サプライヤーセキュリティ対策

本サプライヤーセキュリティ対策は、サプライヤーが商品、サービス、ソフトウェアを OpenAI に提供する際に適用され、サプライヤーと OpenAI 間の関連契約（以下「関連契約」）に組み込まれます。本サプライヤーセキュリティ対策に定義のない用語は、関連契約に定義される意味を有します。

サプライヤーは、情報セキュリティプログラムを維持・運用しなければなりません。当該プログラムに対しては、少なくとも年に一度、又はセキュリティインシデントの発生や適用法の重大な変更があった場合はそれよりも早期に、レビューを実施することが求められます。情報セキュリティプログラムの監督者として、適格な上級職員を任命しなければなりません。

サプライヤーは、関連契約に基づくセキュリティ及びプライバシーに関する義務を果たすため、情報セキュリティプログラムに以下を含める必要があります。

• 情報セキュリティプログラム及び適用されるすべてのデータ保護法に準拠した、情報セキュリティ及びプライバシーに関するポリシーを書面で策定しなければなりません。
• それらのポリシーとサプライヤー行動規範をすべての関連職員に通知し、正式な同意を求めなければなりません。
• 文書化された手順によって遵守状況を監視し、不遵守を是正します。ポリシーの違反に対して適切な懲戒処分を科さなければなりません。

• リスクの特定、分析、監視、報告、是正措置のための定期的なリスク評価と制御を含むリスク管理プログラムを維持・運用しなければなりません。
• 少なくとも年に一度、リスク評価を（社内で、又は独立した請負業者への委託により）実施して、OpenAI データに対するリスク、サプライヤーのビジネス資産（例：技術インフラ）に対するリスク、これらに対する（内外の）脅威、脅威が発生する可能性、脅威が組織に及ぼす影響を明らかにしなければなりません。
• OpenAI データに対するセキュリティリスクをトリアージし、是正の優先順位付けを行わなければなりません。

• 人員の審査、研修、管理に関する業界標準の取り組みを維持・運用しなければなりません。
• OpenAI データへのアクセス又はサプライヤーの業務支援を行うすべての人員に対し、各人の法域で法的に認められる範囲で、雇用前の身元調査を実施しなければなりません。
• サプライヤー担当者に対して、セキュリティ及びプライバシーに関する年次研修を実施し、必要に応じて補足的なセキュリティ研修も実施しなければなりません。
• サプライヤー担当者に対し、雇用又は契約の条件として、秘密保持契約の締結を求めるか、サプライヤーが OpenAI のために業務を遂行するにあたって負うものと同等の秘密保持義務を課し、顧客及びその他の第三者のデータの保護に関するポリシーを遵守させなければなりません。
• 従業員及び臨時労働者の身元を検証しなければなりません。
• 以下のいずれかの国又は地域に所在するサプライヤー要員を雇用又は起用してはなりません：（a）米国財務省外国資産管理局（OFAC）により包括的制裁対象に指定されている国又は地域、（b）米国国務省によりレベル 4／渡航中止勧告の対象とされている国又は地域、又は（c）現在、武力紛争が発生している地域。
• OpenAI がサプライヤー担当者に対して任意のタイミングで保安検査を実施することを許可し、当該検査をサポートするために OpenAI が合理的に要請した情報を速やかに共有しなければなりません。
• OpenAI は、遠隔地のサプライヤー担当者に対する追加の身元調査を実施することができます。ただし、これにより、本セキュリティ対策又は関連契約に基づく身元調査及び本人確認を行うサプライヤーの義務が制限または免除されることはありません。

サプライヤーは、OpenAI データの処理に用いられるすべての会社所有ノートパソコン、モバイルデバイス、オンプレミスサーバー、その他のハードウェアを以下の方法で保護しなければなりません。

• 承認されたエンドポイント管理プラットフォームを通じて、すべてのエンドポイントとサーバー（オンプレミスのインフラを含む）を一元管理する。
• ワークステーション及びサーバーのオペレーティングシステム、アプリケーション、ファームウェアに対し、ベースラインのセキュリティ構成を自動的に適用し、適時にパッチを適用する。
• 保存時の暗号化を義務付けること。ノートパソコン及びワークステーションにおけるフルディスク暗号化、サーバー及びストレージデバイスにおけるボリューム又はストレージレベルの暗号化。
• すべての資産において、携帯メディア及びリムーバブルメディアを無効にするか、厳格に管理する。

