FirstLook Data Handling Policy

本 Data Handling Policy（以下「本ポリシー」といいます。）は、セキュリアスラボ合同会社が提供する FirstLook において、利用者がアップロード、入力、送信または連携するデータ、FirstLook が生成する発見事項、スコア、要約、レポートその他利用者に提示される成果物、操作ログその他関連データをどのように取り扱うかを説明するものです。

本ポリシーは、FirstLook 利用規約に定めるデータ取扱い、外部サービス利用、危険データ、AI利用、保持期間および削除に関する詳細を補足します。

1. 基本方針

• FirstLook は、インシデント調査、ログ分析、デジタルフォレンジック、IOC照合、レポート作成支援のために必要な範囲でデータを取り扱います。
• 利用者は、分析に必要な範囲を超える個人情報、認証情報、復号鍵、過度に広い顧客秘密情報その他高機密データをアップロードしないものとします。
• 当社は、アップロードデータを、汎用AIモデルその他第三者AIモデルの学習または改善目的で利用しません。
• 本ポリシー作成時点において、FirstLook の標準分析機能は、アップロードデータを生成AIまたはLLMに送信して分析させるものではありません。
• 外部サービスまたは外部APIを利用する場合、送信するデータ種別、送信目的、送信しないデータをできる限り明確にし、必要最小限の範囲に抑えます。
• FirstLook は、マルウェア、不審ファイル、攻撃コードその他危険データを、当社が対応形式、取扱方法または分析対象として明示した範囲でのみ受け付けます。

2. 取り扱うデータの分類

FirstLook では、主に以下のデータを取り扱います。

3. 利用者にお願いするデータ最小化

利用者は、FirstLook にデータをアップロードする前に、以下を確認するものとします。

• アップロードするデータについて、必要な権限、契約上の根拠、社内承認、顧客からの許可その他適法な取扱いの根拠があること。
• 分析目的に照らして不要な個人情報、認証情報、復号鍵、秘密鍵、APIキー、パスワード、トークン、過度に広い顧客秘密情報が含まれていないこと。
• 顧客データ、委託元データ、第三者データを扱う場合、利用者が当該データの持込み可否、説明責任および安全管理責任を負うこと。
• FirstLook の分析に不要なデータを、可能な範囲で除外または最小化すること。

本ポリシーは、利用者に一律のマスキング義務を課すものではありません。ただし、利用者は、分析目的に照らして不要な情報をアップロードしないよう努めるものとします。

4. 危険データおよびマルウェアの取扱い

FirstLook は、インシデント調査の性質上、不審ファイル、悪性スクリプト、攻撃コード、実行ファイル、マルウェア関連データその他危険性を有するデータを扱う可能性があります。

現時点では、FirstLook の主な対象はログ、証跡、メタデータ、アーカイブ、IOC、分析対象ファイルおよびそれらに関連する構造化データです。マルウェア本体、攻撃コード、危険スクリプト、実行ファイルその他危険データは、当社が対応形式、取扱方法または分析対象として明示した範囲でのみアップロードできます。

当社は、危険データを取り扱う場合、静的解析、隔離された処理、実行しない処理、サイズ制限、タイムアウト、権限分離その他の安全対策を検討または実施します。ただし、具体的な対応方式は機能、契約、環境および提供時点の仕様により異なります。

5. 外部サービスおよび外部API

FirstLook は、分析、IOC照合、脅威インテリジェンス照会、クラウドインフラ、運用監視、サポートその他本サービスの提供に必要な範囲で、外部サービスまたは外部APIを利用する場合があります。

外部サービスの種類および機能に応じて、ハッシュ値、IPアドレス、ドメイン、URL、IOC、検出属性、スコア、発見事項、要約その他利用者に提示される成果物の一部、ログ断片またはメタデータ、サービス運用に必要な技術ログを送信する可能性があります。

外部脅威インテリジェンス照会では、原則としてハッシュ値、IPアドレス、ドメイン、URL等のIOCを送信します。ファイル名、ファイルパス、ログ本文、ファイル本体は、当社が明示した機能または利用者の明示的な操作・承諾がある場合を除き、外部脅威インテリジェンスサービスへの照会目的では送信しません。

