1.クラウドサービスの設計及び実装に適用する情報セキュリティ要求事項

当社は、お客様からの情報セキュリティ要求事項及び本方針を、クラウドサービスの設計及び実装に適用します。また、クラウドサービスに適用するセキュリティ要求事項は、セキュリティ上支障のない範囲でお客様に開示します。

2.クラウドサービスにおけるリスク

当社は、クラウドサービスに対するリスクアセスメントを実施し、特定されたリスクに対して適切な管理策を実施します。

3.内部関係者に起因するリスク

当社は、クラウドサービスの運用に従事する従業員及び委託先要員による不正行為等のリスクに対応するため、権限の付与を必要最小限に限定し、その利用状況を記録し監視するとともに、定期的な教育・訓練を実施します。

4.クラウドコンピューティング環境の分離及び仮想環境のセキュリティ

当社は、複数のお客様が共用する環境において、お客様ごとの情報及び資源を分離し、他のお客様の領域へアクセスできないようにします。また、クラウドサービスの基盤となる仮想環境について、物理環境と整合した基準に基づきセキュリティ対策を講じます。

5.当社従業員によるお客様資産へのアクセス及び保護

当社は、利用規約又は当社プライバシーポリシーに定める場合を除き、お客様がクラウドサービス上に登録したデータを、自ら又は第三者のために閲覧せず、利用しません。サービスの提供、技術的な不具合の解消その他これらに定める場合に限り、必要な範囲においてアクセスします。また、お客様が登録した個人情報の取扱いは、当社プライバシーポリシーに従います。

6.管理画面へのアクセス制御

当社は、お客様向けの管理画面について適切な認証方式を整備し、二要素認証（メール認証・お客様による任意設定）による認証に対応するとともに、お客様が利用者ごとに権限を設定できる機能を提供します。

7.アカウントの管理

当社は、お客様ご自身による利用者の登録、変更及び削除の機能を提供するとともに、ご依頼に基づく代行にも対応し、お客様の利用開始から契約終了に至るまでアカウントを適切に管理します。契約終了時には、お客様の情報資産を確実に除去します。

8.お客様への各種変更通知

当社は、クラウドサービスの仕様変更、作業に伴うサービスの停止及びサービスの廃止について、利用規約に定める期限までに、当社ウェブサイトへの掲載又はメールによりお客様へ通知します。

9.インシデントの通知、対応及びフォレンジック調査に関する情報共有

当社は、情報セキュリティに関わる事象及び事故が発生した場合、お客様へ速やかに通知するとともに、お客様における調査に必要な情報を利用規約に基づき共有します。また、情報セキュリティに関するお客様の窓口として、セキュリティサポートセンターを設置し、責任者を定めて運用します。

10.クラウドサービス及び外部サービスの安全利用

当社は、業務及びサービス提供において利用するクラウドサービスについて、適切なセキュリティ基準に基づく選定、アクセス制御、設定管理及び監視を行い、クラウド上の情報資産の安全性を確保します。

11.法令、規制及び契約上の要求事項の遵守

当社は、クラウドサービスの提供及び利用にあたり、お客様からお預かりした情報資産の所在する国及び地域の法令、規制その他の要求事項を特定し、これを遵守します。

1. 本ページについて

1.1 本ページの目的

本ページは、cars株式会社（以下「当社」という。）が提供するクラウドサービス「cars PLATFORM」（SaaS）における情報セキュリティの取り組みについて、ISO/IEC 27017:2015（JIS Q 27017:2016）がクラウドサービスプロバイダに対して求める開示事項を中心に、ご利用者様に向けて開示するものである。

ISO/IEC 27017は、ISO/IEC 27002に基づき、クラウドサービスの提供及び利用に適用できる情報セキュリティ管理策の実践の規範を示した国際規格である。当社は、情報セキュリティマネジメントシステム（ISMS）の規格であるISO/IEC 27001に基づく取り組みを、ISO/IEC 27017の管理策により拡充している。

本ページに記載する管理策の番号は、ISO/IEC 27001:2022（JIS Q 27001:2023）附属書Aの管理策番号及びISO/IEC 27017:2015固有の管理策番号（「CLD.」で始まるもの）を用いる。ISO/IEC 27017:2015はISO/IEC 27002:2013の構成に基づくため、ISO/IEC 27017:2015の管理策番号と本ページの該当箇所との対応はページ末尾の対応表に示す。

