セキュリティおよび信頼性
Workday を支える信頼性の基盤
Workday は、信頼を得るための取り組みを組織の隅々にまで浸透させています。データの安全性とプライバシーを確保するために、業界をリードする保護手段をデプロイし、常にシステムを監視しています。最も機密性の高いデータをクラウドで常時保護しているので、安心してご利用いただけます。
※本ページ内に英語リンクが含まれている場合がございますので、予めご了承ください。
セキュリティ
Workday は、お客様のデータのセキュリティ確保を最優先に考えています。お客様のデータ、アプリケーション、インフラストラクチャを安全に保つために、組織、アーキテクチャ、業務の各レベルで厳格なセキュリティ対策を実施しています。
組織のセキュリティ
セキュリティは、Workday 社員にとって基本中の基本です。当社の一員になったその瞬間から全員が例外なく、セキュリティ、プライバシー、コンプライアンスの研修を受けます。社員全員が、それぞれの役割に応じた責任を持ってセキュリティに取り組んでいます。
セキュリティへの真摯な取り組みは、エグゼクティブも同じです。社内各部門のエグゼクティブをメンバーとする Workday セキュリティ協議会を設置して、セキュリティ プログラムを策定したり各部門のエグゼクティブ間の意識をすり合わせたりするほか、セキュリティの認識や取り組みを社内に浸透させるよう徹底しています。
アーキテクチャのセキュリティ
処理と管理の分担
データを管理するのはお客様であり、Workday はあくまでデータの処理に徹します。お客様は、Workday のサービスに取り込むデータを全面的に管理できることに加えて、セットアップと各種設定もすべて自社の裁量で選択できます。データはお客様が管理し、Workday はそれを処理しているだけです。以下のような日常的なタスクを実行する際には、当社に依頼する必要はありません。
- セキュリティ権限の割り当て、ロールの調整
- レポートやワークレットの新規作成
- ビジネスプロセス フロー、アラート、ルールなどの設定
- Workday ユーティリティや現行ツールとの新たなインテグレーション
- 組織構造の変更や新規作成
- すべてのビジネス トランザクションのモニタリング
- すべての履歴データおよび設定変更の確認
データの暗号化
Workday は、データベースに格納する前にお客様データの全属性をすべて暗号化します。これは Workday テクノロジーの根幹をなす設計上の特徴となっています。Workday はディスクベースの RDBMS アプリケーションではなく、インメモリのオブジェクト指向アプリケーションであるため、最高水準の暗号化を実現できます。Workday では米国の新暗号規格である鍵長 256 ビットの AES (Advanced Encryption Standard) アルゴリズムを採用し、お客様ごとに独自の暗号キーを適用しています。
インターネット経由で Workday にアクセスする場合、通信は TLS (Transport Layer Security) によって保護されるため、メッセージの受動的な傍受や意図的改ざん、もしくはメッセージ偽造から、ネットワーク トラフィックを守ることができます。ファイルベースのインテグレーションは、PGP (Workday によって生成される公開鍵と秘密鍵) とユーザーが生成した証明書を使って暗号化できます。Web サービスと Workday API を統合する場合は WS-Security も使用できます。
論理的セキュリティ
Workday のセキュリティ アクセスはロール ベースで、LDAP 委譲認証、シングル サインオン機能のための SAML、およびユーザー管理と Web サービスの統合のための x509 証明書認証にも対応しています。
シングル サインオンのサポート
SAML を使うと、お客様の社内 Web ポータルと Workday の間でシームレスなシングル サインオンが可能になります。社内のユーザー名とパスワードを使って社内 Web ポータルにログインすると、Workday へのリンクが表示されます。これにより Workday へのアクセス権限が自動的に付与されるため、再度ログインする必要がありません。Workday は OpenID Connect にも対応しています。
Workday へのネイティブ ログイン
社内ポータル用のユーザー名とパスワードを使用せず、ネイティブ ログインつまり直接 Workday にログインした場合、Workday はパスワードのみ通常のプレーン テキスト形式ではなくハッシュ形式で保存します。成功したログイン/ログアウトの履歴だけでなく、失敗したログインの履歴も監査情報として記録されます。アクティブでないユーザーのセッションは、指定の時間が経過した後にタイムアウトとなり自動的に切断されます。切断までの時間をユーザーごとに設定することもできます。
