Independent Contractors Security Requirements

一般的なデータ・セキュリティ要件
1. 書面による情報セキュリティ・プログラム。請負業者は、Seagateデータを偶発的、不正、または違法な使用、破壊、損失、改変、開示またはアクセスから保護するために設計された、技術および組織のセキュリティ保護手段を含む、包括的な書面による情報セキュリティ・プログラム（以下、「WISP」という）を確立および維持するものとします（独立請負業者契約書に定義されているとおり）。その他の無許可の請負業者はSeagateに、その契約の過程におけるあらゆる更新を含むWISPの写しを提供するものとします。
2. WISPの内容。請負業者のWISPは、物理的アクセス、システム・アクセス、データ・アクセス、送信、セキュリティ監視および施行を含む、すべてのSeagateデータの機密性、完全性、および可用性に合理的に対処する必要があります。WISPは、該当する場合、Seagateデータ・プライバシー契約を含む、Seagateとの他の契約に規定された要件を遵守する必要があります。それには、以下が含まれている必要があります。
  1. 定期的なリスク評価。
  2. 許可されたユーザーのセキュリティ要件の特定と文書化
  3. アクセスの性質とそのアクセスの権限を含む、ユーザー・アクセスの制御。
  4. 本別紙に定められた物理的なセキュリティ対策を含むがこれに限定されない、効果的な物理的および論理的アクセス制御の利用による不正アクセスの防止
  5. 新しいユーザーの追加、既存のユーザーのアクセス・レベルの変更、およびアクセスが不要になったユーザーの削除の手順
  6. セキュリティ、システム変更、およびメンテナンスの責任と説明責任の所在の指定
  7. セキュリティに影響を与えるパッチの90日以内の間隔での適用や重要なパッチの15日以内の適用など、システム・ソフトウェアのアップグレードとパッチの実装
  8. 実装前にシステム・コンポーネントをテスト、評価、承認するための手順（データ保護影響評価を含むが、これに限定されない）
  9. セキュリティの問題に関する苦情および要求を解決する手順
  10. 過失および不備、セキュリティ違反、およびその他のインシデントに対応する手順
  11. 実際に発生したまたは未遂に終わったシステムへの攻撃および侵入を検出し、積極的にセキュリティ対策のテスト（侵入テストを含むが、これに限定されない）を実施する手順
  12. 情報セキュリティ・ポリシーと手順（請負業者の人員に対するトレーニング・プログラムを含むが、これに限定されない）をサポートするための専用リソース
  13. 例外およびセキュリティ・プロセスで具体的に対応が示されていない状況に対処するための手順
  14. 請負業者のセキュリティ・ポリシーと手順に対応した業界標準のセキュリティ・フレームワーク
  15. Seagateデータにアクセスできるユーザー、管理者、および第三者が、Seagateデータのセキュリティに関連する、該当するプライバシー・ポリシーおよび手順を理解し、遵守することを（初回および年1回）確認するための手順
  16. Seagateデータの適切な破壊と処分のための手順
  17. Seagateデータへのアクセス、使用、処理、保存に関連する、該当する情報セキュリティ・リソースの変更管理に関する手順および管理プロセス
  18. 変更管理プロセスを実施前にテスト、追跡、記録するための手順。
3. 安全な環境と設備。請負業者はSeagateデータを安全に収集、ホスト、転送、および保存するものとします。請負業者は、Seagateデータの不正アクセス、盗難、または不正開示を防止するため、業界標準の物理的および環境的セキュリティ対策を用いてサービスを提供するものとします。請負業者は、ファイアウォールおよびその他のセキュリティ技術について、一般に認められた業界標準およびベスト・プラクティスと一致する技術を採用するものとします。請負業者は、Seagateデータの保存や処理を行う場所をそれぞれ、Seagateに通知するものとします。請負業者は、Seagateデータを他社のデータと混在させることはできないものとします。請負業者は、Seagateデータへのアクセスまたはサービスの提供に使用される物理的な作業領域およびシステムまたは機器が不正アクセスから保護されていることを確認するものとします。請負業者の人員は、請負業者のプロセスおよび手続きに規定された、安全かつ許可された場所でのみ作業するものとします。請負業者がサービスを提供するためにSeagate以外の機器、サーバー、またはシステム（以下、「請負業者機器」という）を使用する場合、請負業者は、かかる請負業者機器がウイルス対策ソフトウェア、ファイアウォール保護、ディスク全体の暗号化、最新のセキュリティ・パッチ、およびマルウェア保護を含む（ただしこれに限定されない）、業界標準の情報セキュリティ管理を有することを確認するものとします。請負業者は、Seagateの書面による事前の同意がある場合にのみ、サービスに関連して請負業者機器を使用するものとします。また、請負業者は、請負業者機器が個人用または「BYOD」機器であるか、請負業者所有の機器であるかについて開示するものとします。
