人事CREW
資料ダウンロード

Security & Compliance

IT・法務部門が、すぐに確認できる情報を。

人事CREW を運営する TECH CREW 株式会社は、2021 年から ISO/IEC 27001 認証を継続して維持し、お客様のデータはすべて日本国内(東京リージョン)で保管しています。セキュリティ体制、脆弱性診断、SLA、グループ会社との連携体制まで、審査に必要な情報をこのページと概要資料にまとめました。

  • ISO/IEC 27001:2022
  • 個人情報保護法準拠
  • 国内データセンター(東京)
  • 年次の外部脆弱性診断
  • 労働関連法令対応
セキュリティ概要資料をダウンロード(無料・登録不要)セキュリティチェックシートについて問い合わせる →

Certifications & frameworks

認証と準拠フレームワーク。

第三者認証・外部診断・法令対応の状況を、確認できる形で公開しています。

  • Certification

    ISO/IEC 27001:2022

    認証範囲
    HRソフトウェアの企画・開発・サービス提供
    認証取得日
    2021 年 3 月(初回)
    有効期限
    2027 年 3 月 8 日(年次の維持審査を継続)
    認証機関
    ビューローベリタスジャパン株式会社
    認証登録番号
    JP024514
    認証書を確認する(PDF) →

  • Compliance

    個人情報保護法準拠

    準拠フレームワーク
    個人情報の保護に関する法律(個人情報保護法)
    適用範囲
    人事CREW を通じて取り扱う個人情報の全範囲
    運用
    プライバシーポリシー(個人情報保護方針)に沿った保護・管理
    個人情報保護方針を確認する →

  • Assessment

    外部脆弱性診断

    実施頻度
    年 1 回、外部の専門企業に委託
    診断範囲
    Web アプリケーション診断、ネットワーク診断、クラウド診断
    直近の実施
    2026 年 4 月。指摘事項は修正後に再診断し、解消を確認済み
    診断の概要を確認する(PDF) →

  • Labor compliance

    労働関連法令対応

    対応法令
    労働基準法、労働契約法、出入国管理及び難民認定法
    対応範囲
    雇用契約の電子署名、労働条件通知書、入社書類の回収、在留カードの確認
    入社手続きの機能を確認する →

Governance & infrastructure

運営体制と、サービス基盤。

誰が運営し、データはどこにあり、問題が起きたときに誰が判断するのか。審査で最初に確認される前提を、まとめて示します。

  • 事実 01

    運営主体

    人事CREW は、東京都港区に本社を置く日本法人 TECH CREW 株式会社が開発・運営しています。2026 年 7 月よりクックビズ株式会社のグループ会社です。利用規約の準拠法は日本法、紛争解決は東京地方裁判所を第一審の専属的合意管轄裁判所としています。

  • 事実 02

    データの保管場所と、アクセスできる場所

    お客様のデータは、バックアップを含めてすべて日本国内(AWS・GCP の東京リージョン)で保管しています。サービス基盤には WAF を導入し、Web アプリケーションの脆弱性を悪用した攻撃から保護しています。基盤へのアクセスは SSM を用いて IP 制限・アクセス制御を行い、アクセス履歴を記録しています。お客様のデータにアクセスできるのは日本国内にいる従業員のみで、海外からはアクセスできません。出張などで海外に滞在している間も同様です。

  • 事実 03

    グループでの監査・連携体制

    TECH CREW のセキュリティチームは、親会社クックビズの情報セキュリティ委員会と連携しています。あわせて、クックビズの内部監査室による監査を受けています。

  • 事実 04

    インシデント時のエスカレーション

    インシデントや障害の発生時は、TECH CREW のセキュリティチームからクックビズの情報セキュリティ委員会へ情報を共有し、インシデントのレベルに応じて個人情報保護管理者・経営層へエスカレーションします。

