F5のコンプライアンス

従業員および契約社員を含むすべての新規採用者は、採用時およびその後毎年、セキュリティ意識向上トレーニングを受講する必要があります。また、役割と責任に応じて、追加の定期トレーニング（四半期ごと、年次など）も受講する必要があります。追加トレーニングには、セキュア開発ライフサイクル、グローバルデータプライバシー、データ分類、脆弱性管理、エンタープライズ脅威管理、暗号化と認証情報の安全性などに関するトレーニングがあります。


適用対象：全社

F5ブランド製品では、NIST 800-53やNIST 800-218などの業界標準に準拠したセキュアソフトウェア開発プラクティスを採用しています。F5のセキュアソフトウェア開発ライフサイクルには、脅威モデリング、設計レビュー、コードレビュー、脆弱性スキャン、セキュリティテスト、重要なコンポーネントに対する定期的なペネトレーションテストなど、複数の主要な要素が含まれます（これらに限定されません）。


適用対象：Enterprise

はい。F5の全従業員は、関連する法令、規制、および契約上の合意に従い、採用前審査および身元調査の対象となります。審査には、事業上の要件、職務および責任の機密性、ならびに窃盗、詐欺、または施設の不正利用のリスクを示唆し得る不利な経歴情報に伴う潜在的なリスクに応じた基準が含まれます。最高財務責任者など、より高いリスクを伴う、または注目度の高い役職については、その人物が当該役職に適任であることを確認するため、信用調査などの追加調査が必要でした。契約社員については、F5は契約を締結している人材派遣会社に身元調査の実施を委ねています。


適用対象：Enterprise

F5は、データ損失防止（DLP）ソリューションおよびプログラムを導入しています。DLPの稼働状況は継続的に監視されており、データ損失が疑われる場合に対応するためのプロセスも整備されています。DLPには、機密情報または個人情報をWebメール、ブログ、個人向けストレージサイトなどの外部サイトへ許可なく転送することを禁止するルールが設定されています。DLPルールは定期的に見直されています。また、組織内のすべてのメールがDLPによってスキャンされます。


適用対象：全社

情報セキュリティポリシーはすべて年1回見直されます。また、各ポリシーを補完する基準、手順、運用慣行についても、年1回見直されます。F5の事業活動を支えるポリシーはほかにも多数ありますが、以下には特にご要望の多いものを掲載しています。

• モバイルデバイスポリシー
• サイバーインシデント対応計画
• エンタープライズ利用規定
• エンタープライズクラウドセキュリティポリシー
• エンタープライズ暗号化管理ポリシー
• エンタープライズ地理的位置ポリシー
• エンタープライズIDおよびアクセス管理ポリシー
• エンタープライズ情報セキュリティポリシー
• エンタープライズ非定常データアクセスポリシー
• エンタープライズ向けパッチ適用および脆弱性管理ポリシー
• エンタープライズリモートワークセキュリティポリシー
• 全社制裁ポリシー
• エンタープライズセキュアソフトウェア開発ポリシー
• エンタープライズデータ保持ポリシー
• エンタープライズ情報分類ポリシー
• エンタープライズネットワークポリシー
• F5災害復旧プログラムポリシー

適用対象：Enterprise

F5では、年1回テストを実施するインシデント対応計画に基づき、インシデント管理プログラムを運用しています。インシデント管理に関する責任分担については、F5との契約をご確認ください。