• ID、認証、アクセス管理制御に関する業界標準の取り組みを維持・運用しなければなりません。
• サプライヤー担当者及びサービスアカウントのアクセス管理について定めたポリシーと手順を文書で策定しなければなりません。
• システムアクセス権を有するすべてのサプライヤー担当者の正確かつ最新の一覧を維持管理しなければなりません。
• 異動や退職が発生した場合、1営業日以内に認証情報を無効にするか、取り消さなければなりません。
• サービスの提供をサポートする内部システムやサードパーティサービスへのすべての対話型ログインで、シングルサインオン（SSO）を使用しなければなりません。
• SSO ログインフローにおいて、ID プロバイダーによる多要素認証を必須としなければなりません。
• 最小権限の原則と職務分掌の原則に基づき、ロールベースのアクセス制御（RBAC）を導入しなければなりません。
• 特権（「ルート」/「管理者」）アカウントは、承認された変更管理手順に基づき、技術的に必要な場合に限り使用しなければなりません。また、非特権ユーザーによる特権機能の実行を禁止する必要があります。
• OpenAI データを保管するシステムへのアクセス申請について、正式なレビューと承認を義務付けなければなりません。さらに、特権の妥当性を確認するため、アクセス監査を定期的に（少なくとも四半期に一度）実施する必要があります。
• 認証情報（例：パスワード、API キー）が侵害された場合に報告と取り消しを行い、リセット又は一時的な認証情報の発行前にユーザー ID を検証する手順を定めなければなりません。
• OpenAI エンドユーザーについては、サードパーティの ID アクセス管理サービスを利用しており、ユーザーが入力したパスワードをサプライヤーが保存することはありません。

• サプライヤーの業務遂行及び OpenAI データの機密性、可用性、完全性を損なうイベントに対応し、解決するためのセキュリティインシデント対応計画を維持・運用しなければなりません。
• セキュリティインシデントの発生やその疑いを認識した場合、遅滞なく（いかなる場合も、そのセキュリティインシデントを認識してから48時間以内に）OpenAI（security@openai.com）宛てに書面で通知しなければなりません。この通知には、可能な限り、OpenAI が規制当局やセキュリティインシデントの影響を受けた個人への通知義務を遵守できるよう、データ保護法で要求されるすべての入手可能な情報を含めなければなりません。
• さらなるセキュリティインシデントのリスクを軽減するための合理的な対策を講じなければなりません。サプライヤーによる本サプライヤーセキュリティ対策への違反が原因でセキュリティインシデントが発生した場合、サプライヤーは、（本契約に含まれる責任制限に従い）データ保護法に基づき実施が義務付けられる措置、又はセキュリティインシデントに関して当事者間で合意した措置により OpenAI が実際に自己負担した是正費用及び経費を補償しなければなりません。該当する場合、この措置には、（i）影響を受けた個人に対する法的に義務付けられる通知の作成及び送付、（ii）問い合わせに対応するためのコールセンターサポート、ならびに（iii）影響を受けた個人に対する法的に義務付けられるクレジット監視サービスが含まれます。OpenAI は、本項に基づく通知の時期、内容、方法を制御する独自の裁量権を有するものとします。

• 違法又は不正なアクティビティの監視、分析、調査、報告を行えるよう、サービスの提供に用いられるすべてのシステム、ネットワーク、サポートインフラに対する監査記録を作成・保管しなければなりません。
• すべての特権アクションについて、各イベントを特定の個人に紐付けられる形でログに記録しなければなりません。
• 不正な変更やポリシーの違反を検出するため、エンドポイント、サーバー、サポートインフラにおける特権アクティビティを記録し、継続的に監視しなければなりません。
• ネットワークトラフィック及びサービスログなどのセキュリティ及び可用性を継続的に監視し、アラートが発せられた場合は速やかに対処しなければなりません。
• OpenAI データの機密性、完全性、可用性に影響を与え得る不審なアクティビティ、ポリシー違反、イベントを検出するため、セキュリティログと運用ログを定期的にレビュー及び分析しなければなりません。
• 要請を受けた場合、OpenAI に監査ログを提出しなければなりません。

