セキュリティ実践 V2

1。 目的

この Security Exhibit は、LogicMonitor が本契約の条項に基づく義務を履行するために満たし、維持する必要のある基本的なセキュリティおよびプライバシー慣行の概要を示しています。

LogicMonitor は、これらの慣行を随時更新または変更することができますが、そのような更新および変更が、本契約の期間中、サービスの全体的なセキュリティの低下をもたらさないことを条件とします。

 

2. 情報セキュリティ管理

LogicMonitor は、本契約の期間中、顧客データの機密性、完全性、および可用性を保護するために設計された正式な情報セキュリティ管理プログラムを維持するものとします。 このプログラムは、プライバシーとデータ セキュリティの慣行および業界標準に関連する、適用される法律および規制要件の変更に基づいて、文書化および更新されるものとします。

 

3. セキュリティ ポリシーと手順

LogicMonitor は、次の領域に対処する正式な情報セキュリティ ポリシーと手順を維持するものとします。

• A. リスク評価と治療。 正式なリスク管理プロセスは、情報セキュリティ リスクが全体的に見直され、経営陣の可視性を確保するものとします。
• B. 人事。 採用時には、各個人の身元調査が行われます。 必須の情報セキュリティ トレーニングは、各従業員の最初の XNUMX 週間以内に実施され、その後は毎年実施されるものとします。
• C. アクセス管理。 ビジネスおよび生産システムへのアクセス許可は、役職および機能に基づいて特定のニーズを持つ個人に限定されるものとします。
• D. 変更管理。 サービスに対するすべての変更は文書化され、各変更はリリース前にレビュー、承認、およびテストされるものとします。
• E. 暗号化管理。 顧客データは、GCM 暗号またはそれよりも強力な TLS 1.2 以上の暗号化を使用して転送中に暗号化されるものとします。 顧客の機密データは、AES-256 または同等の強度の暗号を使用して保存時に暗号化されるものとします。
• F. 脆弱性管理。 サービスのオペレーティング プラットフォームは、継続的にセキュリティの脆弱性をスキャンする必要があり、多層防御に基づくセキュリティ体制を提供するために、多数の技術的制御を維持する必要があります。 脆弱性が検出されると、顧客データに対するリスクが評価され、そのリスクに見合った優先順位で対処されるものとします。
• G. アプリケーションのセキュリティ。 サービスを構成するアプリケーションは、必要に応じて静的分析、動的分析、およびソフトウェア構成分析を含む複数のテスト モダリティを使用して、セキュリティ上の欠陥についてテストされるものとします。 新しいアプリケーションとサービスは、サービス環境に導入する前に、正式な脅威モデリングの演習を受けるものとします。 重大で深刻度の高いソフトウェアの欠陥には、最優先で対処する必要があります。
• H. 侵入テスト。 本サービスは、年に XNUMX 回、第三者による侵入テストを受けるものとします。 侵入テストには、少なくとも次の分析が含まれるものとします。 顧客データの機密性、完全性、または可用性を損なう可能性のある欠陥の手動テスト。 特権のエスカレーション; システム侵害の手順。 潜在的な脆弱性を可視化するために、アプリケーションのソース コード分析を侵入テスト プロセスに含める必要があります。 重大なセキュリティ上の欠陥は、最優先で対処するものとします。
• I. 緊急の脅威。 顧客データの機密性または完全性に対する差し迫った脅威をもたらすセキュリティの脆弱性については、LogicMonitor は可能な限り迅速に脅威に対処するために最善を尽くします。
• J. インシデント対応。 LogicMonitor は、顧客データを格納する施設、ネットワーク、およびシステムの機密性または完全性に対する違反の兆候を示すさまざまなソースを追跡し、そのようなインシデントによって引き起こされた損害を迅速に軽減するための正式なインシデント対応手順を維持するものとします。 顧客データの機密性または完全性に影響を与えた可能性のあるセキュリティ インシデントが検出された場合、LogicMonitor は発見時点から 48 時間以内に書面で顧客に通知し、正式に解決されるまで、インシデントのライフサイクル全体にわたって継続的な更新を顧客に提供するものとします。 .
• K. 事業継続管理。 LogicMonitor は、事業の運営に影響を与える可能性のある災害またはその他の重要なイベントが発生した場合に、サービスの継続的な配信を確保するためのプログラムを維持するものとします。

 

