🔐
セキュリティガイドライン
MetaLifeのご利用にあたり、セキュリティチェックシートの記入が必要な場合、まずは以下の内容をご参照ください。以下の内容だけではご不明な点がある場合、運営による記入もご対応可能です。ご希望の場合はお問い合わせください。
概要
MetaLifeではすべてのお客様に安心してお使いいただくために、さまざまな観点から情報管理を徹底したサービス運営を実施しています。日本国内の大企業様にも安心してご利用いただけるセキュリティ水準で運営しています。
MetaLifeは「電気通信事業」に該当し、総務省に対し電気通信事業者として届出をしています(届出番号: A-04-19768)。電気通信事業法では「通信の秘密は、侵してはならない」（第四条）と定められており、MetaLifeはこれを遵守しています。MetaLifeでは厳格な社内ルールを設けて通信内容を保護しています。
MetaLife上での利用データ（スペースやユーザーの設定情報チャットデータ、ファイルデータ等）は Google Cloud Platform の日本国内のデータセンターに保存されます。このデータセンターは日本政府が定めるセキュリティ評価制度（ISMAP）の水準を満たし、日本の国内法が適用され、安全かつ厳格に運用されています。利用データは保存前に自動的かつ透過的に暗号化され、安全に保管されています。
また、会話内容（音声・ビデオ・画面共有の情報）がサーバーに保存されることは一切ありません。データの中身によらず、全ての通信経路は暗号化されており、盗聴・改ざんされることはありません。
MetaLifeはバーチャルオフィスツールの業界水準のセキュリティを実現し、日々点検と改善を行っています。
ISO27001（ISMS認証）を取得しています
MetaLifeを運営する株式会社ベンドでは、2023年2月20日より、ISO27001（ISMS）の認証を取得しています（認証登録番号：BEXQ01-CRER03 / 有効期限2029年2月19日）。
ISO27001はISMSの国際規格の一つであり、情報の機密性・完全性・可用性の3つの重要な状態をバランスよく維持し、情報を組織的かつ技術的に安全に取り扱うことが要求されています。
外部の認証機関であるNSF-ISR によってMetaLifeのセキュリティの運用状況が適切に評価され、ISO27001に適合していることを認定されています。
利用実績
複数の日本国内の大企業、中小企業、地方自治体、教育機関等での幅広いご利用実績がございます。
通信の保護に関して
MetaLifeでは、ユーザーの通信を守るために以下のような取り組みを行っております。
- SSL/TLS (TLS1.3) によってデータを暗号化
- 音声や映像通信の暗号化
- 第三者機関によるセキュリティ診断の実施
- 安全なデータベース設計
その他の取り組みに関して
他にも、以下のような取り組みを行っております。
- パスワードの暗号化
- 定期的なバックアップ
- ログイン試行回数の制限
- ドメイン制限とIP制限
- 荒らし対策
- 2段階認証
- チャット機能をOFFにする機能
- ファイルアップロード機能をOFFにする機能
MetaLifeのセキュリティに関する取り組みは公式サイトでも公開していますので、併せてご覧ください。
セキュリティチェックシート
企業・団体の情報システム部門をはじめとするセキュリティ監査をご担当されているお客様向けに、セキュリティチェックシートを公開しています。
お客様がご要望されるセキュリティ基準を満たしているかどうかのご判断にお役立てください。
基本情報と運用ルール
| 項目 | 内容 |
|---|---|
| サービス名称 | MetaLife |
| サービスURL | https://metalife.co.jp/ |
| ログイン画面URL | https://app.metalife.co.jp/signin |
| 会社概要 | https://metalife.co.jp/company/ |
| 利用規約 | https://metalife.co.jp/terms-of-service/ |
| プライバシーポリシー | https://metalife.co.jp/privacy-policy/ |
| 情報セキュリティ基本方針 | https://metalife.co.jp/security-policy/ |
| サーバーの所在地 | Google Cloud Platform（東京リージョン） ※そのため、サーバールーム本体に関連する保守運用や監視等はGoogle社による基準に従います。 |
| 社内体制 | 運営会社の株式会社ベンドは、学研ホールディングス(東証プライム 9470)の100%子会社です。 |