• OpenAI に提供するソフトウェアやサービスの計画、コーディング、テスト、デプロイ、保守について定めたセキュア開発/セキュリティバイデザインのプロセスを文書で作成し、維持・運用しなければなりません。
• SDLC には、コードを本番環境へ移行する前に、脅威モデリング、コードレビュー、依存関係に対する脆弱性の自動スキャン、セキュリティテスト（静的、動的、コンテナスキャン、IaC スキャン）を含めなければなりません。
• これらの実施結果は、高リスクの所見に対する是正措置の証拠とともに、少なくとも12か月保管し、要請に応じて OpenAI が確認できる状態にしておかなければなりません。

• 環境を分離します。本番環境と非本番環境を分離し、OpenAI データを本番環境のみに保存しなければなりません。
• OpenAI データを他のすべての顧客データから論理的に分離し、各 OpenAI 顧客組織内において明確なユーザーレベルの境界を適用しなければなりません。
• プライマリバックエンドリソースがプライベートネットワーク制御（VPN、プライベートリンク、これらと同等のゼロトラストアーキテクチャ）のもとでデプロイされるよう確保しなければなりません。
• ネットワークセキュリティポリシーとファイアウォールを、あらかじめ定義された許可トラフィックフローに基づき、最小権限の原則に従って構成しなければなりません。
• 非許可トラフィックフローをブロックしなければなりません。

• サプライヤーの提供サービスに影響を与える脆弱性を速やかに是正するために策定された、業界標準の脆弱性管理プログラムを維持・運用しなければなりません。
• 脆弱性の定期的なスキャン、脆弱性通知サービスへの登録、リスクに基づく是正措置の優先順位付け、リスク評価に基づく是正期間の設定を行う脆弱性管理プログラムを維持し、実施しなければなりません。
• パッチがリリースされた場合、関連するセキュリティ脆弱性の適用可能性と重要度をレビュー・評価した上で、システムに対するリスクに応じた適切な期間内にパッチを適用し、検証しなければなりません。
• ログ管理ソリューションを導入し、侵入検知システムによって生成されたログを少なくとも1年間保管しなければなりません。

• OpenAI データの保存やアクセスが行われる可能性があるすべての場所に、物理的なセキュリティ対策を整備しなければなりません。
• バッジ、生体認証、その他の同等の認証を用いて、オフィスやデータセンターへの出入りを制御しなければなりません。
• すべての訪問者を記録し、同行しなければなりません。
• ビデオ監視と物理的な侵入検知システムを24時間365日稼働させなければなりません。
• 鍵付きの保管場所、移動経路の追跡、認定された破壊処理を用いて、物理メディアを安全に取り扱い、廃棄しなければなりません。

サプライヤーは、以下の措置を講じて、サービス及び OpenAI データの機密性、完全性、可用性を保護しなければなりません。

• 可用性管理
  • システムのパフォーマンスと可用性を継続的に監視、分析、評価しなければなりません。
  • 中断が発生した場合、障害を速やかに検出及び報告するとともに、サービスを迅速に復旧しなければなりません。
  • サービス稼働時間、インシデント、合意済みのサービスレベル目標への準拠状況を追跡し、その自己証明を行い、文書に記録しなければなりません。
  • 要請を受けた場合、サービスレベルへの準拠を証明する関連パフォーマンス指標を OpenAI に提出しなければなりません。
• 事業継続及び災害復旧（BC/DR）
  • サービスの中断や OpenAI データの毀損を引き起こし得る緊急事態やその他のイベントに対処するための書面による BC/DR 計画を維持しなければなりません。
  • 重要なシステム及びデータを、BC/DR 計画に沿ったスケジュールで定期的にバックアップしなければなりません。
  • 少なくとも年に一度、BC/DR 計画をテストし、テスト中に見つかった重大なギャップを是正しなければなりません。
  • BC/DR 計画に基づく保護を大幅に低下させる変更を行う場合は、OpenAI から事前に書面による同意を得なければなりません（この同意は不当に保留されないものとします）。

