セキュリティホワイトペーパー

1. 本書の適用範囲

本書の適用範囲は以下のクラウドサービスとなります。

• VALANCE（AI駆動型業務支援サービス）

2. 責任分界点について

本サービスに関する責任分界点は以下のとおりです。

3. セキュリティ管理策への対応

ISO/IEC 27001:2025およびISO/IEC 27017:2015の管理策に基づき、本サービスの情報セキュリティへの取り組みを記載します。各項目の末尾には対応する管理策番号を記載しています。

3.1 情報セキュリティのための方針群

対応規格：ISO/IEC 27001（5.1）

本サービスは、当社の定めたクラウドセキュリティ基本方針、ならびに情報セキュリティマネジメントシステム（ISMS）マニュアルに従い、サービス運営を行っています。当社は ISO/IEC 27001 に基づく ISMS を構築・運用しており、クラウド固有の管理策として ISO/IEC 27017 を実装しています。

3.2 情報セキュリティの役割及び責任の分担

対応規格：ISO/IEC 27001（5.2）、ISO/IEC 27017（CLD.6.3.1）

本サービスにおける当社（プロバイダ）とお客様（カスタマ）のセキュリティ責任の範囲は「2. 責任分界点について」に定めるとおりです。この責任分担は「情報セキュリティ手順書 CLD.6.3.1」に基づき文書化されており、お客様にはサービス利用開始時に伝達しています。本サービスの利用については利用規約をご確認ください。

3.3 関係当局との連絡

対応規格：ISO/IEC 27001（5.5）

当社の所在地は、当社ウェブサイトでご確認ください。なお、本サービスにて保存されるデータの所在は、当社が利用するクラウドサービスプロバイダの日本国内のデータセンターとなります。

3.4 プロジェクトマネジメントにおける情報セキュリティ

対応規格：ISO/IEC 27001（5.8）

当社は本サービスの情報セキュリティ管理をプロジェクトマネジメントの一環として取り組んでいます。本サービスにおける情報セキュリティ機能に関する情報を本書にて公開します。

3.5 情報及びその他の関連資産の目録

対応規格：ISO/IEC 27001（5.9）

当社は、本サービスにおいてお客様から預かるデータ（以下「カスタマデータ」）と、サービス提供に伴い当社が生成・蓄積するデータ（以下「サービス派生データ」）を明確に区別し、それぞれ適切に識別・管理しています。カスタマデータはお客様のテナントスコープ内で管理され、サービス派生データとは分離されています。

3.6 アクセス管理

対応規格：ISO/IEC 27001（5.16 / 5.17 / 5.18 / 8.2 / 8.3）

本サービスは、利用者 ID の登録・削除機能を提供しており、お客様のテナント管理者はテナント内のユーザーアカウントを管理コンソールから一元管理できます。

認証については、強固なパスワードポリシーおよびセッション管理によるアクセス制御を実施しています。

また、セキュリティ強化のため、テナント管理者およびすべてのユーザーを対象に、多要素認証（MFA：パスワードによる記憶認証とメールアドレスによる所持認証）を適用しています。

アクセス権の管理においては、管理者アカウントと一般ユーザーアカウントの権限分離を実施しており、ユーザーごとに閲覧・編集・管理権限を設定できます。最小権限の原則に基づき、必要最小限のアクセス権限のみを付与する仕組みを提供しています。ゼロトラスト認証および細やかなアクセス権限制御を実装しており、不審なアクセスの検知・監視により不正な特権利用の防止に努めています。

3.7 供給者・サプライチェーンのセキュリティ

対応規格：ISO/IEC 27001（5.20 / 5.21）

当社は、本サービスの基盤として利用するクラウドサービスプロバイダとの間でセキュリティ要件を含む契約を締結し、必要なセキュリティ対策が確保されていることを確認しています。本サービスの責任分界点の詳細については「2. 責任分界点について」をご参照ください。

また、本サービスの提供においてサブプロセッサー（当社が利用するクラウドサービスプロバイダ等）を利用しています。これらのサービスについては、当社の情報セキュリティ要求事項と同等以上のセキュリティ水準を有することを確認したうえで採用しています。主なサブプロセッサーのセキュリティ認証取得状況については、別途お問い合わせください。

