情報セキ➦リティの継続. 15.1.1. プロバイダは、NLL に対して実行されるサービスについて、事業継続計画 (BCP) と災害復旧計画 (DRP) (「計画」と総称) の維持管理を行うことに同意するものとします。
15.1.2. 計画のテストを 1 年に 1 回以上実施する必要があります。NLL は、テスト結果のコピーの提出を要請する場合があります。プロバイダは、 NLL が指摘したすべての項目を修正することとします。
15.1.3. プロバイダの計画には、少なくとも以下の要件が含まれている必要があります。
15.1.3.1. 事業継続計画 (BCP)。プロバイダは、重要な事業について BCP を確保する必要があります。BCP には、重要な各事業の復旧を計画するために必要な情報が含まれている必要があります。復旧方法を実行するための要件を、BCP として文書化する必要があります。BCP には、関連するビジネス影響度分析で定義された、重要な事業の復旧タイムラインを達成するための方法を含める必要があります。BCP には、以下の情報を含める必要があります。 ▪ 概要: - 計画の概要 (具体的な復旧目標など) - 範囲 - 想定条件 - ビジネス影響度分析(BIA) ▪ 以下に示す各影響に対する詳しい復旧方法と復旧手順: - 施設の損失 - 重要な担当者の損失 - 核となる依存関係の損失 ▪ 通知、エスカレーション、計画をアクティブ化する手順 ▪ 連絡先リスト ▪ リソース復旧の要件
15.1.3.2. 災害復旧計画 (DRP)。DRP では、以下の要件が適用されます。ただし、以下の要件よりも厳格な要件が本合意に記載されている場合は、その要件が適用されます。 ▪ プロバイダは、NLL からの要請に応じて、NLL の Web サイトとデータをホストするためのサイト、ネットワーク、システム、アプリケーションに関するDRP を 30 日以内にNLL に提出することとします。 ▪ 提出する DRP には、4 時間以内の目標復旧時間 (RTO) と 1 時間以内の目標復旧時点 (RPO) を達成するための手順が記載されている必要があります。
15.1.3.3. インターネットサービスプロバイダ: プロバイダは、2 社以上のインターネットサービスプロバイダ (ISP) と契約して、自社の建物への通信経路を複数確保することにより、トラフィックが自動的に別のISP に転送されるようにする必要があります。
15.1.3.4. 火災: プロバイダの施設には、機器やシステムに影響を与えることなく、すみやかに消火できる自動消火システムが導入されている必要があります。
15.1.3.5. 帯域幅: プロバイダは、2 つの同じルーターと代替ファイアウォールサーバーを✲用することとします。バックアップ用のルーターとファイアウォールは、即時にオンライン状態に移行できるように設定されている必要があります。
15.1.3.6. 電源: プロバイダのサービス施設では、ヘビーデ➦ーティユーティリティフィード、大規模な無停電電源装置 (UPS) バッテリバックアップ、電源と UPS 間のサージ防護機器、バックアップジェネレーターなど、複数の電源を確保する必要があります。
15.1.3.7. サーバー障害: プロバイダのシステムでは、稼働時間と保守の要件を満たすために必要な合理的な冗長性を確保する必要があります。
15.1.4. プロバイダは、計画上で定義された災害が発生したと判断した場合、ただちに NLL に通知し、計画に従って担当する活動を開始することとします。プロバイダが、本条項で規定されている災害復旧サービスの実施義務に実質的に違反し、その結果として、NLL の事業運営に不可欠なサービスを所定の期間内に開始できなかった場合、NLL は、災害が継続している間は、本合意に基づく NLL の権利のほかに、第三者に当該サービスの実施を依頼する権利を有することとします。災害が停止したら、プロバイダは合理的な範囲で可能な限りすみやかに、災害の理由と、災害を解決するためにプロバイダが講じたすべての措置が詳しく記載されたインシデントレポートを NLL に提出することとします。 NortonLifeLock Inc. またはその関連会社 (「NLL」と総称) あるいはこれら両方は、プロバイダによる個人データの取扱いに関する合意に基づいて、プロバイダから特定の製品またはサービスを (あるいはこれら両方) を調達しました。 この場合、NLL は個人データに関して「管理者」という立場になり、プロバイダは「処理者」という立場になります。または、NLL が関連会社などのエンドカスタマーに対する「処理者」(最終的なデータ管理者) になり、プロバイダが、NLL の指示に従ってエンドカスタマーと直接やり取りをする「復処理者」になる場合もあります。 両当事者は、以下のとおり合意するものとします。