| 社内教育 | 全従業員（アルバイト含む）に対して個人情報の取り扱いに関する研修を実施し、セキュリティ意識向上に取り組んでいます。 |
| 取り扱う個人情報 | 1. 顧客のメールアドレス 2. 顧客のログインパスワード 3. 顧客の支払い情報 4. チャットやファイルのデータ中に含まれる各種個人情報 |
| 個人情報の取り扱い | チャット等で投稿された全てのメッセージやファイルの管理は、個人情報の有無に関係なく、著作権者・データの所有者であるご利用者様に帰属し、当社には帰属致しません。また、目的外利用等は致しません。 利用規約第15条(https://metalife.co.jp/terms-of-service/)に掲げております統計利用は、MetaLife上で作成されたスペース数や、1スペースあたりの平均アクティブユーザー数等の指標を想定しており、投稿内容等について統計利用することはありませんので、安心してご利用いただけますと幸いです。 |
| 個人情報の第三者提供 | プライバシーポリシー第6条(https://metalife.co.jp/privacy-policy/)にて記載しています。 |
| 決済情報の取り扱い | 決済代行サービス最大手のStripe社によって安全に保管しており、当社では保管しておりません。 |
| 秘密保持 | 利用規約第14条(https://metalife.co.jp/terms-of-service/)にて記載しています。全従業員は秘密保持に関する宣誓書に同意しています。必要に応じて秘密保持契約を締結することも可能です。 |
| 利用端末 | PC / タブレット / モバイル |
| 利用形態 | 利用形態はWebブラウザのみです。追加でソフトウェア等のインストールを必要としません。 |
| 開発環境 | 開発チームではテストデータで開発を進めており、本番データを使用しないルールを徹底しています。 |
可用性
| 項目 | 内容 |
|---|---|
| サービス時間 | 24時間365日です。 ただし、計画・緊急を問わず、メンテナンスを実施することがあります。 |
| 計画停止予定通知 | サービス画面上で1週間以上前に通知を行います。 |
| サービス提供終了時の事前通知 | サービス提供終了時刻の3ヶ月以上前に、ホームページ・サービス画面・SNS等への掲載、メール通知等により通知します。現時点で予定はありません。 |
| 突然のサービス提供停止に対する対処 | ホームページ・サービス画面・SNS等への掲載、メール通知等により通知します。 |
| サービス稼働率（SLA） | 有料プランではSLAをご用意しています。 毎月99.9%以上の稼働率で利用可能にする商業上合理的な最大限の努力を行います。明確なセキュリティ事故はこれまで発生していません。https://support.metalife.co.jp/cbdd872aec454c4995695583918b3e08 |
| システム等の変更に伴う通知 | MetaLifeのサービス、およびMetaLifeが利用するクラウド等を含めた外部のサービスにおいて、MetaLifeのユーザーに影響が発生し得るシステム変更や要件の変更があった場合、ホームページ・サービス画面・SNS等への掲載、メール通知等により可及的速やかに通知します。 |
| ディザスタリカバリ | インシデント発生時の対応フローが具体的に定まって明文化されています。この対応フローはISO27001の審査時に第三者によって審査されています。火災、洪水、地震、爆発、暴力行為およびその他の自然災害または人的災害による被害からの物理的な対策は、Google Cloud Platformに準じます。 |
| 重大障害時の代替手段 | 例えばMetaLifeが使用しているGoogleCloudPlatformが何らかの理由で突然に完全に停止してしまった場合、データに対する認証やセキュリティを通常時と同水準に保った安定的な提供が困難です。サーバーにはマルチAZによる冗長性があり、自動でスケールするようになっています（マルチリージョンには対応していません）。より早期の復旧を目指しますが、これらの理由により代替という提供を想定しておりません。 |
| 代替措置で提供するデータ形式 | バックアップを定期取得しており、冗長性があるシステム構成をとっております。インシデントが発生した場合、24時間以内のデータへ復元を行うことができます。これらのバックアップは可用性の為であり、ユーザーが任意に取得可能なバックアップ機能はございません。 |
| アップグレード方針 | アプリケーションは開発状況に応じて随時リリースされ、サービス画面上あるいはSNS上に抜粋して掲載しています。開発チームが脆弱性情報・パッチプログラムのリリース情報を毎日収集し、本番環境に適用しています。 |
