展示 99.(h)(4)(u)

A修正NO. 2 宛て Sチャールズシュワブ

MマスターFファンド A口座管理 と SERVICES AGREEMENT

この 修正契約第2号 マスターファンド会計およびサービス契約（以下「修正」）は、2024年11月14日付けで発効し、以下に定義される各ファンドおよびステートストリート銀行および信託会社（マサチューセッツ州の信託会社、以下「会計 エージェント」）を含みます。ここで使用されているが、ここで定義されていない大文字の用語は、会計契約（以下に定義される）において与えられた意味を持つものとします。

Wここに証する (ITNESSETH):

W前提条項、 付録Aに記載された投資会社（「チャールズシュワブファンド」）と会計エージェントは、2005年10月1日付の 当該マスターファンド会計およびサービス契約（改訂版、以下「シュワブ会計 契約」または「契約」）に基づき、会計エージェントはそのシュワブファンドに対して特定のファンド会計サービスを提供します。

W前提条項, シュワブファンドと会計エージェントは、以下に詳細に示すようにシュワブ会計契約を修正することを希望しています。

NOW THEREFORE, 相互の契約および合意を考慮し、当事者は以下のように合意します:

「セクション 11.14. 情報セキュリティ. 会計代理人は、以下に記載された規定に従うものとします。 スケジュールC （会計代理人情報セキュリティ スケジュール）をここに添付します。

[署名ページが続きます]

S署名 P年齢

IN W証人 Wこれにより各当事者は、その名義で、本契約をその適正に認可された代表者によって実行し、かつその印をここに附けることを行った。最初に記載された日付において。

ここに付録Aに記載された各法人

ステートストリート銀行およびトラスト会社

付録A

宛先 

マスターファンド会計およびサービス契約

運営投資会社およびそのポートフォリオ、もしあれば

添付ファイル NO 1 改正案

スケジュール C

会計エージェント情報セキュリティスケジュール

この会計エージェント情報セキュリティスケジュール（以下「セキュリティスケジュール」）で定義されていないすべての大文字の用語は、それぞれの契約において与えられた意味を持ちます。

会計エージェントは、会計エージェントに適用される法律、規則、規制に加え、適用される業界の慣行および基準と実質的に一致するデータセキュリティ対策を実施します。改正発効日現在、会計エージェントは、国家標準技術研究所（NIST）のサイバーセキュリティフレームワークに従っています。ただし、情報セキュリティは脅威が常に変化する高度に動的な分野であるため、会計エージェントは、Schwab Fundsの機密情報保護を実質的に減少させない方法で、情報セキュリティコントロールの変更やNIST以外の認識された業界基準に従う権利を留保します。

会計エージェントは、会計エージェントがSchwab Fundsの機密情報を提供するすべての委任者およびその他の第三者に対して、会計エージェントが合理的に信じるところの、このセキュリティスケジュールで説明されたのと同等以上の保護措置を実施し維持させるために、商業上合理的な努力をします。Schwab Fundsの機密情報を収集、送信、共有、保管、制御、処理または管理する委任者またはその他の第三者に対して、会計エージェントは彼らの制御環境を評価する責任があります。ただし、前述のとおり、会計エージェントは、Schwab Fundsの機密情報の保護において、その委任者またはその他の第三者の責任があるものとし、それが会計エージェントが行った場合、本セキュリティスケジュールの約束の違反となります。

1.             セキュリティ 目的。 会計代理人は、商業的に合理的な努力を使用して：

a.             シュワブファンズの機密情報のプライバシー、機密性、完全性、及び可用性を保護すること;

b.             シュワブファンズの機密情報に対する偶発的、承認されていない、認証されていない、または違法なアクセス、コピー、使用、処理、開示、変更、破損、移転、喪失または破壊から保護すること;

c.             会計代理人が各契約に従ってシュワブファンズの機密情報を取り扱い、処理し、使用する際に関連する政府の法律、規則及び規制に従うこと;

d.             慣例的な管理的、物理的、技術的、手続き的及び組織的な保護策を実施すること。

2.             リスク評価。 会計代理人のリスク評価の結果は、会計代理人内部のものであり、シュワブファンズには提供されません。

a.             リスク評価 - 会計エージェントは、内部および外部の重大な脅威を特定し、それらの脅威が発生する可能性と、会計エージェント組織に対する脅威の影響を特定するために設計されたリスク評価を毎年実施します。