適用対象：Enterprise

F5は、ポリシーおよび手順書に基づく脆弱性・パッチ管理プログラムを運用しています。開発部門とは独立したサイバーセキュリティチームが、新規開発時または製品に重大な変更が加えられた際に、セキュリティ評価を定期的に実施します。潜在的なセキュリティ脆弱性を特定するため、本番ネットワーク、それを支える本番インフラストラクチャ、およびサービスの脆弱性評価を少なくとも四半期ごとに実施しています。F5は、さまざまなツールやサービスを使用して、社内外のネットワーク、コードベースまたはリポジトリ、アプリケーション、その他の依存関係を定期的にスキャンし、脆弱性を検出しています。検出された脆弱性は、定義済みのSLAに従い、該当する担当者がトリアージと修正を行います。SLAはポリシーおよび関連文書で定義されており、業界のガイドラインやベストプラクティス、重要度や深刻度、F5の環境要因など、複数の要因に基づいて設定されます。また、業界で利用可能なその他の情報源やベンダーのリリース情報も活用し、F5に影響を及ぼす可能性のある新たな脆弱性を特定したうえで、適切なトリアージと修正を行います。

適用対象：Enterprise

F5では、内部システムおよびリソースへの不正な接続（リモートアクセスを含む）を防止するため、複数の対策を講じています。本番環境および本番システムにリモートでアクセスするには、従業員はまず、指定したユーザーパスワードと定期的に更新されるソフトトークンを使用した多要素認証が必要なF5のEnterprise IAMソリューションで認証を受ける必要があります。その後、ユーザーパスワードと定期的に更新されるソフトトークンを使用した多要素認証が必要なF5のエンタープライズVPNソリューションを介して接続する必要があります。認証後、ユーザーにはロールベースのアクセス権限が設定され、システムおよびリソースへの各種アクセスを許可するデバイス証明書がインストールされます。スプリットトンネリングは許可されていません。F5では、RBAC、最小権限の原則、知る必要性の原則、およびユーザーライフサイクル管理に基づいてアクセスを制御しています。

適用対象：Enterprise

多層ネットワークアーキテクチャを採用し、本番環境、DMZ、非本番環境を物理的および論理的に分離しています。社内ネットワーク図およびネットワークセキュリティポリシーの全文は機密情報に該当するため、社外には共有できません。

適用対象：Enterprise

F5の事業継続計画は、全社的な事業影響度分析（BIA）に基づいています。BIAでは、中断が発生した場合、その開始から48時間以内に事業運営全体、評判、収益性のいずれか、または複数に重大な影響を及ぼす可能性がある重要な事業領域とプロセスを特定します。BIAと事業継続計画では、継続的な運営に必要な重要リソースに加え、施設および拠点、主要担当者、ITアプリケーション、サードパーティのサービスプロバイダーが失われた場合や利用できない場合に備えるための戦略を考慮しています。

適用対象：エンタープライズ

データとは、当社が使用または処理するトランザクションストリーム、ファイル、データストア、テーブル、および出力を指します。顧客データは、関連するデータ保護規制およびその他の規制、ならびにF5と顧客またはベンダーとの間で締結された契約において正式に定められた個別要件に従って、管理、処理、保存されます。

当社は、機密情報またはセンシティブ情報をパブリックネットワーク経由で送信するための安全な方法とプロトコルを導入しています。センシティブな顧客データを格納するデータストアでは、暗号化が有効になっています。

F5のサービスで保存または処理されるすべての顧客データは、機密情報として扱われます。F5のデータ分類および取り扱いに関する要件は、以下のとおりです。

• 重要（機密）
• 制限付き
• 社内限定
• 公開

適用対象：Enterprise

モニタリングは、統制が意図したとおりに機能しているか、またはプロセスへの適合性や有効性を高めるために再設計すべきかを判断し、その有効性を把握するうえで不可欠です。経営者および監督者は、通常業務の一環として、内部統制の品質と有効性をモニタリングする責任を負います。F5の製品チームのメンバーは、セキュリティおよびリスクに関するグループに定期的に参加し、新たなテクノロジーの影響をモニタリングしています。

適用対象：Enterprise

セキュリティオペレーションセンター（SOC）は、24時間365日体制で専門的なサポートを提供します。SOCはエンタープライズサービスをプロアクティブに監視し、攻撃の発生時に対応できるよう、インスタンスを能動的に管理します。