• OpenAI データへのアクセスや、ソフトウェアやサービスのサポートを行うすべての復処理者、下請業者、重要な下請サプライヤーに対して、業界標準のリスク管理プログラムを維持・運用しなければなりません。
• 各サードパーティとの間で、少なくとも本サプライヤーセキュリティ対策と同等に厳格なセキュリティ保護を義務付ける書面による契約を締結しなければなりません。
• すべてのサードパーティに対し、起用時及びその後定期的に、サプライヤーの正式なセキュリティ評価プロセスを実施し、結果を文書に記録して保管しなければなりません。
• OpenAI から要請を受けた場合、すべての重要な下請サプライヤー、その原産国、及びサプライヤーのパフォーマンスに関わる主な依存関係を特定しなければなりません。
• ICT 及び製品サプライチェーンのリスクを評価するためのプロセスを整備し、ソフトウェア、サービス、サプライヤーのパフォーマンス、OpenAI データの機密性、完全性、可用性を損なう可能性がある中断、脆弱性、新たな脅威を認識した場合は、速やかに OpenAI に通知しなければなりません。

• パブリックネットワーク又はプライベートネットワーク上で送信中の OpenAI データを、業界で認められている強力な暗号化プロトコル（TLS 1.2以上、SSH 2、IPsec、又は同等のプロトコル）を使用して保護しなければなりません。旧式又は安全性の低いプロトコル（例：SSL v3、TLS 1.0/1.1）は無効にする必要があります。
• データベース、オブジェクトストア、ファイルシステム、エンドポイントデバイス、バックアップなどの永続的な媒体に保存されているすべての OpenAI データを、業界で認められている強力なアルゴリズム（例：AES-256 又は同等のアルゴリズム）、及び FIPS 140-2/3、ISO/IEC 19790、又は同等の規格に照らして検証された暗号化モジュールを使用して、暗号化しなければなりません。
• 暗号化キーは、専用のキー管理システムを使用して管理する必要があります。キーへのアクセスを権限を付与された担当者のみに制限し、少なくとも年に一度又は侵害が疑われる場合はローテーションしなければなりません。サプライヤーは、スナップショット、レプリカ、オフラインバックアップを同じ管理措置のもとで保護しなければなりません。

関連契約の満了又は終了時、サプライヤーは、OpenAI の選択に応じて、すべての OpenAI データを削除又は返却しなければなりません（サプライヤーのデータ保持スケジュールに従って削除されるバックアップやアーカイブコピーを除く）。ただし、適用法により写しの保管が義務付けられる場合、サプライヤーは、適用法で要求される範囲を除き、当該 OpenAI データをさらなる処理の対象とせず、分離・保護しなければなりません。サプライヤーは、提供するサービスに該当する場合、OpenAI が製品内でデータ保管期間を設定できる機能を提供しなければなりません。

• 利用可能なテクノロジーを考慮し、適用法に従って、OpenAI データの読み取りや再構築を不可能にすることを目的とした、OpenAI データの安全な廃棄を確保するための管理策を実施しなければなりません。
• 電子メディアは、NIST SP 800-88又は同等の規格に基づき、上書き又は消磁によって廃棄前に安全に消去するか、廃棄や別システムへの再割り当ての前に物理的に破壊しなければなりません。

• 自動スキャン、手動レビュー、ポリシー遵守チェックなどを用いて、業界標準のフレームワークと自社のポリシーに基づき、セキュリティコントロールの有効性を定期的に評価しなければなりません。
• インフラ、アーキテクチャ、サードパーティの依存関係、データフロー、セキュリティポスチャに重大な変更を行う場合で、それにより OpenAI データの機密性、完全性、可用性に影響を与える可能性があると合理的に判断される場合は、事前に OpenAI に通知しなければなりません。

サプライヤーは、少なくとも年に一度、

• 適格な独立監査人を起用し、広く認められている業界標準（例：SOC 2 Type 2または ISO 27001の審査/再認証）に基づき、セキュリティコントロールをレビューしなければなりません。
• 要請を受けた場合、サマリー又は完全なレポート（該当する場合）を OpenAI に提出しなければなりません。

サプライヤーは、ホスト型サービス又はオンラインサービスを提供する場合、

• 年に一度、（i）ホスト型サービス又はその他のサービス、（ii）インターネット接続境界全体、及び（iii）サプライヤーの社内ネットワークを対象とする第三者による侵入テストを実施しなければなりません。
• NDA のもとで、テスト実施の証拠及びテスト結果のエグゼクティブサマリーを共有しなければなりません。
• OpenAI データに影響を与える重大な脆弱性及び重大度の高い脆弱性について、発見から 60 日以内に是正するか、代替的な管理策と残存リスクを速やかに OpenAI に通知しなければなりません。