3.8 インシデント管理と報告

対応規格：ISO/IEC 27001（5.24 / 6.8）

本サービスは情報セキュリティインシデント発生における利用者の問い合わせ窓口を設けています。インシデント対応フローを定め、当社がセキュリティインシデントを確認した場合、影響の有無を速やかに調査のうえ、お客様へメールにて通知を行います。また、必要に応じてサービス上での周知を行います。情報セキュリティ事象に関するお問い合わせはサポート窓口でお受けいたします。

3.9 証拠の収集

対応規格：ISO/IEC 27001（5.28）

お客様のデータは本サービスの利用規約に従って適切に管理します。ただし、裁判所からの開示請求など、法律や法令に基づいた正当な開示請求が行われた場合、利用規約の定めに従ってお客様の同意なく開示することがあります。

3.10 事業の中断・阻害時の情報セキュリティ

対応規格：ISO/IEC 27001（5.29）

当社は事業継続計画を策定しており、重大な障害発生時においても可能な限り早期のサービス復旧を図る体制を整えています。

3.11 法律・法令・契約上の要求事項

対応規格：ISO/IEC 27001（5.31）

本サービスのご利用に関して、適用される準拠法は日本国の法令です。

3.12 記録とログの保護・管理

対応規格：ISO/IEC 27001（5.33 / 8.15）

本サービスは、サービスの維持管理に必要となる適切なログを取得・保管しています。また、お客様（テナント管理者）に対して、テナント内の操作履歴を確認できる監査ログ機能を提供しています。

取得するログの種類

• システムログ：サービス基盤の稼働状況・エラー情報（当社管理）
• 監査ログ：テナント内ユーザーのログイン履歴、データアクセス、設定変更等（お客様参照可）

保管期間

各ログは適切な期間保管します。

お客様へのログ提供

テナント管理者は管理コンソールから監査ログを参照・CSVエクスポートできます。

3.13 情報セキュリティの独立したレビュー

対応規格：ISO/IEC 27001（5.35）

当社は ISO/IEC 27001 および ISO/IEC 27017 について第三者による審査を受け、認証の取得・維持に取り組んでいます。また、定期的な外部脆弱性診断を実施し、独立したセキュリティレビューを行っています。

3.14 セキュリティ責任及び監査権限

対応規格：ISO/IEC 27001（5.36）

セキュリティ責任の範囲

当社（プロバイダ）とお客様（カスタマ）のセキュリティ責任の範囲は「2. 責任分界点について」に定めるとおりです。当社は当社責任範囲において必要なセキュリティ管理策を実施し、その状況を本書にて公開します。

お客様による監査・確認手段

当社は、お客様が自テナントのセキュリティ状況を確認・監査できる以下の手段を提供しています。

• 監査ログのエクスポート：テナント内のユーザー操作履歴（ログイン、データアクセス、設定変更等）を管理コンソールからCSV形式でエクスポート可能です。お客様の内部監査や証跡管理にご活用ください。
• セキュリティ問い合わせ・質問票への対応：お客様のISMS審査やセキュリティ評価に際して、当社のセキュリティ管理状況に関する質問票・アンケートへの回答対応を行います。サポート窓口までお申し付けください。
• 本ホワイトペーパーの提供：本書はISO/IEC 27001およびISO/IEC 27017に基づく当社のセキュリティ管理状況を公開したものです。お客様のベンダー評価資料としてご利用いただけます。

3.15 情報セキュリティ教育・訓練

対応規格：ISO/IEC 27001（6.3）

当社は、従業員に対してカスタマデータの適切な取扱いに関する情報セキュリティ教育を定期的に実施しています。教育内容には、個人情報・機密情報の取扱い、クラウドサービス利用に関するセキュリティルール、およびインシデント発生時の対応手順が含まれます。

3.16 装置の廃棄・再利用

対応規格：ISO/IEC 27001（7.14）

当社が利用するクラウドサービスプロバイダは、物理サーバ・ストレージ等のハードウェアの廃棄・再利用にあたり、データが完全に消去されることを保証するプロセスを有しています。当社はこれを契約上の要件として確認しています。なお、当社が直接管理する機器（社員PC等）については、廃棄時に専門業者による物理破壊または完全消去を実施しています。

3.17 ソースコードへのアクセス管理

対応規格：ISO/IEC 27001（8.4）

本サービスのソースコードへのアクセスは、当社の開発担当者に限定して管理しています。ソースコードはアクセス権限で管理されたソースコードマネジメントシステムにて保管しており、権限のない者はアクセスできません。お客様のデータ処理に関わるコードの変更は、コードレビュープロセスを経て本番環境に適用されます。

