オペレーションセキュリティ

主な特長

• 顧客企業の社内で実現するには高価かつ手間のかかる厳格なセキュリティ認証を取得しています。
• 顧客が利用するビジネスアプリケーションのセキュリティは、ネットスイート社の継続的かつ専属のモニタリングによる常に最新のものにアップグレードされます。
• 顧客企業の社内に展開されるオンプレミス環境では、費用面からも実現が難しかった、完全に保護された設備と物理的なアクセス制限を実現しています。

主な機能

包括的なセキュリティ認証

• SSAE 16 (SOC1)/ISAE 3402 Type II: NetSuiteが顧客向けに提供しているSSAE 16 (SOC1)/ISAE 3402 Type IIの監査レポートは、米国の4大監査法人によって監査されています。このレポートは、一般的には、Service Organization Controls report またはSOC1として参照されることがありますが、米国公認会計士協会(AICPA)、そして国際監査・保証基準審議会（IAASB）によって発行された国際保証業務基準 第3402号「サービス受託会社の統制活動に関する保証報告(ISAE3402)」による認証基準に準拠して管理されています。
• PCIデータセキュリティスタンダード:PCIデータセキュリティスタンダードの要求に従い、NetSuiteでは、オプションで3Dセキュアクレジットカード認証を提供しています。これは、Visa並びにMasterCardのセキュアコードによる認証として知られています。3Dセキュアでは、クレジットカードの不正利用への対抗策として、より高いレベルの保護を提供しています。例えば、Eコマースの利用客は、新たに認証パスワードを発行しなければなりません。すでに、発行済である場合は、そのパスワードを入力しなければなりません。
• EU米国間セーフハーバー協定: EU加盟国からアメリカ合衆国へ個人情報を送る場合に重要です。NetSuite は、子会社、顧客、ビジネスパートナーから受け取ったEU諸国の個人情報について、米国商務省が発行する「EU米国間セーフハーバー協定」の原則に従います。NetSuiteが、「EU米国間セーフハーバー協定」のプログラムに参加していることは、こちらのリストで確認することができます。

継続的なセキュリティモニタリング

• NetSuiteは、多くの不正侵入検知システムによって、ネットワークへの侵入を試みる悪意のあるトラフィックを識別しています。
• データセンターへの認証されていないアクセスはブロックされ、認証されていない接続が試みられた場合、すべて記録され、詳細に調査されます。
• エンタープライズクラスのアンチウィルスソフトが、トロイの木馬、ワーム、ウィルス等のマルウェアの脅威からソフトウェアやアプリケーションを守ります。

職務による完全な区分

• NetSuiteのオペレーションに関わる全てのレベルにおいて、正社員のバックグラウンドは強制的にチェックされ、職務が明確に区分されます。
• 最小権限の原則(POLA)が尊守されており、正社員には職責に応じた必要な権限しか与えられません。

物理的なアクセスの管理

• 厳格な物理的セキュリティポリシーを尊守しており、事前に権限を与えられたNetSuiteの業務要員に対する、エスコートの無い入室を管理しています。
• バッジ紛失のリスクや、なりすましなどの様々な不正侵入の試みに対して、写真付きIDによる非接触アクセスカードとバイオメトリック認証システムによる認証を行っています。非接触アクセスカードのリーダーは、データセンター内部の入り口の主要なポイントと重要なエリアに配置されています。
• 1人用の入り口とT-DARによる１人認証による入退出管理システムにより、追従侵入を防止します。信頼性の高い検知と追従進入防止により、アクセス制御システムの有効性を高めています。
• 全てのドアは警戒され監視されており、外壁、ドア、窓、そして、内部の入り口は、UL認証を取得した材質によって組み立てられています。

完全に保護された設備

• 施設内のガードマンは、全てのアラーム、従業員の活動、アクセスポイント、そして搬入および搬出を監視しています。入退出の手続きは、24時間7日間の原則に従い守られています。
• パン、ティルト、ズームが可能なCCTVビデオ監視カメラが、コロケーションエリアの入り口および、ペリメータゾーンのその他のセキュアなエリアに、数多く設置されています。
• ビデオはモニタリングされ、否認防止のために保管されます。

継続的なデータセンターのパフォーマンス監査

• NetSuiteの運用管理については、SAS70 Type IIやPCIコンプライアンスに相応しい監査管理を実施しています。
• 包括的なリスク管理のプロセスは、アメリカの国立標準技術研究所(NIST)が特別に発行した「ITシステムのためのリスクマネジメントガイド(800-30)」とISO27000の制定後に構築されました。従業員のパフォーマンス、手続き上のコンプライアンス、設備の信頼性、更新された認証済みレコード、そして主要なインベントリラウンドが標準以上であることが担保されるよう、定期的に監査が行なわれます。