特定の要件
1. 暗号化。請負業者は、送信中および保存中のSeagateデータを保護するため、業界でテストされ、一般に認められたアルゴリズムおよびセキュリティ・プロトコルに基づく暗号方式（パスワード暗号を含むが、これに限定されない）を維持および使用するものとします。請負業者は、信頼できる証明書およびプロトコルが、安全なバージョン、設定、および暗号化方法を使用していることを確認するものとします。請負業者は、サービスおよびサービスに関連するすべてのシステムとアプリケーションに関連して、安全な鍵管理プロセスを維持し、使用するものとします。すべての鍵は、少なくとも128ビットの対称鍵または2,048ビットの非対称鍵でなければなりません。
2. 安全なメッセージング。請負業者がサービスに関連して請負業者が管理するメッセージングを使用する場合、請負業者は、一般に認められた業界標準に基づき、安全なメッセージングおよび通話言語を使用し、維持するものとします。
3. データ形式とポータビリティ。請負業者は、Seagateデータを、Seagateが許容するファイル形式で維持するものとします。請負業者は、Seagateの要求に応じて、機械可読かつ相互運用可能でSeagateにエクスポートできるような形式で、すべてのSeagateデータを維持するものとします。
4. データ保全性およびデータ保護措置。請負業者は、Seagateデータの機密性、完全性、および可用性を維持するものとし、本契約（該当する作業指示書を含む）に従ってサービスを提供するために必要な場合を除き、Seagateデータを使用、開示、改変、拒否、またはアクセスの許可を行わないものとします。請負業者は、Seagateデータの処理、送信、および保存中に、Seagateデータが無傷、完全、かつ最新であることを保証するものとします。請負業者は、Seagateの許可がない限り、いかなる人物もSeagateデータを改変できないようにするものとします。請負業者はSeagateデータの保全性を定期的にテストし、検証するものとします。請負業者は、お客様のクラウド・インスタンスおよびアプリケーションにおけるお客様間の論理データ分離を含め、処理中にSeagateデータを他のお客様のデータから分離しておくものとします。請負業者は、お客様が他のお客様のクラウド・サービス・インスタンスおよびアプリケーションまたはデータにアクセスすることを防止するためのセキュリティ対策を確立し、維持するものとします。
5. 復元可能性。請負業者は、Seagateの要求により、または法律が定める義務に従って、Seagateまたは第三者機関が実施する監査、インシデントまたは調査を受けてSeagateデータの生成を求めるSeagateの要求に従うものとします。請負業者は、請負業者のシステムおよび請負業者のバックアップからSeagateデータの復元可能性をテストするために、Seagateに協力するものとします。
6. 監査およびテスト。Seagateは、請負業者がサービスを提供するために使用するデータ・センター、アプリケーション、およびネットワーク・インフラストラクチャのプロセス、管理、プライバシー、およびセキュリティを監査する、または第三者に監査させるものとします。Seagateは、事前の通知なしに、基本的なポート・スキャンを含む（ただしこれに限定されない）、非侵入型のネットワーク監査を実施することができるものとします。Seagateが請負業者の他の顧客のデータにアクセスすることはありません。Seagateは、請負業者から同意を得た上で技術セキュリティ完全性の確認、侵入テスト、負荷テスト、サービス妨害攻撃シミュレーションまたは脆弱性検査を実施することができます。
7. 脆弱性テストおよび脆弱性の軽減。請負業者は、WISPに従って、Seagateデータに関して脆弱性評価および侵入テスト (VA/PT) を年1回実施するものとします。評価は、すべての新しいソフトウェアおよび/またはアプリケーションのリリース前に社内で実施する必要があります。評価は、一般に認められたVA/PTの業界標準（Open Web Application Security ProjectやSANS Instituteが公布したガイドラインなど）に一致した方法で、信頼できる認可されたセキュリティ・テスト会社によって実施される必要があります。請負業者は、随時発見される重大なセキュリティの脆弱性を軽減するものとします。
8. ビジネス継続性計画。請負業者は、SeagateにサービスおよびSeagateデータへの継続的なアクセスとサポートを提供するための有効なビジネス継続性計画（障害回復および危機管理手順が含まれるが、これらに限定されない）を維持するものとします。請負業者は、バックアップおよび災害復旧計画のプロセスによりSeagateデータが不正な使用、アクセス、開示、変更、または破壊から守られるようにするものとします。Seagateの要求に応じて、請負業者はSeagateにビジネス継続性計画の概要を提供し、障害回復活動にSeagateが参加できるようにするものとします。Seagateから変更の要求があった場合は、Seagateと請負業者が互いに合意した期間内に請負業者はその変更をビジネス継続性計画に盛り込むものとします。
