[よくある質問]ecforceのセキュリティ対策と個人情報・クレジットカード情報の取り扱い

他社の情報漏えいに関する報道などを受け、ecforceのセキュリティ対策や、個人情報・クレジットカード情報の取り扱いについてお問い合わせを多くいただいています。
本ページでは、よくいただくご質問に回答します。

顧客情報のマスク化・削除

退会時に「マスク化」すると、個人情報はどうなりますか？

「退会時データマスク化設定」で対象となる氏名・住所・電話番号・メールアドレス等を、「*****」やダミーのメールアドレスなどの別の値に置き換えます。画面上で見えなくするだけではなく、システムに保存されている情報自体を書き換える処理です。
ただし、顧客のデータを丸ごと削除するわけではないため、作成日時など、マスク化の対象に含まれない情報は残ります。なお、マスク化はecforce上のデータが対象です。外部の連携サービスへ送信済みの情報や、ショップ様がダウンロードしたCSV等は対象外のため、必要に応じてショップ様にてご対応ください。

受注や定期受注に登録されている個人情報もマスク化されますか？

マスク化される範囲は、選択した設定によって異なります。
受注・定期受注も含める設定と、含めない設定があります。ご希望の対象範囲に合わせて設定をご確認ください。
個別の対象項目は、既存FAQ「顧客削除（退会）時のデータマスク化」をご参照ください。
顧客削除（退会）時のデータマスク化

マスク化した個人情報は、ecforce側では確認・復元できますか？

いいえ。マスク化によって置き換えられた情報は、ショップ様・弊社のいずれでも、元の内容を確認・復元することはできません。

マスク化後に残っているデータも自動で削除されますか？

マスク化後に残るデータを、一定期間後に自動で物理削除する仕組みはございません。

購入履歴の有無や、法律上の保存義務に応じて、保存期間や削除方法は変わりますか？

ecforce側で購入履歴や法令上の保存義務を判定し、保存期間や削除方法を自動で変更する仕組みはございません。
どの情報をどの期間保存する必要があるかは、適用される法令や運用を踏まえ、ショップ様にてご判断いただく必要がございます。

マスク化ではなく、データベースからデータを完全に削除することはできますか？

ecforceでは、データベースからの物理削除は原則として承っておりません。
受注データ等のレコード自体は削除せず、氏名・住所・電話番号・メールアドレス等の個人を識別できる項目を、復元できない形でマスク化する方式を採用しております。
物理削除ではなくマスク化としている理由は、受注データが決済・配送・請求等の記録と相互に紐づいており、レコードを物理削除するとシステム上の整合性に影響が生じるほか、個人情報を含まない取引記録（請求・会計上必要な記録等）まで失われてしまうためです。

マスク化を有効にすると、すでに退会した顧客の情報も処理されますか？

有効に設定した時点ですでに退会済みの顧客情報は、翌日0時にマスク化されます。
すでにマスク化した情報は、設定を無効に戻しても元に戻りません。必要な保存情報と対象範囲を確認したうえで設定してください。

クレジットカード情報の取り扱い

クレジットカード番号は、ecforce側で保管されていますか？

ecforceでは、クレジットカード番号の全桁やセキュリティコードは保管しておりません。
割賦販売法で求められている「クレジットカード情報の非保持化（カード情報を自社のシステムで保存・処理・通過させないこと）」に対応しております。
ご登録のカードを確認できるよう、番号の下4桁・有効期限・カード名義のみを表示用の情報として保持しています。管理画面に下4桁が表示されていても、カード番号全体を保管しているわけではありません。

カード番号の全桁を保持していなければ、漏えいの心配はありませんか？

カード番号の全桁を保持していないことだけで、情報漏えいの心配がなくなるわけではありません。
ecforce上には、氏名・住所・メールアドレスなどカード番号以外の個人情報も保存されています。また、管理者アカウントの不正利用やサイトの改ざんなどにより、お客様の入力情報が盗まれるといったリスクもございます。
ecforceでは、各種セキュリティ対策に取り組んでおります。ショップ様にも、管理画面の利用者・権限の見直しや、不審なメール・SMSへの注意をお願いいたします。

ecforceのセキュリティ対策

他社の情報漏えいが報道されていますが、ecforceではどのような対策をしていますか？

ecforceでは、データの暗号化、通信の暗号化、外部専門機関による定期的な脆弱性診断、提供環境へのログイン管理などの対策を行っております。
公開可能な取り組みについては、セキュリティページをご参照ください。

