リスクマネジメント
このページでは、ProtoPie Enterprise Cloud環境におけるリスクマネジメント手順についての情報を提供します。これには、リスクの特定と評価、およびそれらのリスクを軽減するための管理策の実施が含まれます。
当社は、以下のステップを含む包括的なリスクマネジメント手法を採用しています。
特定 - 該当するカテゴリに関連する潜在的なリスクを特定します。
評価 - 特定された各リスクを潜在的な影響、深刻度、および発生可能性の観点から評価し、リスクのレベルを理解してそれに応じた行動の優先順位付けを行います。
実施 - これらのリスクによって引き起こされる混乱を管理および軽減するための事後対策を実施します。
リスクの特定と評価
サービス停止リスク
サービスを中断することなく提供するため、当社はAWSの世界クラスのデータセンターを利用しています。これらのセンターは、停電やネットワーク障害などのユーティリティサービス停止リスクを軽減するための、堅牢なセキュリティ対策と冗長性を備えて設計されています。
以下は、AWSのデータセンターで実施されている主なセキュリティ対策です。
緊急電源遮断: AWSのデータセンターには、アクセスしやすい場所に緊急電源遮断装置が設置されています。これらの遮断装置は不正な起動から保護されており、許可された人員のみが緊急電源手順を開始できるようになっています。
無停電電源装置 (UPS): 電源喪失にシームレスに対応するため、AWSのデータセンターは短期UPSシステムを利用しています。これらのシステムは臨時電源を提供して代替電源へのスムーズな移行を促進し、情報システムの継続的な運用を保証します。
水漏れ防止: 漏水による情報システムへの被害から保護するための対策が講じられています。AWSのデータセンターでは、アクセスしやすく、適切に機能し、主要な人員に周知されているマスター遮断弁または隔離弁を採用しています。これらのバルブは、水関連の事故がシステムの整合性に影響を与えるのを防ぐのに役立ちます。
消火および火災検知: AWSのデータセンターには、独立したエネルギー源によってサポートされている消火および火災検知デバイス/システムが装備されています。これにより、火災緊急時の迅速な対応と効果的な封じ込めが保証され、インフラストラクチャへの潜在的な被害が最小限に抑えられます。
温度および湿度の管理: AWSのデータセンターでは、温度と湿度のレベルの定期的な監視と維持が行われています。これらの対策により、環境条件が許容範囲内に維持され、機器が保護され、最適なパフォーマンスが維持されます。
影響の大きい環境リスク
データの安全性を確保し整合性を保つため、当社はAWSが提供するデータセンターを利用しています。これらのデータセンターは、洪水、竜巻、地震、ハリケーンなどの環境の脅威に対して、世界クラスの安全性と回復力を提供する地域に戦略的に配置されています。
お客様は、データが保管される地理的な場所を選択するオプションを持っていますが、これは主にデータ処理合意書（DPA）に準拠し、データを所有する会社の所在地に基づいています。
脅威ベクトルの管理
当社のサービスに対する主な脅威ベクトルを効果的に管理するため、当社は包括的な対策を実施しています。
継続的な監視: 当社のネットワークとシステムは、ファイアウォールやAWS Security Managerなどの高度なツールを使用して継続的に監視されています。不審なアクティビティや潜在的な脅威を特定するために、監視ログをプロアクティブに確認し、迅速な対応をとって安全な環境を維持できるようにしています。
ペネトレーションテスト: 脆弱性を特定し、セキュリティ対策を強化するために、年に一度ペネトレーションテストを実施しています。これらのテストは、システムやアプリケーションの潜在的な弱点を特定するのに役立ち、プロアクティブに対処して防御力を強化することを可能にします。
ISO27001および27701監査: 当社は、ISO27001および27701準拠のための年次監査を受けています。これらの監査により、情報セキュリティマネジメントおよびプライバシー慣行に関して、国際的に認められた基準を遵守していることが保証されます。