個別の方針・手順は、1.4に掲げる関連ページを正とする（本ページは概要とリンク集約のためのものであり、内容が競合する場合は各ページの記載を優先する）。

1.2 本ページの対象範囲

本ページの対象は、次のサービスとする。

• cars PLATFORM（cars MANAGER、cars MARKET、cars CONNECT等当社サービスの総称）

1.3 本ページにおける用語

本ページでは、ISO/IEC 27017:2015（JIS Q 27017:2016）に記載されている用語をそのまま使用する。本サービスに関する用語は、cars MANAGERサービス利用規約（以下「利用規約」という。）の定義に従う。

1.4 関連ページ（開示の一次情報）

• 情報セキュリティ方針：https://cars-enjoy.com/security.html
• cars MANAGERサービス利用規約：https://cars-enjoy.com/biz/manager/terms/
• プライバシーポリシー：https://cars-enjoy.com/privacypolicy.html
• ご利用マニュアル（ご契約者様向け・パスワード保護）：https://guide.smart-dx.app/

1.5 お問い合わせ窓口

本ページの内容及び本サービスの情報セキュリティに関するお問い合わせ、並びに情報セキュリティに関わる事象のご連絡は、セキュリティサポートセンター（連絡先：security@cars-enjoy.com）にて承る。

2. 認証取得状況（A.5.35）

当社は、ISMS（ISO/IEC 27001）認証を取得している。2026年9月には、ISMSクラウドセキュリティ（ISO/IEC 27017）の初回審査を受審予定であり、認証取得後は取得状況を当社ウェブサイトにて公開する。

また当社は、内部監査、マネジメントレビュー及び年次のリスクアセスメントを実施し、これに加えて第三者認証機関による認証審査を受けることにより、情報セキュリティの取り組みについて独立したレビューを受けている。

3. クラウドサービスにおける役割分担（A.5.2・A.5.20・CLD.6.3.1）

3.1 責任分界点

cars PLATFORMは、当社がクラウド基盤事業者の提供するクラウド基盤（IaaS／PaaS）上に構築し、SaaSとして提供する。ご利用者様、当社及びクラウド基盤事業者の管理範囲は次のとおりである。当社はクラウド基盤をIaaS／PaaSとして利用しており、ミドルウェア（アプリケーションの実行環境）の管理責任は当社が負い、OS及び仮想化層はクラウド基盤事業者が管理する。

3.2 役割及び責任の分担

cars PLATFORMのご利用にあたり、当社とご利用者様の間で以下のとおり分担する。責任を負う主体と、実際に作業を行う主体は必ずしも一致しないため、両者を分けて示す。

3.3 ご利用者様による実地確認

本サービスは共有の機器・情報・システムで運用されているため、サービス障害及び情報漏えいを防止する目的から、ご利用者様又はご利用者様の委託先による実地確認は承っていない。

4. 情報セキュリティ体制及び従業員教育（A.5.2・A.6.3）

当社は、情報セキュリティ方針に基づき、情報セキュリティの役割及び責任を次の3層で定めている。ISMS全体の責任者がマネジメントシステム全体を統括し、クラウドセキュリティ責任者がクラウドサービスに関する情報セキュリティを統括し、クラウドサービス責任者がcars PLATFORMのサービス責任を負う。日常の構築・運用は開発部テクノロジーユニットが実施し、販売・提供は各事業部門が担う。

cars PLATFORMの提供に従事する要員に対しては、情報セキュリティ要求事項の周知徹底及びクラウドサービスの運用ルールの徹底を目的として、年1回以上の教育を実施している。クラウドサービスに関する教育については、クラウドサービスに関わる情報の取扱いが開発部門に限られないため、ISMS適用範囲の全従業員を対象としてe-ラーニング形式で実施している。

5. 資産の管理（A.5.9）

ご利用者様がcars PLATFORMに登録・保存する情報資産と、当社がサービスを運営するために保有する情報資産は、明確に分離している。ご利用者様がcars PLATFORM上に作成・保存した情報資産は、ご利用者様の管理範囲となる。