9. バックアップおよびアーカイブ。請負業者は毎日、すべてのSeagateデータを完全に復旧できるように複製または冗長システムのバックアップ、アーカイブ、およびメンテナンスを実施するものとします。請負業者は、バックアップ・データおよびシステムを請負業者のバックアップ場所に転送する手順と合理的な頻度を設定し、それに従うものとします。請負業者は、請負業者のプライマリ・システム以外の安全な物理的な場所でバックアップ・ストレージおよびシステムのメンテナンスを実施するものとします。請負業者は、バックアップ・ストレージ・システムのアップデートとテストを少なくとも年に1回実施するものとします。元のSeagateデータが紛失または破損した場合、請負業者は2時間以内にバックアップ・データからSeagateデータを再現するものとします。サービスまたはSeagateデータに関するサービス・レベル契約または作業指示書により、より頻繁または包括的な目標復旧時間 (RTO) または目標復旧地点 (RPO) が要求されている場合、より頻繁またはより包括的な条件がRTOおよびRPOの要件に適用されます。
10. アクセス制御。請負業者は、Seagateデータをホストするエリアにその物理エリアへのアクセスを必要とする請負業者の従業員以外の人間が物理的にアクセスすることを防止するものとします。
11. ネットワーク・セキュリティ。請負業者は、業界標準の技術を使用してネットワーク・セキュリティを維持し、「最小特権の原則」を実施するためにすべてのネットワーク・インフラストラクチャを構成するものとします。これには、(a) 必要最小限のアクセス/トラフィックのみを許可するフィルタ、(b) スプーフィング対策フィルタ、(c) ネットワークの入口/出口フィルタ、および (d) アクセス制御リストおよびルーティング・プロトコルが含まれます。
12. ハードニングに関する文書。請負業者は、SeagateアプリケーションおよびSeagateデータをホストするサーバーを保護するために、業界で認められ、文書化されたシステム・ハードニング・プロセスおよび手順を維持するものとします。
13. ホスト監視。請負業者は、SeagateアプリケーションおよびSeagateデータをホストするサーバーの完全性および可用性を監視するための文書化されたプロセスおよび手順を維持するものとします。
14. パスワード。請負業者は、請負業者のファイアウォールの内側で業界標準のセキュリティ対策を使用して、すべてのパスワードを安全なデータベース・サーバー内に保存するものとします。請負業者は、セキュア・ハッシュ・アルゴリズム2 (SHA-2) 以上を使用してデータベースのパスワードのハッシュまたはスクランブルを行うものとします。請負業者のシステムは、アプリケーションを起動して請負業者のデータベースに接続するときに必要なパスワードを要求する必要があります。
15. ウェブ・セキュリティ。請負業者は、SeagateアプリケーションおよびSeagateデータの処理に関連するウェブ・セキュリティに関して文書化されたプロセスおよび手順を維持するものとします。継続的な品質保証および情報セキュリティの一部として、請負業者は、Seagateが使用するアプリケーションおよびシステムのセキュリティ脆弱性を特定および解決するために、定期的に侵入テストを実施するものとします。侵入テストは、一般に認められた業界標準のフレームワークを使用して、認可された情報セキュリティ侵入テスト会社により、少なくとも年1回実施される必要があります。請負業者は、試験結果の写しをSeagateに提供するものとします。
16. IDプロビジョニングおよびプロビジョニング解除。請負業者は、クラウド・サービスを利用するお客様のオンボーディングおよびオフボーディングに対して、適時に対応する安全な管理を提供するものとします。請負業者は、オンボーディングおよびオフボーディングにおいて、Simple Cloud Identity Managementなど、一般に認められた業界標準のAPIを使用するものとします。
17. フェデレーション。請負業者のサービスが、ユーザーまたは請負業者によるログオン手続きを必要とするサービスを実装している場合、請負業者は、SAML v2フェデレーション標準を含むSeagateのシングル・サインオンの仕組みを使用し、実装するものとします。
18. 強力な認証。請負業者は、SeagateアプリケーションおよびSeagateデータのホスティングに使用するサービスを管理するリモート管理者を認証するために、セキュリティ・プロセスの一部として二要素認証を使用するものとします。
19. アカウント管理/セッション管理。サービスに関連してシステムまたはソリューションを構築、サポート、または実装する場合、請負業者は、ユーザー認証、セッション管理、およびアクセス制御について一般に認められた業界標準および慣行に従うものとします。
