セキュリティに関する取り組み・よくあるご質問とご案内

Q不正アクセスや情報漏洩が発生した際に「気付く仕組み（検知・監視）」はありますか？

24時間365日の異常検知およびシステム監視を行っています。外部からの不正侵入や悪意のある通信（SQLインジェクションやクロスサイトスクリプティング等）に対しては、IDS／IPS（侵入検知・防止システム）やWAF（Webアプリケーションファイアウォール）等の多層防御により、未然に検知・自動遮断する体制を整えています。

不審な挙動や異常なデータ送信が検知された場合は、即座に専門チームへアラートが送信され、被害を最小化する一次対応を開始します。

Qクレジットカード情報の漏洩リスクに対して、どのような対策が取られていますか？

Bカートでは、決済代行会社による非通過型決済を採用しております。お客様が画面上で入力されたクレジットカード情報は、Bカートのサーバーおよびデータベース内には一切「保持」も「通過」もいたしません。

当社側でカード情報そのものを保持・管理しない仕組み（非保持化）を徹底しているため、当社システム自体からクレジットカード情報が流出する構造そのものが存在いたしません。

Qシステムのログは保管されていますか？（仮に事故が起きた場合、データ量や影響範囲の把握は可能ですか？）

はい、アクセス元/先IPアドレス、リクエストURI、HTTPステータスコード等の重要な証跡ログを2年間保持・保管しております。

これらの生のログデータを外部へ一括提供することは安全管理上行っておりませんが、万が一有事（インシデントまたはその疑い）が発生した際には、当社側で過去のデータを迅速に遡り、影響を受けたデータ範囲やアクセス痕跡を正確に調査・解析できる状況を整えています。

※法令に基づく公的機関（裁判所・警察・行政機関等）からの開示要請がある場合を除き、第三者からの任意の情報開示要請に応じることはいたしかねますが、正当な権限に基づく開示請求を頂戴した場合におきましては当社所定の手続きを経て開示判断をさせていただきますこと、ご理解くださいませ。

Q貴社内部スタッフによるデータへのアクセス制限や、内部不正・誤操作の防止策はどうなっていますか？

前提として、当社はシステムの提供・保守を行う事業者であり、「原則として個々のお客様の情報取り扱い業務自体は行っていない」という責任分界点のもとで運営しております。

ただし、お客様からのサポート対応、障害原因の調査、あるいはシステムアップデートに伴う確認作業など、運用上どうしても必要な場合に限り、適切な接続制限を施した上で、最小限の特定スタッフのみが権限を持ってアクセスする状況を設けております。また、データベースへのアクセスや操作履歴はすべて個別ログとして記録・監査されており、不必要な閲覧や内部不正が行われないよう管理しています。

QISMS（情報セキュリティマネジメント）や従業員教育はどのように運用されていますか？（形骸化防止策）

当社では長期にわたりISMS（ISO/IEC 27001）認証を継続取得・運用しており、単なる形式上のマニュアル順守にとどまらず、実効性のあるPDCAサイクルを回しています。例を下記に示します。

• 当事者意識を高める教育: 全社研修では単に講義を聞く・テストを受けるだけでなく、実際の事例をもとにしたディスカッションや標的型攻撃メール訓練を取り入れ、社員一人ひとりが日常業務でのリスクを自分ごと化する機会を設けています。
• リスクアセスメント: 特定社員のみが行うのではなく、ほぼ全社員でのリスクアセスメントを実施しています。自身の業務を振り返る事でリスクを洗い出し、改善の機会につなげています。
• 情報資産管理: 当社にて管理する情報は、随時所在を管理し情報分類を記録しています。また、外部サービス等を利用する際には当社基準を満たした信頼性を有しているかのセキュリティ評価を行ったうえで利用しています。
• 実効性のあるBCP訓練: 形だけの計画に終わらせないため、仮想環境上で実際に障害を発生させ、どの程度の回復力（レジリエンス）をもって復旧・対応できるかという事前検証・訓練を重ね、対応計画を随時アップデートしています。

