企業情報

Trust Center

SailPointは、誠実であることをモットーにしています。お客様からの信頼を維持し、データを保護するためのSailPointの取り組みをご覧ください。

概要

お客様データのセキュリティを最優先

SailPointは、お客様のデータを保護し、業界標準を維持することを最優先しています。そこで、SailPointは業界慣行と一致するコーポレートガバナンスの方針と手順を活用して、事業を行うすべての管轄区域で適用されている法律と規制を遵守しています。

SailPointのブランドは、「4つのI」の哲学：Innovation（革新）、Integrity（誠実さ）、Impact（影響）、Individuals（個人）の上に成り立っています。これらのコアバリューは、SailPointの企業文化に影響を与えているだけでなく、SailPointのビジネス慣行にも取り入れられています。SailPointは、サービスの信頼性と安全性を維持するという約束を守ることに誇りを持っています。お客様のデータを保護し、SailPointのデータセキュリティプログラムの透明性を保つことを最重要事項としています。

SailPointは、お客様のデータが安全かつ健全に保たれるよう、組織レベル、アーキテクチャレベル、運用レベルで厳格なセキュリティ対策を採用しています。

SailPoint Trust Centerでは、SailPointのサイバーセキュリティ(英語)、コンプライアンス、プライバシーの各プログラムをお客様が利用でき、お客様がデータ管理に必要な情報を提供しています。

サイバーセキュリティ

専用のアーキテクチャで最大の保護を実現

SailPointのクラウドは、最も厳格なセキュリティ管理をサポートするように設計されています。脅威の検出と対応、脅威露出管理プロトコルを通じて、SailPointは厳しい要件分析、設計テストと承認、堅牢なエンジニアリングを実施することで、ベストプラクティスを維持しています。これらのプロトコルは業界のベンチマークと合致し、国際的な管理機関の基準に準拠したポリシーと手順によって強化されています。

SailPointは、ソフトウェアの脆弱性を積極的に特定し修正するセキュアソフトウェア開発ライフサイクルプログラムを通じて製品のセキュリティを維持しています。また、SailPointのセキュリティシステムは、外部のセキュリティ研究機関の審査も受けています。SailPointのプログラム詳細はこちらをご覧ください(英語)。

コンプライアンス

製品認証

SailPointは、セキュリティを重要視する組織として厳格なコンプライアンス基準を導入し、SailPointが提供するサービスを認証するとともに、お客様が各業界の規制に準拠できるようにサポートしています。SailPointのアイデンティティセキュリティがどのように役立つかについての詳細は、コンプライアンスのためのアイデンティティ(英語) をご覧ください。

プライバシー

多重にわたるプライバシー保護

SailPointでは、お客様のプライバシーを尊重します。お客様が個人情報を共有することを選択された場合、その情報を保護し、安全に管理するために責任を持って行動することを信頼いただいていると認識しています。SailPointはプライバシーを最優先事項として製品やサービスに組み込むことでお客様の期待に応えるとともに、進化する規制への準拠を維持しています。SailPointのプライバシーとデータ保護の詳細は、こちらをご覧ください。

よくあるご質問

データセキュリティは複雑です。製品やソリューションを検討の際、どこから手をつければよいかわからない場合、SailPointがお手伝いします。よくあるご質問とその回答をご紹介します。

データ管理者とは誰ですか？

IdentityNowソフトウェアを使用する場合、お客様がデータ管理者となります。

データ処理者とは誰ですか？

SailPointがプロフェッショナルサービスを提供している場合SailPointは、プロジェクトの遂行中に、ソフトウェア内の少なくとも一部の情報への限定的なアクセス権を有する可能性があります。ただし、SailPointが情報にアクセスする方法とアクセスできる情報は、お客様によって決定されます。
IdentityNowサービスを使用する場合、SailPoint Technologies, Inc.は、お客様のデータ処理者としての役割を果たします。

SaaS製品またはサービスについて教えてください。

IdentityNowは、SaaSサブスクリプションサービスとして提供される、マイクロサービスベースのマルチテナントアイデンティティガバナンスプラットフォームです。IdentityNowは、オンプレミスまたはクラウドでホストされているアプリケーションとデータのコンプライアンス、プロビジョニング、パスワード管理をサポートする、完全に統合されたサービスセットを提供します。SailPointでは、以下に示すように、独自の機能を備えたクラウドプラットフォームとガバナンスサービスにIdentityNowをパッケージ化し、価格を設定しています。

クラウドプラットフォーム：IdentityNowは、本番インスタンス、サンドボックスインスタンス、IdentityNowクラウドゲートウェイ仮想アプライアンスなど、クラウドにおけるアイデンティティセキュリティの基盤となるコンポーネントを提供します。さらに、SailPointの特許取得済みの手法により、オンプレミスのアプリケーションやデータと統合連携できます。IdentityNowには、オンプレミスとクラウドのアプリケーション向けのコネクタとアプリケーションプロファイルをまとめた、大規模なカタログも含まれています。このカタログでは、SailPointのオンプレミスソリューションであるIdentityIQ向けに開発された、知的財産を活用しています。これは、すべてのガバナンスサービスに追加料金なしで含まれています。

