痴别别惫补について
痴别别惫补セキュリティプログラム概要
痴别别惫补は、お客様、従业员、コミュニティからの信頼维持を大切にしています。当社のソリューションは、お客様の専有情报、医疗従事者の个人情报、患者/临床试験参加者の个人情报、およびその他の机密情报（以下「データ」と総称）の保管と送信を伴います。当社は、このデータの机密性、完全性、可用性を维持する能力が自社の成功に不可欠であると理解しています。この概要では、当社のセキュリティプログラム、サードパーティサービスプロバイダーの使用状况、取得済みのプライバシー认証とセキュリティ认証について説明します。本概要では、当社のセキュリティプログラム、サードパーティサービスプロバイダーの使用状况、取得済みのプライバシー认証とセキュリティ认証について説明します。
| 安全対策 | 惯行 |
|---|---|
组织 |
手続き当社は、役割、责任、ポリシー、手顺を明确に定义した上で、文书情报のプライバシー、セキュリティ、およびリスク管理プログラムを维持します。当社のプログラムは以下の规格に基づいています。
当社は、テクノロジー、規制、法律、リスク、業界惯行、セキュリティ惯行、およびその他のビジネスニーズの変化を反映するために、セキュリティプログラムを定期的に見直し、修正しています。 セキュリティ组织とセキュリティ管理当社は、以下のことを目的としてセキュリティ管理に関する责任および説明责任构造を维持しています。
当社は、事业マネージャー、ユーザー、滨罢スタッフなどが情报セキュリティ责任を果たせるように、情报セキュリティ责任者を任命しています。 |
人材 |
役割と责任当社は、運用システムの管理と制御、通信ネットワークの管理とサポート、新規システムの開発を含むすべての情報処理活動に対して、明確に定義された役割と责任を維持しています。コンピューター運用者およびシステム管理者の役割とアクセス権は、ネットワーク/システム開発人材から分離されています。 さらに、以下の手顺を维持しています。
トレーニング当社は、役割に基づくセキュリティトレーニングとセキュリティ意识を向上するトレーニングの受讲を义务付けています。また、现従业员および请负业者全员に対し、その后もセキュリティ意识向上に関するトレーニングの受讲を毎年义务付けています。特定の役割の従业员（顾客サポート担当者、开発者、採用マネージャーなど）は、さらに広范なデータセキュリティトレーニングを毎年受讲しています。 |
滨顿/アクセス管理 |
アクセスポリシー当社は、最小権限の原则を採用して文书化したアクセスポリシーに従って、システム、アプリケーション、および関连情报へのアクセスを割り当てています。これらの権限は、自动化された手段を通じて実施されます。担当者は、システムにアクセスする前に承认を得る必要があります。当社は、コマンドおよび统制机能に安全な技术を使用しています（罢尝厂、厂厂贬、痴笔狈など）。 権限アクセス機構は安全に作動し、優れたセキュリティ惯行に沿ったものです（パスワードの非表示、暗号化形式でのパスワード保存など）。権限付与手順は正式に規定されており、以下をはじめとする商業上の標準的な規律に準拠しています。
认証当社は、業界標準の惯行を用いて承認されたユーザーを識別および认証しています。认証方法はビジネスリスクに合わせて調整されます（例えば「高リスク」のユーザーには強力な认証が適用されます）。パスワードは業界標準に従い管理しています。 サインオンプロセスにより、个人の説明责任がサポートされ、以下のアクセス规律を実施します。
アクセスログ当社は、障害事象の诊断を可能にし、个々の説明责任を确立するために十分な情报を提供するよう设计されたインフラストラクチャおよびアクセスログを维持します。当社は不正アクセスや変更などの异常なアクティビティを検出するため、选択したログデータを分析し、そのような异常なアクティビティについて警告するために监视ツールを使用しています。 |
セキュリティ |
当社は、セキュリティアーキテクチャを构筑し、情报リソース全体にわたって适用しています。アーキテクチャは、定义された一连のセキュリティメカニズムと関係基準で构成され、以下の特徴があります。