適切な情報セキュリティ対策のレベルを評価し分析するためにリスク評価”).

b.             リスク軽減 - 会計エージェントは、リスク評価で特定された脅威に対処し、実質的な不正アクセス、コピー、使用、処理、開示、変更、移転、喪失またはシュワブファンドの機密情報の破壊を引き起こす可能性のある脅威を管理、制御、修復するために商業的に合理的な努力を行います。それは目的に一致し、シュワブファンドの機密情報の感度および会計エージェントの契約に基づく活動の複雑さと範囲に応じたものです。

c.             脆弱性管理プログラム – 会計エージェントは、新たに発表された脆弱性について認識し、インフラストラクチャおよびアプリケーション内で脆弱性を発見し、業界基準に一致するリスク評価を行い、業界基準に一致して脆弱性を修復するための時間枠を定義するプロセスを含む脆弱性管理プログラムを維持します（中程度または低リスクの脆弱性を除く）。

3.             パッチ管理 - 会計エージェントは、全てのシステムエンドポイント、例えばワークステーションやサーバーに対して、 会計エージェントのコンピューティング環境に展開された最新のオペレーティングシステム、データベース、およびアプリケーションのパッチを パッチの重要度に基づいてスケジュールに従って適用します。会計エージェントは、パッチがパッチを当てられる情報リソースの セキュリティを損なわないように適切な手順を講じる必要があります。

4.             セキュリティ コントロール。 シュワブファンドの合理的な要求に応じて、年に一度以上の頻度で、会計エージェントはシュワブファンドの最高情報セキュリティ責任者またはその指名者に対して、 会計エージェントの企業情報セキュリティコントロールマニュアルのコピー、完成した標準化情報収集（SIG）質問票、 会計エージェントのグローバル情報セキュリティ（GIS）SOC 2（タイプ II）レポートを提供し、会計エージェントの情報セキュリティ対策について 情報技術管理チームの資格を持つメンバーと話し合う機会を提供します。いかなる場合においても、そのような話し合いは、 会計エージェントのシステムのセキュリティまたは整合性、または他の顧客のデータの機密性またはセキュリティを危険にさらす可能性のある詳細や情報の開示を 会計エージェントに義務付けることはありません。会計エージェントは、年に約一度、情報セキュリティポリシーをレビューし、 規制要件を満たすために頻度を変更する権利を留保します（この場合も、最低でも18ヶ月に一度は行われます）。

5.             組織的 セキュリティ。

a.             責任 - 会計エージェントは、情報セキュリティ管理の責任を上級職員にのみ割り当てます。

b.             アクセス - 会計エージェントは、本契約に基づくサービスの提供を支援する役割を果たす社員のみが、 シュワブファンドの機密情報にアクセスできるようにデザインされた制御を持ちます。

c.             機密保持 - 会計エージェントの職員は、シュワブファンドの機密情報にアクセスしたか、または知らされた場合、 この契約の条件に従ってその情報の機密を保持します。

ドキュサイン封筒ID: D979E320億7B9D-47C9-8182-50060C3197D1

d.             トレーニング - 会計エージェントは、その職員に対して年間に約1回の情報セキュリティトレーニングを提供します。

e.             スクリーニング – 会計エージェントの従業員および委託先や他の第三者の職員が会計エージェントの施設、ネットワーク、またはシステムにアクセスする場合、 会計エージェントまたはその代理人によって、銀行に適用される法律、規則、および/または規制に基づく信用および犯罪に関する チェックが行われることがあります。もし誰かがこの会計エージェントのチェックの要件を満たさない場合、その人は会計エージェントに雇用されないか、委託先や他の第三者の場合、 会計エージェントはその人が会計エージェントの任務から外れることを求めます。さらに、会計エージェントはその委託先や他の第三者に対して、標準的な採用および業者デューデリジェンスの手続きの一環として、 業界基準に従った事前雇用背景調査を行うことを求めます。これらは、会計エージェントのためにサービスを提供するために指名された職員や、 会計エージェントまたはそのクライアントの機密情報にアクセスする職員に対して適用されます。