個人情報保護: 現在、特定のサイバーセキュリティ保険には加入していませんが、韓国の個人情報保護法に定められたガイドラインを遵守することに努めています。個人情報の保護に関連するリスクを軽減するための取り組みの一環として、当社はKB損害保険が提供する個人情報保護賠償責任保険プランに加入しています。この補償は、個人情報の保護に関連する潜在的なリスクを軽減するのに役立ちます。
ビジネス継続性
ビジネス継続性は当社の業務の不可欠な一部であり、災害が発生した場合でも重要な機能を維持できる能力を保証します。当社のリスクマネジメント実践とプロトコルは、不可欠なサービスの中断を防ぎ、迅速かつシームレスな復旧を可能にし、できるだけ早く完全な機能を回復できるように設計されています。
事業継続計画 (BCP)
計画の有効性を評価し、改善が必要な領域を特定するために、当社は年に1回、綿密なBCPテストを実施しています。このテストプロセスにより、混乱や災害が発生した場合の備えを評価することができ、当社の組織が大きな中断を伴わずに重要な機能を継続できることを保証します。
BCPテストに加えて、バックアップおよび冗長化メカニズムの定期的なテストも実施しています。毎年実施されるこれらのテストは、バックアップシステムの信頼性と機能性を検証するように設計されています。
これらのメカニズムをテストすることにより、不測の事態やシステム障害が発生した場合でも、データやサービスを復旧させるために確実にそれらを信頼することができます。
コンティンジェンシープランの策定
ビジネスの継続性を保証するための取り組みの一環として、当社は情報システムのための包括的なコンティンジェンシープランを策定しています。この計画は、業務に影響を与える可能性のある混乱や事故が発生した場合に従うべき手順と手続きの概要を示しています。これは迅速な復旧のためのロードマップとして機能し、ビジネスやお客様への影響を最小限に抑えるのに役立ちます。
当社の事業継続計画および災害復旧手順 (DRP) は、リスクを軽減し、クリティカルなサービスの可用性を維持するために整えられています。
当社は、当社の組織と当社のソリューションをサポートするサードパーティのリソースの両方の間で、情報セキュリティ意識を確実に高めるための管理策の実施を最優先しています。
セキュリティ意識向上トレーニング
当社の従業員および請負業者は、導入プロセスの一環として、ITセキュリティ意識トレーニングおよび個人情報トレーニングを受講します。このトレーニングは、混乱に対して効果的に対応し、ビジネスの継続性を確保するために必要なスキルと知識を彼らに身につけさせます。これには、以下のような様々な重要な側面が含まれます。
セキュリティ意識の重要性
オペレーティングシステムとインターネット取引の保護
パスワードセキュリティ
メールセキュリティとベストプラクティス
重要情報のバックアップ
モバイルセキュリティ
物理的セキュリティ
ソーシャルエンジニアリング
リムーバブルメディアのリスクの管理方法
サイバーインシデントの報告
セキュリティリスクを効果的に軽減するために必要な知識と実践を強化するため、当社のソリューションへのアクセス権を持つすべてのシステム管理者向けのトレーニングセッションが毎年実施されます。
また、要員が常に準備を整え、最新の手順やプロトコルを把握できるようにするため、必要に応じて復習トレーニングも提供しています。
データ復旧
当社のクラウドソリューションには、データの修復と復旧のための、ソフトウェアおよびプロバイダーに依存しない機能が装備されています。当社は、ビジネス復旧プロセスを強化するために、実践方法を継続的に評価し改善しています。
異なるレベルの障害シナリオに対して、当社は以下の目標復旧時間 (RTO) および目標復旧時点 (RPO) を約束することができます。
レベル1の障害: RTOは6時間以内、RPOは6時間未満。
レベル2の障害: RTOは24時間以内、RPOは24時間未満。
レベル3の障害: RTOは48時間以内、RPOは3日未満。
仮想インフラストラクチャ機能
一定の制限がある場合がありますが、お客様は仮想マシンイメージをダウンロードして別のクラウドプロバイダーに転送するオプションを持っています。ただし、マシンイメージをお客様独自のオフサイトストレージの場所に複製することは許可されておらず、サポートもされていません。さらに、仮想マシンに加えられた変更や修正を元に戻す機能を顧客に提供し、環境に対する柔軟性と制御を提供します。