情報セキュリティ補足資料

Digital.ai MSAの期間中、SOWに基づいて展開されるソフトウェア製品に適用される最低限の認証を維持するものとします。最新の認証に関する証拠は、顧客からの書面による要請に応じて提供するものとします。

3.5 監査および評価

Digital.ai 年次コンプライアンス監査（ISO/IEC 27001:2022およびSOC 2 Type IIを含む）の一環として、包括的なセキュリティ評価を実施します。  Digital.ai また、高リスクなセキュリティ領域における内部運用評価も実施します。評価結果は、継続的改善サイクルおよび是正措置プログラムに反映されます。

4. データ保護と暗号化

4.1 暗号化規格

Digital.ai 業界標準の暗号化制御を使用して、保存時および転送時の両方で顧客データを暗号化します。暗号化方式は、以下の基準を満たすか、それを上回ります。

• 転送中のすべてのデータに対してTLS 1.2（またはそれ以上）を使用すること。
• 保存されているすべてのデータに対してAES-256暗号化を使用します。

暗号化キーは、少なくとも年に一度、以下の規則に従ってローテーションされます。 Digital.aiの暗号化ポリシー（POL-INFOSEC-14）に準拠しています。クラウドホスト型サービスの場合、鍵管理はAWS Key Management Serviceを介して行われます。

4.2 データ処理契約

個人情報の処理 Digital.ai によって統治される Digital.aiのデータ保護補足条項（DPA）は、以下から入手できます。  https://digital.ai/data-protection-addendum/ 個人情報の処理に関して、MSAとDPAの間で矛盾が生じた場合は、DPAが優先するものとします。

4.3 データの可用性と冗長性

Digital.aiAWSのクラウド製品は、地理的に分散した複数のAWSリージョンにまたがる高可用性データセンターを活用しており、障害発生時の顧客への影響を最小限に抑えるように設計されています。 Digital.aiの主要データホスティングプロバイダーは、SOC 2 Type IIおよびISO/IEC 27001:2022の認証を取得しています。

4.4 データバックアップ

Digital.ai AWSのネイティブ機能を利用して、各サービスインスタンスのデイリースナップショットを収集します。バックアップは保存時に暗号化され、地理的に離れたリージョンに複製されます。バックアップの整合性は、ステージング環境での年次リストアテストによって検証され、問題があれば修正まで追跡されます。リージョン内のバックアップは最低8日間、リージョン外のレプリカは最低3日間保持されます。

4.5 データ所在地。

Digital.ai 顧客データは主にAmazon Web Servicesのインフラストラクチャ内で処理および保存されます。  Digital.aiの主要生産地域は以下のとおりです。

• 米国：AWS us-east-1（バージニア州北部）およびus-west-2（オレゴン州）
• 欧州連合：AWS eu-west-1（アイルランド）およびeu-central-1（フランクフルト）。

顧客は、以下の選択肢の中から、優先するプライマリデータ領域を指定するものとする。 Digital.ai契約締結時またはそれ以前に、利用可能なリージョンが定められます。書面による別段の合意がない限り、顧客データは指定されたリージョン内で処理および保存され、冗長性および災害復旧の目的でのみ、リージョン間レプリケーションが一時的に行われる場合があります。

欧州経済領域（EEA）居住者の個人情報を構成する顧客データについては、EEA域外への移転または保管は、標準契約条項（SCC）の適用を受けるものとします。 Digital.aiのDPA、または適用されるデータ保護法に基づいて承認されたその他の転送メカニズム。

米国およびEU地域以外でデータの保管場所を必要とするお客様は、別途の作業範囲記述書（SOW）および適用されるライセンス条項に基づき、オンプレミス展開をリクエストすることができます。

5. アクセス制御

5.1 最小特権の原則

顧客データへのアクセスは、権限のある者のみに制限されています。 Digital.ai 職員へのアクセス権限は、文書化された職務内容と最小権限の原則に基づいて付与されます。すべてのアクセス要求には、文書による承認が必要です。

5.2 多要素認証

Digital.ai 企業ネットワークリソース、社内アプリケーション、クラウド環境、および顧客データを処理するすべてのシステムへのアクセスには、多要素認証（MFA/2FA）が必要です。

5.3 アクセス権限の付与と取り消し。

Digital.ai すべてのシステムとサービスに対して、個々の職務内容に合わせた役割ベースのアクセス制御を使用して、明確に定義されたアクセス権限付与および権限取り消しプロセスを維持します。アクセスは、以下の基準に従ってレビューおよび取り消されます。 Digital.aiアクセス制御ポリシー（POL-INFOSEC-16）では、特権アカウントおよびシステム管理者アカウントは、退職または役割変更時に直ちに削除されます。その他のすべてのアカウントは、従業員の退職または役割変更後24時間以内に無効化されます。