Q万が一インシデントが発生した場合、当社（顧客）へ確実に通知はもらえるのでしょうか？

ご利用企業様にとって「障害や事故が発生した際に事実が隠蔽されたり報告が遅れたりしないか」は最もご不安な点かと存じます。

当社では、社内で異変やインシデントの疑いを検出した際、「原因究明・被害範囲の調査」を進めると同時に、「お客様への第一報をお知らせすること」を両輪で進める体制を定めています。完全な調査完了を待つことなく、何が起きているか（一次事実）を可能な限り速やかにお知らせすることを優先します。

※通知ルートと管理者様へのお願い

確実に情報をお届けするため、状況に応じて以下の複数のルートで速やかにご連絡いたします。

• 運営担当者様へのメール通知: ご登録いただいている緊急連絡先・担当者様へ直接お知らせします。（※確実にお届けするため、Bカート管理画面内の「管理者連絡先」は常に最新化していただきますようご協力をお願いいたします）
• 管理画面でのアナウンス: ログイン後の管理画面上に緊急バナーやポップアップを表示できる体制をとっております。
• 公式サービスサイトでの公開: 影響を受けるお客様の特定に時間を要する場合や緊急性がある事態の場合は、迅速性を優先し、公式サービスサイト等に案内を掲載してお知らせする方針をとっております。

※普段ログインされていないお客様に対しても、不正アクセスの兆候や制限状況をどのように適切にお知らせすべきか、随時適正な通知先を考察しブラッシュアップしております。

Q脆弱性検査やサーバーのアップデートはどのように行われていますか？（ゼロデイ攻撃やパッチ適用方針）

当社では第三者の専門機関による定期的なペネトレーションテスト（脆弱性検査）を実施しているほか、AIツールや自動チェックを交えて随時適切なパッチ適用を行っています。

世間で話題となるセキュリティ事案の多くは「アップデートの未適用」が要因となるケースも散見されますが、当社では「世間でニュースになったからと即座にパッチを当てた結果、アップデート起因の不具合でお客様のショップ運用が止まる」という二次被害を避けるため、事前に検証環境で影響を確認・テストするスキームを設けております。

緊急度の極めて高いゼロデイ攻撃等に対しては早期適用を実施いたしますが、慎重な検証を経てご提供している点をご理解いただけますと幸いです。なお、特定の脆弱性（CVE番号指定等）について対応状況をご確認されたい場合は、個別にお問い合わせいただければ対応状況をご回答可能です。

Q当社（顧客）として「100%安全」と判断してよいのでしょうか？（セキュリティ認証に対する姿勢）

ISO等のセキュリティ認証は「取得しているから絶対に安全」という免罪符ではなく、企業が自社の情報資産、サービス領域、委託先を含めてどのように統制・把握できているかを示す基準です。当社も規格に則り、社内統制および委託先の評価を継続して行っております。

しかしながら、サイバー攻撃が高度化する現代において「100%絶対安全」と断言できるシステムは存在しないのが実情です。当社としてはリスクを隠すことなく適切に把握・評価し、可能な限りの防御策と万が一への備えを講じ続ける姿勢こそが、B2Bサービスをご提供する事業者の責務であると考えております。

Q個別のセキュリティチェックシートの記入依頼や、懸念点の相談には対応してもらえますか？

当社で公開している「SaaS対応サービスレベルチェックシート」は専門的な項目が多く、「読み取りにくい」「自社の評価基準に照らして判断がつかない」といったご不安もあるかと存じます。基本的には公開資料のご確認をお願いしておりますが、どうしても判断が難しい場合や有償オプション等での個別回答が必要な場合はご相談ください。

少しでも気になる点やご不安なことがございましたら、どうぞ遠慮なくご質問ください。お客様のご利用環境や社内ご事情に真摯に向き合い、ご不安をひとつずつ解消した上で安全にご利用いただくことこそが、当社の目指す姿勢です。