当社は、cars PLATFORMの提供に用いる情報資産について台帳を整備し、管理責任者を定めて管理している。

6. アクセス管理（A.5.13・A.5.16・A.5.17・A.5.18・A.8.2・A.8.3・A.8.18）

6.1 情報のラベル付け（A.5.13）

登録情報はタグ付けによるグルーピングが可能であり、ユーザーアカウントごとに属性情報を追加できる。

6.2 利用者IDの登録・削除（A.5.16）

ログインのための利用者IDの登録・削除及び変更は、ご利用者様の管理者が管理画面から実施できる。運用上は、ご利用者様からのご依頼に基づき当社が代行して実施する場合が多い。

6.3 アクセス権の付与（A.5.18）

初期アカウントは、お申込書に記載のメールアドレスに対してパワーユーザーとして発行し、管理者権限・閲覧権限を利用者ごとに設定できる。

6.4 特権的アクセス権の管理（A.8.2）

cars PLATFORMにおける特権的アクセス権（パワーユーザー）は、ご利用者様の管理者において管理いただく。二要素認証（メール認証・ご利用者様による任意設定）によるログインに対応する。ユーザーID及びパスワードは、ご利用者様において厳重に管理・保管し、ご利用者様以外の第三者が利用可能な状態に置かないようお願いする。

当社側の特権的アクセス権については、業務上必要な要員に限定して付与し、付与・変更の記録を残したうえで、操作ログを取得している。

6.5 認証情報の管理（A.5.17）

ご利用者様ご自身によるパスワード再発行機能を提供する。

6.6 情報へのアクセス制限（A.8.3）

ご利用者様は、権限設定機能により、利用者ごとに参照・操作できる情報の範囲を制限できる。

6.7 特権的なユーティリティプログラムの使用（A.8.18）

当社においてサービス提供に必要な特権的なユーティリティプログラムについては、使用できる要員を厳しく制限し、使用の妥当性を事前に確認したうえで、ログを取得しレビューを実施している。

7. データの保管・保護（A.5.5・A.8.24・A.8.13）

7.1 データの所在及び関係当局との連絡（A.5.5）

cars PLATFORM内のデータは、日本国内のデータセンターに保管する。また、本サービスの提供区域は日本国内とする。当社の組織の所在地は日本国内であり、ご利用者様のデータを保存する国は日本である。ご利用者様のデータを日本国外に保存する場合は、あらかじめ本ページを改訂して開示する。なお、AIコンサル機能で利用する検索サービス（Google Cloud Vertex AI Search）は日本リージョンが提供されていないため、当該機能の検索インデックスの保存先は日本国内に限定されない。

当社は、情報セキュリティに関わる事象が発生した場合に連絡すべき関係当局との連絡体制を確立し、これを維持している。個人情報の漏えい等が生じた場合は個人情報保護委員会へ報告し、必要に応じて独立行政法人情報処理推進機構（IPA）へ相談する。法令に基づき権限を有する公的機関から適法な手続により開示・提供の要請があった場合の取扱いは、11 に記載する。

7.2 暗号化（A.8.24）

保存データはAES256により暗号化して保管し、通信データはSSL/TLSにより暗号化する。輸出規制の対象となる暗号化は行っていない。

7.3 バックアップ（A.8.13）

データベースのバックアップは日次で取得し、7日分を保持する。バックアップの取得状況は月次で監視し、リストア手順を定めた上で、保守作業におけるリストアの実施を通じて復旧手順の実効性を確認している。バックアップデータについても、7.2と同様に暗号化して保管する。

なお、ご利用者様におかれても、自らの責任においてバックアップを取得いただくようお願いする。

8. ネットワーク・仮想化環境のセキュリティ（A.8.22・CLD.9.5.1・CLD.9.5.2・CLD.13.1.4）

本番環境は、開発・テスト環境とネットワークを分離して構築し、ご利用者様ごとのテナントは論理的に分離して構築する（CLD.9.5.1）。仮想ネットワークと物理ネットワークのセキュリティ管理には、同一の基準を適用する（CLD.13.1.4）。

仮想サーバーについては、不要なポート及びプロトコルを制限して不正なアクセスを遮断するとともに、ログを取得している（CLD.9.5.2）。

当社の運用担当者による保守作業は、ご利用者様のネットワークとは分離した経路から実施する。

9. 変更管理・容量管理・脆弱性管理（A.8.32・A.8.6・A.8.8）

9.1 サービス変更時の事前通知（A.8.32）

サービスの変更によりご利用者様へ影響が生じる場合、以下のとおり事前・事後に通知する。

• 変更作業に伴いサービスが一時停止する場合：1週間前までに通知
• 仕様変更によりご利用者様へ大きな影響を及ぼす場合：1ヶ月前までに通知
• サービスを廃止する場合：2ヶ月前までに通知