当社は、外部サービス利用において、目的に照らして不要なデータを送信しないよう努めます。特に、認証情報、パスワード、秘密鍵、復号鍵、APIキー、アクセストークン、分析目的に不要な個人情報、顧客秘密情報の全文、マルウェア本体や実行可能ファイルの内容全文、ログ、メール、ドキュメント等の本文全文は原則として送信しない方針です。

ただし、利用者が明示的に指定した調査、当社が明示した機能、個別契約、または外部サービス連携の仕様上必要な場合は、別途説明または承諾を得たうえで、上記と異なる取扱いをすることがあります。

外部サービス一覧

6. AI/LLMおよびモデル学習

本ポリシー作成時点において、FirstLook の標準分析機能は、アップロードデータを生成AIまたはLLMに送信して分析させるものではありません。

当社は、アップロードデータを、汎用AIモデルその他第三者AIモデルの学習または改善目的で利用しません。

将来、FirstLook の標準機能として AI、LLM、AI API、AIベースの要約、レポート生成、説明生成その他これらに類する機能を追加する場合、当社は、送信するデータ種別、送信先、利用目的、保持、学習利用の有無、オプトイン/オプトアウト、同意取得の要否を本ポリシーまたは別紙に定めます。

7. データの保存場所

FirstLook のデータ保存場所および管理責任は、提供形態により異なります。

当社がクラウドサービスとして FirstLook を提供する場合、FirstLook のデータは、当社が管理する Google Cloud Platform（GCP）上のデータベース、ストレージ、バックアップ、監視基盤その他のシステムで保存または処理されます。主な保存リージョンは日本国内を基本とします。

バックアップ、冗長化、障害復旧、監視、保守その他運用上必要な処理のため、データが同一国内または当社が管理するクラウド環境内で複製、一時保存または処理される場合があります。具体的なバックアップ方式、保持期間、削除反映時期その他の運用詳細は、運用設計の確定後、本ポリシー、個別契約または関連文書に定めます。

FirstLook を Docker コンテナその他の形式で、利用者のオンプレミス環境、利用者が契約するクラウド環境、または利用者が指定する環境で提供する場合、アップロードデータ、発見事項、スコア、要約、レポート、操作ログ、監査ログ、バックアップその他のデータは、原則として当該利用者環境内で保存または処理されます。

この場合、インフラ、ネットワーク、ストレージ、バックアップ、アクセス制御、監査ログ、削除、物理的安全管理、クラウド契約、外部接続制御その他利用者環境に関する管理は、個別契約に別段の定めがある場合を除き、利用者の責任で行うものとします。当社がサポート、保守、障害調査、アップデートその他の目的で利用者環境またはデータにアクセスする場合、その範囲、方法、期間および権限は、個別契約、サポート条件または利用者の承諾に従います。

クラウド提供版またはオンプレミス/顧客環境提供版において、外国にある第三者への提供、外国にある委託先での処理、または日本国外リージョンでの保存が必要となる場合、当社は、法令および個別契約に従い、必要な説明、契約上の措置その他適切な対応を行います。

8. データ保持期間

FirstLook のデータ保持期間は、提供形態、契約条件、利用プラン、機能、利用者設定および当社の運用設定により異なります。個別契約に別段の定めがある場合は、当該個別契約の定めが優先します。

分析開始前に利用者が離脱した場合など、分析に紐づかない孤児アップロードデータは、短期間で削除される場合があります。

オンプレミス/顧客環境提供版におけるアップロードデータ、発見事項、スコア、要約、レポート、ログ、監査ログ、バックアップその他の保持期間は、個別契約に別段の定めがある場合を除き、利用者環境の設定および利用者の運用に従います。当社がサポート、保守、障害調査その他の目的で取得した資料、ログ、設定情報その他のデータについては、当該目的に必要な期間保持し、不要となった後は削除または利用不能化します。

保持期間は、個別契約、法令、紛争対応、不正利用調査、セキュリティ対応、会計、契約管理、監査対応その他正当な理由により、必要な範囲で延長される場合があります。

9. 削除

利用者は、FirstLook の機能または当社が指定する方法により、アップロードデータ、分析で生成された詳細データ、発見事項、レポートその他のデータの削除を依頼または実行できる場合があります。

