AirTA Sites

AirTA Sites トラストセンター

インシデント対応と漏えい等の通知

問題が起きたときに当社が行うこと、貴社へのご連絡の早さ、そして個人情報保護法に基づく貴社自身の義務を果たすための当社の協力について定めます。

最終更新日 Read in English

要点

  • 求職者データの漏えい、滅失又は毀損を認識した場合は 48 時間以内に貴社へ通知し、収束までの間、状況をお知らせし続けます。
  • 求職者データについて報告義務を負うのは貴社です。当社は、個人情報保護委員会の報告様式に沿って事実をまとめてお渡しします。
  • 重大度 1 は、認識した時点から、休日を含めて封じ込めまで対応を続けます。
  • すべてのインシデントは書面での振り返りで締めくくり、影響を受けた会社に共有します。

この要点は本文を読む際の手引きです。適用されるのは以下の本文です。

インシデントの範囲この項目へのリンク

1.1 セキュリティインシデントとは、サービス又はデータの機密性、完全性、可用性を損なうおそれのある事象をいいます。権限のない者によるデータへのアクセス、データの漏えい・滅失・毀損、当社のアカウントや鍵の不正利用、サービスへの有害なコードの混入などが該当します。疑いがある段階でも、否定されるまではインシデントとして扱います。

1.2 サービスインシデントとは、サイトや管理画面の停止、メールの未配信、定期処理の失敗など、サービスが本来どおりに動かない事象をいいます。これらは airtasites.jp/status に表示します。

重大度の区分この項目へのリンク

インシデントを記録した時点で重大度を定め、状況が判明するに従って見直します。

重大度 1
求職者又は顧客の個人データが漏えい・滅失・毀損した、又はそのおそれがある場合。あるいはすべての会社のサイトが停止している場合。休日を含めて直ちに対応し、封じ込めまで続けます。
重大度 2
データの露出につながりうる弱点が見つかったが悪用の形跡はない場合、又は複数の会社で機能が使えない場合。当日又は翌営業日に対応します。
重大度 3
影響が限られ、回避策がある場合。通常の業務の中で修正します。

役割分担この項目へのリンク

3.1 インシデント責任者は当社代表者（スミス ダニエルレイ）とし、封じ込めの判断、影響を受けた会社への連絡、記録を担います。インシデント責任者が対応できない場合に引き継ぐ代行者を指名する手続きを進めています。状況は事業継続計画に示しています。

3.2 当社からの通知は貴社のオーナーにお送りします。求職者データについて、個人情報保護委員会への報告と本人への通知は法律上貴社の義務であるため、その判断は貴社が行い、当社はその両方を支える作業を担います。

3.3 再委託先が関係する場合は、直ちに当該事業者に連絡し、得られた情報を貴社にお伝えします。

対応の流れこの項目へのリンク

  • 検知：アラート、稼働確認、お客様や外部の方からの連絡により把握し、インシデント記録に時刻とともに登録します。
  • 封じ込め：被害の拡大を止めます。セッションの無効化、鍵とパスワードの交換、送信元の遮断、機能の一時停止などを行います。
  • 評価：影響を受けた会社、データの項目、人数、要配慮個人情報を含むか、不正の目的によるものかを確認します。
  • 通知：個人データに関わる場合は 48 時間以内に影響を受けた会社へ、障害の場合はステータスページでお知らせします。
  • 復旧：原因を取り除き、必要に応じてバックアップから復元し、修正が有効であることを確認します。
  • 振り返り：何が起き、何を変えるかを書面にまとめます（後述）。

4.1 対応の間は証拠を保全します。インシデントに関係するログ、アクティビティログ、エラー記録は、振り返りが終わるまで削除しません。

貴社へのご連絡この項目へのリンク

5.1 貴社の求職者データの漏えい、滅失又は毀損を当社が認識した場合は、すべてが判明していなくても、48 時間以内に貴社のオーナーへ電子メールで通知します。これは契約上の義務です（利用規約第14条）。