なお、緊急やむを得ない場合は、事前の通知を行わないことがある。

9.2 容量・能力の管理（A.8.6）

安定的なサービス提供のため、サーバーのCPU・メモリ・ディスク等のリソース使用状況を監視し、必要に応じて増強を行っている。

また、ご利用者様がデータの保管容量及び転送容量の制限値を超えて本サービスを利用した場合、サービス機能の一部又は全部を停止させる場合がある。この場合、当社は事後速やかにご利用者様へ通知する。

9.3 脆弱性管理（A.8.8）

当社は、脆弱性診断ツールによる継続的なスキャンを実施し、検出された脆弱性のサービスへの影響を評価する。当社の責任範囲において影響がある場合は、速やかにご利用者様へ通知する。

10. 運用管理・監視（CLD.12.1.5・CLD.12.4.5・A.7.14）

10.1 実務管理者の運用のセキュリティ（CLD.12.1.5）

ご利用者様の管理者が行う操作の手順については、ご利用マニュアル（1.4参照）にて提供する。

10.2 クラウドサービスの監視（CLD.12.4.5）

当社は、cars PLATFORMの稼働状況及びリソース状況を監視し、不正に利用されていないことを継続的に確認している。

10.3 装置のセキュリティを保った処分又は再利用（A.7.14）

cars PLATFORMはクラウド基盤事業者の提供するクラウド基盤上で稼働しており、当社が物理的な記憶媒体及び装置の処分を直接行うことはない。装置の処分及び再利用は、クラウド基盤事業者の管理手順に基づき実施される。

11. インシデント対応（A.5.24・A.6.8・A.5.28）

セキュリティインシデントがご利用者様に重大な影響を及ぼす場合、発生確認から24時間以内を目標に、1.5の窓口からメールにて通知する。インシデントが長期化する可能性がある場合、改善状況の進捗を定期的にメールにて通知する。

また、クラウド基盤事業者から本サービス用設備について障害がある旨の通知を受けたときは、当社はご利用者様に対しその旨を通知する。

ログ調査は、当社が取得するログをもとに当社が実施する。事象が重大と判断された場合は、アプリケーションのエラーログやサーバーサイドのログの提出を検討する（A.5.28）。法令に基づき権限を有する公的機関から適法な手続により開示・提供の要請があった場合は、ご利用者様の通知・同意を経ることなく当該機関に情報を開示することがある。

12. ログ管理（A.8.15・A.8.17・A.5.33）

アクセスログ・アプリケーションエラーログ・サーバーサイドログは1年間保管する。時刻同期はNTPにより行い、日本標準時（JST）に同期している（A.8.17）。

蓄積された記録に対しては、不正アクセス・改ざんを防ぐためアクセス制限を実施している（A.5.33）。

13. セキュリティ要求事項及びセキュアな開発（A.5.8・A.8.25・A.8.26）

13.1 情報セキュリティ要求事項の分析及び仕様化（A.5.8・A.8.26）

当社は、情報セキュリティ方針の下で、ご利用者様が求める情報セキュリティ機能を維持・提供している。ご利用者様が検討される主なセキュリティ機能の仕様として、本ページは次の項目を記載している。

• アクセス制限機能：6.3（A.5.18）、6.6（A.8.3）
• 認証機能（二要素認証）：6.4（A.8.2）、6.5（A.5.17）
• 通信及び保存データの暗号化機能：7.2（A.8.24）
• バックアップ機能：7.3（A.8.13）
• ログ取得：12（A.8.15）
• テナント分離：8（CLD.9.5.1）

13.2 セキュアな開発（A.8.25）

当社の定める基準に基づき、セキュリティに配慮した開発を実施する。

14. クラウド基盤事業者及び開発委託先の管理（A.5.20・A.5.21）

当社は、cars PLATFORMの提供に必要なクラウドサービス等を外部から調達している。選定にあたっては、適切な安全管理措置及びアクセス制御を講じていることを、当社の基準に基づいて確認している。