クラウド提供版では、当社は、利用者による削除操作、契約終了、個別契約、保持期間の経過、または当社の運用設定に従い、対象データを削除、アーカイブ、集約または利用不能化します。

アップロードデータ本体、抽出イベント、中間解析データ、分析対象メタデータその他の詳細データは、前条に定める保持方針に従い、分析完了後または一定期間経過後に削除、アーカイブ、集約または利用不能化される場合があります。

発見事項、スコア、要約、レポートその他利用者に提示される成果物は、契約期間中または利用者が削除するまで保持される場合があります。利用者がケース、レポートまたは関連データを削除した場合、当社は、当該削除対象に含まれるアップロードデータ本体、詳細データ、発見事項、レポートその他関連データを削除または利用不能化します。

削除操作または契約終了後であっても、操作ログ/監査ログ、外部API利用ログ、課金/クレジット利用履歴、契約記録、サポート履歴、バックアップ、セキュリティ対応記録その他法令、会計、監査、不正利用調査、紛争対応、契約管理またはセキュリティ確保のため必要なデータは、必要な範囲で保持される場合があります。

バックアップ、冗長化、障害復旧その他運用上必要な複製データについては、通常の削除処理の後、当社のバックアップローテーション、保持期間および復旧手順に従って削除または上書きされます。そのため、バックアップからの削除反映には時間差が生じる場合があります。

オンプレミス/顧客環境提供版におけるデータ削除、バックアップ削除、ログ削除、契約終了時のデータ消去その他の削除手順は、個別契約に別段の定めがある場合を除き、利用者環境の設定および利用者の運用に従います。当社がサポート、保守、障害調査その他の目的で取得したデータについては、当該目的に必要な期間経過後、削除または利用不能化します。

10. 品質改善および統計利用

当社は、FirstLook の提供、分析処理、レポート生成、サポート、セキュリティ確保、品質改善、製品改善、機能改善、運用改善、統計分析その他これらに付随する目的で、データを利用する場合があります。

個人、法人、組織、顧客または案件を特定できる形で、公開資料、営業資料、教材、事例その他第三者向け資料に利用する場合は、利用者から個別の承諾を得ます。

個人および組織を特定できない統計情報、傾向情報その他の情報は、製品改善、社内分析、説明資料、営業資料、投資家向け説明その他の目的で利用する場合があります。

11. セキュリティ対策

当社は、FirstLook の提供にあたり、合理的な安全管理措置を講じるよう努めます。対策の例は以下のとおりです。

• 認証および権限管理
• テナント分離
• アクセス制御
• 通信の暗号化
• 保存データの保護
• 操作ログ/監査ログ
• 不正利用および過負荷の監視
• 脆弱性対応
• バックアップ
• 危険データの安全な取扱い

当社は、将来的に ISMS、SOC 2 Type II その他の認証または監査対応を検討する場合があります。ただし、本ポリシーは、現時点で特定の認証取得、監査結果、サービスレベルまたは無事故を保証するものではありません。

12. 利用者の責任

利用者は、以下について責任を負います。

• アップロードデータを取り扱う権限、契約上の根拠、顧客説明、社内承認を確保すること。
• 分析に不要な個人情報、認証情報、秘密情報、危険データをアップロードしないこと。
• FirstLook の発見事項、スコア、要約、レポートその他利用者に提示される成果物を最終判断としてではなく、参考情報として確認し、必要に応じて専門家確認、補足調査、修正を行うこと。
• 顧客、監査人、保険会社、法執行機関、規制当局その他第三者へレポートを提出する場合、内容を確認し、提出先に対する説明責任を負うこと。
• MSSP、DFIRベンダー、コンサルタントその他第三者が代理利用する場合、顧客から必要な権限を取得し、本ポリシー、利用規約および個別契約を遵守させること。

13. 改訂

当社は、FirstLook の機能、外部サービス、法令、契約条件、セキュリティ対策その他の変更に応じて、本ポリシーを改訂することがあります。重要な変更については、FirstLook 上の通知、メール、HP掲載その他適切な方法により周知し、必要に応じて利用者の再同意を求めます。