セキュリティホワイトペーパー

1. はじめに

1.1 目的

本ホワイトペーパーは、GMOブランドセキュリティ株式会社（以下、「当社」）が提供するクラウドサービス「BRANTECT byGMO」（以下、「本サービス」）において、クラウドセキュリティの国際規格である ISO/IEC 27017 (JIS Q 27017) に基づき実施している情報セキュリティ対策の概要および方針を、利用者の皆様（クラウドサービスカスタマ）に説明することを目的としています。

1.2 サービス概要

本サービスは、企業のデジタルブランド資産を一元的に管理・保護するブランドセキュリティ統合管理プラットフォームです。本サービスにより 商標、ドメインネーム、SSL/TLS証明書、FQDN（サブドメイン）、VMC（Verified Mark Certificates）などのブランド資産の横断的管理を実現します。

本サービスは、高い信頼性とセキュリティを有するクラウド基盤（Google Cloud）上で構築・運用されています。

2. クラウドサービスにおけるセキュリティ対策

本章では、ISMS（ISO/IEC 27001）に基づく標準的なセキュリティ対策に加え、クラウドセキュリティの国際規格である ISO/IEC 27017 (JIS Q 27017) が求める固有の管理策への対応状況について記述します。

6. 組織と役割

6.1.1 情報セキュリティの役割及び責任

当社は、CISO（情報セキュリティ最高責任者）を委員長とする情報セキュリティ委員会を設置し、本サービスのセキュリティ管理体制を維持しています。本サービスの提供における当社および利用者の役割分担については、サービス仕様の一部として定義しています。

6.1.3 関係当局との連絡（データ保存場所）

• 当社所在地: 日本国内
• データ保存場所: 本サービスでお預かりする顧客データは、原則として日本国内（東京リージョン）のデータセンターに保存されます。ただし、クラウド基盤の可用性確保の仕組みにより、バックアップ等が国内の他リージョンに保存される場合があります。

CLD.6.3.1 クラウドコンピューティング環境における役割及び責任の共有及び分担

本サービスは SaaS（Software as a Service）として提供されます。

• 当社（CSP）の責任: アプリケーション、プラットフォーム、インフラストラクチャのセキュリティ対策、データのバックアップ、サービスの可用性確保。
• 利用者（CSC）の責任: ユーザーアカウントおよびパスワードの管理、利用者端末のセキュリティ対策、入力データの正当性管理。

7. 人的セキュリティ

7.2.2 情報セキュリティの意識向上、教育及び訓練

当社は、本サービスの開発・運用に従事する全従業員に対し、顧客データの取り扱いを含むクラウドセキュリティに関する定期的な教育および訓練を実施しています。

8. 資産の管理

8.1.1 資産目録

当社は、本サービスの提供に必要な情報資産（顧客データ、プログラム、機器等）を特定し、資産目録として管理しています。この際、顧客データとシステムログ（派生データ）は明確に区分して管理されます。

CLD.8.1.5 クラウドサービスカスタマの資産の除去

本サービスの利用契約終了後、当社はお預かりした顧客データ（アカウント情報、アップロードファイル等）を、利用約款に基づき所定の期間内（原則として契約終了から30日以内）に削除します。削除は、論理的な削除または物理的な上書き消去等の適切な方法により実施されます。

8.2.2 情報のラベル付け

当社は、社内規程に基づき情報資産の機密性を分類し、ラベル付けを行っています。顧客データは高機密情報として取り扱われます。

9. アクセス制御

9.2.1 - 9.2.4 利用者アクセスの管理

• 利用者登録: 利用者は、本サービスの機能を用いてユーザーアカウントを作成・管理できます。
• 特権管理: 当社運用者による特権アクセスは、最小権限の原則に基づき必要な期間・対象にのみ許可され、操作ログが記録されます。
• 認証情報: 当社は、利用者のパスワードをハッシュ化して保存し、平文での閲覧が不可能な状態で管理しています。また、強固な認証手段として多要素認証（MFA）機能を提供しています。