3.18 容量・能力の管理

対応規格：ISO/IEC 27001（8.6）

当社は、本サービスの安定稼働を維持するため、リソース使用量（CPU・メモリ・ストレージ・ネットワーク等）を継続的に監視しています。リソース不足によるサービス影響を防止するため、使用量に応じたスケーリングを実施しており、需要の増加に対して適切な容量を確保します。

3.19 技術的ぜい弱性の管理

対応規格：ISO/IEC 27001（8.8）

本サービスは、定期的に脆弱性情報を収集し、収集した情報を基にサービスへの影響を評価します。当社の責任範囲において影響がある場合には速やかに対応します。また、第三者による脆弱性診断を定期的に実施しています。

3.20 情報のバックアップ

対応規格：ISO/IEC 27001（8.13）

本サービスは管理対象の情報のバックアップを定期的に取得・保持しています。これにより、障害発生時のデータ復旧に備えています。

なお、お客様のビジネスデータのバックアップはお客様自身の責任において実施いただく必要があります。VALANCEが提供するエクスポート機能をご活用ください。

3.21 クロックの同期

対応規格：ISO/IEC 27001（8.17）

本サービスは、NTP による時刻同期を行っており、日本時間（JST）で管理しています。

3.22 特権的ユーティリティプログラムの管理

対応規格：ISO/IEC 27001（8.18）

当社は、本サービスの運用において特権的なユーティリティプログラムの使用を必要最小限に制限しています。使用できる要員は認可された担当者のみに限定しており、使用状況は定期的なレビューおよび監査により適切に管理しています。

3.23 ネットワークのセキュリティと分離

対応規格：ISO/IEC 27001（8.20 / 8.22）

当社は、本サービスの通信経路における安全性を確保するため、以下のネットワークセキュリティ対策を実施しています。

• すべての通信は SSL/TLS により暗号化しています
• ファイアウォールおよびWAF（Webアプリケーションファイアウォール）を導入し、不正なアクセスを遮断しています
• 不正侵入検知・防止システム（IDS/IPS）により、異常な通信を監視・遮断しています

また、本サービスは仮想化技術やネットワークセキュリティ技術を利用し、テナントごとに論理的なデータ分離を実施しています。各テナントのデータはテナント ID によって識別・分離され、他テナントからのアクセスを完全に遮断しています。

3.24 暗号の使用

対応規格：ISO/IEC 27001（8.24）

本サービスの利用において保存されるデータはすべて暗号化して保管しています。お客様の利用するサービスでは SSL/TLS による通信の暗号化を使用しています。なお、輸出規制の対象となる暗号化の利用はありません。

3.25 セキュリティに配慮した開発

対応規格：ISO/IEC 27001（8.25 / 8.26）

当社は、セキュリティを考慮した開発ライフサイクルに従い本サービスを開発・提供しています。また、第三者による脆弱性診断を定期的に実施し、診断結果を確認しています。

本サービスは、お客様が安全にサービスをご利用いただけるよう、適切な認証機能および通信の暗号化（SSL/TLS）を実装しています。また、アプリケーションへのアクセスは認証制御やトラフィック制御技術により保護されており、不正なアクセスを防止する仕組みを提供しています。

3.26 クラウドサービスカスタマの資産の除去

対応規格：ISO/IEC 27017（CLD.8.1.5）

本サービスは利用契約が終了したお客様の情報を、契約終了後速やかに削除します。削除の対象は、お客様がサービス内に登録・入力したデータ、操作ログ・監査ログ（テナントスコープのもの）、テナント設定情報です。

削除完了後、お客様からの要求があった場合は、削除完了を証明する書面（削除完了証明書）を電磁的記録にて提供します。

なお、お客様は契約終了前に自己の責任においてデータのエクスポートおよびバックアップを行う義務を負います。

3.27 仮想コンピューティング環境における分離

対応規格：ISO/IEC 27017（CLD.9.5.1）

本サービスは、マルチテナント環境において各テナントのデータ・ネットワーク・アクセス制御を論理的に分離しています。テナント間のデータ漏洩を防止するため、テナントスコープのアクセス制御を実装しており、定期的なセキュリティ診断においてテナント分離の有効性を検証しています。

第1版

第1版発効日: 2026年5月28日

VALANCE株式会社

代表取締役 CEO 渡邉 俊