Trend Micro Vision One のデータのプライバシー、セキュリティ、コンプライアンス

トレンドマイクロは、GDPRをはじめとする関連法令を遵守しています。詳細については、「Trend Micro GDPR」のサイトをご覧ください。

• 必要に応じ、GDPRに即したデータ処理に対応するために技術上および組織上の措置 ("TOM") を講じています。

• GDPR に定められたデータ処理者として、"個人データ" の処理はいくつかのケースに限られています。Trend Micro Vision One の処理対象データの詳細、およびデータに対するお客さまの管理権限については、「Trend Micro Vision One Data Collection 」をご覧ください。

Trend Micro Vision One の一部の機能は、お客さまの製品の利用状況や検出にかかわる情報を収集してトレンドマイクロに送信します。詳細については、「Trend Micro Vision One Data Collection 」をご覧ください。

お客さまの情報はすべて、お客さまが各自のデータにのみアクセスできるように分離されています。お客さまデータには、データスキーマの一部として取り込み中に「お客さま ID」タグが付けられます。トレンドマイクロアプリケーションの内部データアクセスレイヤでは、この「お客さま ID」パラメータがなければデータにアクセスできません。クエリはユーザが認証された特定の「ユーザ ID」にしかアクセスできないため、この措置によって、別の利用者からのお客さまデータへのアクセスを防止しています。「お客さま ID」をお客さまがサービスの利用中に直接提供することはありません。この IDはアプリケーション自体によって処理されます。これにより、攻撃者が不正なお客さま IDを渡してもデータセットにアクセスできないようになっています。

メールアドレスなどのお客さまの連絡先情報は、機密保持のために暗号化されて保存されます。Trend Micro Vision One の収集対象データの一覧は、Trend Micro Vision One Data Collection に記載されています。

Trend Micro Vision One によって処理された情報は、転送中と保存中の両方で暗号化され、初期セットアップ時にユーザが選択したリージョンのTrend Micro Vision Oneノードに送信されます。

保存中: 保存データは、そのデータが存在するクラウドに対するネイティブのクラウドテクノロジによって保護されます。Azure SQLの場合、データベースはTransparent Database Encryptionで暗号化されます。AWS内のトレンドマイクロ独自のアーキテクチャでは、保存されているデータレイクコンテンツにネイティブのAES 256暗号化を使用します。

転送中: Trend Micro Vision One は、データ転送に可能な限りTLS 1.2を使用します。トレンドマイクロでは、クラウドネイティブの鍵管理インフラストラクチャを使用して、管理コンソールとクライアント/サーバ間の通信暗号化を管理します。

トレンドマイクロのオフィスへの立ち入りやネットワークへのアクセスはすべて、承認を受けた者またはその同伴者だけが許可されるよう厳しく管理されています。立ち入りに対してはキーカードシステムを使用し、機密エリアに入るには事前に承認を受けることが義務付けられています。Trend Micro Vision OneプラットフォームとデータレイクインフラストラクチャはMicrosoft AzureおよびAWS内に配置されています。

Trend Micro Vision Oneは、インターネットに直接アクセスできない、厳しく制限されたサブネットでホストされています。メンテナンスタスクのために Trend Micro Vision Oneにアクセスできる管理者は限定されています。オペレータのアクセスは、暗号化された安全な接続を介して行われ、複数層のネットワークおよびアクセス制御によって保護されます。

Trend Micro Vision One の情報へのアクセスは、トレンドマイクロのサイトリライアビリティエンジニア (SRE)、脅威の調査と分析チーム、およびコンソールで明示的に有効にした場合はカスタマーサポートチームに制限されています。アクセスは、トラブルシューティング、問題の解決、およびセキュリティ保護の有効性の向上を目的として許可されます。すべてのアクセスが記録され、監査されます。アクセス権限は、製品リーダーチームによって管理および承認されます。Trend Micro Vision One の情報は、上記のトレンドマイクロのチームが、お客さまの環境配置リージョン外の物理的な場所からアクセス/表示する場合があります。

アクセスは許可された特定のIPアドレスに制限され、SIEMで監視されます。不審なアクセスがあればアラートが生成され、インシデント管理手順に従ってアラートの調査が行われます。

Trend Micro Vision Oneの処理者/復処理者については、こちらのページをご確認ください。

Trend Micro Vision Oneでは、Trend Micro Cloud One Agentを使用して監視を行い、不正プログラム対策、ファイアウォール、侵入防御、変更監視、セキュリティログ監視を実施しています。インフラストラクチャへのすべてのアクセスは、クラウドサービスプロバイダが提供するネイティブのセキュリティサービスによって監視され、記録されます。