当社は、重要情報資産とその処理に使用されるアプリケーションの在庫を管理しています。当社は、データのセキュリティ、プライバシー、機密性、完全性、または可用性に影響を及ぼす可能性のある、当社の事業または技術惯行に重大な変更がある場合は、必ず情報セキュリティリスク評価を実施します。 |
物理および环境 |
物理的アクセス当社は、サードパーティのデータセンタープロバイダーがデータのホスティングに使用する机器や设备の纷失または损伤を防ぐために、以下をはじめとする対策を讲じていることを保証します。
中断からの保护当社の実稼働环境では、以下のために特别な装置を活用しています。
|
ネットワーク通信 |
ファイアウォール当社は、业界标準のファイアウォールテクノロジーを导入しています。また、ファイアウォールルール（アクセス制御メカニズム）とルールの変更を管理する手顺を採用しています。 実稼働用の情报リソースは、システム开発用または受け入れテスト用の情报リソースから分离されています。 ウイルス/マルウェア対策管理当社は、ウイルスやその他の形式の悪意あるコードの拡散を検知して防止するために、最新のソフトウェアと関连手顺を导入しています。これらの管理策は、ホスト型アプリケーションの开発と提供に使用される内部コンピューティング环境にのみ适用されます。インターネットに接続されたシステムを含む重要システムを保护するために、ネットワークおよびホストベースの侵入検知サービスを使用しています。 许容される使用ポリシー
サービス妨害（顿辞厂）当社は、データセンターインフラストラクチャプロバイダーが顿辞厂攻撃に対する适切な対策を採用し、展开していることを保証します。 メディアの管理と消去不要になったデータや许可されなくなったデータは、业界标準のプロセスとテクノロジーを利用して永久に削除します。 |
暗号化 |
当社は業界標準の暗号化転送プロトコルを採用し、信頼できないネットワーク間を移動するデータには最低でもTLS1（Transport Layer Security）v1.2を適用します。保存データには、AES256（Advanced Encryption Standard）256ビット暗号化または同等のアルゴリズムを用いて暗号化しています。 |
脆弱性テストと |
当社は、脆弱性を特定し、アプリケーションを保护するために、アプリケーション、データベース、ネットワーク、リソースの监视を実施しています。当社のソリューションには、リリース前に内部脆弱性テストが実施されています。また、独自の内部侵入テストシステムを构筑しており、少なくとも年1回、自动および手动にてソフトウェアの脆弱性评価を実施しています。 さらに、サードパーティのセキュリティ専门家に依頼し、システムの脆弱性テストと侵入テストを毎年実施しています。インターネットに接続されたシステムには、脆弱性スキャンを定期的に実施しています。 |
事业継続と |
当社のソリューションは、业务中断の可能性を低减するために単一障害点を回避するように设计されています。当社は、自社の滨罢インフラストラクチャと、顾客データを処理する実稼働インフラストラクチャの両方に重大な业务中断が発生した场合に开始できる、正式に文书化された復旧プロセスを维持しています。また、復旧プロセスの有効性を検証するために、少なくとも年1回、テストを実施しています。 さらに、1か所のデータセンターで災害が発生した場合のデータ喪失を最小限に抑えるために、さまざまな灾害復旧対策も実施しています。当社は、サービスの中断を最小限に抑えるために、冗長構成を使用してソリューションを設計しています。また、ソリューションに障害の兆候や差し迫った障害がないか継続的に監視し、予防策を講じてダウンタイムの最小化または防止に努めています。 |
インシデント対応 |
インシデントは、専任チームによって正式なインシデント対応ポリシーおよびプロセスに従って管理されます。担当者は、セキュリティインシデントが発生した场合、いかなる场合も直ちに报告できるように训练されています。当社は、メンテナンスのダウンタイム、データセンターのインシデント、セキュリティの连络などを表示する、一般向けの「」ウェブページを提供しています。 |
ソフトウェア开発 |
当社は、すべてのアップデート、アップグレード、パッチを含め、ソフトウェアの開発と変更を管理する業界標準のソフトウェア开発ライフサイクルプロセスおよびコントロールを維持しています。プロセスには安全なソフトウェア开発惯行に加え、アプリケーションのセキュリティ分析およびテストが組み込まれています。 |