4. データの取り扱いと保護

LogicMonitor は、次の領域に対処する正式な情報セキュリティ ポリシーと手順を維持するものとします。

• A. サービスセンター。 本サービスは、米国に所在する第三者が運営する地理的に分散したデータ センターを通じてホストされるものとします。 すべてのデータセンターは、AICPA SOC2 Type 2 または同等の規格に認定されており、冗長電源、冷却、およびセキュリティ システムを提供する必要があります。 LogicMonitor は、サービスの可用性と機密性を保護するための適切な措置が講じられていることを確認するために、これらの施設の管理を少なくとも年 XNUMX 回見直します。
• B. 本番サーバー。 すべての運用サーバーは、CIS またはそれ以上の標準を使用してセキュリティを強化し、保護ソフトウェアをインストールし、データ セキュリティに影響を与えるイベントを継続的に監視する必要があります。
• C. データ分離。 LogicMonitor は、許可されていない個人が顧客データにアクセスできないように設計されたマルチテナント環境で、業界標準以上の論理データ分離を維持するものとします。 LogicMonitor は顧客データを論理的に分離し、顧客はサービスに保存された特定のデータを管理するものとします。 各顧客テナントは、データの機密性を確保するために一意の暗号化キーを使用して構成する必要があります。
• D. データの地域化。 サービスに関して、顧客は、顧客データが保存されるサービス センターの地域を選択できます。 顧客データは、LogicMonitor が運用およびサポート サービスを提供する地域に所在する担当者に転送および/またはアクセスを許可される場合があります。 https://www.logicmonitor.com/data-handling-supplement. LogicMonitor のサポート サービスによる分析のために提出された操作ログおよびその他のファイルは、米国に保管されるものとします。 いかなる場合も、顧客データまたは顧客機密情報は、OFAC の認可を受けた国から、またはその国でアクセス、保存、または処理されることはありません。
• E. 顧客データの取り扱い。 サービスは、次の領域に対処するための適切なデータ セキュリティ コントロールを維持するものとします。
• • 私。 パスワード強度の要件、多要素認証、シングル サインオン、役割ベースの承認などの論理アクセス制御
  • ii. 暗号化とハッシュを含むデータアクセス制御
  • iii. 非アクティブ タイムアウト後の個々のアカウントの自動ログアウト
  • iv。 個人の要求によってリセットする必要がある複数の認証失敗に続く、個人アカウントの一時的なロックアウト。 アカウントの時間ベースのロック解除はありません。
  • v. テナントとの認証イベントおよびその他の重要なアクティビティの監査ログ

• F. データの返却と削除。 LogicMonitor は、終了時に顧客データを取得するために使用できるデータ エクスポートを可能にするメカニズムをサービス内に提供するものとします。

 

5. 事業継続管理

LogicMonitor は、サービスの提供をサポートするビジネス プロセスの継続的な運用を保証するように設計された正式なビジネス継続性管理プログラムを維持するものとします。 このプログラムは、LogicMonitor の正式な情報セキュリティ ポリシーおよび手順内で文書化され、具体的には次の領域に対処する必要があります。

• A. ビジネス テクノロジー レジリエンシー プランニング。 日常業務に必要なすべてのビジネス リソースとテクノロジー サービスは、回復力を主な目標として調達し、実装する必要があります。
  • 私。 LogicMonitor の企業オフィスは、事業運営に影響を与えずにオフィスが存在しなくなる可能性があるように運営されるものとします。
  • ii. すべての LogicMonitor 従業員には、個人用ワークステーションとしてラップトップ コンピュータが支給されます。 企業のオフィスが使用できなくなった場合、従業員は、他の場所で提供されるインターネット アクセスを使用してビジネス システムに引き続きアクセスするものとします。
  • iii. ビジネス テクノロジー サービスのセキュリティ管理策が実装および維持されている場合は、継続性要件を満たすように評価する必要があります。
  • iv。 LogicMonitor のサービスの運用に関する事業継続義務は、本別紙のセクション 5 で定義されているとおりに維持されるものとします。

•  B. ビジネス システムの回復力テスト。 LogicMonitor の事業継続計画は、継続的にテストされるものとします。 モバイルおよびリモートの従業員によるビジネス システムの使用は、必要なサービス レベルを知らせるパフォーマンス指標を提供するために使用されます。

 