20. 認証およびアクセス制御。請負業者はポリシーおよびロールベースのアクセス制御を維持し、コンプライアンス、監査およびインシデント調査を目的としてユーザー・アクセス情報を記録するものとします。請負業者は、オペレーティング・システム権限、ファイル・アクセス、ユーザー・アカウント、およびアプリケーション間通信を含む（ただしこれに限定されない）、Seagateデータの処理、送信、または保存の際に、職務の分離および最小権限の原則を維持するものとします。
21. Seagateデータのエクスポートおよび提供。請負業者は、Seagateが要求した時点で、Seagateデータを機械可読かつ相互運用可能な形式でSeagateにエクスポートするか、Seagateまたはその第三者被指名人に、Seagateデータを機械可読かつ相互運用可能な形式でいつでもエクスポートできるようにするものとします。この義務は、本契約の終了または満了後90日間継続します。
22. Seagateデータの削除。Seagateが請負業者に対し、Seagateデータが正常に受領され、移動されたことを通知してから、あるいはSeagateデータを移動させないことを選択したことを通知してから90日以内に、請負業者はすべてのSeagateデータを安全に破壊し、Seagateのワークスペース識別子のリンクを削除し、新しいデータで上書きするか、あるいはその他の認められたサニタイズ方法でSeagateデータを破壊するものとします。請負業者がSeagateデータを含む紙、電子、またはその他の記録を破棄する場合、請負業者はSeagateデータを読取り不可能、再構築不可能、判読不可能な状態にするために (a) シュレッダーにかける、(b) 永久的に消去や削除を行う、(c) 消磁する、あるいは (d) その他の形で変更することで、（Seagateデータの機密性に応じた）Seagateデータを破棄するためのあらゆる合流的な手順を踏み、これを行うものとします。請負業者がSeagateデータのコピーが入ったハードディスク・ドライブの使用を終了したり、そのハードディスク・ドライブを廃棄したりする場合、請負業者は安全にドライブのデータを完全消去するか、ドライブを破壊してSeagateデータが読み取れないようにするものとします。請負業者は、ドライブが完全消去または破壊されたこと、およびSeagateデータの読取り、取得、または再現が不可能であることを書面により証明するものとします。請負業者が本契約で許可された期間を超えてSeagateデータを保持する法的義務を負う場合、請負業者はSeagateに書面によりその義務を通知し、法的義務の終了後にできる限り速やかにSeagateデータを返却または破壊するものとします。
23. アプリケーションAPI。請負業者は、Seagateデータおよびサービスに関連して使用されるAPIを文書化し、サービス中およびサービスの終了時に、APIのリストをSeagateに提供するものとします。請負業者のAPIセキュリティは、(a) 一般に認められた業界標準とベスト・プラクティスを遵守し、(b) アプリケーションの脆弱性標準と安全な業界開発標準に従う必要があります。
24. ログおよび監査ファイル。請負業者がサービスに関連してシステムまたはアプリケーションを構築または実装する場合、請負業者は(a) 情報のリクエストとサーバーの応答、(b) アクセスおよび認証の試行、(c) アカウントの変更、(d) 特権の使用、(e) アプリケーションの障害、および (f) アプリケーション構成の重大な変更に関するセキュリティ・ログ・ファイルを維持し、Seagateに提供するものとします。
25. セキュリティ違反とインシデント、情報セキュリティ・チームの監視。請負業者は、その業界におけるベスト・プラクティスと一致するセキュリティ・インシデント管理および調査プロセスを維持するものとします。請負業者は、セキュリティ違反、セキュリティ・インシデント、またはセキュリティ違反に関連する調査について、直ちにおよびいかなる場合でもかかるセキュリティ違反またはインシデントを知ってから24時間以内に、Seagateに通知するものとします。請負業者は、本別紙における請負業者の情報セキュリティ義務の履行を管理および調整する責任を負う、指名されたプライマリ・セキュリティ・マネージャーをSeagateに通知するものとします。請負業者は、質問または問題を検討し、解決するために、Seagateにセキュリティ・マネージャーおよび請負業者の情報セキュリティ・プログラム責任者へのアクセス権を与えるものとします。