Trend Micro Vision Oneでは自動アラートが有効になっており、24時間年中無休でスタッフを配置しています。セキュリティログは、すべてのシステムについて毎日確認されます。セキュリティインシデントが疑われる場 合は、ただちにトレンドマイクロのセキュリティオペレーションセンター (SOC) に報告されます。潜在的なインシデントがあれば、疑わしいインシデントの重大度に基づいて優先順位が付けられ、SOCのチームとテクニカルエキスパートが調査に対応します。

これらのログは、Trend Micro Vision One アカウントをホストしているリージョン内にとどまり、お客さまがログにアクセスすることはできません。Trend Micro Vision One がカバーしているリージョンの詳細については、Trend Micro Vision One Data Center Locationsをご覧ください。

監査ログは、Trend Micro Vision Oneシステム内のすべてのユーザアクセスおよび処理に対して生成および保存されます。Trend Micro Vision Oneでは、監査ログが180日間保持されます。ユーザアクセスログはコンソールで確認でき、必要に応じてエクスポートできます。

ログの保持に関しては、Trend Micro Vision Oneは保持ポリシーを適用し、データが収集された目的で不要になると、データを削除します。Trend Micro Vision One は、お客さまが拡張ストレージオプション (最大365日まで) を購入しない限り、収集された未加工の情報を初期設定で30日間保持します。Trend Micro Vision One では、Workbenchアラートが生成されると、180日間保持されるため、調査/レポートの時間を確保できます。お客さまのライセンスの有効期限が切れると、すべてのデータが30日の猶予期間後に削除されます。

Trend Micro Vision One のバックアップは毎日実行されます。自動テストは毎週実行され、バックアップの整合性を検証します。バックアップは単一リージョン内の問題のリスクを軽減するために保存されます。バックアップは、破棄されるまで35日間保持されます。

Trend Micro Vision Oneでは、ディザスタリカバリ (DR) および事業継続計画 (BCP) が作成されており、少なくとも年1回実施されるディザスタリカバリ (DR) 訓練においてバックアップデータとRTO / RPO要求が検証され、ISO 27001認証の対象になっています。

バックアップは、1つのリージョン内の問題のリスクを軽減するために保存されます。DRシミュレーションは定期的に実行され、データとRTO / RPO要求を検証します。

Trend Micro Vision Oneプラットフォームとデータレイクは、Microsoft AzureおよびAWS内に存在します。Trend Micro Vision Oneプラットフォームは、サービス間接続を利用して、高度なDetection and Responseシステムの操作を容易にします。詳細については、https://success.trendmicro.com/solution/000282728 をご覧ください。

トレンドマイクロは、お客さまのプライバシーと個人情報の保護に努めています。詳細については、https://www.trendmicro.com/en_us/about/trust-center/privacy/gdpr/individual-rights.html を参照してください。

ISO 27001には、データ破棄に関する規定が含まれています。Trend Micro Vision One、Microsoft Azure、およびAWSはISO 27001に準拠しています。

お客さまは、トレンドマイクロ ( privacy@trendmicro.co.jp ) へのメールで、データ削除を要請できます。

トレンドマイクロでは、内規にしたがって、開発の各段階でソースコードに対してセキュリティのためのコードレビューや解析等の対策を実施しています。また、サードパーティの脆弱性は毎月、業界をリードするソフトウェアによって検索されます。セキュリティテスト、安全なコードレビュー、および脅威のモデリングも、すべてのトレンドマイクロ製品の開発ライフサイクルの一部です。

Trend Micro Vision One は、開発段階からGMリリースまで厳しい品質チェックを受けています。リリース後、毎週、自動による脆弱性検索を実施しています。脆弱性の重大度は、CVSSスコアを使用して評価されます。トレンドマイクロでは、内規にしたがって、サービスに対するペネトレーションテストを実施しています。テスト対象にはアプリケーション、外部および内部ネットワーク、セグメンテーションが含まれています。脆弱性が発見された場合には、トレンドマイクロの内規にしたがって、脆弱性ごとに対応目標日程が設定され、対応が行われます。

Trend Micro Vision Oneプラットフォームでは、外部のサードパーティによる診断を含め、自動および手動で定期的にセキュリティ診断が行われます。

ペネトレーションテストは、一般的なセキュリティの問題を検出して修正するために、サードパーティのセキュリティ専門家によって実施されます。このサードパーティのペネトレーションテストの対象には、アプリケーションセキュリティテスト、内部および外部ネットワークの調査、ネットワーク分離テストなどが含まれています。トレンドマイクロでは、ご要望に応じてペネトレーションテストのレポートをご提供しています。トレンドマイクロのInfoSec チームでは、動的セキュリティ解析ツールを使用し、Trend Micro Vision One のWebアプリケー ション評価を少なくとも年1 回実施しています。

トレンドマイクロの脆弱性対応プログラムの詳細については、「Trend Micro Vulnerability Response 」サイトをご覧ください。