5.4 不正アクセス

顧客データを処理するシステムへの不正アクセス試行はセキュリティインシデントとして扱われ、以下の方法で対処されます。 Digital.ai本補遺の第9項に記載されているインシデント対応プロセス。

6. ネットワークおよびインフラストラクチャのセキュリティ

6.1 階層型ネットワークアーキテクチャ

Digital.ai クラウド環境全体にわたって、ネットワークセキュリティに対する階層型アプローチを採用し、各レイヤーで制御を適用しています。インフラストラクチャは、ゾーン、環境、およびサービスごとに分割されています。本番環境と非本番環境は分離されており、横方向の接続性を制限しています。

6.2 侵入検知

Digital.ai 潜在的な侵害を検知するため、オフィスネットワークと生産ネットワークの両方に侵入検知機能を導入しました。アラートはトリアージされ、インシデント対応プロセスを通じてエスカレーションされます。

6.3 エンドポイントセキュリティ

すべてのデバイスが接続します Digital.aiのネットワークは、エンドポイント管理制御によって強制される最低限のセキュリティ要件を満たす必要があり、これには以下が含まれます。

• ディスク全体の暗号化。
• デバイスのロックおよび画面ロックに関するポリシー。
• マルウェア対策ソフトウェア、および
• 承認済みで最新のオペレーティングシステムバージョンとパッチ。

6.4 構成管理

Digital.ai すべての本番システムに対して、最新のベースライン構成を維持します。ベースライン構成は、少なくとも年に一度、またはアップグレードや重要な変更の必要に応じてレビューおよび更新されます。以前の構成は、ロールバックをサポートするために保持されます。ベースライン構成へのすべての変更は、以下の手順に従う必要があります。 Digital.aiの標準的な変更管理プロセス。

6.5 ログ記録と監視

Digital.ai 集中ログ記録と監視を使用して、本番システムからのログを集約し、監視ルールを適用し、疑わしいアクティビティをフラグ付けします。ログは、 Digital.ai社内のデータ保持ポリシーに基づき、監視アラートはトリアージ、調査され、インシデント対応プロセスを通じてエスカレーションされます。

7.変更管理

7.1 ピアレビュー。

各変更 Digital.aiコードベースまたはインフラストラクチャ（コードの変更やインフラストラクチャの修正を含む）は、展開前に1人以上の資格のある同僚によってレビューされ、潜在的な問題が特定されます。

7.2 CI/CDパイプライン

セキュリティ修正と脆弱性対策 Digital.aiのクラウド製品は、 Digital.ai徹底的なテストと検証を経て、継続的インテグレーションと継続的デプロイメント（CI/CD）パイプラインを構築します。

8. 脆弱性管理

8.1 連続スキャン。

Digital.ai 当社は、製品およびインフラストラクチャ全体にわたって、脆弱性検出ツールを継続的に運用しています。スキャンには、ネットワークスキャン、コンテナイメージスキャン、オープンソースの依存関係スキャン、およびAWS構成監視が含まれます。

8.2 内部セキュリティレビュー

Digital.ai 定期的な内部セキュリティレビュープログラムを実施しており、内部監査、評価、セキュリティテストを組み込んでいます。顧客向けリリース前に脆弱性を特定し解決するため、手動およびツール支援による対象を絞ったコードレビューを実施しています。

8.3 侵入テスト

Digital.ai 独立した第三者に依頼して、毎年侵入テストを実施します。すべての発見事項はレビューされ、優先順位が付けられ、修復から完​​了まで追跡されます。書面による要請があれば、 Digital.ai 顧客に対し、年次テストが完了し、重大な発見事項が是正されたことを確認する、侵入テストの概要報告書または証明書を提供するものとする。

8.4 脆弱性の修復

Digital.aiの脆弱性管理プログラムは、脆弱性の特定と内部チケット発行およびエスカレーションシステムを統合しています。特定された脆弱性は、リスクベースの修復スケジュールに基づいて修復され、深刻度と潜在的な影響によって優先順位が付けられます。 Digital.aiの技術的脆弱性管理ポリシー（POL-INFOSEC-11）に基づき、深刻度別の最大修復期間は以下のとおりです。重大：7暦日、高：30暦日、中：90暦日、低：180暦日。パッチが利用できない場合は、代替制御が実施され、文書化されます。

9. インシデント対応と情報漏洩通知

9.1 インシデント対応フレームワーク

Digital.ai NIST SP 800-61に準拠した構造化されたインシデント対応プロセスに従います。すべてのセキュリティイベントは検出時にトリアージされ、深刻度と影響度に基づいて分類されます。確認されたセキュリティインシデントは、専任のサイバーセキュリティインシデント対応チームによって調査、封じ込め、修復、および文書化されます。

