NiCEセキュリティとデータプライバシー

データセキュリティ

NiCEは、TLSやAESなどの業界標準プロトコルを用いて、静止中および輸送中のすべての機密データに対して暗号化を強制します。 暗号鍵は安全に管理され、認可された職員に限定されます。 データの保持と破棄は文書化されたポリシーに従い、クライアントのデータライフサイクル設定(通話録音のための設定可能なデータライフサイクル管理期間を含む)はクライアントによって管理されます。 アーキテクチャは、レジリエンスと可用性をサポートするために、地理的に多様な可用性ゾーン間で冗長化されています。 ハードウェアおよびメディアの安全な廃棄は、NiCEの物理的セキュリティおよび資産管理方針に従い、消毒または破棄によって行われます。

ネットワークセキュリティ

NiCEは、デフォルト拒否ファイアウォール、侵入検知・防止技術、堅牢なネットワークセグメンテーションを含む層状ネットワークセキュリティアーキテクチャを採用しています。 TLS暗号化はすべてのウェブ通信セッションを保護し、暗号化されたVPNはリモート接続を安全にします。 ファイアウォールやルーターの設定は年次、必要に応じてより頻繁に見直し、ネットワーク図も定期的に更新されます。 継続的な監視により異常を検出し、不正アクセスを防ぎ、IPS/IDSおよびSIEM技術によってサポートされています。

アプリケーションセキュリティ

アプリケーションは、ピアコードレビュー、静的および動的スキャンを含む自動脆弱性スキャン、年次ペネトレーションテストを含む安全なソフトウェア開発ライフサイクル(SDLC)を用いて開発されます。 ブランチ保護はコード統合前にピアレビューを必要とし、導入前に自動テストで機能とセキュリティが検証されます。 本番環境はステージングやテスト環境と論理的に分離されており、すべての変更には変更諮問委員会(CAB)による正式な承認が必要です。 継続的な脆弱性スキャンと完全性監視は展開パイプラインに統合されています。

物理的セキュリティ

施設やデータセンターへのアクセスは、バッジコントロールを用いて認可された職員に限定され、監視システムを通じて監視されます。このシステムはNiCEおよびデータホスティングサービス提供者と共有責任があります。 物理的なセキュリティ管理には、安全な出入口、ビデオ監視を含む継続的な監視、施設アクセスリストの年次見直しが含まれます。 ハードウェアやメディアは、消毒または破棄によって安全に処分されます。 火災、洪水、その他のリスクに対する環境保護は、信頼できるサービスプロバイダーを通じてデータセンターで実施されています。

アイデンティティおよびアクセス管理

アクセス制御は、職務を完了するために役割ベースのアクセス制御(RBAC)および「知る必要性」と「最小権限」の原則に従っています。 内部ユーザーは固有の認証情報と強力なパスワードポリシーで認証し、複雑さ、回転、非アクティブタイムアウトを強制します。 NiCEでは内部ユーザーアクセスに多要素認証(MFA)が必要であり、プラットフォームは顧客がMFAを有効にする機能を提供しています。 アクセスプロビジョニングは管理者の承認を必要とし、変更管理プロセスに従います。 四半期ごとのアクセスレビューや自動スクリプトにより、非アクティブなアカウントが無効化され、権限を持つ職員のみがアクセス権を保持できるようにしています。

データ管理

データプライバシー

NiCEのプライバシーポリシーは、グローバルな事業における個人データの取り扱いを規定し、NiCEが処理するすべての個人データに適用されます。 このポリシーは適用される国際データ保護法に準拠するよう設計されています。 この方針は、規制遵守を確保するためのプライバシーガバナンスの基準、役割、責任を定義しています。

データの保持と破棄

NiCEは、クライアントがプラットフォームのデータライフサイクル管理設定を通じてデータ保持期間を設定できるようにします。 契約終了またはクライアントが定めた保持期間の満了時に、コンテンツは安全に削除されます。 AWSでホストされている顧客データについては、NiCEおよびAWSは不正なデータ漏洩を防ぐための廃止措置プロセスを踏みます。 AWSはメディアサニタイズのためにDoD 5220.22-MおよびNIST SP 800-88に準拠した手法を使用しています。 廃止された磁気記憶装置は、業界標準の手順に従って消磁および物理的に破壊されます。