26. 下請け業者および下請け処理業者。請負業者は、Seagateの書面による事前の同意なしに、Seagateデータへのアクセスや処理、またはサービスの提供に下請け業者を使用しないものとします。Seagateが、Seagateデータを処理するために請負業者が下請け業者を使用することに同意した場合、請負業者は、本契約の条件の下で請負業者に適用されるすべての情報セキュリティ義務を遵守することに、下請け業者が書面で同意するよう確認するものとします。請負業者は、下請け業者のすべての義務の履行に対して責任を負い、保証するものとします。請負業者は、サービスまたはSeagateアプリケーションに関連して請負業者が使用する第三者のアプリケーションまたはサービスのリストと説明をSeagateに提供するものとします。
必要な証明書および報告書
1. ISOおよびSOC報告書。請負業者は、Seagateが合理的に受け入れることのできる、信頼できる認可された監査会社から、サービスに固有の以下の証明書および報告書を取得し、提供するものとします。証明書および報告書は、請負業者が提供するサービスに固有の請負業者の基準および管理について網羅する必要があります。請負業者は、(a) サービスの開始前、および (b) 年1回、各年の6月15日までに、証明書および報告書の写しをSeagateに提出するものとします。証明書および報告書は、Seagateの会計年度の少なくとも9か月を網羅し、証明書または報告書が対象とする期間から90日以内にSeagateに提出する必要があります。
  1. 国際標準化機構 (ISO) 27001または27002、
  2. 米国公認会計士協会 (AICPA) のStatements on Standards for Attestation Engagements (SSAE) 18 Type II、サービス基準および統制報告書（すなわち、SOC1 Type 1/Type 2、および/またはSOC2 Type 1/Type 2）またはその他の類似する報告書。請負業者が、Seagateの財務報告に関するSeagateデータを含むサービスまたは関連アプリケーションを提供する場合、請負業者はSOC1 Type 2報告書を提供するものとします。サービスにクラウド・インスタンスおよび/またはアプリケーションが含まれる場合、請負業者はSOC2 Type 2報告書を提供するものとします。
  3. また、Seagateデータまたはサービスに支払いカードの処理または保管が含まれる場合、PCI Data Security Standardsへの準拠の検証評価を提供するものとします。
2. Seagateによる報告書の検討。Seagateは、請負業者の証明書および報告書が適切であるかどうかを判断することができます。請負業者は、その報告書または証明書に重大な変更があった場合、Seagateに通知するものとします。Seagateからの書面による要求に応じて、請負業者は合理的な調査の実施後に請負業者の経営陣が知る範囲で、経営者確認書の日付と証明書または報告書の日付の間に統制環境に変化がないことを表明する、経営者確認書もSeagateに提出するものとします。
身元確認およびサイト/システム・アクセス
1. 身元調査。法律で認められている範囲内で、請負業者は、雇用条件としてまたはサービスの開始前に、Seagateデータにアクセスするすべての従業員、独立請負業者、および臨時従業員（総称して「請負業者人員」）の身元調査を実施するものとします。身元調査には、犯罪歴、National Criminal Records Check（無犯罪証明書）、刑事裁判所における7年間の軽罪と重罪の有罪判決の調査を含める必要があります。請負業者は、Seagateが請負業者の慣行を確認し、これらの基準が満たされていることを確認するために、完了した雇用前選考過程を監査することを許可するものとします。請負業者がこれらの要件を満たさない場合、または監査に不合格となった場合、Seagateは、サイトおよびシステムへのアクセスに対する請負業者人員の適格性を判断するため、（請負業者に負担をかけることなく）身元調査を行うことができます。請負業者は、Seagateの拠点にいるすべての請負業者人員が、Seagateのポリシー、手順、およびガイドラインに従うことを確認するものとします。
2. 守秘義務。各当事者は、自らが実施する身元調査に関するすべての適用法を遵守し、すべての身元調査報告書の機密を保持するものとします。
3. アクセス制限。請負業者は、適用法令により禁止されている場合を除き、窃盗、暴行、または詐欺関連の犯罪で過去7年以内に有罪判決を受けた人間のSeagateデータ、システム、またはサービスの提供に使用されるネットワークへのアクセスや、サービスの提供に使用されている物理的サイトへのアクセスを許可しないものとします。Seagateは、公正信用報告法、データ保護およびプライバシーに関する規制を含むあらゆる適用法令に従って認可を受けた信用調査機関によるSeagateシステム、ネットワークおよび物理的サイトにアクセスする必要がある請負業者人員の身元確認調査を実施することができます。Seagateは確認する報告書の機密性を維持するものとします。

製品

ナレッジ・ベース

サポート・ダウンロード

記事

suggested searches

記事を読む

記事を読む

記事を読む

Independent Contractors Security Requirements