6.             物理的 セキュリティ.

a.             施設のセキュリティ - 会計代理人は、チャールズシュワブファンドの機密情報を保持する会計代理人の施設内にあるシステムや、本契約に基づいてサービスを提供するシステムを、物理的に安全な環境で維持し、権限のある個人のみがアクセスできるようにします。安全な環境には、24時間365日体制の現場のセキュリティ要員の利用可能性、または本契約に基づくサービスの提供を支える場所を監視する同等の手段が含まれます。

b.             メディアの物理的セキュリティ - 会計代理人は、チャールズシュワブファンドの機密情報が含まれているメディアの不正な視認、コピー、改ざん、または持ち去りを抑制するために設計された、適用される業界の慣行や標準に沿った制御を実施します。チャールズシュワブファンドの機密情報が保存されている可搬メディア（サムドライブ、CD、DVD、PDAを含む）は、少なくとも256ビットAES（または同等のもの）を使用して暗号化される必要があります。

c.             メディアの破棄 - 会計代理人は、チャールズシュワブファンドの機密情報が含まれている可搬メディアおよび携帯デバイス（ディスク、USBドライブ、DVD、バックアップテープ、ノートパソコン、PDAなど）を破壊し、またはそのような物理メディアがもはや使用される予定がない場合には、商業的に合理的な努力を用いてチャールズシュワブファンドの機密情報を解読不可能にすることを行います。破壊されないバックアップテープは、破壊されるまでこのセキュリティスケジュールに記載された保護レベルを満たす必要があります。

d.             紙の破棄 - 会計代理人は、チャールズシュワブファンドの機密情報が含まれているすべての紙ごみをクロスシュレッダーで粉砕し、安全かつ機密性の高い方法で処分します。

e.             リスク ベースアプローチサイトのセキュリティレベルや定期的なサイトセキュリティ評価を決定するためには、リスクベースアプローチを使用する必要があります。

f.             アクセス 制御会計担当者は、自分の役割に基づいてさまざまなレベルのアクセス制御を提供するようプログラムされた個別に割り当てられた企業IDバッジを使用する必要があります。承認されたドアアクセスリストは、アクセスが適切であることを確認するために、承認されたエリアの所有者によって四半期ごとにレビューされます。

g.             映像 および録画 – セキュリティビデオビデオシステムは、当社のビルや高セキュリティエリアへのアクセスを監視し、記録します。重要なITエリアを含みます。録画は最低30日間、最大120日間または地元の法律や規制によって必要または許可される限り維持されます。

7.             通信 および運用管理。

a.             ネットワーク 侵入テスト - 会計代理人は、約年に一度、または最低でも18ヶ月ごとに、独立した第三者と契約して、シュワブファンドの機密情報にアクセスまたは保有するネットワークに対してネットワーク侵入テストを実施します。侵入テストで重要な欠陥や脆弱性が明らかになった場合、結果は業界標準に従ってリスク評価され、脆弱性（中程度または低リスクの脆弱性以外）の是正に関する時間枠が業界標準に従って定義され、会計代理人がその脆弱性に関して行った緩和努力も考慮されます。

b.             データ 送信中の保護 - 会計代理人は、業界で認識された暗号化アルゴリズムを使用して、シュワブファンドの機密情報を公衆ネットワークを横断するときに暗号化します。

c.             データ 損失防止 - 会計代理人は、会計代理人の管理下から無許可でデータが出て行くことを特定、検出、監視、および文書化するためのデータ漏洩プログラムを維持します。

