お客様からの信頼

ISO 27001

ISO 27001は、情報セキュリティマネジメントシステム（ISMS）の要件を定め、ベストプラクティスについて概説し、情報リスクへの対処に役立つセキュリティコントロールを詳述する、国際的に認められた情報セキュリティ規格です。

27001規格では具体的な情報セキュリティコントロールを義務付けていませんが、Rubrikは同規格で定められたフレームワークに基づいて、情報セキュリティコントロールの総合的なモデルを構築しています。

ISO 27017 

ISO 27017は、クラウドサービスの顧客およびクラウドサービスプロバイダー向けに、ISO 27002規格に基づく情報セキュリティコントロールの実施を支援するガイドラインを定めています。

ISO 27018 

ISO 27018は、ISO 27001に基づくクラウドコンピューティング情報セキュリティ管理システムの実装にあたって個人識別情報（PII）保護コントロールを選択するための規範として、またISO 27002規格に基づくパブリッククラウドPIIプロセッサーの企業が一般に認められたPII保護コントロールを実施するためのガイドラインとして機能します。

ISO 42001

Rubrikは、責任ある人工知能マネジメントシステム（AIMS）を構築したことで認証を受けた、世界でも数少ない企業の1つです。これは、当社製品におけるAI技術の倫理的かつ安全なガバナンスに対する当社の取り組みを改めて示すものです。

SOC 1 Type II

Rubrikでは、お客様の財務報告に関する内部統制に関連する統制の設計および運用上の有効性を評価するため、年次監査を受けています。これらの報告書は、当社のサービス運営における財務の健全性について透明性を確保するものです。

SOC 2 Type II

SOC 2は、サービス組織におけるセキュリティ、可用性、処理の完全性、機密性、プライバシーに関連する管理対策についてレポートします。Rubrikは、セキュリティ、機密性、可用性の各基準でSOC 2 Type II認定を取得しています。

Rubrik Security Cloud SaaSプラットフォームおよびクラスターソフトウェアサポートサービスは、セキュリティ、機密性、可用性の基準に関して、毎年SOC 2準拠の審査を受けています。Rubrikは第三者機関による監査を定期的に受けており、これらの基準へのコンプライアンスを継続的に確保しています。

HIPAA

医療保険の携行性と責任に関する法律（HIPAA、1996年）は、機密性の高い患者の医療情報が患者の同意なく、または知らない間に開示されないよう保護するための国家基準の作成を義務付けた連邦法です。HIPAAの要件を実施するためのHIPAAプライバシー規則が、米国保健福祉省（HHS）により発行されています。HIPAAセキュリティ規則では、プライバシー規則の対象となる情報の一部が保護されます。

Rubrik Security Cloud SaaSプラットフォームおよびCluster Software Support Servicesでは、独立した第三者機関によるHIPAAに関する監査レビューが年1回以上実施されています。 

HITRUST

Rubrikは、HITRUST CSFに準拠し、統一されたフレームワークを通じてデータ保護と情報リスクを管理します。Rubrikは、ISO、NIST、HIPAAの要件を統合することで、規制の厳しい業界の顧客に対し、高いレベルの保証を提供します。

CSA STARレベル1および2

Rubrikは、レベル1の自己評価とレベル2の独立した第三者機関による監査の両方を実施することで、高いセキュリティ成熟度を実証しています。この二つのアプローチにより、クラウドセキュリティアライアンスを通じて、当社のクラウドセキュリティ体制に関する最大限の透明性が確保されます。

IRAP（情報セキュリティ登録評価者プログラム）

Rubrikは、「情報セキュリティ登録評価者プログラム」を活用し、当社のシステムがオーストラリア政府のセキュリティポリシーに準拠しているかどうかを、独立した第三者機関による評価を通じて確認しています。これにより、オーストラリアの公共機関は、プラットフォームの信頼性を確信してRubrikを活用することができます。

BSI C5

C5は、クラウドサービスのベースラインセキュリティレベルを設定する基準カタログです。標準化された試験とレポートに基づき、情報セキュリティを透明かつ具体的に示すことを目的としています。

Rubrik Security Cloud SaaSプラットフォームおよびCluster Software Support Servicesでは、独立した第三者機関によるBSI C5に関する監査レビューが年1回実施されています。

TISAX L2

Rubrikは、自動車サプライチェーンにおける当社の情報セキュリティ成熟度について、標準化され、世界的に認められた検証を提供するため、TISAX L2認証を維持しています。この評価・情報交換の仕組みにより、当社の高いセキュリティ基準が参加者によって円滑に認識されることが保証され、監査にかかる負担を軽減すると同時に、顧客やサプライヤーの機密データを保護するという当社の取り組みを確固たるものとしています。