Internal controls

ルールを決め、運用し、記録する。

お客様のセキュリティチェックシートで確認される内部統制の主な項目を、組織・人・技術・物理の 4 つに分けてまとめました。いずれも社内規程として文書化し、運用しています。

  1. Organizational

    組織的な管理

    • 個人情報保護管理者と情報セキュリティの管理責任者を設置し、役割と責任を文書化
    • 保護すべき情報を管理台帳で特定し、定期的に見直して最新の状態に維持
    • 内部監査または外部監査を年 1 回以上実施し、結果を責任者に報告して改善
    • 事故発生時にお客様へすみやかに報告するルールと、原因究明・再発防止の体制を整備
    • 災害・感染症・システム障害に備えた事業継続計画を策定し、定期的に訓練

  2. Personnel

    人的な管理

    • 採用時に守秘義務の誓約書を提出。守秘義務は退職後も有効
    • 採用時に情報の取扱いルールを説明し、全従業員に年 1 回以上の教育を実施
    • ルール違反時の懲戒規定を定め、従業員に周知
    • 私物の PC・スマートフォン・記憶媒体の業務利用を禁止

  3. Technical

    技術的な管理

    • 機密情報へのアクセス権は業務上必要な従業員に限定し、承認と付与の記録を保存
    • 退職・異動時は 3 稼働日以内に ID の削除・権限の修正を実施
    • 共用 ID を禁止し、特権ユーザーも個人を特定できる形で運用
    • アクセス・操作ログを 6 か月以上保管し、月 1 回以上チェック。ログ自体も改ざん・消去から保護
    • 不正アクセスや業務範囲を超える大量ダウンロードを検知するログ監視
    • 全 PC・サーバーにウイルス対策ソフトを導入し、定義ファイルを常に最新化
    • OS・アプリケーションの脆弱性情報を自動で収集し、セキュリティパッチを継続的に適用
    • テストに実データを使わないルールを制定

  4. Physical & data lifecycle

    物理的な管理とデータの廃棄

    • システムはクラウド上で運用し、データセンターの入退室管理・物理的保護はクラウド事業者の管理下
    • オフィスは入退館を記録し、6 か月以上保存
    • バックアップは手順書に基づき、復元できることを定期的に確認
    • 情報の廃棄・返却手順を文書化。電子媒体は完全消去し、廃棄の記録を保存

Access control & authentication

アクセスは、必要最小限の権限で。

権限設定、2 段階認証、IP アドレス制限、操作ログ — 人事データへのアクセスを、必要な人に、必要な範囲で。

  1. 機能 01

    権限設定

    本社・エリア・店長など、役割に応じて閲覧・操作できる範囲を設定できます。店長は自店舗のスタッフだけ、エリアマネージャーは担当エリアだけ、といった形で必要な範囲に絞れます。

  2. 機能 02

    2 段階認証

    ID・パスワードによるログインに加えて、Google Authenticator を用いた 2 段階認証でログインできる仕組みを提供しています。

  3. 機能 03

    IP アドレス制限

    許可した IP アドレスからのみアクセスできるよう制限できます。

  4. 機能 04

    パスワードポリシー

    組織のセキュリティ方針に合わせて、パスワードのルールを設定できます。

  5. 機能 05

    操作ログ

    システム上の操作履歴をログとして保管し、誰がいつ何を行ったかを後から確認できます。

Operational security

事故が起きないように。 起きても、被害を最小化できるように。

毎年の外部診断と ISMS の審査で、対策が機能しているかを第三者の目で確かめています。稼働率・バックアップ・暗号化の水準は、サービス品質保証制度(SLA)として公開しています。

Vulnerability management

脆弱性管理

外部脆弱性診断
年 1 回、外部の専門企業に委託
診断の種類
Web アプリケーション診断、ネットワーク診断、クラウド診断
直近の結果
2026 年 4 月に AWS 環境を対象に実施。指摘事項は修正し、再診断で解消を確認済み