9.2 検出と監視

Digital.aiのインシデント対応プログラムには、潜在的なセキュリティインシデントを迅速に検出できるように、製品とインフラストラクチャの包括的なログ記録と監視が含まれています。

9.3 顧客への通知

顧客データに関わるセキュリティインシデントが確認された場合、 Digital.ai 顧客に通知する:

• 遅滞なく、いずれの場合も72時間以内に Digital.ai セキュリティインシデントを最初に認識した時点で、顧客の指定するセキュリティ担当者に書面で通知すること。
• その後、合理的に可能な限り速やかに（いずれの場合も最初の通知から48時間以内に）、以下の情報とともに通知する：（a）セキュリティインシデントの性質と原因の説明、（b）影響を受けた顧客データのカテゴリと概算量、（c）セキュリティインシデントを封じ込め、調査し、修復するために講じられた、または提案された措置。

9.4 協力。

Digital.ai 以下の事項を行うものとします。(a) セキュリティインシデントの封じ込めおよび修復に必要なすべての措置を速やかに講じること。(b) セキュリティインシデントに関連するすべての情報および証拠の完全な記録を保持すること。(c) 顧客と協力し、セキュリティインシデントの封じ込め、調査、および修復に関して顧客が合理的に必要とする支援を提供すること。

9.5 規制開示

この補遺のいかなる条項も、 Digital.ai 適用される法律または規制によって義務付けられている開示を行うことから。 Digital.ai 顧客データに影響を与えるセキュリティインシデントに関して、法律により公式声明または規制通知を行うことが義務付けられています。 Digital.ai 法律で認められる範囲において、かかる開示を行う前に顧客と協議するよう合理的な努力を払うものとする。

10. 事業継続と災害復旧

10.1 BC/DRプログラム

Digital.ai 事業継続および災害復旧（BC/DR）機能を維持し、システム障害発生時の顧客への影響を最小限に抑えます。このプログラムは専任の担当者とチームによって支えられ、継続的な改善が取り入れられ、定期的なテストが実施されます。

10.2 サービスの可用性

Digital.ai 該当するSOWに規定されているサービスレベル契約およびサービスレベル目標（「SLA/SLO」）を満たすために、商業的に合理的な努力を尽くすものとする。

該当するSOWに代替ターゲットが指定されていない場合、 Digital.ai クラウドホスト型ソフトウェア製品に関して、以下のサービス可用性および復旧目標を遵守します。

• 月間稼働率目標：99.5%（ただし、顧客に少なくとも48時間前までに通知される定期メンテナンス期間を除く）。
• 目標復旧時間 (RTO): Digital.ai 災害発生宣言から24時間以内、試験施設の損失については168時間以内に、影響を受けたクラウドサービスを復旧させることを目標としている。
• 復旧ポイント目標 (RPO): Digital.ai クラウド上でホストされている顧客データについて、最大24時間以内のデータ損失期間を目標としています。

オンプレミス環境への展開は、これらの目標の対象外です。

場所 Digital.ai 顧客が月間稼働率目標を達成できなかった場合、顧客の唯一の救済措置は、該当するSOWまたはSLAスケジュールに定義されているサービスクレジットとなります。

11. 第三者リスク管理

11.1 ベンダー評価

契約業者、請負業者、クラウドサービスプロバイダーなど、契約業者、請負業者、クラウドサービスプロバイダーはすべて、 Digital.ai サービスの提供に関連して、ベンダーリスク評価を徹底的に実施します。 Digital.ai契約締結前に、情報セキュリティおよびコンプライアンスチームと協議しました。

11.2 継続的なデューデリジェンス。

第三者ベンダーに対する継続的なデューデリジェンスレビューは、契約更新時または業務のリスクレベルに応じて毎年実施されます。ベンダー契約には、業務のリスクレベルに応じたセキュリティおよび機密保持に関する要件が含まれます。

11.3 サブプロセッサ

Digital.aiの主要インフラストラクチャプロバイダーはAmazon Web Services（AWS）であり、SOC 2 Type IIおよびISO/IEC 27001:2022認証を取得しています。 Digital.aiの材料サブプロセッサは以下から入手可能です Digital.aiのDPAおよび/または Digital.aiさん データ保護に関するよくある質問.