SOCは各地域の通常の営業時間に十分な人員を配置し、フォロー・ザ・サン方式で運用しています。SOCは、シアトル（米国）、ハイデラバード（インド）、ワルシャワ（ポーランド）、グアダラハラ（メキシコ）を拠点としてグローバルに運用されています。

SOCの拠点情報は、以下でご確認いただけます：https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

適用対象：F5 Distributed Cloud Managed Services

F5は、Enterprise Information Security Policy（EISP）と、その他の包括的なサイバーセキュリティポリシーおよび標準に基づく、堅牢なサイバーセキュリティプログラムを整備しています。これらのポリシーの目的の1つは、お客さまのデータを不正アクセス、損失、破損から保護するため、F5が適切なセキュリティ管理策を講じることです。このポリシーは、F5 Information Security Management System（ISMS）を構成する重要な要素です。また、NIST 800-53を含む業界標準およびフレームワーク、ならびに適用される法令に準拠しています。F5は毎年外部監査を受け、セキュリティ管理策の設計、実装、運用上の有効性について評価を受けています。

適用対象：Enterprise

F5では、ベンダー管理プログラムを確立しています。このプロセスの一環として、第三者サービスプロバイダーがF5およびそのデータにもたらすリスクに基づいて評価します。F5のサイバーセキュリティチームは、F5のデータまたはシステムにアクセスするすべてのベンダーを対象に、オンボーディング時およびその後毎年、リスク評価を実施します。また、ベンダー、パートナー、顧客、請負業者、コンサルタント、仲介業者などの第三者のセキュリティ態勢を評価するデューデリジェンスとして、第三者セキュリティ評価（TPSA）も実施します。その目的は、第三者のセキュリティ対策がF5の最低限のセキュリティ基準を満たしていることを確認することです。すべてのベンダーは、F5および顧客のデータを適切に保護することに同意する必要があります。第三者ベンダーとの契約には、F5の事業上の要件および機密保持要件に準拠するための条項が含まれます。コンプライアンスチームは、オンボーディング時およびその後毎年、ベンダーのセキュリティコンプライアンス報告書と認証を確認し、ベンダーの管理策がF5のポリシーおよび基準に準拠していることを確認します。

適用対象：Enterprise

設定済みのRTOおよびRPOは、F5のSaaSサービス（Distrubuted Cloud、AI Guardrails、AI Red Team、NGINX One、Bot Defense）にのみ適用される点にご注意ください。

• 目標復旧時間（RTO）：24時間
• 目標復旧時点（RPO）：6時間

適用対象：F5 Distributed Cloud Managed Services

F5にはAI/MLモデルガバナンスチームがあり、社内で使用されるモデルや製品に組み込まれるモデルのあらゆる用途を審査しています。すべてのモデルに対してモデル影響評価を実施しています。F5は、ISO/IEC 42001:2023「情報技術－人工知能－マネジメントシステム」に準拠した全社人工知能（AI）ポリシーを策定しており、少なくとも年1回、見直しと更新を行っています。

適用対象：エンタープライズ

該当する製品固有のプライバシーステートメントをご確認ください：https://www.f5.com/company/policies/privacy-notice

適用対象：Enterprise

コンプライアンスの確保からサービスガイドまで、従業員、ベンダー、パートナー向けの各種参考資料をご用意しています。製品、サポートサービス、プライバシー、契約に関する規定文書については、F5のポリシーとドキュメント（https://www.f5.com/company/policies）をご覧ください。

適用対象：Enterprise

はい。最高プライバシー責任者は、法務責任者に報告し、当社のプライバシーコンプライアンスプログラムの実施を監督しています。データ保護責任者は、データ保護に精通した社外弁護士であり、データ主体の権利を擁護する立場として当社が起用しています。取締役会に報告するとともに、最高プライバシー責任者と協議しながら業務を遂行しています。

適用対象：Enterprise