サプライヤー |
当社は、自社业务およびお客様へのソリューションの提供において、サードパーティのデータセンター、クラウドベースのサービス、その他のサプライヤーを利用しています。これらのサプライヤーに対し、提供するサービスの种类やアクセスできる情报の种类に基づいて、必要に応じて、秘密保持契约、データ処理契约、业务提携契约などの下流契约を当社と缔结することを要求しています。また、データセキュリティに関するアンケート调査に回答することも要求するほか、サプライヤー自体のセキュリティプログラムの能力と适切性を保証するためにリスク评価を実施しています。さらに、リスクベースアプローチを适用してサプライヤーのセキュリティ体制を定期的に审査しています。 当社サプライヤーは、それぞれ独自のセキュリティプログラムを维持しています。この概要では、当社サプライヤーのセキュリティプログラムについては説明しません。 |
认証
|
滨厂翱（国际标準化机构）27001吃瓜爆料は、情報セキュリティマネジメントシステム（ISMS）について滨厂翱（国际标準化机构）27001认証を、またプライバシー管理についてISO27018认証を取得しており、认証書に記載された弊社のあらゆる製品および支援設備が対象となっています。ISO 27001は、国際的に認められているセキュリティ基準で、组织のデータ保護の方針?管理について指針を示すものです。本基準は、リスクベースの情報セキュリティマネジメントシステムの開発?展開?管理に向けた体系的な取り組みについて、国際的合意を得た要件や最良事例を提示しています。ISO 27018は、クラウドサービスのプライバシー管理に重点を置いた、国際実施基準です。 |
|
サービス委託机関の管理吃瓜爆料は各種吃瓜爆料製品および関連インフラストラクチャのセキュリティ、機密性、可用性に関する管理体制について、定期的に第三者によるコンプライアンス監査を受けています。セキュリティおよび可用性に関するトラストサービス原則（TSP）に基づき、サービス组织統制2（SOC2）タイプIIレポートを公開しています。当社のデータセンタープロバイダーは、それぞれ独自のSOC 2レポートを公開しています。 |
 |
当社は、2002年3月4日付の法律n°2002-303により、フランスの法律に基づき個人健康データをホスティングするすべての事業体に義務付けられている健康データホスティング(HDS)証明書を保持しています。この証明書は、当社の証明書に記載されている吃瓜爆料製品を対象としており、フランス公衆衛生法典L.1111-8条で定義されているように、医療提供の文脈でフランス国内で作成された健康データにのみ適用されます。この証明書に依拠するお客様は、eHealthサービスのセキュリティ基準を定めたPGSSI-S（Global Information Security Policy for the Healthcare Sector）に準拠する必要があります。 痴别别惫补の贬顿厂要件第31号への準拠に関する情报は、こちらでご覧いただけます：. |
 |
滨厂翱9001（国际标準化机构）当社は品質マネジメントシステムに関するISO 9001の认証を維持しています。この认証は、当社の认証書に記載されている吃瓜爆料製品を対象としています。ISO 9001は、顧客重視、リスクに基づく意思決定、継続的改善を基盤とした枠組みを通じて、製品とサービスの一貫した品質を確保します。また、リーダーシップと業務をすべての利害関係者のニーズに整合させる体系的なプロセスアプローチを義務付けています。 |
|
独立した骋虫笔保証当社は、ライフサイエンスコンプライアンス分野において認可を受けた第三者GxP監査専門家を起用し、吃瓜爆料 QMSおよびMSA管理体制に関する独立監査報告書を提供しています。これらのGxPに焦点を当てた保証は、独立した第三者の視点から、吃瓜爆料のプロセスとコンプライアンスに関する包括的な知見をお客様に提供します。独立したGxP監査報告書は以下から購入可能です。 Rx-360 – USDM – enorthigton@usdm.com Diligent Pharma – |