RECOREのセキュリティへの取り組みについて

01.RECOREのセキュリティ体制

• 情報セキュリティマネジメントシステム（ISMS：情報セキュリティを管理するための体制・運用の仕組み）の国内規格 JIS Q 27001（国際規格 ISO/IEC 27001 に対応）の認証を取得しています（登録番号：IS 767453）。登録範囲は「小売企業向けクラウド型システムの開発・提供・運用保守」です。
  分類：サービス
  適用範囲：株式会社RECORE/RECORE事業 大阪本社
• 毎年、外部の審査機関による審査を受けています
• 社内に情報セキュリティの責任者と各部門の担当者を置き、代表が承認・監督する体制をとっています
• 全従業員を対象とした情報セキュリティ教育（理解度テスト付き）、内部監査、リスク評価を毎年行っています

02データの保管とシステム基盤

• データは Amazon Web Services（AWS）の東京リージョンに保管しています。バックアップを含め、国外には保管していません
• サービスとの通信を SSL/TLS（通信内容を保護する暗号化の仕組み）で暗号化しています
• 個人情報を管理するデータベースは、インターネットから直接接続できない非公開の領域に置いています
• システム基盤へのアクセス権限は、業務上必要な担当者に限って付与しています

03想定されるサイバー攻撃とRECOREの対策

想定する攻撃と被害、各対策を以下にまとめています。

04本人確認書類の画像の保護

古物営業法にもとづく本人確認の記録として、店頭・宅配買取で取り込んだ本人確認書類の画像を保存しています。

• 本人確認書類の画像は非公開の保管領域に暗号化して保存しています
• 画面に表示するときは、その都度、有効期限付きの一時的な URL を発行しています

05RECORE社内における情報の管理・取り扱い

• お預かりした会員情報を、弊社が閲覧することは原則としてありません
• お問い合わせへの対応など、ご利用企業様のご依頼にもとづいて確認が必要な場合に限り、指定された担当者が必要な範囲で確認します
• 確認に使うアカウントは社内で一元管理し、確認を行った担当者と日時を記録しています
• 確認は閲覧にとどめ、ご了承なくデータの出力や取引の登録などは行いません
• システムの操作や、データの作成・更新・削除は記録として残しています

06セキュリティインシデントへの対応体制

事故（インシデント）は影響度に応じて3段階に分類し、それぞれの対応を定めています

段階1：インシデントに至らなかった場合（ヒヤリハット）

原因を振り返り、必要に応じて再発防止策を実施します。

段階2：影響がRECORE社内に留まる場合

定めた手順に従って対応します。手順がない場合は、情報セキュリティ管理者が判断し、対応します。

段階3：影響がお客様・お取引先に及ぶ場合

情報セキュリティ管理者が代表を含む関係者を招集し、二次被害の防止と原因・影響範囲の特定を行います。対応後は「セキュリティインシデント報告書」を作成し、代表へ報告します。

ご利用企業様やそのお客様に影響が及ぶおそれがある場合は、代表を含む関係者を招集し、二次被害の防止と原因・影響範囲の特定を最優先に対応します。対応後は報告書を作成し、再発防止策まで経営層が確認します

サービス停止に備えた復旧体制

サービス停止時の復旧目標を定め、年1回、復旧手順の訓練を行っています

07安全なご利用に向けたお願い

安全にお使いいただくために、RECOREでは次の設定ができます。あわせて運用ルールの整備をお願いしています。

• スタッフごとに権限を設定し、会員情報の閲覧やデータの出力は必要な担当者に絞ってください
• 多要素認証（ワンタイムパスワード）をご利用ください
• CSV などで出力したファイルの保存先・共有方法に関する運用ルールを定めてください