Zohoとの共同責任

IDとアクセスの管理

Zohoは、次のことをかんたんにすることで、IDアクセス管理（IAM）サービスを通じてユーザーアカウントを管理するインフラストラクチャーを提供します。

• ユーザーの登録と登録抹消オプションと、これらの使用方法の指定。
• クラウドユーザーのアクセス権限を管理する機能。
• 多要素認証やIPアドレス制限などの強力な認証技術。

お客さまは次のことについて責任を負います。

• 強力なユーザーアクセス管理手段を導入する。
• 組織で定めたポリシーに基づく強力なパスワードを設定し、パスワードを保護する。
• 組織のユーザーの多要素認証を有効化する。
• ユーザーのアカウントと権限を管理し、権限を最小限にする原則に従ってユーザーの役割を設定する。
• 組織のアカウントの管理者を定義し、所有権の移転に関する適切なプロセスを定める。組織が管理者アカウントの制御を喪失しないようにするために必要な措置を講じる。
• データへのアクセス権を持つユーザーのリストを定期的に見直し、アクセス権を持つべきでないユーザーのアクセス権を削除する。
• 組織のユーザーアカウントに結びついた端末を頻繁に見直し、使用していない端末や認証されていない端末を除く。
• 不正なアクセスや使用について、組織のユーザーアカウントをモニタリングする。
• 組織のアカウントが不正に使用された場合、Zohoに通知する。
• 適正なパスワード管理、認証資格情報の再使用に関するリスク、ソーシャルサインイン、フィッシング攻撃について、ユーザーに教育する。

データ管理

Zohoは、お客さまがデータを管理するための次のような機能を備えたプラットフォームを提供します。

• 管理者とユーザーが各々のレベルで管理するデータ共有機能。
• 重要な活動に関する透明性を提供し、変更を追跡するための、お客さまのデータの監査機能。
• データの相互運用性ーデータと設定の完全バックアップを取って、お客さまのデータの全部または一部を他のSaaSプロバイダに移行するオプション。
• データの保持と破棄ーZohoはお客さまがZoho Servicesを利用する限り、お客さまのアカウント下にあるデータを保持します。Zohoのユーザーアカウントを終了すると、お客さまのデータは、6か月ごとに行われる次のクリーンアップにおいてアクティブなデータベースから削除されます。アクティブなデータベースから削除されたデータは、3か月後にバックアップから削除されます。
• 従業員によるお客さまのデータへのアクセスを制限し、特定の理由がある場合に限りアクセスできるようにするアクセス制限機能。

お客さまは次のことについて責任を負います。

• 適用法令で定める要求事項を満たす適切な管理方法を適用することで、特別なカテゴリーに属する情報（個人/機密データなど）の処理を適性評価する。
• 権限の適切な共有と閲覧を設定する。
• 監査レポートを定期的にレビューして、不審な活動を特定する。
• Zohoとの連絡先情報を最新のものに維持する。
• お客さまがZohoのサービスを使用しなくなった場合、お客さまのデータをシステムから削除する。これを行わない場合、データは復元の余地を残さず完全に削除されます。

他者へのデータの管理

Zohoアプリケーションの安全な連携と機能拡張のため、Zohoは次のことを行います。

• マーケットプレイスアプリケーション：アプリケーションが送信されたら、機能テスト、セキュリティーテスト、プライバシーテストを実施します。また、商品レビューとコンテンツレビューも実施します。
• 副処理者：Zohoの情報セキュリティーとプライバシー基準に従ってもらうために契約したい副処理者のセキュリティーとプライバシー慣行を評価します。それから、副処理者との適切なデータ保護契約を履行します。
• ベンダーのプライバシーポリシーとサービス利用規約をレビューし、実際の運用がそれに準拠していることを確認します。