事業継続

NiCEは、運用の混乱を減らし、重要な業務機能を保護する包括的な事業継続管理フレームワークを確立しています。 このフレームワークには、インシデント後に情報資産を復元し、運用を再開するための手順が含まれています。 複数の破壊的シナリオに直面しながらも、企業への継続性を維持します。 また、NiCEは事業継続計画(BCP)も維持しています。 BCPは施設、重要な業務機能、人事、IT、コミュニケーションの手順を定めており、効果性のために毎年見直し・テストされます。 SaaSプラットフォームとして、NiCEはサービスの可用性を守るためのオプションの マルチリージョン展開モデル を提供しています。

ホワイトペーパーを読んでみてください

リスク管理

NiCEは組織リスクを体系的に特定、分析、対処することを目的とした構造化されたリスク管理プログラムを維持しています。 リスクは正式なスコアリング手法を用いて評価され、影響と可能性による明確な分類が確保されています。 監督は専任のリスク管理委員会によって行われ、定期的にリスク状況をレビューしています。 委員会は定期的に会合を開き、新たなリスクを監視し、緩和策の有効性を評価し、一貫性があり透明かつ積極的なリスクガバナンスを確保しています。

チェンジマネジメント

インフラ、アプリケーション、構成のすべての変更は、リスク評価、テスト、変更諮問委員会による承認を含む正式な変更管理プロセスを経ます。 職務の分離が厳格化され、自動化された脆弱性スキャンが展開ワークフローに統合されています。 本番環境は、ステージングやテスト環境とは論理的に分離されています。

脅威検出と脆弱性管理

脅威検知

サイバーセキュリティオペレーションセンター(CSOC)は、SIEMおよびファイル整合性監視ツールを用いてシステムを監視するため、24時間体制で運用されています。 四半期ごとの脆弱性スキャンと年次の第三者ペネトレーションテストが実施され、修復は完了まで追跡されます。 インシデント対応手順は定義され、テーブルトップ演習を通じて毎年テストが行われて文書化されます。 不審な活動に対する警報は調査と解決のためにエスカレーションされ、迅速な封じ込めと回復が図られます。

脆弱性管理

NiCEは、システム全体で脆弱性を特定し、評価し、優先順位をつけ、是正するための包括的な脆弱性評価および管理プログラムを維持しています。 脆弱性はベンダーアドバイザリー、業界情報、研究者報告、内部レビュー、または継続的なエンドポイントおよびネットワークスキャンを通じて検出されることがあります。 特定された脆弱性には深刻度評価が割り当てられ、定められた期間内に是正されます。 定期的な脆弱性評価とペネトレーションテストは、独立した第三者ツールと社内プロセスを用いて実施されます。 NiCEは、インフラやエンドポイント全体でリアルタイムのアンチウイルスおよびアンチマルウェアソリューションを採用し、自動定義更新を行っています。

ペネトレーションテスト

NiCEは、内部および外部システムおよびウェブアプリケーションを対象とした年次ペネトレーションテストを、手動および自動化の両方の手法を用いて実施しています。 試験は業界標準に従い、資格を持つ独立した第三者専門家によって実施されます。 すべての発見は記録され、リスク評価され、修復によって追跡されます。 特定された脆弱性は、深刻度に基づく合理的な期間内に修復されます。

インシデント対応

NiCEは包括的な情報セキュリティインシデント対応計画(ISIRP)を維持しており、情報セキュリティインシデントの準備、復旧、学習を担当する専任のサイバーインシデント対応チーム(CIRT)が支援しています。 ISIRPは少なくとも年に一度見直され、シミュレーションとテストによって検証されます。 NiCEが処理中に顧客データ(個人情報を含む)への不正な開示やアクセスを伴う確認されたセキュリティ侵害(「セキュリティインシデント」)が発生した場合、NiCEは契約条件に従い影響を受けるクライアントに通知します。 必要に応じて、NiCEは事故確認日、性質と影響、封じ込め行動、修復手順、次のステップなどの詳細を提供します。

セキュリティ監査

NiCEは四半期ごとの内部監査、継続的なモニタリング、外部監査を通じて強力な監査および説明責任管理を実施しています。 これらの活動には、セキュリティおよびコンプライアンス手順の見直し、標準作業手順の維持、監査の役割と責任の定義が含まれます。 NiCEはクラウドサービスに対し、業界標準に準拠したセキュリティ、機密性、可用性を評価する独立した第三者監査を受けています。 さらに、NiCEは最新の監査報告書の概要を顧客に提供し、これは機密情報として扱われます。 継続的な内部監督と正式な監査を通じて、NiCEは強力な説明責任とセキュリティ保証を維持しています。