またパスワードの長さ、複雑さ、有効期限、パスワードを忘れた場合の質問といったパスワード ルールの設定も可能です。
多要素認証
Workday では、お客様に多要素認証 (MFA) をお使いいただくことをお勧めしています。お客様は、タイムベース ワンタイム パスワード (TOTP) アルゴリズムを採用している MFA プロバイダをご自由に選択できます。この設定を行うと、お客様は Workday へのネイティブ ログインと MFA プロバイダを簡単に組み合わせることができます。Workday ではさらに、E メールから SMS へのゲートウェイを介してエンド ユーザーにワンタイム パスワードを配信することが可能です。追加のメカニズムとして、ユーザー本人であるか証明するための確認用の質問にも対応しています。
ステップアップ認証
認証タイプとして SAML をお使いのお客様は、ログオフされず放置された場合や、同一の端末から複数のユーザーが Workday にアクセスする場合の不正アクセスを防止することができます。防止するには、Workday 内の重要なアイテムを指定するだけです。これにより、こうした重要なアイテムにアクセスする場合、ユーザーに第 2 の認証要素を義務付けることが可能になります。
業務のセキュリティ
物理的セキュリティ
Workday アプリケーションは、完全な冗長化を施したサブシステムとコンパートメント化されたセキュリティ ゾーンを備えた、ミッションクリティカルなシステムの保護を念頭に設計された最先端のデータ センターに置かれています。さらにデータ センターには、たとえば次のような極めて厳重な物理的対策が施されています。
- サーバー エリアへの立ち入りには、複数の認証が必要
- クリティカル エリアへの立ち入りには、2 種類の生体認証が必要
- 内部・外部の重要な出入口には監視カメラ システムを配置
- セキュリティ担当者による 24 時間 365 日体制の監視
データ センターへの出入りは、すべて厳重に制限され、厳しく規制されています。
ネットワークのセキュリティ
当社は、Workday 環境の総合的な品質とインテグリティを確保するための詳細な運用ポリシー、手順、プロセスを策定しています。さらに、境界防御システムやネットワーク侵入防止システム (IPS) といった積極的なセキュリティ保護対策も実施しています。
ネットワーク IPS は、お客様の環境内の重要なネットワーク セグメントをモニタリングして異常なネットワーク パターンを検出できるほか、階層やサービス間のトラフィックのモニタリングも可能です。また、セキュリティ オペレーション センターが 24 時間 365 日体制で全世界に対応しています。
アプリケーションのセキュリティ
Workday は、Workday アプリケーションのセキュリティを確実に維持するために、セキュアなソフトウェア開発ライフサイクル (SDLC: Software Development Life Cycle) を全社的に導入しています。
SDLC プログラムでは、Workday の各機能について詳細なセキュリティ リスク評価とレビューを行います。さらに、開発ライフサイクルにエンタープライズ レベルのセキュリティを組み込むためにソースコードの静的/動的解析も実施します。Workday では開発プロセスをさらに強化すべく、開発者を対象としたアプリケーション セキュリティ研修やアプリケーションのペネトレーション テストを実施しています。
脆弱性の評価
Workday は、内部/外部ネットワーク、システム、アプリケーションの脆弱性に関する独立評価を第三者の専門企業に依頼しています。
アプリケーション
Workday は、Web/モバイル アプリケーションのメジャー リリースの前に、アプリケーション レベルのセキュリティ脆弱性評価を第三者の大手セキュリティ企業に依頼しています。この脆弱性評価では、Web アプリケーションの一般的または複雑なセキュリティ脆弱性を洗い出すためのテストを実施します。これにより、以下の項目をはじめとするさまざまな脆弱性を検知しています。
- Flash、Flex、AJAX、ActionScript に関連したセキュリティの弱点
- クロスサイト リクエスト フォージェリ (CSRF)
- 不適切な入力処理 (クロスサイト スクリプティング、SQL インジェクション、XML インジェクション、クロスサイト フラッシングなど)
- XML/SOAP 攻撃
- 貧弱なセッション管理
- データ バリデーションの欠陥、データ モデル制約の矛盾
- 不十分な認証または認可
- HTTP レスポンス分割
- SSL/TLS の誤用
- 安全でない HTTP メソッドの使用