SEC 17a-4 | FINRA

Rubrikは、金融サービス業界における厳格な不変ストレージ要件を満たすデータ保持および記録管理機能を提供します。これにより、規制対象となる事業体が、電子記録の保存および検索可能性に関する法的義務を確実に履行できるようになります。

FedRAMP（Moderate：中程度）

連邦リスク承認管理プログラム（Federal Risk and Authorization Management Program）は、クラウド製品およびサービスに対するセキュリティ評価、認証、継続的な監視のための標準化されたアプローチを提供する、米国連邦政府全体のコンプライアンスプログラムです。Rubrik Security Cloud-Government (RSC-G) は、FedRAMP Moderate認証を取得しました。 

GovRAMP（Moderate：中程度）

GovRAMPは、教育や政策の策定を通じてサイバーセキュリティのベストプラクティスを推進し、公的機関およびそのサービスを受ける市民のサイバーセキュリティ態勢の向上を図っています。GovRAMPのガバナンス委員会が、プロバイダー向けのセキュリティ要件を標準化するポリシーと手順を採択します。その後、GovRAMPのプログラム管理オフィスは、独立系機関による監査と継続的な監視を通じて、政府の利用するクラウド製品・サービスがその採択済みのセキュリティ要件を満たしているかどうかを検証します。GovRAMP認証を取得予定および取得済みの製品は、GovRAMP 認定製品リストに記載されます。Rubrik Security Cloud - Government（RSC-G）は、「中程度」レベルの認可を取得しました。参加する自治体が増えつつあります。

TX-RAMP（レベル2）（Rubrik Security Cloud - Government）

Texas Risk and Authorization Management Program（TX-RAMP）は、テキサス州の機関にデータを送信するクラウド製品・サービスで採用されているセキュリティ対策について、レビューを実施するプログラムです。Rubrikなどのクラウドサービスプロバイダーが、クラウドコンピューティングサービスに対するTX-RAMP認証を取得・維持するには、セキュリティ基準に適合していることを実証する必要があります。Rubrik Security Cloud – Government（RSC-G）は、レベル2の認証を取得しました。

CJIS認証（Rubrik Security Cloud - Government）

米国連邦政府の刑事司法情報サービス（CJIS）セキュリティポリシーでは、参加する刑事司法機関（CJA）および非刑事司法機関（NJCA）がFBI CJISシステムにアクセスするための最小限のセキュリティ要件と、CJIを保護するための情報要件を規定しています。Rubrik Security Cloud - Government（RSC-G）が、該当する連邦および州の法律、規制、基準に適合したサイバーセキュリティプログラムを維持していることは、Rubrikの第三者認証によって確認されています。CJISポリシーへの完全なコンプライアンスの確保を希望する州は、州のCJIS機関とRubrikとの間で、情報契約およびCJISセキュリティに関する補遺を締結する必要があります。

HIPAA

Rubrikは、医療保険の携行性と責任に関する法律（HIPAA）に基づき、対象事業体の顧客に対するビジネスアソシエイトです。HIPAAは、個人の保護対象となる健康情報のプライバシーとセキュリティを確保することに重点を置いています。Rubrik Security Cloud - Government（RSC-G）は、HIPAAのプライバシー規則、セキュリティ規則、および情報漏洩通知規則を網羅する、HIPAA要件への準拠に関する第三者による適合証明書を取得しています。 

FERPA認証 

米連邦政府の家族教育権とプライバシー法（FERPA）では、機密性の高い学生データ（教育情報やPIIなど）の取り扱いに際して米国の教育機関が遵守すべき要件を規定しています。この要件には、サイバーセキュリティ、管理上のプライバシー対策、両親や生徒への権利の開示などが含まれます。

RubrikがRubrik Security Cloud - Government（RSC-G）の内部で教育記録を取り扱う限り、当社のクラウドサービスは34 CFR 99.33(a)に定められた制約と要件を遵守します。

サイバーセキュリティ成熟度モデル認証（CMMC）

米国国防総省（DoD）のサイバーセキュリティ成熟度モデル認証（CMMC）は、ソフトウェアがNIST 800-171規格（「非連邦システムおよび組織における管理対象非機密情報の保護」）に準拠していることを認定するものです。Rubrik Security Cloud - Governmentは、CMMC L2に関する第三者による認証を取得しています。  Rubrik Security Cloud - Private / CDMには、CMMC L2コントロールセットに対するコントロール分析の概要が含まれています。