6.ディザスタリカバリ

LogicMonitor は正式な災害復旧プログラムを維持し、複数のタイプの潜在的に混乱を招くイベントを通じてサービスの回復力を確保するものとします。

• A. 災害復旧のためのアーキテクチャ。 サービスの運用に使用されるシステムおよびプロセスの設計および実装においては、災害復旧の必要性を予測することが主な考慮事項となります。
  • 私。 本サービスは、電力、冷却、ネットワーク接続、火災抑制、洪水制御、および耐震性を提供するシステムで高レベルの冗長性を提供できるデータセンターおよび IaaS プロバイダーからのみ運用されるものとします。
  • ii. すべてのハードウェアおよびネットワーク デバイスは、個々のコンポーネントの両方に影響を与える停止に耐えられる安定した継続的な運用を確保するために、十分な冗長性を備えて展開される必要があります。
  • iii. 12 時間を超えない目標復旧時間 (RTO) を満たすために、十分なプロセスと手順を維持する必要があります。 目標復旧時点 (RPO) は 36 時間を超えてはなりません。 サービス レベル インジケータは、全体的な可用性目標を報告するために維持されるものとします。
• B. バックアップと復元
  • 私。 サービスによって保存および処理されるすべての顧客データは、バックアップ プロセスを経て、セキュリティまたは可用性に影響を与えるインシデントから回復できるようになります。 バックアップ データは、指定された RTO および RPO を満たすことを目的とした頻度で作成する必要があります。
  • ii. バックアップ データは、特定の施設に影響を与えるインシデントから回復できるように、複数の場所に保存する必要があります。 バックアップ データがパブリック ネットワークを介して送信される場合、HTTP over TLS を使用して送信を暗号化する必要があります。
•  C. ディザスタ リカバリ テスト
  • 私。 サービスの災害復旧テスト プロセスを説明する正式な文書は、少なくとも年 XNUMX 回見直され、更新されるものとします。
  • ii. サービスの災害復旧プロセスの基礎となるバックアップ/復元手順は、定期的な容量管理演習の一環として、継続的にテストを受けるものとします。
  • iii. データセンター障害のシミュレーションを含む、サービスの災害復旧プロセスの完全なテストは、毎年実施されるものとします。 各テストの後には、テスト演習のレポート、現在の RTO および RPO の目標が達成されたかどうかの確認、および RTO および RPO の値を減らすための教訓とプロセスの改善が続くものとします。
• D. カスタマーコミュニケーション。 サービスの重大な中断が発生した場合、LogicMonitor は、主に次の場所にある通知サービスを介して、そのような停止を通知するものとします。 https://status.logicmonitor.com/. 重大な混乱が発生した場合、顧客はテクニカル アカウント マネージャーから電子メールまたは電話で通知を受け取ることもあります。

 

7. サブプロセッサーのセキュリティ

LogicMonitor は、顧客データを処理するサブプロセッサのセキュリティ評価を実施して、セキュリティ運用慣行の有効性を確保するものとします。 LogicMonitor の現在のサブプロセッサは次の場所にリストされています。 https://www.logicmonitor.com/data-handling-supplement.

 

8. 独立した評価

セキュリティ プログラムは、AICPA SOC2 タイプ 2 トラスト サービス原則、ISO/IEC 27001:2013、ISO/IEC 27017:2015、および ISO/ IEC 27018:2014。 書面による要求に応じて、LogicMonitor はこれらの監査活動の証拠を第三者の評価レポートおよび/または証明書の形で提供するものとします。

LogicMonitor の既存の第三者監査プロセスまたはセキュリティ インシデントが、この別紙で行われたコミットメントを維持するという当社の義務の重大な違反を示している場合、LogicMonitor は、そのセキュリティおよびプライバシー プログラムに関連するより詳細な情報を求める顧客の合理的な書面による要求に対応します。 LogicMonitor は、そのような応答に対して、その時点で最新の専門サービス料金を請求する場合があります。 LogicMonitor が本契約に基づくセキュリティおよびプライバシーの義務を順守していないことが証明された場合、LogicMonitor は、お客様に追加費用を負担することなく、順守するために必要な措置を講じます。

 

9. 共有セキュリティ モデル

上記にかかわらず、お客様は、セキュリティが LogicMonitor とお客様の間で共有される責任であることを認めます。 お客様は、サービスがさまざまなセキュリティ コントロールを提供することを理解しています。これらのセキュリティ コントロールは、次の URL で公開されている LogicMonitor の文書化されたベスト プラクティスに従って適切に構成する必要があります。 https://www.logicmonitor.com/support/getting-started/advanced-logicmonitor-setup/security-best-practices, 顧客データを適切に保護するため。