- 暗号化の誤用
ネットワーク
外部の脆弱性評価では、インターネットに接続しているアセット (ファイアウォール、ルーター、Web サーバーなど) を 1 つ残らずスキャンし、ネットワークへの不正アクセスを許しかねない潜在的な脆弱性を洗い出します。さらにネットワークとシステムについて、認証を受けた脆弱性診断を社内で実施することで、システムのセキュリティ ポリシー全般に関する潜在的な弱点や矛盾点を洗い出しています。
プライバシー
データ プライバシーに関する規制は複雑で、国によって異なり、厳しい要件が課せられます。企業が人財管理や財務などのアプリケーションを選ぶ際は、そのアプリケーションが自社のデータ保護義務を遵守できるか、自社データのプライバシーを守れるかを考慮しなければなりません。Workday なら、先進のプライバシー保護機能を利用できるだけでなく、プライバシーに関する義務を履行するための取り組みを実施できます。
さらに、御社に課されたプライバシーおよびコンプライアンスの要件を理解し検証するために必要な資料と情報もご利用いただけます。また、お客様のコンプライアンスの取り組みを推進するための Workday のサポートについての詳しい情報もございます。
厳格なプライバシー プログラム
Workday のプライバシー プログラムは、お客様のデータへのアクセス、利用、開示、移転について定めた厳格なポリシーおよび手順を土台にしています。契約上の合意またはお客様からの指示がない限り、Workday 社員がお客様のデータにアクセスしたり、それらのデータを利用、開示、または移転したりすることはありません。これは、当社のプライバシー プログラムの根幹をなすルールです。
データ保護に関わる問題や国際法は絶え間なく変更され、ますます複雑化しています。そうした中、Workday の企業文化に根付き、サービスに組み込まれたプライバシー プログラムが重要なものであることを Workday は考えています。これは、当社が設計時にプライバシーを考慮するというプライバシー バイ デザインの理念を掲げ、お客様のデータのプライバシーおよび保護を保証していることからご理解いただけると思います。
Workday では、プライバシー、倫理、コンプライアンスを管轄するチームを設け、チーフ プライバシー オフィサーの指揮の下でプライバシー プログラムの管理とその有効性の監視を行っています。このチームの責任範囲は以下のとおりです。
- Workday 社員または Workday の委託を受けたパートナーが扱う個人データのプライバシー保護を目的とした社内のプライバシー ポリシー、手順、ツールを作成、管理、更新する
- お客様に表明しているプライバシー ポリシー (第三者による監査を毎年実施) が遵守されているかどうか監視する
- お客様、パートナー、社員に対して表明しているプライバシーの取り組みが実施されていることを確認する
- Workday の認定および規制遵守義務を管理する
- Workday 社員に対してプライバシー プログラム研修を実施するとともに、世界各地のデータ プライバシー関連法が改正されていないか常に確認し、必要に応じて当社のプライバシー プログラムの更新および修正を行う
プライバシーとデータを保護するためには、1 日も警戒を緩めることはできません。Workday は、お客様と社員の個人データを保護することに真摯に取り組んでいます。Workday がプライバシーの基本理念をどのように実践しているかをこちら (英語)ご確認ください。
お客様の情報の管理体制および保護体制については、Workday のプライバシー ポリシーをご確認ください。
プライバシー バイ デザイン
Workday では、サービスの初期設計からリリースに至るまでの工程全体にプライバシー プログラムを組み込んでいます。このプライバシー プログラムはプライバシー バイ デザインの理念に基づくもので、製品の開発やサービスの運営を行う際の指針となっています。
データの透明性
Workday は、お客様のデータを保存および処理している地域の情報を公開しています。
グローバル プライバシー
グローバル データ プライバシー
Workday と当社のお客様においては、プライバシーに関する複雑な国際的な法令を遵守しなければなりません。Workday は、もとより国際的なプライバシー規制を遵守しています。包括的なグローバル データ保護プログラムは、お客様データへの不正なアクセス、利用、開示を防御するよう設計されており、技術面および管理面でのセーフガードとなるものです。Workday は今後も、グローバルのプライバシー標準への取り組みをお約束いたします。そのことは、プライバシー シールド (Privacy Shield)、拘束的企業準則 (BCR) の策定、アジア太平洋経済協力会議のプロセッサー向けプライバシー識別 (APEC PRP) などに対する熱心な取り組みからもお分かりいただけるはずです。そして、当社のアプリケーションは、設定の微調整ができるように設計されており、各国特有の法律に準拠できます。