• 関連契約の期間中及びその終了後1年間、OpenAI（又は OpenAI が指名する監査人）は、合理的な通知により、関連する帳簿、記録及び施設をレビューし、本サプライヤーセキュリティ対策の遵守状況を確認することができます。レビューは、その目的に合理的に必要な情報に限定され、秘密保持義務のもとで実施されます。
• また、サプライヤーは、OpenAI が適宜送信するセキュリティ質問票に対応するよう、商業上合理的な努力を払う必要があります。

サプライヤーは、米国司法省により発令された大統領令第14117号を実施する最終規則により、懸念国又は対象者による大量の対象データへのアクセス（かかる用語及び本項で使用されるその他の用語は、いずれも最終規則に定義される）が禁止又は制限されていることを確認します。

• サプライヤーは、提供するサービスに OpenAI 又はその関連会社の対象データへのアクセスが伴う場合、以下の事項を表明し、保証するものとします。（i）サプライヤー又はその関連会社のいずれも、現在又は将来において、懸念国に設立又は登記されておらず、懸念国に主たる事業所を有しておらず、また、1つ以上の懸念国又は対象者により、単独又は総計で50%以上の持分を直接的又は間接的に保有されていないこと、及び（ii）サプライヤー、その関連会社、又は当該対象データにアクセスするサプライヤーの従業員もしくは請負業者のいずれも、現在又は将来において懸念国に所在しておらず、米国司法長官により対象者に指定されておらず、その他のいかなる理由によっても対象者に該当しないこと。サプライヤーは、（a）又は（b）に変更があった場合、直ちに OpenAI に通知しなければなりません。
• サプライヤー及びその関連会社は、OpenAIの対象データに関わる対象データ取引を、懸念国又は対象者との間で行わないものとします。サプライヤーは、OpenAI の対象データに関する制限取引に関与する場合、OpenAI が最終規則の要件を遵守するために必要な情報を OpenAI に提供しなければなりません。

• 対象データとは、大量の米国機密データまたは米国政府関連データを意味し、これは米国司法省が発行した大統領令14117号を実施する最終規則でさらに定義される場合があります。
• データ保護法とは、本契約に基づくサプライヤーの業務遂行に適用されるすべてのデータ保護法を意味します。
• ホスト型サービスとは、サービスとしてのソフトウェア、サービスとしてのプラットフォームのほか、サプライヤーが OpenAI に提供するこれらに類するホスト型サービス又はオンラインサービスを意味します。
• 情報セキュリティプログラムとは、OpenAI データの機密性、完全性、可用性を保護する目的で策定された、業界標準に準拠した、ポリシー、手順及び管理策（管理的、技術的及び物理的な管理策を含む）の体系的な枠組みを意味します。
• OpenAI データとは、サプライヤーが OpenAI のための業務遂行に関連して、OpenAI から直接、又は OpenAI を代理して受領または収集した情報を意味します。OpenAI データには個人データが含まれます（ただし、これに限定されません）。
• 個人データとは、適用されるデータ保護法において「個人データ」又は「個人情報」として定義されている意味を有します。
• 処理とは、自動化された手段によるかどうかにかかわらず、収集、記録、整理、保存、使用、開示、廃棄など、データに対して行われるあらゆる操作を意味します。
• セキュリティインシデントとは、サプライヤー又は復処理者のシステム内おいて発生した、又はその疑いがある、OpenAI データの不正なアクセス、使用、開示、改変、破壊、又は OpenAI データの可用性や完全性の毀損を伴うイベントを意味します。
• サプライヤー行動規範とは、OpenAI サプライヤー行動規範（https://openai.com/policies/supplier-code/.⁠）を意味します。
• サプライヤー担当者とは、従業員、請負業者、臨時労働者、下請業者を含む、OpenAI との契約関係に基づくサプライヤーの業務のいずれかの部分に従事するすべての者を意味します。
• システムとは、サプライヤー又はその復処理者が OpenAI データを処理、送信又は保存するために使用する情報システムを意味します。これには、当該業務をサポートする統合されたハードウェア、ソフトウェア、人員、手順を含みます。