| バックアップからの復旧 | 復旧手順を明文化されており、定期的に復旧手順を訓練しています。 |
信頼性
| 項目 | 内容 |
|---|---|
| 平均復旧時間 | 30分以内(サービスダウンの原因がMetaLifeの外部環境に依存する場合を除く) |
| 目標復旧時間 | サービスダウンの検知から30分以内での復旧を目標としていますが、サービスダウンの原因がMetaLifeの外部環境（利用クラウド等）に依存する場合には数時間〜1日を要する場合がございます。 |
| 障害発生件数 | 1回 |
| システム監視基準 | システム障害（アクセス負荷や遅延）をリアルタイムでモニタリングしており、特定の閾値を超えないかどうかを測定しています。閾値を超えた場合に「障害の恐れ」とみなされ、管理者へ即時通知されます。 |
| サービス提供状況の報告 | ホームページ・サービス画面・SNSなど、適切な位置に掲載します。 |
| 障害通知プロセス | 障害が発生次第、即座にシステム管理者へ通知されます。その後、システム管理者が大規模な障害発生であると判断した際には、ユーザーの皆様にメールにて順次ご連絡させていただきます。SNSに掲載する場合もございます。 |
| 障害通知時間 | 可及的速やかに通知するように努力いたしますが、ユーザーへの連絡の時間に定めは設けておりません。ユーザーへの通知は障害の内容によっては障害の収束が優先されることがあります。 |
| 障害監視間隔 | 毎2〜5分以内の間隔で集計しています。 |
| サービス提供状況を報告する方法／時間間隔 | ステータスページ(https://metalife.statuspage.io/)を公開しています。 |
| ログの取得 | スペースの設定に関わる操作は操作ログが記録されます(有料版のみ)。 操作ログの機能の詳細は以下のページをご参照ください。 https://support.metalife.co.jp/c4601714e44b48518a5078a7fd1e83fa クラウドサーバーではアクセスログ・認証ログ・監査ログを取得しています。いずれのログも日本国内のサーバーに保管され、改竄・攻撃・持ち出しから安全に保護されています。 アクセスログ・認証ログは3年間、監査ログは400日間保管しています。サービスの保守運用を目的としており、通常は公開はしていません。ただし、有料版をご利用のお客様に限り、インシデントが明確に発生したと判断される場合に対象の範囲で取得し提供する等のご協力を積極的にいたします。 |
性能
| 項目 | 内容 |
|---|---|
| 応答時間 | 平均1秒未満です。 |
| 遅延 | データセンタ内の応答時間が3秒以上となる遅延の継続時間は1時間以内を目標としております。ただしバッチ処理を含みません。 |
| バッチ処理時間 | ユーザーにはバッチ処理の機能を提供していません。運営が必要に応じて10分以上要するバッチ処理を実施することはありますが、この応答時間がユーザーに影響することはありません。 |
拡張性
| 項目 | 内容 |
|---|---|
| カスタマイズ性 | スペースに看板を設置したりデコを設置したりでき、自由度が高い空間のカスタマイズが可能です。また別途で有償とはなりますが、お客様のご要望に応じてマップのデザインを0から作れるオリジナルマップ制作も承っております。 |
| 外部接続性 | Webhookを経由した外部ツールとの連携が可能です。https://support.metalife.co.jp/44363d6b05554ca2b0090e52eafb491e |
| 同時接続利用者数 | 利用プランに依存します。1スペースあたりの最大同時接続数は、無料では25名、有料では最大300名です。お問い合わせにより、300名以上の利用にも対応が可能です。 |
| 提供リソースの上限 | 特筆事項はございませんが、多人数での利用時には通信過多にならないようにするための利用上の注意事項がございますので事前にご相談ください。 |
サポート
| 項目 | 内容 |
|---|---|
| サービス提供時間帯（障害対応） | 平日9:00~17:00 （年末年始や夏季休暇などの特別期間を除きます。重大な障害発生の場合、営業時間外に連絡をさせていただくことがございます。） |
| サービス提供時間帯（一般問合せ） | 平日9:00~17:00 （年末年始や夏季休暇などの特別期間を除きます。重大な障害発生の場合、営業時間外に連絡をさせていただくことがございます。） |
データ管理
| 項目 | 内容 |
|---|---|
| バックアップの方法 | 日次でデータベース全体のバックアップを自動で取得しています。 |
| バックアップデータを取得するタイミング(RPO) | 具体的な時刻は公開しておりませんが、24時間以内のデータを保証致します。 |