EU のデータ プライバシー
2018 年 5 月 25 日の一般データ保護規則 (GDPR) の施行により、ヨーロッパのデータ プライバシーを取り巻く環境は大きく変化しました。GDPR により、欧州各国でばらばらだったデータ保護法が 1 つに統一されたのです。Workday では、GDPR に準拠したかたちでお客様の個人データを処理いたします。
Workday の厳格なプライバシーとセキュリティの施策がどのように GDPR を準拠するのかについて、以下いくつかをご紹介します。
- セキュリティおよびプライバシーの施策に関する定期的なロールベースの社員研修
- 十分に開発されたプロセスによるプライバシー影響評価の把握
- 欧州経済領域外に個人データを適法に移転するためのデータ移転メカニズムの提供 (Workday の BCR など)
- 処理実施の記録の保持
- お客様にて設定可能なプライバシーおよびコンプライアンス機能の提供
Workday のサービスは、プライバシー バイ デザインとプライバシー バイ デフォルトの理念に基づいて設計されています。今後も欧州監督当局によるガイドラインが更新されていないか常に確認し、コンプライアンス プログラムを常に最新のものに更新いたします。
当社がデータ処理者として GDPR を遵守することだけが重要なのではありません。Workday サービスを通してお客様の社内コンプライアンス要件を満たせるようにサポートすることも同様に重要であると認識しています。だからこそ Workday は、GDPR の義務を履行できるように支援するツールを提供しています。Workday が GDPR の義務の履行をどのように支援しているかをご確認ください。
データ移転メカニズム
Workday は、お客様に多種多様なデータ移転メカニズムを提供します。Workday の契約には欧州委員会の標準契約条項 (SCC) が含まれているため、個人データを欧州経済領域 (EEA) から米国に移転することが可能です。さらに Workday は追加の移転メカニズムとして、お客様にプロセッサー拘束的企業準則 (BCR) を提供します。Workday の BCR については、こちらでご確認いただけます。
その他のコンプライアンス コミットメント
米国商務省がプライバシー シールド認定手続きを開始した初日に、Workday はその登録を行いました。当社がプライバシーおよびお客様のデータ保護に対して積極的かつ継続的に取り組んでいる証が、ここにあります。プライバシー シールドは、データ移転の有効な枠組みではなくなりましたが、Workday は「プライバシー シールドの原則」に引き続き遵守しているとして、米国商務省から認証を受けています。プライバシー シールドへの準拠については企業による自己認証も可能ですが、Workday は TRUSTe を第三者検証機関として使用することで、Workday のコンプライアンスに対する高い意識を実証しています。プライバシー シールドに対する当社の TRUSTe 検証ステータスをご確認ください。
Workday は、EU クラウド行動規範 (CCoC: クラウド サービス プロバイダ (CSP) が GDPR への準拠を示すための要件) への準拠を宣言した初のクラウド サービス プロバイダになりました。年次評価は独立した監視機関によって行われます。Workday の CCoC の準拠について確認する。
Workday は、アジア太平洋経済協力会議の越境プライバシー ルール (APEC CBPR) およびプロセッサー向けプライバシー識別 (APEC PRP) の両方の認証を取得しています。APEC の認証は、それぞれデータ管理者とデータ処理者向けに策定された自発的なプライバシー基準であり、APEC 加盟国間のデータ移転を円滑にすることを目的としています。これらの認証は、アジア太平洋地域全体においてプライバシー保護を高い基準で遵守していることの証です。
Workday は 2014 年 3 月にいち早く APEC CBPR の認証を取得し、APEC PRP については 2018 年 9 月に認証企業の第 1 号となりました。Workday は、米国の APEC 認証機関 (アカウンタビリティ エージェント) である TRUSTe から第三者認証を受けています。
コンプライアンス
今日のテクノロジー リーダーは、ますます複雑になるセキュリティの脅威にさらされながらも、顧客データ、社員データ、知的財産の安全確保と保護に取り組まなければなりません。また、データのプライバシーおよび個人データの移転に関するものを含め、企業としてすべての適用法を遵守する責任があります。それは、データの保存と処理をサービス プロバイダに委託している場合も同様です。