ユーザープロビジョニング：このモジュールを使用すれば、導入の初日からビジネスユーザーの生産性を向上できます。IdentityNowのユーザープロビジョニングでは、ベストプラクティスの構成とワークフローを使用して、入社と退職のプロセスを簡素化できます。IT部門は、業務に必要なアプリケーションとデータへの適切なアクセス権を、従業員にすばやく付与できます。

アクセス権限付与：このモジュールでは、アプリケーションやデータへのアクセス権を申請および承認するための、堅牢なセルフサービス型ソリューションを社内全体に提供します。アクセス権申請・付与プロセスを自動化することで、ビジネスユーザーに対して、業務に必要なアクセス権をすばやく提供できます。

アクセス権限審査（ID棚卸）：このモジュールでは、社内全体のユーザーアクセス権限を確認するプロセスを自動化します。IdentityNowを使用すれば、企業はアクセス権限審査や棚卸を迅速に計画、スケジュール、実行して、適切なユーザーが、企業リソースへの適切なアクセス権を有していることを確認できます。

職務分掌：このモジュールでは、アクセス権の調査プロセスを簡素化および迅速化し、アクセス権に関する利害の対立をすばやく把握して、確認と緩和を行います。また、社内外の監査要件への継続的なコンプライアンスを実現するための、各種ポリシーを自動的に策定します。

パスワード管理：このモジュールでは、ビジネスユーザーは直観的なセルフサービスにより、デバイスや場所を問わず、パスワードを管理およびリセットできます。このサービスにより、クラウドからデータセンターに至るまでのあらゆるシステムで、すべてのユーザーに一貫性のある安全なパスワードポリシーを適用できます。

データの収集および処理の対象となる個人について教えてください。

お客様は、誰のデータをIdentityNowに取り込むのかを決定できます。IdentityNowソフトウェアは、通常、お客様の従業員および契約社員を管理するためのライセンスが付与されています。その場合、従業員および契約社員のデータのみが処理されます。

どのような種類のデータが処理されますか？

お客様は、個人データを含む、どのような種類のデータをIdentityNowに取り込むのかを決定できます。通常、IdentityNowのデータは、ビジネスに関する連絡先情報（従業員の氏名、役職、電子メール、オフィス名、携帯電話番号、オフィスの所在地、マネージャー、ロールなど）、権限データ（従業員がアクセスできるアプリケーション、アクセス許可）、技術情報（IPアドレス、位置情報など）に限定されます。

どのような機密データが処理されますか？

SailPointのSaaSソリューションであるIdentityNowでは、GDPR（EU一般データ保護規則）第9条で言及されている、特別なカテゴリーの個人データを含む、機密性の高い個人データ（健康状態に関するデータ、政治的意見、宗教的または哲学的信念、労働組合への加入、人種または民族的出身、性的指向、遺伝データ、生体データ、犯罪活動データ、金融口座番号、納税者番号など）を処理することを想定していません。SaaS利用契約（https://sailpoint.com/legal/customer-agreements/ (https://www.sailpoint.com/legal/customer-agreements/)からご覧いただけます）で規定されているSailPointの標準契約条件には、この種類の個人データの提供に対する制限事項が定められています。

お客様およびそのユーザーは、以下の行為を行わないものとし、第三者による以下の行為を禁止するものとします。

制限事項　お客様およびそのユーザーは、以下の行為を行わないものとし、第三者による以下の行為を禁止するものとします。

SaaSサービスで機密データを送信または保存すること。

処理されるデータのソースは何ですか？

お客様は、データの収集元と、データを自動的に収集するか、個人の自発的な提供に基づいて収集するかを決定できます。SailPointがお客様に代わって個人情報を収集することはありません。

データ処理の目的は何ですか？

IdentityNowに取り込まれたデータは、通常、お客様の環境における他のシステムから取得されます。データはIdentityNowに集約され、誰がどのアプリケーションやシステムにアクセスできるのかをより明確に把握できます。お客様はIdentityNowを使用して、ユーザーアクセス権限審査や棚卸を実行できます。これは、法的要件、規制要件、コーポレートガバナンス要件のすべて、またはそのいずれかを遵守するために必要となる場合があります。

また、IdentityNowを使用して、入社と退職のプロセスを簡素化できます。これにより、IT部門は、業務に必要なアプリケーションへのアクセス権を従業員にすばやく付与したり、不要になったアクセス権限を迅速に削除したりできます。

お客様は、IdentityNowを使用する目的と、IdentityNow内で個人データを処理する目的を決定します。IdentityNowは、お客様の環境における他のアプリケーションからデータを集約するため、IdentityNowでのデータ処理の目的は、他のアプリケーションでデータが収集および処理された目的と一致する可能性があります。