お客さまには次のことが求められます。

• 外部サービス連携の有効化または無効化は、外部サービス環境で共有されるデータを考慮した後に行う。外部サービスの提供するサービスについて、データの収集、利用、または開示に関する規約とプライバシーポリシーをレビューする。
• 拡張機能をインストールするたびに、お客さまの情報をベンダーと共有するかどうかを設定する。
• マーケットプレイスアプリケーションの適格性と、要求される権限の合理性を、インストールする前に評価する。
• マーケットプレイスアプリで不正な挙動が特定された場合、Zohoに通知する。

データ主体の権利

Zohoは次のことについて責任を負います。

• お客さまの顧客が持つ権利にお客さまが応え、その権利を保護できる機能を提供します。
• お客さまの顧客から権利の行使についてZohoが直接連絡を受けた場合、その要求をお客さまに通知します。

お客さまの義務は次のとおりです。

• お客さまが顧客の個人情報を処理する中で受けた、データのアクセス、修正、削除、制限に関する要求を尊重し、それに対処する。

暗号化

Zohoは、お客さまのデータを転送時と保管時に次の方法で暗号化して保護します。

• 転送時のデータ：公共ネットワークを通じてZohoのサーバーに送信される顧客データを、強力な暗号化プロトコルで保護します。Webアクセス、APIアクセス、Zohoのモバイルアプリ、IMAP/POP/SMTPアクセスを含め、Zohoのサーバーに対するすべての接続について、強力な暗号鍵を用いたトランスポート層セキュリティー（TLS 1.2/1.3）による暗号化を義務付けています。
• 保管時のデータ：機密性の高い顧客データは、高度暗号化標準（AES）256ビットアルゴリズムを用いて暗号化します。保存時に暗号化するデータは、お客さまが選択したサービスによって異なります。鍵は、社内キー管理サービス（KMS）を使用して所有および維持します。

Zohoはお客さまに次のことを推奨します。

• 暗号化の必要性を判定する。保管時のデータに関して、Zohoのサービスを利用中、どの項目を暗号化するのか決める責任を負うことが多くあります。
• データをZohoクラウドからダウンロードする場合、お客さまの環境にエクスポートする場合、またはZohoやその他外部サービスとの連携で同期させる場合、適切な暗号化を適用する必要があります。たとえば、お客さまの端末でディスクの暗号化を有効にする、パスワード保護が可能なエクスポート機能を使用するなど。

バックアップ

Zohoは次のような堅固なシステムを使用しています。

• システムレベルのバックアップをAES-256ビットで常に暗号化し、安全に保管しています。全バックアップの整合性と妥当性を自動で検査しています。
• データ復元の要求が可能で、保持期間中に安全にそのデータにアクセスできます。お客さまのデータのエクスポートとバックアップ機能を提供しています。

お客さまは次のことができます。

• データのバックアップをスケジュールし、必要に応じて、Zohoの各サービスからバックアップしたデータをエクスポートし、お客さまのインフラストラクチャーにローカルに保管できます。お客さまは安全な方法でこのデータを保管する責任を負います。

インシデント管理

Zohoでは、必ず次のことを行います。

• お客さまに関係する違反をZohoが認識した場合、そのすべてを影響の詳細情報と適切な対処を含めて報告します。特定の個人ユーザーまたは組織に生じたインシデントについて、登録されたメールを介して当事者に通知します。
• このようなインシデントを追跡し、解決します。
• 類似したインシデントの再発を防ぐ対策を行います。
• 要求に応じて、お客さまに関係するインシデントについて追加の証拠を提示します。

お客さまには次のことが求められます。

• 違反が発生した場合、Zohoが勧める措置を講じる。
• 該当する場合、エンドユーザーやデータ保護機関への通知など、データ違反の開示と通知に関する要件に従う。
• セキュリティーとプライバシーについて認識したインシデントをincidents@zohocorp.com宛てに報告する（英語対応）。

認知とトレーニング

Zohoは次のことに対する全責任を負います。

• 従業員がセキュリティー意識を高め、安全な開発基準を順守するよう、トレーニングを行います。新入社員にセキュリティーとプライバシーに関するトレーニングの受講を義務付け、さらに情報提供のメールやプレゼンテーション、イントラネットで利用できるリソースを通じて、定期的にセキュリティー意識を高めるトレーニングを提供します。
• クラウドサービスの顧客データの適切な扱いについて、従業員にトレーニングを行います。