また、当社が利用するクラウドサービスプロバイダの情報セキュリティ水準を把握し、cars PLATFORMの情報セキュリティとの整合性が取れていることを確認している。

クラウド基盤事業者は次のとおりである。なお、当社は本サービスの開発の一部を外部に委託する場合があり、委託先の選定及び管理は当社の基準に基づき行う。

15. 契約終了時のデータの取り扱い（CLD.8.1.5・A.8.10）

ご利用契約が終了した場合、サービス内に保管されているデータは速やかに利用停止（論理削除）とし、ご利用者様と合意した削除日に物理的に削除する。バックアップデータは取得から7日で自動的に失効する。

なお、ご利用契約が終了した場合、当社又はクラウド基盤事業者から提供されたプログラム・操作マニュアル・技術ドキュメント等について、当社又はクラウド基盤事業者が要求する場合は、消去・返却・裁断もしくは消却等の必要な機密漏洩防止措置を講じていただく。

16. 法令遵守・知的財産権（A.5.31・A.5.32）

16.1 適用法令及び準拠法（A.5.31）

cars PLATFORMのご利用に関して適用される準拠法は日本国の法令とする。本契約に関連した訴訟については、訴額に応じて東京地方裁判所又は東京簡易裁判所を第一審の専属的合意管轄裁判所とする。本サービスの提供区域及びデータの保存先はいずれも原則として日本であり（7.1に定める例外を除く）、本サービスに適用される法域は日本である。

当社は、本サービスの運用に関連する各種法令について法的要求事項を特定し、遵守するよう努めている。個人情報の保護については、個人情報の保護に関する法律及び当社プライバシーポリシーに従う。当社の情報セキュリティ管理策の順守状況については、2 に記載する第三者認証（ISO/IEC 27001、及び取得後はISO/IEC 27017）をもって開示する。ご利用者様から求めがあった場合は、認証登録の状況その他の順守を示す情報を提供する。なお、法令又は契約上の順守要求事項への対応について、ご利用者様側の責任は当社に移転されるものではない。

16.2 暗号化機能に対する規制（A.5.31）

cars PLATFORMでは、SSL/TLSによる通信の暗号化及びAES256による保存データの暗号化を使用している。なお、輸出規制の対象となる暗号化の利用はない。

16.3 知的財産権（A.5.32）

本サービスにより当社又はクラウド基盤事業者がご利用者様に対して提供するプログラム・操作マニュアル・技術ドキュメント等のすべての著作物、著作権、営業秘密、その他一切の知的財産権は、当社又はクラウド基盤事業者に帰属する。知的財産権に関するお問い合わせは、1.5の窓口にて承る。

17. 関連する方針文書（A.5.1）

当社は、クラウドサービスの提供及び利用に取り組むため、情報セキュリティ方針を拡充している。

本ページは、当社の「情報セキュリティ方針」及び「クラウドセキュリティ基本方針」の内容を踏まえたものである。

18. ご利用者様に実施いただきたい事項

cars PLATFORMを安全にご利用いただくため、ご利用者様において次の事項を実施いただくようお願いする。

• ユーザーID及びパスワードを厳重に管理・保管し、第三者が利用可能な状態に置かないこと
• 退職・異動等が生じた場合、速やかに当社へ利用者IDの削除又は権限の変更をご依頼いただくこと（6.2）
• 業務上必要な範囲に限って権限を付与すること（6.3、6.6）
• 二要素認証を利用すること（6.4）
• 管理者アカウント（パワーユーザー）の利用を必要最小限にとどめ、定期的に棚卸しを行うこと
• 必要に応じて、自らデータのバックアップを取得すること
• 登録する個人情報について、個人情報保護法上必要な手続を履践すること
• ご利用者様の環境（PC・ブラウザ・インターネット接続環境）を適切に維持管理すること

ISO/IEC 27017:2015 管理策と本ページの対応

本表はISO/IEC 27017:2015（JIS Q 27017:2016）の管理策番号と本ページの該当箇所の対応を示すものであり、同規格の附属書とは異なる。ISO/IEC 27017:2015はISO/IEC 27002:2013の構成に基づき、箇条5から箇条18（箇条17を除く）に対してクラウドサービス固有の実施の手引を示している。同規格がクラウドサービスプロバイダに開示を求める管理策と、本ページの該当箇所との対応は次のとおり。

改訂履歴