ベストプラクティス
情報セキュリティ基準
EPI-USE Labsが重要な機密情報をどのように保護しているかをご覧ください。
ISO27701（Data Privacy）とISO27017（Cloud Hosting）について
ISO27701規格は、個人を特定できる情報（PII）を管理するための枠組みを定めています。ISO27701はISO27001を拡張したもので、情報セキュリティマネジメントシステム（ISMS）をプライバシー・情報セキュリティマネジメントシステム（PIMS）へと拡張するものです。EPI-USE Labsは、データ処理者としてすべての管理策を実装し、現在、Cloud Hosting、Managed Services、XCentralスタックのソリューションについてISO27701認証を維持しています。
EPI-USE Labsはまた、ISO27001をさらに拡張したISO27017認証も取得しています。ISO27017は、クラウドサービスの提供、セキュリティおよび利用に適用される情報セキュリティ管理策に焦点を当てた規格です。
ISO/IEC 27001:2022について
ISO/IEC 27001:2022は、国際的に認知された情報セキュリティマネジメント規格であり、組織がビジネスプロセスにフレームワークを適用し、データセキュリティに対するリスクを特定、管理、低減できるようにするものです。認証プロセスでは、ITだけでなく、すべての業務が考慮されます。基準を満たすには、企業および顧客の機密情報を管理するための体系的かつ継続的なアプローチを実施していることを証明する必要があります。
SOC 2 タイプ 2 について
SOC 2（Service Organization Control 2）報告書は、AICPAのTrust Services基準に基づき、可用性、セキュリティ、処理の完全性、機密性、プライバシーに関連する、サービス組織の運用およびコンプライアンスに関する統制を対象としています。SOC 2 タイプ 2 報告書には、サービス監査人が実施した統制のテストおよびその結果について詳細に記載されており、企業が顧客の機密データを安全に保護するためのシステムを適切に設計していることを証明するものです。
HIPAA/HITECH（AT-C 105およびAT-C 205）について
HIPAA（Health Insurance Portability and Accountability Act of 1996）は、米国の法律であり、医療保険プラン、医師、病院、その他の医療提供者に提供される医療記録やその他の健康情報を保護するため、データプライバシーおよびセキュリティに関する要件を定めています。同様に、Health Information Technology for Economic and Clinical Health Act（HITECH Act）は、米国を拠点とする医療提供者およびその業務提携者による電子健康記録（EHR）技術の導入と「meaningful use（有意義な利用）」を促進するために制定されました。Meaningful useとは、医療提供者が認証済みのEHR技術を、利用状況を量・質の両面から測定できる形で活用していることを示す必要があるという考え方です。
EPI-USE Labsは、PHI（Protected Health Information：保護対象医療情報）を処理することはありませんが、移行やアプリケーションのインストールを実施する際に、クライアントのPHIデータに接する場合があります。そのため、接する可能性のある情報が適切に保護されるよう、HIPAA/HITECH法の要件を実装することを決定しています。