プライバシーは信頼の基礎です

データ保護を製品とサービスに組み込む境界を明確にし、慎重に扱ってください

使用のあらゆる段階にデータ保護を実装する

静的データ、伝送リンク、暗号化キーは一緒に管理する必要があります。当社は、特定の製品と展開シナリオに基づいて暗号化、アクセス制御、バックアップの手配を計画し、責任の境界、構成要件、納品時の回復メカニズムを明確にします。特定の暗号化機能は、対応するサービスの技術ドキュメントの対象となります。

保存中のデータ

保存データの保護にはAES-256などの暗号技術を活用でき、鍵管理、アクセス制御、バックアップを実際の導入範囲に合わせて組み合わせます。

転送中のデータ

トランスポート保護では、サービスによって構成された TLS や IPsec などのプロトコルが使用されます。 TLS 1.3 の現在の仕様は、RFC 9846 を参照しています。プロトコルのバージョン、アルゴリズムスイート、および証明書の構成は、実際のエンドポイントと技術文書の影響を受けます。

暗号鍵

キーおよびその他の秘密は、アクセス許可、制限されたアクセスに従って管理し、サービス契約に従って保管、ローテーション、および回復できるように手配する必要があります。顧客管理キーとサービス管理キーには、それぞれ明確な管理と責任が必要です。

データリクエストの処理原則

政府またはその他の機関がデータ要求を行う場合、当社は要求者の身元、法的根拠、管轄区域、要求の範囲を確認します。適用される法律で許可される範囲で、要求当事者に顧客から直接情報を要求することを要求し、開示を合法かつ必要なものに限定することが優先されます。根拠が不十分、範囲が不明確、または広すぎる要求に対して説明を要求するか、法的異議を申し立てます。
当社の約束：

1. 通常の認証やアクセス制御を回避する目的で一般的なバックドアやマスターキーを提供しないでください。政府または法執行機関の要請は、該当する法的手続きを通じてケースバイケースで審査されることがあります。
2. 情報開示、アクセス制御および対応プロセスを継続的に改善し、透明性と追跡可能なデータ処理を促進します。
3. データ要求の身元、権限、法的根拠、および必要性を検討します。顧客データへの無制限のアクセスを提供しないでください。法律で許可され、合理的に実行可能な場合は、契約および適用される手順に従って、顧客に直接要求し、紛争を処理します。

法執行機関からの要請時：顧客データに関連する有効な要求を受け取った後は、法律で許可され合理的に可能な範囲で、要求の性質と開示できる内容を説明した上で、速やかに顧客に通知します。クライアントからの指示または有効な法的根拠がない限り、関連する開示は行われません。法令により開示が求められた場合には、必要な情報に限定させていただきます。
透明性の原則データ要求の処理における透明性を重視し、法律で認められる範囲で適切な集計情報を開示しながら、個人のプライバシー、営業秘密、法令上秘密とされる捜査情報を保護します。

明確な基準で長期的な信頼を築く

龍盤は、事業地域、データの種類、導入範囲に応じてセキュリティ管理、データ保護、サービス責任を明確にします。国際標準と適用規制を参考に、利用場面に合った技術的・組織的対策を計画します。製品認証、評価範囲、提供責任は、対応する証明書、技術文書、サービス契約で定めます。
セキュリティ標準と評価の枠組みクラウド、プライバシー保護、暗号利用に関する主な標準と評価の枠組みを紹介します。利用場面、システム境界、導入地域に応じて要件を選択します。認証・認可の範囲は、対応する証明書、公的記録、技術文書で定められます。
シナリオに応じて適用可能な規格を選択管理体系、クラウドセキュリティ、個人情報、暗号モジュール、業種別認可は、それぞれ異なる技術・管理範囲を対象とします。利用目的から評価目標、実装範囲、提供要件を明確にします。

製品およびサービスの標準リファレンス

FIPS 140-3 · パスワードモジュールの検証

FIPS 140-3は、NISTとカナダサイバーセキュリティセンターによる暗号モジュール検証プログラム（CMVP）の現行標準です。4段階のうちLevel 4が最高です。検証は特定のモジュール、バージョン、実行環境を対象とします。FIPS 140-2の検証は2026年9月22日に履歴リストへ移行し、既存システムでの利用は適用方針に従います。

