概要
本ページでは、検知アプリの詳細画面に表示される「コンプライアンス」情報の各項目について説明します。
コンプライアンス情報は、各アプリに関連するセキュリティやプライバシーの認証・規格・法令などを確認するための参考情報です。アプリの利用可否やリスクを検討する際にご活用ください。
本ページは各項目の意味を説明するものであり、Josys自身が以下のすべての認証を取得、またはすべての基準に準拠していることを示すものではありません。
想定読者
検知アプリのセキュリティやプライバシーに関する情報を確認されるIT管理者
確認方法
- 検知アプリの一覧から、確認したいアプリを開きます。
- アプリの詳細画面で「概要」タブを開きます。
- 「コンプライアンス」欄に表示される項目を確認します。
コンプライアンス項目の説明
各項目には、第三者認証だけでなく、法令・管理基準・監査報告書・フレームワークも含まれます。
| 項目 | 説明 |
|---|---|
| C5（ドイツ） | Cloud Computing Compliance Criteria Catalogue。クラウドサービスの情報セキュリティを評価するためのドイツの基準です。 |
| CCPA | California Consumer Privacy Act（カリフォルニア州消費者プライバシー法）。カリフォルニア州の消費者に、個人情報の取扱いに関する権利を定める法律です。 |
| COBIT | 企業のITガバナンスとITマネジメントのためのフレームワークです。情報システムの品質・統制・信頼性などの管理に用いられます。 |
| Cyber Essentials／Cyber Essentials Plus（英国） | 一般的なサイバー攻撃に対する基本的なセキュリティ対策を確認する、英国政府が支援する認証制度です。Cyber Essentials Plusでは技術的な検証も行われます。 |
| FedRAMP | Federal Risk and Authorization Management Program。米国連邦政府が利用するクラウドサービスのセキュリティ評価・認可・継続的な監視のためのプログラムです。 |
| FISMA | Federal Information Security Management Act。米国連邦政府の情報や情報システムを保護するための情報セキュリティ管理を定める法律です。 |
| GAPP | Generally Accepted Privacy Principles。組織における個人情報の管理とプライバシー保護を評価するための原則です。 |
| GDPR | General Data Protection Regulation（EU一般データ保護規則）。個人データの取扱いと保護に関するEUの規則です。域外への個人データの移転についても定めています。 |
| HIPAA | Health Insurance Portability and Accountability Act。米国の法律で、医療分野における保護対象の健康情報のプライバシーやセキュリティなどに関する規則の根拠となります。 |
| HITRUST | 情報保護に関する管理策の評価・認証を提供する枠組みです。医療分野を含む組織のセキュリティやプライバシー管理の評価に用いられます。 |
| ISO/IEC 27018 | パブリッククラウドで個人を識別できる情報（PII）を保護するための管理策に関する国際規格です。 |
| ISO 27001（ISO/IEC 27001） | 情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格です。 |
| NIST SP 800-53 | 米国国立標準技術研究所（NIST）が公表する、情報システムと組織のセキュリティ・プライバシー管理策のカタログです。 |
| PCI DSS | Payment Card Industry Data Security Standard。カード会員データなどを安全に取り扱うためのセキュリティ基準です。 |
| Privacy Shield | EU・米国間やスイス・米国間の個人データ移転で利用されていた旧枠組みです。EU・米国間の枠組みの根拠となる十分性認定は2020年に無効とされています。現在のデータ移転の適法性を、この表示だけで判断しないでください。 |
| PrivacyMark（プライバシーマーク） | 個人情報について適切な保護措置を講じる体制を整備している事業者などを評価する、日本の制度です。 |
| SAS 70／SSAE 16／SSAE 18 | 受託業務の内部統制などに関する監査・保証業務の基準です。SAS 70とSSAE 16は旧基準です。報告書を確認する際は、適用基準や対象期間もご確認ください。 |
| SOC 1 | 受託業務の内部統制のうち、利用企業の財務報告に関連する統制についての保証報告書です。 |
| SOC 2 | サービス組織のセキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーに関する基準のうち、評価対象となる項目についての保証報告書です。 |
| SOC 3 | SOC 2と同じ評価基準に基づき、一般公開向けに作成される概要レベルの保証報告書です。 |
| TrustArc | プライバシー管理に関する評価・認証などを提供するサービスです。確認する際は、対象となるプログラムや認証範囲をご確認ください。 |
リスク度との違い
「リスク度」と「コンプライアンス」は、アプリの詳細画面に表示される別の情報です。本ページの一覧は、リスク度の算出基準や、各項目がスコアに与える影響を説明するものではありません。
確認時のポイント
- 認証や報告書には、対象サービス・対象範囲・評価期間などが定められている場合があります。詳細は各アプリの提供元が公開する情報をご確認ください。
- 過去の制度や旧基準が含まれる場合があります。最新の対応状況は提供元の情報と合わせてご確認ください。