セキュリティ規約
と義務
当社のセキュリティへの約束は、法律用語の中に埋もれていません。データを守るために当社が行うこと、お客様にお願いすること、インシデントへの対応方法を明確にお伝えします。
範囲と適用
本セキュリティ規約は、Exponent Solutions Pvt. Ltd. とクライアントとの間のマスターサービス契約または該当する注文書の一部を構成します。Exponent のサービス、プラットフォーム、コンサルティング業務の提供における両当事者のセキュリティ義務を定めます。
本規約は、クラウドインフラ、ソフトウェア開発、AI・ML の導入、SaaS 連携、マネージド IT 運用を含め、クライアントデータの処理、保存、送信、アクセスを伴うすべてのサービス契約に適用されます。
適用対象
対象となる事業体
データ処理、クラウドインフラ、マネージドサービスを伴う有効な契約を持つすべてのクライアント。
対象範囲
セキュリティ境界
クラウド、オンプレミス、ハイブリッドの構成要素を含む、Exponent が管理またはアクセスするすべての環境。
法的関係
契約の優先順位
本規約はお客様の MSA を補足するものです。矛盾がある場合、明示的に上書きされない限り MSA の条件が優先します。
管轄
準拠法
インド法に準拠し、適用される移転規制に従ってハリヤナ州グルグラムを管轄とします。
重要なお知らせ
当社のセキュリティ義務
Exponent は、すべてのサービス提供環境でエンタープライズ級の管理策を維持し、レビュー、テスト、監査プログラムを通じて保護措置を継続的に改善しています。
技術的セキュリティ管理
保存時・通信時の暗号化
保存データには AES-256、通信中のデータには TLS 1.3 で暗号化。
ネットワークセキュリティ
すべての環境にわたるファイアウォール、WAF、DDoS 緩和、ネットワーク分離。
24時間365日の監視
自動化された脅威検知とアラートによる継続的な SOC 監視。
脆弱性管理
頻繁な脆弱性スキャン、パッチ適用、定期的なペネトレーションテスト。
バックアップと復旧
地理的冗長化された自動バックアップと文書化された復旧目標。
セキュアな SDLC
コードレビューと CI パイプラインでのセキュリティスキャンを備えた OWASP 準拠の SDLC。
- ✓年次の第三者監査により SOC 2 Type II 認証を維持
- ✓ISO 27001 の再認証審査を毎年実施
- ✓ご要望に応じてセキュリティレポートと概要をクライアントに提供
- ✓データにアクセスするすべてのスタッフに、少なくとも年1回セキュリティ研修を実施
- ✓インシデントのエスカレーションを備えた専任のセキュリティ運用体制を維持
- ✓本番環境にアクセスする担当者の身元調査を実施
お客様のセキュリティ義務
セキュリティは共同責任モデルです。Exponent がプラットフォームとインフラの層を保護する一方で、クライアントは自身の環境とユーザー運用において基本的な管理策を維持する必要があります。
共同責任モデル
認証情報とアクセスの管理
強力なパスワードポリシー、特権ユーザーへの MFA、退職者の即時アカウント削除を徹底してください。
インシデントの報告
セキュリティインシデントの疑いを発見した場合は、24時間以内に security@exponentsolutions.ai へ報告してください。
クライアントのエンドポイントセキュリティ
Exponent の環境にアクセスするすべてのシステムで、OS とセキュリティパッチを最新に保ってください。
データ分類
共有前にデータを分類し、承認された機密レベルの範囲外のデータはアップロードしないでください。
セキュリティ意識向上研修
人的要因のリスクを減らすため、ビジネスユーザーが年次の意識向上研修を修了するようにしてください。
四半期ごとのアクセスレビュー
ユーザーのアクセスを定期的に見直し、チーム全体で最小権限の割り当てを維持してください。
データ保護
Exponent は厳格なデータ保護フレームワークに従ってクライアントデータを分類・取り扱います。管理策はデータの区分と処理の文脈に応じて適用されます。
| データ分類 | 例 | 暗号化 | アクセスレベル | 保持期間 |
|---|---|---|---|---|
| 極秘 | 個人情報、財務記録、健康データ | AES-256 + HSM | 知る必要がある者のみ | DPA による |
| 機密 | ビジネスロジック、API キー、認証情報 | AES-256 | 承認されたチームのみ | 契約期間 + 90日 |
