ISO27017-7
契約・法令
OCR最強の利用条件における準拠法は日本法とする。
- 利用規約で本サービスの準拠法を日本法と定め、東京簡易裁判所または東京地方裁判所を管轄裁判所とする。
- 個別契約、申込書、サービス仕様書で異なる定めが必要な場合も日本法を基準に確認する。
ISO27017 SECURITY POSTURE
OCR最強の情報セキュリティ管理策
OCR帳票読取、テンプレート管理、API連携、利用者管理、監査ログ、バックアップ運用を対象に、ISO/IEC 27017を参考に整理した管理策を公開しています。 本ページは認証取得、第三者監査の完了、または全管理策の常時有効性を示すものではありません。
管理策
34
公開中
34
対象サービス
OCR最強
基準時刻
JST
公開範囲
OCR帳票読取、テンプレート管理、API連携、利用者管理、監査ログ、バックアップ運用
KEY CONTROLS
主要な管理策
監査、ログ、バックアップ、境界防御、情報公開など、利用者が確認しやすい項目を抜粋しています。
ISO27017-23
バックアップ・復旧
DBバックアップを日次で取得し、復元手順と復元試験の管理を行う。
- Supabase 自動バックアップまたは手動バックアップ手順により、7世代を基準に保持する。
- 復元は docs/SUPABASE_BACKUP_RESTORE.md と docs/DISASTER_RECOVERY_PLAN.md に従って実施する。
ISO27017-27
ログ保管
利用者アクセスログ、アプリケーションエラーログ、サーバーサイドログを1年間保管する。
- OCR監査ログ、認証ログ、運営操作ログをDBに保存する。
- クラウドランタイムとアプリケーションログは重大性に応じて1年間を基準に参照できる状態で保管する。
ISO27017-33
境界防御
仮想環境はIP、プロトコル、ポートのアクセス制限とWAF相当の防御を実施する。
- 公開面は HTTPS 経由の Next.js API と画面に限定する。
- WAF、DDoS緩和、TLS終端、不要ポート遮断は Vercel とクラウド基盤の管理策を利用する。
ISO27017-37
情報公開
利用者にクラウドサービスの情報セキュリティ機能をホワイトペーパーとして公開する。
- 公開ページ /security と docs/security/ocr-strong-security-whitepaper.md で管理策を確認できるようにする。
- API /api/saas/security/posture で同じ管理策を機械可読形式で提供する。
ISO27017-14
アクセス制御
権限ごとに画面と登録情報の閲覧を制限する。
- OCRユーザー、管理者、閲覧者、レビュー担当などのロールと権限で画面/APIを制御する。
- APIでは companyId と権限を確認し、他社データを返さない。
CONTROL MATRIX
ISO/IEC 27017 参考管理策一覧
各項目は公開方針と実装・運用上の確認先を示します。「公開中」は、認証取得済み・外部監査済み・完全実装済みという意味ではありません。
タスクカテゴリ対応内容
ISO27017-3運用手順GitHub の運用スクリプト実行権限は必要最小限に制限し、実行手順を管理する。
ISO27017-5運用手順Vercel の運用スクリプト実行権限は必要最小限に制限し、実行手順を管理する。
ISO27017-6運用手順Supabase の運用スクリプト実行権限は必要最小限に制限し、実行手順を管理する。
ISO27017-7契約・法令OCR最強の利用条件における準拠法は日本法とする。
ISO27017-9資産分類・利用者属性登録情報を管理単位ごとに分類し、利用者ごとの属性情報を管理する。
ISO27017-10利用者ID管理ログイン用の利用者IDを登録、更新、停止、削除できる。
ISO27017-13認証ユーザー自身のパスワード変更と、管理者による再設定手段を提供する。
ISO27017-12認証二要素認証またはSSO認証の導入方針を定め、特権アクセスには追加の防御を適用する。
ISO27017-16利用者手順OCR最強の操作手順を利用者へ提供する。
ISO27017-17データ所在地OCR最強のサービスデータは、日本国内リージョンを優先して保管する。
ISO27017-20脆弱性管理サービスに影響する脆弱性情報を収集し、影響がある場合は利用者へ通知する。
ISO27017-21インシデント対応情報セキュリティ事象やインシデントの問い合わせを受け付け、重大影響時は3時間以内を目標に通知する。
ISO27017-23バックアップ・復旧DBバックアップを日次で取得し、復元手順と復元試験の管理を行う。
ISO27017-24監査ログ管理者権限を持つ利用者がアクセスログや操作ログを確認できる。
ISO27017-25時刻同期クラウド基盤の時刻はNTP相当の時刻同期により管理する。
ISO27017-27ログ保管利用者アクセスログ、アプリケーションエラーログ、サーバーサイドログを1年間保管する。
ISO27017-32環境分離本番環境、開発環境、テスト環境を分離し、利用者ごとのテナントを論理分離する。
ISO27017-34ネットワーク管理仮想および物理ネットワークのセキュリティ管理は社内ルールに従う。
ISO27017-35契約終了時削除クラウドサービス利用契約終了時、サービス内データを速やかに削除または匿名化する。
ISO27017-33境界防御仮想環境はIP、プロトコル、ポートのアクセス制限とWAF相当の防御を実施する。
ISO27017-36資産管理クラウドサービスカスタマデータと派生データを資産として管理する。
ISO27017-37情報公開利用者にクラウドサービスの情報セキュリティ機能をホワイトペーパーとして公開する。
ISO27017-29供給者管理ピアクラウドサービスを特定し、同等の情報セキュリティ水準を要求する。
ISO27017-28責任分界利用者と事業者の責任範囲を明確にする。
ISO27017-22インシデント告知重大インシデントは3時間以内を目標に通知し、長期化する場合は2時間ごとを目安に進捗を共有する。
ISO27017-18容量・性能監視容量監視とパフォーマンス監視を行い、閾値に基づきインシデント対応できる状態にする。
ISO27017-14アクセス制御権限ごとに画面と登録情報の閲覧を制限する。
ISO27017-8暗号化保存データをAES256相当で暗号化し、通信をSSL/TLSで保護する。
ISO27017-11初期アカウント・権限初期アカウントを契約窓口へ発行し、ユーザーごとに管理者権限や閲覧権限を設定できる。
ISO27017-30暗号化クラウドサービス利用時の保存データ暗号化、通信暗号化、輸出規制非該当を確認する。
ISO27017-15特権操作特権的な操作は認証と権限チェックを必須とし、手順回避を防止する。
ISO27017-31媒体廃棄記憶媒体の再利用・廃棄はクラウド事業者の消去・破壊プロセスと社内削除手順で管理する。
ISO27017-19変更通知サービス変更により利用者へ影響がある場合、定めた基準で事前通知と完了通知を行う。
ISO27017-26ログ開示利用範囲内のログ調査、重大事象時のログ提出、公的機関からの適法な開示要請への対応方針を定める。