お客さまは、次の内容に関するトレーニングをクラウドユーザーに対して行う責任を負います。

• Zohoのサービスを利用するための基準と手順。
• Zohoのサービスに関連するリスクの管理方法。
• 一般的なシステムとネットワーク環境に関連するリスク。
• 適用法令、規制に関する考慮事項。

ポリシーとコンプライアンス

Zohoは次のようなガイドラインを順守します。

• 包括的なリスク管理プログラムを策定し、効果的に管理を行います。
• 事業を行うさまざまな法域で適用される法令に従って事業を行います。
• 適用法令を順守していること、契約要求事項に準拠していることを示す証拠を提示します。
• 適用法令で認められる範囲内で、お客さまのDPIA評価を支援します。

お客さまには次のことが求められます。

• お客さまに適用される規則と法令を評価し、お客さまの事業に必要な規則と基準に対するZohoの順守状況をレビューする。お客さまは、Zohoの順守状況を示す証拠となる追加情報を要求できます。
• Zohoのポリシー、ポリシー評価手法、データ処理方法を理解する。
• データの処理前/処理中に、お客さまの組織に適用されるデータ保護法で要求されるDPIAを実施する。
• 個人/機密データを処理する前に、法的根拠を評価する。法的根拠が同意である場合、必ずお客さまの顧客から同意を得る。
• Zohoが提供するクラウドベースのサービスの適格性をZohoが示す情報に基づいて評価し、お客さまのコンプライアンス要件を満たすようにする。
• Zoho servicesでホストされるデータのリスクプロファイルと機密性を理解し、適切な管理策を適用する。

データセキュリティー

• Zohoは、保管されているお客さまのデータを分離する責任を負います。各顧客のサービスデータは、そのフレームワークの一連の保護プロトコルを使用し、論理的に他の顧客のデータから分離されています。
• Zohoは、保管されているお客さまのデータの保管時、転送時、処理時の機密を保持する責任を負います。
• Zohoは、お客さまのデータと、ログや設定データなどのシステムデータについて、整合性を確保する責任を負います。
• Zohoは、どの時点でもデータの物理的位置と処理状況が分かるよう、お客さまのデータに対するトレーサビリティと管理に対して責任を負います。

可用性

• Zohoは、ハードウェア/ソフトウェアの障害やサービス拒否攻撃などの脅威に対処することで、SLAの可用性99.9％に従ってサービスを提供する責任を負います。
• USデータセンターのお客さまは、status.zoho.comで、サイトの現状と過去の障害をいつでも確認できます。
• JPデータセンターお客さまは、status.zoho.jpで、サイトの現状と過去の障害をいつでも確認できます。

事業継続性

• Zohoは、サポートやインフラの管理などの主要なオペレーションに関する事業継続計画を策定する責任を負います。
• Zohoは、復元力のあるストレージに保管されたアプリケーションデータが、データセンター間で複製されるようにします。プライマリーデータセンターのデータがセカンダリーデータセンターにほぼリアルタイムで複製されるため、何らかの災害発生時にはセカンダリーデータセンターに切り替えられます。

ネットワークの管理

Zohoは、安全な本番環境ネットワークを運用する責任を負います。ファイアウォールを使用して、当社のネットワークを不正アクセスや望ましくないトラフィックから保護しています。本番環境ネットワークへのアクセスは厳密に管理されます。

ホストインフラストラクチャー

Zohoは、ホストインフラストラクチャーの保護と安全保証の責任を負います。本番環境ネットワークでプロビジョニングされたサーバーはすべて、基準に従って保護されます。安全なインフラストラクチャーを維持するため、OSパッチ管理、ベースライン設定、ホスト侵入検知の技術を採用しています。

物理的セキュリティー

Zohoは、不正な物理的アクセスや侵入、災害からZohoのインフラを保護する責任を負います。