IdentityNowは、通常、従業員や契約社員にアイデンティティガバナンス機能を提供するために使用されます。アイデンティティガバナンスは、組織内の適任者が、適切なアプリケーションや情報にアクセスできるように設計されています。お客様は、データ処理の法的根拠を決定する責任を単独で負います。データ処理に対するお客様の法的根拠は、正当なビジネス上の利益および法的要件の両方、またはそのいずれかである可能性があります。SailPointでは、お客様が同意に基づいて従業員データを処理することを想定していません。しかし、お客様が当該決定を下した場合、お客様は、当該決定に対して責任を負います。

情報は、お客様によってIdentityNowに取り込まれます。そのため、お客様は、IdentityNowに取り込むデータが、特定の目的を達成するために必要であり、かつ当該目的を達成するためだけに限定されているかどうかを判断します。

SailPointがデータ処理者を務める場合、データ管理者であるお客様の指示に従い、契約上の義務を履行するために必要な場合にのみ、データを処理します。

SailPointは、IdentityNowのデータにアクセスできますか？

SailPointのDevOps担当者およびサポート担当者は、サポート目的でお客様のIdentityNow環境にアクセスできます。DevOps担当者およびサポート担当者は、お客様のシステム管理者と同様に、IdentityNow環境のデータにアクセスできます。

当該データは、通常、氏名や電子メールアドレスなどのビジネスに関する連絡先情報、および権限情報（従業員がアクセスできるアプリケーションとアクセス許可）に限定されます。SailPointの担当者は、暗号化されたパスワードや秘密の質問などの機密情報にアクセスできません。

SailPointがプロフェッショナルサービスを提供している場合、SailPointのプロフェッショナルサービス担当者は、契約期間中、お客様のIdentityNow環境にアクセスできます。

SailPointによるIdentityNowでのデータ処理を支援するサードパーティを教えてください。

(https://www.sailpoint.com/ja/why-us/trust#collapsethird-party-idn-faqs-trust)

IdentityNowサービスにおいて、SailPoint Technologies, Inc.は、データ管理者であるお客様から、個人データを受け取るデータ処理者です。

SailPointは、Amazon Web Services（AWS）を利用してIdentityNowサービスをホストします。AWSは、IdentityNowの情報にアクセスできませんが、システムとデータを物理的に制御できます。SailPointは、Twilioを利用して、IdentityNow内でモバイル端末を介した2要素認証を提供します。お客様のシステム管理者がこの機能を有効にしている場合、2要素認証を実行するために、携帯電話番号はTwilioと共有されます。

SailPointによるサービスの提供を支援する可能性のある、その他のサードパーティおよび関連企業のサブプロセッサーのリストは、https://sailpoin.com/legal/sub-processors/ (https://www.sailpoint.com/legal/sub-processors/)で入手できます。

IdentityNowに取り込まれたデータは、どこで処理されますか？また、どこからアクセスできますか？

お客様は、データの収集元、およびお客様がどこからデータにアクセスするのかを決定します。お客様は、IdentityNowサービスがホストされる場所も決定します。SailPointは、Amazon Web Services（AWS）を利用してIdentityNowをホストします。IdentityNowは、AWS米国東部（バージニア北部）リージョン、AWS欧州（フランクフルト）リージョン、AWS欧州（ロンドン）リージョン、AWSアジアパシフィック（シドニー）リージョン、AWSアジアパシフィック（東京）リージョンのいずれかでホストできます。IdentityNow内のデータは、指定された場所で物理的に保管されます。ただし、お客様のIdentityNow環境は、米国、英国、ウクライナ、インド、シンガポール、オーストラリアのSailPointのDevOps担当者およびサポート担当者によって管理および保守されます。

IdentityNowにおける情報の収集と処理について、個人にどのような通知または情報が提供されますか？

お客様は、データを収集する前に、雇用契約、ポリシーの掲示、またはその他の手段を通じて、個人に通知する責任があります。また、お客様は、個人に提供される情報に、必要なすべての情報が含まれていることを確認する必要があります。IdentityNowは、お客様が設定可能な利用契約または通知をサポートしています。SailPointがお客様に代わって個人情報を収集することはありません。

データはどのくらいの期間処理されますか？また、処理されたデータはどうなりますか？

SailPointは、契約関係の終了または満了後の要請に応じて、お客様のデータを返却または破棄します。ただし、法的要件、会計要件、またはコーポレートガバナンス要件を遵守するために、お客様のデータを保持する必要がある場合は除きます。保持されたお客様のデータのエレメントは、当該エレメントが保持された目的のためにのみ使用され、それ以外の処理から保護されます。

SailPointは、IdentityNowのサブスクリプション期間中にのみ、IdentityNowでお客様のデータを処理します。お客様は、サブスクリプション期間中、IdentityNowのデータを編集および削除できます。IdentityNowサービスの終了または満了後30日以内に、SailPointは、IdentityNowのお客様のインスタンスと、そこに保存されているお客様のデータをすべて削除します。バックアップシステムにアーカイブされたIdentityNowのお客様のデータは、バックアップが保持されている30日間、安全に分離され、それ以外の処理から保護されます。

SailPointがお客様のビジネスデータおよび個人データを保持する場合、SailPointは、要請に応じて当該情報を更新または削除します。