Workday は、お客様のデータの安全性と完全性の確保、セキュリティ上の脅威からの保護、データ流出の防止、お客様のデータへの不正アクセスの防止を目的とした、正式かつ包括的なセキュリティ プログラムを整備しています。Workday のセキュリティ プログラムについては、第三者機関による監査報告書および国際認証に詳細が記載されています。
お客様の組織のコンプライアンス要件を満たせることを把握および確認していただくために、コンプライアンス部門および法務部門向けの情報として、当社のコンプライアンスに関する情報を以下に整理いたしました。
第三者による監査と認証
SOC 1
Service Organization Controls (SOC 1) レポートには、お客様の財務報告の内部統制に影響を及ぼす可能性のある、業務受託会社の統制環境に係る情報が記載されています。
SOC 2
Workday の SOC 2 Type II レポートは、第三者によって実施された当社の統制環境に係る独立評価です。
SOC 3
米国公認会計士協会 (AICPA) が策定した Service Organization Control (SOC 3) フレームワークは、クラウドで保存および処理される情報の機密保持とプライバシー保護を対象としたものです。
ISO 27001
ISO 27001 は、国際基準として認められたセキュリティに対する規格ベースのアプローチで、組織の情報セキュリティ マネジメント システム (ISMS) に必要な要件の概要を示すものです。
ISO 27017
2015 年に公開された ISO 27017 は、ISO 27001 の補完的な規格です。
ISO 27018
2014 年に公開された ISO 27018 は、ISO 27001 の補完的な規格です。
ISO 27701
2019 年に公開された ISO 27701 は、ISO 27001 の補完的な規格です。
PCI DSS
Workday は PCI DSS に準拠しています。対象範囲は、マスクされていないカード保有者データを規定のインテグレーションを通じて保存、処理、転送する隔離環境である Workday Secure Credit Card Environment です。
HIPAA
Workday は、Workday エンタープライズ クラウド アプリケーションについて「医療保険の相互運用性と説明責任に関する法律」(HIPAA) の第三者認証を受けています。この認証は、個々の医療情報および個人情報の保存、アクセス、共有に関して適切な対策を定めた HIPAA 準拠プログラムが、Workday で実施されていることを保証するものです。
NIST CSF と NIST 800-171
NIST サイバーセキュリティ フレームワーク (CSF) は、サイバーセキュリティ リスクの防止、検知、対応の能力を向上する方法について組織に指針を提供します。NIST 800-171 基準は、連邦政府外のシステムおよび組織に存在する、管理された非格付け情報の保護に関するものです。
G-Cloud
G-Cloud フレームワークは、英国政府とクラウド サービス プロバイダ間の協定です。
CSA STAR 自己評価
クラウド セキュリティ アライアンス (CSA) の Security, Trust & Assurance Registry (STAR) 自己評価は、セキュリティのリスクと統制に関する最新の情報を 1 つの業界標準質問票 (CSA STAR CAIQ) に統合したものです。
プライバシー シールド
Workday はプライバシー シールドに積極的に参加しています。Workday はプライバシー シールドに対する第三者検証機関として TRUSTe を利用しています。
EU クラウド行動規範
EU クラウド行動規範 (CCoC) は、クラウド サービス プロバイダ (CSP) が GDPR への準拠を示すための一連の要件です。
TRUSTe 企業プライバシーおよびデータ ガバナンス認証
Workday は TRUSTe 企業プライバシーおよびデータ ガバナンス プラクティス プログラムに参加しています。
SIG 質問票
Standardized Information Gathering (SIG) 質問票は、情報テクノロジーやデータ セキュリティのさまざまな統制領域にわたる質問事項を業界標準の質問票として 1 つにまとめたものです。
Cyber Essentials
Cyber Essentials はサイバー セキュリティの脅威から企業を保護するために英国政府が支援するスキームで、技術的な統制事項の基準が規定されています。