ISMS

ISMS の運用

準拠規格
ISO/IEC 27001:2022(JIS Q 27001:2023)
管理策
附属書 A の 93 管理策をすべて適用(適用宣言書 Ver.1.1)
審査
毎年の維持審査と 3 年ごとの更新審査を受審し、認証を維持

Incident response

インシデント対応

対応体制
TECH CREW セキュリティチームと、クックビズ情報セキュリティ委員会の 2 社連携
監視
セキュリティ専門部隊による 24 時間 365 日の監視。障害発生時は運用マニュアルに沿って対応
お客様への報告
事故の発生時、またはその可能性が高いと判断した時点で、すみやかに報告
エスカレーション
インシデントのレベルに応じて、個人情報保護管理者・経営層へ報告

Availability

可用性とバックアップ(SLA)

利用可能時間
24 時間 365 日(事前に通知するメンテナンス時間を除く)
稼働率目標
98%(月次)
サービス保証
稼働率 90% 以下の月は、月次契約で翌月料金を 50% 割引。年間契約では該当月が 3 回以上で次年度料金を 10% 割引
冗長化
すべてのサーバーを冗長化
バックアップ
データベースを 1 日 1 回
データ保存期間
最低 1 年間(一部のシステムログは最低 1 か月)

Encryption

暗号化

通信
SSL/TLS で暗号化
保管データ
マイナンバー(個人番号)や機密情報は暗号化して保管。サーバー自体も暗号化
解約時
契約を解除したお客様のマイナンバーデータは速やかに削除

Personnel security

従業員セキュリティ

行動規範
セキュリティハンドブック、マネジメントシステムマニュアル、情報セキュリティマニュアル
教育
全従業員を対象に、セキュリティと個人情報保護の教育訓練を定期的に実施

Japanese law compliance

日本の法令に、日本の専門性で。

シフトで働くスタッフの入社手続きには、雇用契約、マイナンバー、在留資格の確認まで、日本の法令がかかわります。人事CREW は、それぞれの手続きを現場で正しく回せるように設計しています。

  1. 個人情報保護法

    • プライバシーポリシー(個人情報保護方針)に沿った取得・利用・管理
    • ISO/IEC 27001 に基づく ISMS の下での安全管理
    • 全従業員への定期的な教育訓練

  2. マイナンバー(番号法)

    • スタッフ本人がスマートフォンからマイナンバーを提出。紙・FAX・郵送での受け渡しが不要
    • 権限設定により、閲覧できる担当者を必要な範囲に限定

  3. 労働基準法 / 労働契約法

    • 雇用契約書・労働条件通知書の電子化と電子署名
    • 雇用形態に応じて、必要な書類と確認項目を自動で切り替え

  4. 出入国管理及び難民認定法

    • 在留カードの読み取りと、資格外活動許可の確認
    • 在留期限が近づいたスタッフを、店長と本社の両方に自動通知
    • 英語・中国語・ベトナム語での雇用契約発行

Documents & contact

より詳しい情報は、こちらから。

各社様式のセキュリティチェックシートへの回答に対応しています。回答や追加資料のご依頼、脆弱性のご報告は、セキュリティ窓口(isms@techcrew.co.jp)で受け付けています。

資料・方針(登録不要)

お問い合わせ

こんなご依頼を受け付けています

  • セキュリティチェックシート・質問票への回答依頼
  • 追加資料のご依頼
  • 脆弱性のご報告
  • その他のセキュリティに関するお問い合わせ

セキュリティ窓口

isms@techcrew.co.jp

セキュリティ窓口にメールするお問い合わせフォームから送る →

人事CREW は、スタッフの個人情報やマイナンバーをお預かりするサービスです。本ページの内容について、追加のご質問・資料のご依頼をお待ちしています。

セキュリティ概要資料をダウンロード(無料・登録不要)セキュリティチェックシートについて問い合わせる →