5.2 最初の通知には、その時点で判明している次の事項を記載します。

  • 発生した事象と日時、当社が認識した日時
  • 対象となるデータの項目と、おおよその人数
  • 封じ込めのために実施した措置
  • 報告対象に当たると考えるか、貴社にお願いしたいこと
  • 連絡窓口と、次回の報告予定

5.3 事実が確認されるたびに、またインシデントが続く間は少なくとも営業日ごとに続報をお送りします。障害は確認した時点で airtasites.jp/status に掲載します。

個人情報保護法に基づく報告この項目へのリンク

6.1 個人情報保護法第26条により、一定の漏えい等が生じた場合、個人情報取扱事業者は個人情報保護委員会へ報告し、本人に通知しなければなりません。求職者データについてこの義務を負うのは貴社であり、当社はその取扱いの委託を受けています（利用規約第14条）。

6.2 報告が必要となるのは、次のいずれかが発生した、又は発生したおそれがある場合です（個人情報保護法施行規則第7条）。

  • 要配慮個人情報が含まれる場合（例：履歴書に記載された健康に関する情報）
  • 不正に利用されることにより財産的被害が生じるおそれがある場合
  • 不正の目的をもって行われたおそれがある場合（攻撃など）。2024年4月以降は、応募フォームなどで取得しようとしている、保存前の個人情報も対象です
  • 本人の数が 1,000 人を超える場合
速報
貴社が事態を知った後、速やかに。個人情報保護委員会のガイドラインでは概ね 3〜5 日以内とされています。
確報
30 日以内。不正の目的によるおそれがある場合は 60 日以内。
当社から貴社への通知
48 時間以内。貴社が速報の期限に間に合うようにするためです。

6.3 委託先である当社は、貴社に通知することで報告義務を果たしたものとされます（同法第26条第1項ただし書）。それでも当社は必要な作業を行います。個人情報保護委員会の報告様式の順（概要、対象となる個人データの項目、本人の数、原因、二次被害の有無、本人への対応、公表の状況、再発防止策）に沿って事実をまとめてお渡しし、確報に向けて更新します。

6.4 貴社のチームメンバーのアカウントなど、当社が自ら取り扱う個人データについては、当社が個人情報保護委員会へ報告し、本人に通知します。

本人への通知この項目へのリンク

7.1 本人への通知が必要な場合、通知は貴社から行います。当社は日本語と英語の文案をご用意します。また「設定 › プライバシー」では一人ひとりについて保有するデータを確認できるため、本人に伝えるべき内容を正確に把握できます。

  • 漏えい等は 48 時間以内に通知

    求職者データの漏えい、滅失又は毀損が生じた場合は 48 時間以内に会社へ通知し、個人情報保護委員会への報告と本人への通知に協力します。これは契約上の義務です。

    稼働中
  • 本人のデータを検索し、まとめて対応

    求職者から保有データの開示や削除を求められたときは、「設定 › プライバシー」でその人に関するデータを 1 か所で検索し、対応できます。

    稼働中

インシデント後の振り返りこの項目へのリンク

8.1 重大度 1 又は 2 のインシデントは、収束から 2 週間以内に振り返りを書面にまとめます。発生事象、時系列、原因、うまくいった点といかなかった点、今後の改善を記載し、影響を受けた会社に共有します。障害の概要はステータスページにも掲載します。

8.2 インシデント記録には、すべてのインシデント、データベースへの直接アクセス、振り返りを少なくとも 5 年間保存します。

8.3 この計画は年 1 回、具体的な事例を用いて演習し、重大度 1 のインシデントの後には必ず見直します。

問題のご報告この項目へのリンク

9.1 AirTA Sites にセキュリティ上の問題を見つけたと思われる場合は、確認した内容と再現方法を hello@airtasites.jp までお知らせください。1 営業日以内の返信を目指し、対応の内容をお伝えします。

問題を確かめるために他人のデータにアクセスしたり、サービスを妨げたりしないでください。お知らせいただければ、当社が調査します。