OSS セキュリティとコンプライアンスの認証について - OSS

OSS は、グローバルなセキュリティ基準、金融関連規制、および地域固有のフレームワークにおいて、複数の認証を取得しています。以下の表を参照し、ご担当の業界またはリージョンに適用される認証を特定したうえで、Alibaba Cloud へ連絡して、該当する監査レポートまたは証明書の取得をご依頼ください。

監査レポートおよび証明書の取得をご希望の場合は、Alibaba Cloud サポートへお問い合わせいただくか、Alibaba Cloud コンプライアンスセンターをご訪問ください。

グローバルなセキュリティおよびプライバシー

認証	対象範囲
ISO 9001	顧客の期待および適用される規制を満たす製品・サービスを提供する組織向けの品質マネジメントシステム（QMS）の要件。
ISO 20000	サービスマネジメントシステム（SMS）の標準であり、サービスマネジメントシステムの計画、確立、運用、モニタリング、および継続的改善に関する要件を規定。
ISO 22301	事業継続性のための標準であり、事業の中断を特定・防止・回復するための統合的なマネジメントプロシージャを確立することを目的としています。
ISO/IEC 27001	情報セキュリティマネジメントシステム（ISMS）の確立、実施、維持、および継続的改善のためのフレームワークであり、個人情報の保護および脅威の低減を目的としています。
ISO/IEC 27017	ISO/IEC 27002 のクラウド向け拡張規格であり、クラウドサービスにおける追加の情報セキュリティコントロールおよび実装ガイドラインを提供します。
ISO/IEC 27018	ISO/IEC 27002 を基盤とし、クラウド環境における本人特定情報（PII）の保護を目的とした、コントロール目標、コントロール、およびガイドラインを定めた PII 標準。
ISO/IEC 29151	個人情報のプライバシー保護、コンプライアンスリスクの軽減、および PII の保護・セキュリティ評価要件への適合を実現するための実践的なガイドライン。
CSA STAR	ISO/IEC 27001 を基盤とし、BSI のマチュリティモデルを用いて評価された「Cloud Security Alliance Security, Trust, Assurance, and Risk（CSA STAR）」認証。クラウドセキュリティのマネジメントおよび技術的能力について、第三者による保証を提供します。詳細については、「CSA STAR ウェブサイト」をご参照ください。
SOC 1、SOC 2、SOC 3	独立した第三者監査機関により発行されるクラウドサービス組織コントロール（SOC）レポート。主要なコントロールおよびコントロール目標を記載しており、Alibaba Cloud の内部統制メカニズムの評価およびアウトソーシングリスクの管理に役立ちます。
BS 10012	一般データ保護規則（General Data Protection Regulation: GDPR）のベストプラクティスに準拠した個人情報マネジメントシステムの標準であり、個人情報の適切な取り扱いと個人のプライバシー保護のための要件を規定しています。

金融業界

認証	対象範囲
Cohasset Associates コンプライアンス評価	OSS が金融サービス向け電子記録保管要件（米国証券取引委員会（SEC）規則 17a-4(f)、金融業界規制当局（FINRA）規則 4511(c)、商品先物取引委員会（CFTC）規則 1.31(c)-(d)）を満たしていることを、第三者機関が独立して評価・認証したものです。詳細については、「OSS Cohasset 評価レポート」をご参照ください。
PCI DSS	クレジットカード業界データセキュリティ基準（Payment Card Industry Data Security Standard: PCI DSS）。クレジットカード番号およびカード検証値 2（CVV2）コードなどの支払いカードデータのセキュリティ要件、およびアカウント認証情報の保存・送信に関する要件を定めています。支払いトランザクションに関与するソフトウェア開発者およびアプリケーション・デバイスメーカー向けの基準です。詳細については、「PCI セキュリティ基準協議会（PCI Security Standards Council）」をご参照ください。