ITAR・防衛貿易管理規則

ITAR は、22 CFR Part 120 ～ 130 に基づく米国防衛貿易管理規制であり、米国国務省国防貿易管理局によって管理されています。これには、特定の防衛品目、技術データ、サービスの輸出管理が含まれます。これは一般的なクラウドセキュリティ認定ではなく、特定のテクノロジーを使用しているからといってすべての要件を満たしていると主張することもできません。

FedRAMP · クラウドサービスの評価と認可

FedRAMP は、米国連邦政府機関によるクラウドサービスの使用に対するセキュリティの評価、認可、継続的な監視フレームワークを提供します。関連するステータスは、特定のクラウドサービスとその認可境界に対応しており、公式マーケットプレイスの現在の記録と該当する資料に従う必要があります。
FIPS 199は情報・情報システムのセキュリティ分類を、NIST SP 800-53はセキュリティとプライバシーの管理策を扱います。FedRAMPの状態は特定のクラウドサービスと認可境界に対応し、そのサービス記録で適用範囲を確認します。

DoD · ミッション固有のクラウドセキュリティ要件

米国国防総省のクラウド要件は、データの機密性と任務に応じて影響レベルを区分します。IL2、IL5などは特定の任務・データ場面に適用され、対象案件ではサービス境界、認可、任務主体の要件を評価します。

GB/T 39786-2021 ・情報システムパスワード申請

この現行国家標準は、情報システムの安全等級に応じ、物理・環境、ネットワーク・通信、機器・計算、アプリケーション・データおよび管理面の暗号利用要件を定め、設計、実装、評価の基礎を提供します。

商用暗号化製品とネットワークプロトコル
ネットワークとゲートウェイに関連する現在のバージョンについては、GM/T 0022-2023「IPSec VPN 技術仕様」を参照してください。以下の技術分野と検証済みの代替バージョンを以下に示します。適用される要件は、州未確認動物局の発表、特定の製品および評価範囲に応じて異なります。

GM/T 0023-2023・IPSec VPNゲートウェイ製品仕様
GM/T 0024-2023 · SSL VPN 技術仕様
GM/T 0025-2023・SSL VPNゲートウェイ製品仕様
GM/T 0026-2023・セキュリティ認証ゲートウェイ製品仕様
スマートパスワードキー: 該当する製品仕様および GM/T 0016-2023 パスワードアプリケーションインターフェイス要件に従って評価されます。
GM/T 0028-2024 · 暗号化モジュールのセキュリティ要件
署名検証サーバー: 特定の製品の境界に従って、該当する仕様とテスト材料を検証します。
サーバー暗号機: 製品モデル、有効な証明書、および実際の動作環境を確認します。
電子署名: 暗号化テクノロジー、アプリケーションインターフェイス、法的効果を区別します。インターフェイスは GM/T 0131-2023 を指します。
認可とアクセス制御: ID、役割、最小権限、監査要件に基づいて設計および検証します。
GM/T 0033-2023・タイムスタンプインターフェース仕様
証明書認証システム: 該当する SM2 アルゴリズム、デジタル証明書形式、およびプロトコル要件に従って検証されます。
無線周波数識別システム: タグ、読み取りおよび書き込みデバイス、およびアプリケーション環境に基づいて、該当するパスワード要件を選択します。
非接触カードアクセス: メディア、キー管理、システム統合範囲の評価を組み合わせます。
証明書認証システムのテスト: 該当するテスト仕様とテストレポートを確認します。
証明書認証キー管理: キーのライフサイクル管理と検出範囲を確認します。

パスワードの検出と相互運用性
以下は国家暗号管理局公告第50号に基づき更新され、2025年7月1日に施行された版です。関連製品の安全試験と相互運用性評価に用います：

GM/T 0039-2024 · 暗号化モジュールのセキュリティテスト要件
GM/T 0040-2024・RFIDタグモジュールパスワード検知仕様
GM/T 0041-2024・スマートICカードパスワード検出仕様
3 値ピアツーピアパスワードセキュリティプロトコル: 特定のプロトコルに従って、該当するテスト仕様とレポート範囲を確認します。
GM/T 0043-2024 · デジタル証明書相互運用性検出仕様