(設定の変更・データの持ち出し・権限の変更・受験や受講の記録の変更など)を監査ログとして記録し、管理画面から日本語で確認できます。CSV 形式での出力にも対応しています。記録は後から書き換え・削除ができない設計としています。あわせて、ログインの履歴(日時・接続元・端末情報)を記録し、ご本人と管理者が確認できます。

バックアップと復旧

データベースは日次でバックアップを取得しています。障害時の復旧手順と、復旧の目標(直近のバックアップ時点まで戻すこと、および復旧作業の目標時間)を社内手順書に定め、定期的に見直しています。

委託先の管理

サービスの提供にあたり、基盤・メール配信・決済などの事業者に業務を委託しています。委託先とは書面により契約を締結し、取り扱う情報の範囲と安全管理措置を定めています。委託先の名称・所在国・取り扱う情報の種別を記載した一覧を用意しており、お客様のご請求に応じて提供します。

脆弱性への対応

依存するソフトウェアの既知の脆弱性を継続的に監査し、修正版の公開後すみやかに適用しています。検出があった場合は、変更を公開する前の自動検査で止まる仕組みとしています。

データの持ち出しと削除

持ち出し: 受講・受験の記録、ユーザー情報、問題・教材などを、お客様ご自身の操作で一括して書き出せます
ご本人からの求め: 個人データの開示・消去のご請求に、管理画面の操作で対応できます
契約終了後: 規約に定める期間の経過後にデータを削除します。削除の完了はご報告します

インシデントへの対応

個人情報の漏えい等が発生した場合の初動、影響範囲の特定、監督官庁への報告、ご本人への通知の手順を定めています。委託先で発生した場合の取り扱いも含みます。

お問い合わせ

セキュリティに関するご確認、チェックシートへのご記入のご依頼は、お問い合わせフォームよりご連絡ください。