認証

対象範囲

Cohasset Associates コンプライアンス評価

OSS が金融サービス向け電子記録保管要件（米国証券取引委員会（SEC）規則 17a-4(f)、金融業界規制当局（FINRA）規則 4511(c)、商品先物取引委員会（CFTC）規則 1.31(c)-(d)）を満たしていることを、第三者機関が独立して評価・認証したものです。詳細については、「OSS Cohasset 評価レポート」をご参照ください。

PCI DSS

クレジットカード業界データセキュリティ基準（Payment Card Industry Data Security Standard: PCI DSS）。クレジットカード番号およびカード検証値 2（CVV2）コードなどの支払いカードデータのセキュリティ要件、およびアカウント認証情報の保存・送信に関する要件を定めています。支払いトランザクションに関与するソフトウェア開発者およびアプリケーション・デバイスメーカー向けの基準です。詳細については、「PCI セキュリティ基準協議会（PCI Security Standards Council）」をご参照ください。

業界固有

認証	対象範囲
GxP	ライフサイエンス業界のガイドラインおよび規制であり、医薬品の適正製造基準（Good Manufacturing Practices: GMP）、適正安全性試験基準（Good Safety Practices: GSP）、適正実験所基準（Good Laboratory Practices: GLP）などを含みます。OSS は、GxP 要件を満たすために、ISO 9001、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018 の第三者検証を取得済みです。
Trusted Partner Network（TPN）	米国映画協会（MPAA）およびコンテンツ配信・セキュリティ協会（CDSA）が共同で設立した提携ネットワークであり、映画およびテレビ番組の公開前の漏洩、不正アクセス、ハッキングを防止することを目的としています。TPN 認証は、施設、スタッフ、ワークフローの各側面において、コンテンツセキュリティに関する業界のベストプラクティスに従っていることをサービスプロバイダーが確認されたことを意味します。詳細については、「TPN ウェブサイト」をご参照ください。

認証

対象範囲

GxP

ライフサイエンス業界のガイドラインおよび規制であり、医薬品の適正製造基準（Good Manufacturing Practices: GMP）、適正安全性試験基準（Good Safety Practices: GSP）、適正実験所基準（Good Laboratory Practices: GLP）などを含みます。OSS は、GxP 要件を満たすために、ISO 9001、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018 の第三者検証を取得済みです。

Trusted Partner Network（TPN）

米国映画協会（MPAA）およびコンテンツ配信・セキュリティ協会（CDSA）が共同で設立した提携ネットワークであり、映画およびテレビ番組の公開前の漏洩、不正アクセス、ハッキングを防止することを目的としています。TPN 認証は、施設、スタッフ、ワークフローの各側面において、コンテンツセキュリティに関する業界のベストプラクティスに従っていることをサービスプロバイダーが確認されたことを意味します。詳細については、「TPN ウェブサイト」をご参照ください。

地域固有

認証	対象範囲
Cloud Computing Compliance Controls Catalog（C5）	ドイツ連邦政府が策定したクラウドセキュリティ標準であり、17 の分野にわたるコントロール要件を規定しています。ドイツの公共部門との協業に必須であり、民間部門でも採用が進んでいます。詳細については、「C5 ドキュメント」をご参照ください。
Multi-Tier Cloud Security（MTCS）T3	シンガポール情報通信開発庁（IDA）が主導し、シンガポール標準生産性革新局（SPRING Singapore）が発行したシンガポールのクラウドセキュリティ標準です。T3 は最上位レベルの Tier であり、最も厳格なセキュリティ要件を満たす必要があります。Alibaba Cloud は、SOCOTEC Certification International から MTCS T3 認証を取得しています。
Trusted Cloud Service Assessment（信頼できるクラウドサービス評価）	中国工業情報化部電気通信発展局の監督のもと、中国情報通信研究院（CAICT）が実施するクラウドコンピューティング評価プログラムです。Alibaba Cloud は、本評価を通過した最初期のクラウドサービスプロバイダーの一つです。