DoDIN APL

国防総省情報ネットワーク（DoDIN）の承認製品リスト（APL）には、Rubrik Security Cloud - Private（RSC-P）やCloud Data Management（CDM）を含め、米国国防総省（DOD）による購入が承認された製品の統合リストが掲載されています。

コモンクライテリア 

コモンクライテリアは、ITセキュリティ製品のセキュリティ機能と能力を評価するためのフレームワークを定義する、国際的に認知された一連のガイドラインです。Rubrik Security Cloud – Private（RSC-P）および Cloud Data Management（CDM）は、EAL2+を維持しています。

FIPS 140

FIPS 140は政府のコンピューターセキュリティ規格であり、政府機関および規制された業界で使用される暗号モジュールを承認する際の基準となります。Rubrik Security Cloud - Private（RSC-P）、Cloud Data Management（CDM）、およびRubrik Security Cloud - Governmentは、FIPS 140-2およびFIPS 140-3の認証を受けた暗号技術を採用しています。

大統領令14028号

米国のサイバーセキュリティの向上に関する大統領令第14028号は、連邦政府のサイバーセキュリティを強化することを目的としています。この大統領令に基づき、Rubrikは、政府向けに販売するソフトウェアの開発および当該ソフトウェアに関連するサプライチェーンのセキュリティに関して、一定の基準となるセキュリティ基準を遵守しています。当社は、大統領令14028号の要件を満たすRubrik製品に関する認証情報を、政府の「ソフトウェア認証および成果物リポジトリ」ウェブサイト内に掲載しています。 

データプライバシーフレームワーク
 

Rubrikは、EUと米国、スイスと米国、英国と米国の間のデータ転送に関して、データプライバシーフレームワーク（DPF）認定を取得しています。DPF認定の取得により、データプライバシーとデータ保護において最高の水準を維持するというRubrikの姿勢を示すことができます。DPF認定は、Rubrikによるデータ取り扱い慣行がDPFの厳しい要件を完全に満たしており、お客様の情報が責任ある方法で安全に管理されることの証となります。Rubrikとのパートナーシップにより、国際的に認められたプライバシー基準に対するRubrikのコンプライアンスに信頼を置き、国境を越えて転送されるデータを保護するにあたって安心感と競争優位性を得られます。

Global CBPR
 

Rubrikは越境プライバシールール（CBPR）認証を受けています。この認証は、Rubrikがデータ管理者として個人情報を取り扱う際に、国際的に認められたデータ保護およびプライバシー基準を満たしていることを証明するものです。この認証は、当社が世界的に認められたプライバシー保護の卓越性に関する枠組みを遵守していることを、お客様に信頼していただくためのものです。

Global PRP

Rubrikは、Global Privacy Recognition for Processors (PRP) プログラムの認証を取得しています。 

この認証は、個人情報処理事業者としてのRubrikの活動が、国際的に認められたデータ保護およびプライバシー基準を満たしていることを証明するものです。この認証は、Rubrikが世界中の顧客や規制当局のプライバシー要件に一貫して準拠していることを保証することで、世界的な信頼を醸成し、国境を越えたシームレスなデータ転送を促進します。

APEC PRP
 

Rubrikは、APEC Privacy Recognition for Processors（PRP）認証を取得しています。この認証を得たことは、お客様のデータを最高のプライバシー基準で取り扱うというRubrikのコミットメントの証となります。国際的に認められたこの認証は、Rubrikのデータ処理プラクティスがAPECの厳しい要件を満たしていることを保証するものであり、お客様の情報のセキュリティと完全性に対する信頼をもたらします。Rubrikとのパートナーシップにより、APEC域内で国境を越えた安全なデータフローを促進するRubrikの能力をご活用いただけ、データ保護に対するRubrikの広く認められたコミットメントを通じて競争力を確保できます。

APEC CBPR
 

Rubrikは、APEC越境プライバシールール認証（CBPR）を取得し、個人データのグローバルなライフサイクル全体にわたる保護への取り組みをさらに強化しました。この認証は、Rubrikのプライバシーポリシーおよび実務が包括的なAPECプライバシーフレームワークに準拠していることを証明するものであり、参加経済圏全体のデータ主体に対して強固な保護レベルを保証するものです。当社のCBPR認証を活用することで、国際的なデータ転送を効率化し、各地域のプライバシー法への準拠を簡素化することができ、規制がますます厳しくなるグローバル市場において、信頼と業務効率の向上を図ることができます。