| バックアップデータの保存期間 | 1ヶ月 |
| データ消去の要件 | 「退会」した場合、アップロードされたファイル等はすべて削除します。「退会」を明確に弊社が認識できない場合、原則的にデータは保持し続けます。弊社まで直接削除のご要望をいただいた場合に、MetaLifeに存在するお客様の電子データ（チャットやファイルも含む）を復元不可の形になるように直ちに破棄します。ご希望の場合、データ消去証明書を発行いたします。 |
| バックアップ世代数 | 3世代 |
| データ保護のための暗号化要件 | データは保存前に自動的かつ透過的にAESで暗号化され、安全に保管されています。 |
| マルチテナントストレージにおけるキー管理要件 | 顧客別に一つのキーが割り当てられており、全てのデータはアカウントあるいはスペース単位で論理的に十分に分離されています。 |
| データ漏えい・破壊時の補償／保険 | 利用規約の第13条(https://metalife.co.jp/terms-of-service/)にて定めています。損害賠償保険には加入していません。 |
| 解約時のデータポータビリティ | 全ての個人情報は電子データとしてのみ保管してあり、これらの電子データを復元不可の形になるように破棄します。破棄をした日時と内容、責任者を記録し、責任者間でダブルチェックを実施します。 |
| 預託データの整合性検証作業 | 必要に応じてデータ不整合を防止・修正するための対策を実施しています。 |
| 入力データ形式の制限機能 | 必要に応じて入力データの形式を制限しています。 |
セキュリティ
| 項目 | 内容 |
|---|---|
| 公的認証取得の要件 | ISO27001（認証登録番号：BEXQ01-CRER03） ※現時点ではISO27001以外の認証取得は行なっておりません。 |
| アプリケーションに関する第三者評価 | 年に1回以上、第三者機関（株式会社セキュアイノベーション）による診断を実施しており、重大な脆弱性はないとの良好な診断結果を受けております。必要に応じて診断結果の部分的な提供が可能です。 |
| 情報取扱い環境 | 社内で適切な管理者を定め、本番サーバーへのアクセス権を有する特権アカウントの権限を最小限に絞って運用しています。 |
| 通信の暗号化レベル | 通信は常にSSL/TLS (TLS1.3) によって暗号化されており、情報の改竄や漏洩を防いでいます。音声・ビデオ通信はブラウザ標準のセキュリティに準拠しており、会話内容や画面はサーバーに保存されません。内容が運営や意図しない意図しない第三者に閲覧されることはありません。 |
| 会計監査報告書における情報セキュリティ関連事項の確認 | 無し |
| マルチテナント下でのセキュリティ対策 | マルチテナント型のサービスですが、全てのデータはアカウントあるいはスペース単位で論理的に十分に分離されています。 |
| 情報取扱者の制限 | 社内で適切な管理者を定めています。 |
| セキュリティインシデント発生時のトレーサビリティ | サーバーやデータベースに関連する閲覧等の履歴を記録する監査ログは400日間保管され、改竄・攻撃・持ち出しから安全に保護されています。運営会社での内部的な不正行為を防止することが主な目的で、定期的に監査ログの妥当性を点検しています。 |
| ウイルススキャン | 日次 |
| 二次記憶媒体の安全性対策 | USBの使用を禁止しています。 |
| データの外部保存方針 | データ保存地の各種法制度の下におけるデータ取扱い及び利用に関する制約条件を把握しています。 |
| カスタムドメインでのご利用 | 対応しておりません。 |
セキュリティ強化機能
以下の複数のセキュリティ機能を組み合わせて強化することができます。
| 項目 | 内容 |
|---|---|
| Firewall, WAF, IPS/IDS | サーバーは Firewall + WAF + IDSによって多層防御されています。マルウェアやDDoS攻撃、外部からの不正アクセスなどに対策が施されています。 |
| IP制限 | アクセス可能なIPアドレスを指定してアクセス制限をかけることができます。https://support.metalife.co.jp/fb7f7e0a35ec4ebfa573bdbdb52f9710 |
| ドメイン制限 | メールアドレスのドメイン単位でのアクセス制限をかけることができます。https://support.metalife.co.jp/e5c5f68ec2eb457e8abb7ce6b6088605 |