| 社内 | プロジェクト文書、サービス設定 | 通信時の TLS | プロジェクトチーム | 契約期間 + 30日 |
| 公開 | マーケティング資料、公開 API | 標準 | 制限なし | 無期限 |
サービス終了時には、機密以上に分類されたすべてのクライアントデータを、契約上および規制上の義務に沿って安全に削除します。削除証明書はご要望に応じて発行します。
データポータビリティ
インシデント対応
Exponent は、定められたタイムライン、責任者、連絡経路を備えた文書化されたインシデント対応計画を維持しています。対応義務は深刻度の段階に合わせて定められています。
進行中の侵害 / データ流出
封じ込めを直ちに開始します。クライアントへの通知を優先し、規制当局との連携は法的要件に従って行います。
不正アクセスの試み / サービス障害
迅速なトリアージ、管理された是正、根本原因分析後の正式なインシデント報告。
脆弱性の発見 / ポリシー違反
担当者を追跡し、セキュリティガバナンスのレビューを伴う調査と修正計画。
セキュリティ上の不適合
通常のセキュリティメンテナンス期間内に対応し、完了の証跡を残します。
インシデント報告窓口
アクセス制御
本番システムとクライアントデータへのアクセスは、最小権限ポリシー、ロールベースの管理、本人確認基準によって統制されています。
- ✓高い権限を持つすべてのユーザーは本番環境へのアクセスに MFA が必要
- ✓定期的なアクセスレビューを伴うロールベースのアクセス制御を適用
- ✓特権セッションを監視・監査
- ✓すべてのアクセスイベントを記録し、監査要件に従って保持
- ✓役割の変更や退職後は速やかにアクセスを取り消し
- ✓機密性の高い運用作業には期限付きアクセスを使用
クライアントは、契約およびコンプライアンス上の制約のもとで、自社データを処理する環境のアクセスログを請求できます。
セキュリティ監査
Exponent は定期的に外部のセキュリティ評価を受け、管理策と運用の有効性を検証するための正式な監査プログラムを維持しています。
SOC 2 Type II
年次の独立監査
セキュリティ、可用性、機密性の管理策を対象とする年次監査。レポートは NDA のもとで提供します。
ISO 27001
ISMS 認証
年次の再認証と定期的なサーベイランス審査を伴う情報セキュリティマネジメントシステム認証。
ペネトレーションテスト
第三者によるテスト
認定チームによる年次の第三者ペネトレーションテスト。エグゼクティブサマリーはエンタープライズのクライアントに提供します。
クライアント主導の監査
監査権の行使をサポート
エンタープライズのクライアントは、事前通知、NDA、合理的な日程調整を条件に監査権の行使を請求できます。
サードパーティベンダー
Exponent はベンダーリスク管理プロセスを維持しています。クライアントデータにアクセスする再委託先は、受け入れ前に基本的なセキュリティ要件に照らして評価され、定期的に見直されます。
契約またはデータ処理契約で求められる場合、再委託先の重要な変更についてクライアントに事前にお知らせします。
再委託先への異議申し立ての権利
責任と救済
セキュリティインシデントに関する責任は、上限、免責、サービスクレジットの規定を含む、該当する契約条件に従います。
- ✓Exponent は専門職賠償責任保険およびサイバー保険に加入しています
- ✓Exponent の過失に起因するインシデントについては、侵害対応への合理的な協力を提供します
- ✓合意した SLA に基づき、サービスクレジットによる救済が適用される場合があります
責任の制限
本規約の更新
Exponent は本セキュリティ規約を少なくとも年1回見直し、法改正、業界標準、セキュリティのベストプラクティスを反映するために更新することがあります。
- ✓重要な変更の前に主要なアカウント連絡先へメールで通知
- ✓該当する場合は製品内またはポータルで更新を通知
- ✓発効日付きのバージョン履歴を公開
改定後の規約の発効日以降もサービスを継続して利用した場合、同意したものとみなされます。ご質問は、改定の発効前に legal@exponentsolutions.ai までお問い合わせください。
当社のセキュリティについてご質問がありますか？
セキュリティチームと法務チームが、本規約についてのご相談、監査レポートの提供、データ保護方法に関するご質問に対応します。