9.4.1 情報へのアクセス制限

本サービスはマルチテナント環境で提供されますが、アプリケーションレベルでの論理的なアクセス制御により、利用者は自組織のデータのみにアクセス可能です。

9.4.4 特権的なユーティリティプログラムの使用

システム管理に使用する特権的なツールやプログラムの使用は、特定の管理者に限定され、その利用状況は定期的に監査されています。

CLD.9.5.1 仮想環境の分離

本サービスはマルチテナント方式（共有環境）を採用していますが、以下の仕組みにより顧客データおよびリソースは他者から論理的に厳格に分離されています。

• テナント間の分離: アプリケーションに実装された論理的なアクセス制御（テナント識別子によるデータ隔離）により、お客様は自組織のデータのみにアクセス可能です。データベース内のデータは、システム的に他の利用者のデータと分離・保護されています。
• 基盤の分離: 本サービス全体の環境は、クラウド基盤（Google Cloud）の仮想化技術により、他のクラウド利用者から保護・隔離されています。

CLD.9.5.2 仮想マシンの要塞化

本サービスは、OSや仮想マシンの管理をクラウド事業者が行う「マネージドサービス」を利用して構築されています。

10. 暗号化

10.1.1 暗号による管理策の利用方針

• 通信の暗号化: 利用者端末と本サービス間の通信は、TLS（Transport Layer Security）により暗号化（HTTPS）されています。
• 保存データの暗号化: データベースおよびストレージに保存される顧客データは、クラウド基盤が提供する暗号化機能により暗号化されています。

11. 物理的・環境的セキュリティ

11.2.7 装置のセキュリティを保った処分又は再利用

本サービスはクラウド基盤上で提供されるため、物理的な装置の処分はクラウド事業者のポリシーに依存します。当社は、クラウド事業者が適切な物理セキュリティ対策およびデータ消去プロセスを実施していることを確認しています。

12. 運用セキュリティ

12.1.2 変更管理

本番環境へのシステム変更（リリース、設定変更等）は、事前の影響評価および承認プロセスを経て実施されます。サービス利用に悪影響を与える可能性のある変更については、事前に利用者に通知します。

12.1.3 容量・能力の管理

システムのリソース使用状況を常時監視し、需要に応じて迅速にリソースを拡張できる体制を整えています。

CLD.12.1.5 実務管理者の運用のセキュリティ

運用担当者による操作手順は文書化され、定期的に見直されています。また、オペレーションミスを防止するための承認フローや二重チェック体制を推進しています。

12.3.1 情報のバックアップ

• 実施頻度: データベースのバックアップは日次（1日1回）で自動的に取得されます。
• 保管期間: バックアップデータは7日間（7世代）保管されます。
• 保管場所: データの可用性を高めるため、バックアップは地理的に分散されたリージョンに複製される場合があります。

12.4 ログ取得及び監視

本サービスのシステムログ、アプリケーションログ、および操作ログを取得・保管しています。ログは不正アクセスの検知や障害対応のために利用され、一定期間改ざん防止措置を講じて保存されます。

12.4.4 クロックの同期

本サービスのシステム時刻は、クラウド基盤（Google Cloud）が提供する高精度なタイムサーバと自動的に同期・管理されています。

CLD.12.4.5 クラウドサービスの監視

サービス提供基盤の稼働状況を24時間365日体制で自動監視しており、異常検知時には運用担当者へアラートが通知され、迅速な復旧対応を行います。

12.6.1 技術的ぜい弱性の管理

• アプリケーション: 当社は、本サービスに対して定期的なぜい弱性診断を実施し、発見されたぜい弱性に対して必要な修正対応を行います。
• プラットフォーム（クラウド基盤）: クラウド基盤（ホストOS、データベースエンジン等）のぜい弱性対策は、Google Cloud のセキュリティ機能により自動的に実施・管理されます。当社は、クラウド事業者からのメンテナンス通知やぜい弱性情報を監視し、適切な適用状況を確認します。
• コンテナおよびライブラリ: アプリケーションの実行環境（コンテナイメージ）に含まれるOSやミドルウェアについては、当社が定期的に最新化（再ビルド）を行い、ぜい弱性の修正を適用します。