プライバシーポリシー
 

Rubrikは個人情報保護の専任スタッフが規制要件を監視する、プライバシープログラムを継続しています。Rubrikのプライバシーポリシーの詳細については、こちらのページ（https://www.rubrik.com/ja/legal/privacy-policy）をご覧ください。

GDPR準拠
 

一般データ保護規則（GDPR）は、EU内外で事業を展開する企業がEUに居住する者の個人データとプライバシーを確実に保護するよう、個人データに対する個人のコントロールを拡大する目的で定められたヨーロッパの規則です。GDPRへのコンプライアンスは、Rubrikにとって最優先事項です。Rubrikは、お客様のデータを確実に保護するために全力を尽くしています。

CCPAコンプライアンス
 

カリフォルニア州消費者プライバシー法（CCPA）は、企業によるカリフォルニア州住民の個人データの使用や保存などの取り扱い方法を規定する法律です。RubrikはCCPAの遵守を確約しています。

Rubrikのエンタープライズセキュリティプログラムは、最高情報セキュリティ責任者（CISO）が主導し、経営陣の支援を受けています。これは、セキュリティ対策をビジネス目標、業界フレームワーク、継続的改善の原則に整合させ、強固なセキュリティ体制を維持する情報セキュリティ管理システム（ISMS）を中心に構築されています。

• ガバナンスと監視

ガバナンスにより、セキュリティポリシーや手順が効果的に実施され、定期的に見直されることが保証され、経営陣がすべてのセキュリティ施策に対して戦略的な指針を示し、監視を行います。

• リスク管理

Rubrikは、ビジネスと顧客データを保護するために、人材、プロセス、テクノロジーの各分野にわたる潜在的なリスクを特定、評価、軽減する、体系的なリスク管理アプローチを採用しています。

Rubrikは、安全な職場環境を維持するため、従業員が適切に審査・研修を受け、十分なサポートを受けられるようにしています。人事におけるセキュリティ対策には、採用時の厳格な審査、継続的なセキュリティ研修、および説明責任と意識向上を図るためのポリシーや行動規範の徹底などが含まれます。

• セキュリティトレーニングと意識向上

全従業員は、入社時および毎年、セキュリティおよびプライバシーに関する研修を受講し、役割に応じた学習やシミュレーション演習を通じて知識を定着させ、セキュリティ意識の高い職場環境を維持しています。

• 人事審査

採用にあたっては、従業員の誠実性と機密情報の取り扱いにおける適性を確認するため、綿密な身元調査と審査が行われます。

• 行動規範

全従業員は、倫理的な行動、説明責任、および情報と企業資産の保護に関する期待事項を定めたRubrikの行動規範を認識し、これを遵守します。

システムおよびデータへのアクセスは、ロールベースのアクセス管理と最小権限の原則によって制御され、アクセス権限が責任範囲に見合ったものであることを確認するために定期的な見直しが行われます。

• アクセス制御

アクセスは許可された担当者のみに限定され、不正アクセスや不適切なアクセスのリスクを軽減するために職務分担が徹底されています。

• 認証

ユーザーアカウントは、多要素認証と一元化されたアイデンティティ管理によって保護されており、特権アカウントについては監視体制が強化されています。

• アクセスの監視

定期的なアクセス権限の見直しを実施し、ユーザーの権限が現在の職務内容や責任と一致していることを確認します。

Rubrikは、継続的な監視、脆弱性管理、および予防的な脅威検知を通じて、システム、アプリケーション、およびデータを保護するため、多層的なセキュリティアプローチを採用しています。

• 脆弱性管理

システムおよびアプリケーションについては、脆弱性を継続的に評価し、潜在的なリスクを最小限に抑えるため、優先順位付けと是正措置が実施されています。

• 監視と検知

セキュリティ運用チームは、自動化されたシステムとエキスパートにより、24時間体制で環境を監視することで、脅威を迅速に検知し、対応します。

• エンドポイントおよびネットワークの保護

エンドポイントとネットワークは、暗号化、マルウェア対策、ネットワークのセグメンテーション、侵入検知など、多層的なセキュリティ対策によって保護されています。

Rubrikの施設では、アクセス制御、映像による監視、侵入検知、および訓練を受けた要員による警備により、不正な物理的アクセスを防止し、重要なシステムを保護しています。

Rubrikは、ベンダーのセキュリティ体制を評価・監視し、その取り組みが組織の基準に準拠し、顧客データの保護に寄与していることを確認しています。

Rubrikは、文書化されたビジネス継続計画と体系的なインシデント対応プログラムを通じて運用上のレジリエンスを維持し、セキュリティイベントの迅速な検知、封じ込め、解決、およびそこからの洞察を提供します。