ecforceのセキュリティ対策

具体的な監視方法や遮断ルールを教えてもらえますか？

ecforceでは、WAF（Web Application Firewall）による外部からの攻撃の防御、DDoS攻撃への対策、システムの死活・性能・ログ・エラーの監視、不審なIPアドレスからのアクセス制限やログイン試行回数の制限などの不正ログイン対策を行っております。
一方で、検知条件や閾値、遮断ルール、遮断しているIPアドレスや国・地域などの詳細は、悪用されるおそれがあるため開示しておりません。
何卒ご理解賜りますようお願い申し上げます。
公開可能な取り組みについては、セキュリティページをご参照ください。

ecforceのセキュリティ対策

ショップ側でできるセキュリティ対策

ショップ側で設定できるセキュリティ対策はありますか？

ecforceを安全にご利用いただくため、ショップ様にて以下の対応をお願いいたします。
・管理画面ユーザーの定期的な見直し（不要なアカウントの削除、権限を必要な範囲に絞る）
・パスワードの使い回しをしない、ID・パスワードや認証コードを他人に伝えない
・不審なメール・SMSに注意する（メール等のリンクからログインせず、ブックマーク等から管理画面を開く）
・タグ管理に登録している外部タグの定期的な見直し（利用を終了したサービスのタグや、提供元が分からないタグは削除する）
※利用を終了したサービスのタグを残したままにすると、そのタグが参照するドメインを第三者が取得し、意図しない外部サイトへの転送などが起きるおそれがあります。
購入時の不正利用対策（3Dセキュア、セキュリティコードの入力必須化、reCAPTCHA、ブラックリスト設定など）については、以下FAQをご覧ください。

ecforceで行える不正利用対策
プログラムによる大量の不正顧客/カード登録、クレジットマスターへの対策

不審な事象・個別調査のご相談

特定のIPアドレスからのアクセス有無の調査や、ログの点検・IPアドレスの遮断を依頼できますか？

具体的な事象がない段階での予防的な調査や点検、遮断のご依頼は、個別には承っておりません。
ecforceでは、WAFによる防御やアクセス監視など、全環境を対象に一律でセキュリティ対策を行っております。
また、セキュリティに関わる設定内容や、個別の調査・遮断状況は開示しておりません。
対策の内容が外部に知られると、攻撃者に回避の手がかりを与えるおそれがあるためです。
何卒ご理解賜りますようお願い申し上げます。
ショップ様側でご対応いただける対策については、「ショップ側で設定できるセキュリティ対策はありますか？」をご参照ください。なお、不正ログインの疑いや身に覚えのない変更など、具体的な事象がございましたら、下記「管理画面への不審なログインや、身に覚えのない変更があった場合はどうすればよいですか？」をご確認のうえ、サポート窓口までご連絡ください。
ecforce カスタマーサポート お問い合わせフォーム

サイトや管理画面でエラーが表示されたり、表示が遅くなったりします。攻撃を受けているのでしょうか？

エラーの表示や表示の遅れだけでは、攻撃を受けていると判断することはできません。
障害情報は、管理画面トップのお知らせ欄をご確認ください。
お知らせがなく、エラーが続く場合は、発生日時・対象のURL・表示されたエラー内容・スクリーンショット等を添えて、サポート窓口までご連絡ください。
ecforce カスタマーサポート お問い合わせフォーム

管理画面への不審なログインや、身に覚えのない変更があった場合はどうすればよいですか？

管理画面のユーザーアカウント、認証情報、アクセス権限はショップ様にて管理いただいております。
身に覚えのないログインや変更がある場合は、発生日時、対象の画面・URL、確認した事象、関連するスクリーンショット等を添えて、サポート窓口までご連絡ください。内容を確認し、必要に応じて社内の関係部門と連携して対応いたします。
ecforce カスタマーサポート お問い合わせフォーム

万が一、ecforceの提供環境へのサイバー攻撃等により情報漏えいが発生した場合、どのような対応を行いますか？

万が一、弊社の管理領域で情報漏えい等の事象が発生した場合は、原因や影響範囲を調査し、暫定対応、恒久対応および再発防止に取り組みます。
調査結果や対応状況は加盟店様へご案内いたします。
また、購入者様へのご案内は、購入者様との関係性を踏まえ、原則として加盟店様から行っていただいております。
その際は、確認した事実や技術情報を共有するなど、加盟店様のご案内をサポートいたします。