13. 通信セキュリティ

13.1.3 / CLD.13.1.4 ネットワークの分離

本サービスのネットワークは、インターネットに公開される領域と、データベース等が配置される内部領域に論理的に分離されています。

• 外部からのアクセス: ネットワーク保護機能および通信制御機能により保護され、不正な通信を遮断しています。
• 内部領域へのアクセス: データベース等の重要資産は、外部インターネットから直接到達できない非公開領域（内部ネットワーク）に配置され、厳格なアクセス制御および通信経路の制限により保護されています。

14. システム開発と保守

14.1.1 / 14.2.1 セキュリティに配慮した開発

本サービスの開発においては、企画・設計段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」の考え方を採用し、以下のプロセスを経て開発を実施しています。

• 設計段階（要件定義・リスク分析）: 仕様策定の段階でリスク分析を実施し、必要なセキュリティ要件（認証方式、暗号化範囲、入力値チェック等）を定義した上で実装へ進みます。
• 実装段階（自動コードスキャン）: 開発プラットフォームに統合された高度なセキュリティ解析機能（SAST: Static Application Security Testing）を活用し、セキュアコーディング規約への適合や脆弱性の有無を機械的にチェックしています。重大な脆弱性が検出された場合は、修正が完了するまでメインコードへの統合（マージ）をブロックする仕組みを導入しています。
• テスト段階（多層的な確認）: 自動チェックに加え、熟練した開発者によるコードレビューおよびリリース前のセキュリティテストを実施し、多層的な仕組みで脆弱性の混入を防いでいます

15. 供給者関係

15.1.2 供給者との合意におけるセキュリティの取扱い

本サービスの基盤として利用するクラウドサービス事業者（Google Cloud）に対し、定期的なセキュリティ評価（第三者認証の確認等）を実施しています。また、開発・運用の一部を委託するグループ会社（海外拠点含む）に対しても、当社と同等のセキュリティ水準を求め、定期的な監査を行っています。

16. インシデント管理

16.1.1 / 16.1.2 インシデント対応および報告

セキュリティインシデント（情報漏洩、不正アクセス等）が発生した場合に備え、対応手順（検知、報告、封じ込め、復旧）を確立しています。利用者データに影響が及ぶ重大なインシデントが発生した場合は、速やかに利用者へ通知および報告を行います。

16.1.7 証拠の収集

インシデント発生時には、原因究明および再発防止のため、デジタル証拠（ログ等）の保全を行います。法的要請等に基づき必要な場合は、適切な手続きを経て情報の提供を行う場合があります。

18. コンプライアンス

18.1.1 適用法令及び契約上の要求事項の特定

本サービスの提供および利用に関しては、日本国の法令（個人情報保護法、不正競争防止法等）を準拠法とします。

18.1.2 知的財産権

本サービスで提供するソフトウェア、コンテンツ等の知的財産権は当社または正当な権利者に帰属します。利用者が登録したデータの権利は利用者に帰属します。

18.1.3 記録の保護

本サービスの運用において生成される記録（ログ、監査証跡等）は、不正アクセスや改ざんから保護されています。

18.1.5 暗号化機能に対する規制

当社は、適切な暗号化技術を採用し、関連する輸出入規制等を遵守しています。

18.2.1 情報セキュリティの独立したレビュー

当社は、本サービスの情報セキュリティ管理策の有効性を確認するため、定期的な内部監査および第三者認証機関による審査（ISMS認証審査等）を受審しています。

改訂履歴

• 第1版：2026年3月13日 制定