| ワンタイムパスワード | ワンタイムパスワードによってスペース入室前にメールアドレスの所有を確実に確認できます。https://support.metalife.co.jp/7d3be452bdca4968a39e46e1d8ea3d9e |
| チャット・ファイル機能をOFF | データは保存前に自動的かつ透過的に暗号化され、安全に保管されています。内容が運営や意図しない意図しない第三者に閲覧されることはありません。また必要に応じてチャット機能やファイルアップロード機能をOFFにすることができます。https://support.metalife.co.jp/88c640ca2b194825b1fcee91873751ef https://support.metalife.co.jp/143806f081cc44b2976c923ab706f0e6 |
| スペースの入室管理 | 特定のアカウントがスペースに入室できないように追放(BAN)できます。https://support.metalife.co.jp/1c3e9786354f4cf98cc36bf6520f7226 |
| フロアの入室管理 | ユーザーが入室できるフロアをリストを作成して詳細に設定できます。https://support.metalife.co.jp/ab92367d9915449ba284e2833c5499c6 |
| 操作ログ | スペースの設定に関わる操作は操作ログが記録されます。 https://support.metalife.co.jp/c4601714e44b48518a5078a7fd1e83fa |
認証
| 項目 | 内容 |
|---|---|
| 認証方法 | 1. Googleアカウント認証 2. メールアドレスとパスワードによる認証(ワンタイムパスワードによるメールアドレスの所有確認が必須) 3. SSO(シングルサインオン) |
| パスワードの暗号化 | SCRYPTという暗号アルゴリズムによって暗号化され、日本国内のサーバーで安全に保管されています。 スワード保護の観点からはSCRYPTはブルートフォース攻撃への耐性があるためソルト付きのSHA256よりも安全とされており、十分な強度があります。 |
| パスワードの強度 | 半角英字の小文字・大文字・数字をそれぞれ1つ以上含めて8文字以上でのみ設定が可能です。 ※パスワードポリシーのカスタマイズはできません。 |
| パスワードの伏字対応 | 入力時に伏字で表示します（デフォルト）。送信した値を後から画面に表示することはありません。 |
| パスワードの期限と更新 | NISTが公開する電子的認証に関するガイドラインに従い、パスワードの定期変更を要求しません。 |
| 二要素認証 | アカウントの認証＋スペース入室時のスペースパスワード認証が可能です。 |
| 特権アカウントの提供 | 特権アカウントをご提供することはありません。各ユーザーが自分でアカウント登録をします。 |
音声通話
| 項目 | 内容 |
|---|---|
| 映像と音声の暗号化 | ブラウザ標準のセキュリティに準拠しており、会話の音声や映像はサーバーに保存されません。内容が運営や意図しない意図しない第三者に閲覧されることはありません。 |
| 権限ごとの設定 | マイク・カメラ・画面共有・メガホンは、それぞれスペース内のユーザーの権限ごとに使用可否を設定できます。管理者のみがカメラを使用できる、全員が画面共有をできない、などの柔軟な設定が可能です。 |
料金プラン
| 項目 | 内容 |
|---|---|
| ご利用金額 | プランごとに異なります。ホームページをご参照ください。 https://metalife.co.jp/price/ |
| 初期費用 | 初期費用はいただいておりません。 |
| 課金方式 | ワークスペースの場合はサブスクリプション（月払い/年払い）です。 イベントスペースの場合は一回限りの購入です。 |
| お支払い方法 | クレジットカードおよび請求書払いにのみ対応しています。 |
対応済み: MetaLifeでは脆弱性への対策が完了していることを表します。
対応不要: MetaLifeでは対象の脆弱性は発生し得ない、あるいは実施項目が保険的対策に過ぎず、他の対策によって対策が為されているため不要であることを表します。
SQLインジェクション
| チェック | 実施項目 |
|---|---|
| 対応不要 | SQL文の組み立ては全てプレースホルダで実装する。 |
| 対応不要 | SQL文の構成を文字列連結により行う場合は、アプリケーションの変数をSQL文のリテラルとして正しく構成する。 |
| 対応不要 | ウェブアプリケーションに渡されるパラメータにSQL文を直接指定しない。 |
| 対応済み | エラーメッセージをそのままブラウザに表示しない。 |
| 対応済み | データベースアカウントに適切な権限を与える。 |