Digital.ai 新規の材料サブプロセッサーを追加する場合、または顧客データを処理する既存の材料サブプロセッサーを交換する場合は、公開されているサブプロセッサーリストを更新することにより、少なくとも30暦日前に顧客に通知するものとします。当該通知には、サブプロセッサー、その所在地、およびサブプロセッサーが行う処理の内容を明記するものとします。

顧客は、データ保護上の合理的な理由に基づき、新しいまたは代替のサブプロセッサーに異議を申し立てる場合、書面による通知を送付することにより、 Digital.ai 受領後15暦日以内に Digital.aiの通知。  Digital.ai 異議申し立てに対応するため、合理的な努力を尽くすものとし、これには以下の措置が含まれる場合があります。(a) 顧客が受け入れ可能な代替サブプロセッサーの確保、または (b) 影響を受けるサービスからの移行機会を顧客に提供すること。顧客の異議申し立て自体は、MSAに基づく解約権を構成するものではありません。

12. 人事およびセキュリティ意識

12.1 内部統制

Digital.aiISMSには、顧客データにアクセスする従業員や請負業者の行動を規定する人事関連のセキュリティ管理が含まれています。 Digital.aiの生産システム。

12.2 セキュリティ意識向上トレーニング

事例一覧 Digital.ai 顧客データにアクセスできる従業員および契約者、または Digital.aiの生産システムでは、導入時およびその後毎年、セキュリティ意識向上トレーニングを完了する必要があります。トレーニングでは、情報セキュリティポリシー、許容使用、データ処理、インシデント報告、および役割固有のセキュリティ責任について説明します。書面による要請があれば、 Digital.ai 顧客に対し、必要なトレーニングが、顧客のソフトウェアインスタンスにアクセスできる担当者によって過去12ヶ月以内に完了したことを書面で確認するものとする。

13. 監査および報告に関する権利

13.1 認証証拠。

書面による要請により、 Digital.ai 顧客に対し、納品日から18ヶ月以上前の日付の関連コンプライアンス認証書、SOC 2タイプIIレポート、または同等の第三者監査レポートのコピーを無償で提供するものとします。SOC 2レポートは、相互に合意した秘密保持契約に基づき提供されるものとします。

13.2 評価とアンケート

Digital.ai 顧客からの合理的なセキュリティに関する質問およびデューデリジェンスの要請に対し、当事者が合意する期間内に誠意をもって回答するものとする。

14．人工知能とデータ利用の制限

14.1 公開されているAIツールの使用禁止。

Digital.ai 顧客の事前の書面による同意なしに、公開されている人工知能、機械学習、または大規模言語モデルのツールやサービス（第三者の生成型AIサービスを含む）を通じて、顧客の機密データまたは顧客の個人情報を入力、送信、またはその他の方法で処理してはならない。

14.2 内部AIガバナンス

Digital.aiサービス提供に関連してAIまたは機械学習ツールを使用する際には、以下の条件が適用されます。 Digital.ai当社の内部AIガバナンスポリシーは、書面による顧客からの要請があれば提供されます。

14.3 顧客データをAIまたはMLモデルのトレーニングに使用しないこと。

Digital.ai 顧客データ（顧客によるソフトウェアまたはサービスの使用から得られたデータを含む）を、人工知能または機械学習モデルのトレーニング、微調整、ベンチマーク、評価、またはその他の改善に使用してはならない。 Digital.ai顧客の事前の書面による同意なしに、当社自身のモデルまたは第三者のモデルを使用すること。

疑念を避けるために：

• 入力とそこから得られる洞察 Digital.aiのAI機能は顧客データに該当し、この制限の対象となります。
• 完全に集計され匿名化された製品使用状況のテレメトリデータであって、そこから顧客データを合理的に再識別できないものは、本条項の目的においては顧客データとはみなされない。
• Digital.aiがサービス提供のためにAIツールを内部的に使用すること（例：RFX応答生成、内部生産性ツール）は、 Digital.ai顧客データがこれらのツールで処理され、モデルのトレーニングに使用されない限り、AIガバナンスポリシーが適用されます。

15。 一般規定

15.1 セキュリティプログラムの更新。

Digital.ai MSAの期間中、顧客データに提供されるセキュリティ保護の全体的なレベルを実質的に低下させてはならない。  Digital.ai ISMSに対する重要な変更であって、顧客データのセキュリティに悪影響を及ぼす可能性が合理的に考えられるものについては、顧客に書面で通知するものとする。

15.2 MSAとの関係。

本補遺は、MSAを補足し、MSAに組み込まれるものとします。本補遺において明示的に修正された場合を除き、MSAのその他のすべての条項は引き続き完全に効力を有するものとします。セキュリティに関する事項に関して、本補遺とMSAとの間に矛盾が生じた場合は、本補遺が優先するものとします。

15.3 生存。

第9条（インシデント対応および侵害通知）および第4.2条（データ処理契約）に規定される義務は、MSAの満了または終了後も3年間存続するものとする。