d.             ワイヤレス セキュリティ - 会計代理人がワイヤレスネットワークを展開する場合、会計代理人はワイヤレスネットワークの使用、構成、および管理を規定する書面によるポリシーを維持します。すべてのワイヤレスネットワークデバイスは、盗難、無許可の使用、または損傷のリスクを最小限に抑えるために適切な物理的制御を用いて保護されなければなりません。ワイヤレスネットワークへのネットワークアクセスは、認可された者のみに制限されます。

e.             ファイアウォール。 会計エージェントは、会計エージェントの環境における運用において、現在の業界に適したファイアウォール技術を維持します。

f.             ソース コードレビュー - 会計エージェントは、セキュアコードレビューのための文書化されたプログラムを持ち、シュワブの機密情報を保存または処理するすべてのインターネット向けアプリケーションに対して行われたセキュアコードレビューの文書を維持する必要があります。

8.             アクセス コントロール。

a.             認可された アクセス - 会計エージェントは、シュワブのすべての投信の機密情報をホストするシステムへのアクセスと、シュワブのすべての投信にサービスを提供するために使用されるシステムへのアクセスを維持するために、論理的に分離されるように設計されたコントロールを持ち、アクセスを必要とする各個人を一意に特定し、最小権限の原則に基づいて認可された者にのみアクセスを付与し、シュワブのすべての投信の機密情報への不正アクセスを防ぎます。会計エージェントは、シュワブのすべての投信の機密情報を保存またはアクセスを許可するシステムおよびアプリケーションへのユーザーアクセス権を定期的にレビューします。

b.             ユーザー アクセス - 会計エージェントは、シュワブのすべての投信の機密情報へのアクセスを迅速に無効にするためのプロセスを持ちます。

より長いアクセスが必要です。会計 エージェントは、シュワブファンドからの通知を受け取った際に、シュワブファンドの職員のアクセスも迅速に削除します。

c.             認証 資格情報管理 - 会計エージェントは、認証資格情報をユーザーに対して、意図されたユーザーの身元確認付きで安全な方法で伝達します。会計エージェントは、その職員および会計エージェントのネットワークまたはシステムにアクセスする委任先や他の第三者の職員が、システムのパスワード、キー、パスコードの機密性を維持することを求めます。会計エージェントは、パスワードのリセット前にユーザーの身元確認を必要とする、セキュアで文書化されたパスワードリセットプロセスを持っています。

d.             リモートアクセスのための多要素 認証 - 会計エージェントは、会計エージェントの内部ネットワークにリモートアクセスする際に、多要素認証とセキュアトンネル、または他の強力な認証メカニズムを使用します。

9.             本契約に関連するラップトップおよびモバイルデバイスの使用。

a.             暗号化 要件 - 会計エージェントは、シュワブファンドの機密情報を含む、会計エージェントの職員が使用するラップトップまたはモバイルデバイス（例：タブレットやスマートフォン）を、少なくとも256ビットの暗号化AES（または同等）を使用して業界標準の暗号化アルゴリズムで暗号化します。

b.             安全な 保管 - 会計エージェントは、全てのノートパソコンとモバイルデバイスが スタッフの直近の所持から外れる際には安全に保管されることを要求します。

c.             非活動 タイムアウト - 会計エージェントは、アクセスとパスワードの管理に加え、ノートパソコン、デスクトップ、会計エージェントが管理し 会計エージェントのスタッフが使用するモバイルデバイスにおいて、活動がない場合のタイムアウトを 最大で三十分（30）に設定します。

d.             リモート 管理 – 会計エージェントは、会計エージェントが管理するモバイルデバイスからシュワブファンズの 機密情報を迅速にリモートで削除する能力を維持します。会計エージェントには、スタッフが 会計エージェントが管理するデバイスのセキュリティを維持することを求めるポリシーがあります。

10.          情報 システムの取得、開発、維持管理。

a.             シュワブ ファンズデータ – スワブファンドの機密情報は、会計エージェントによって、この契約で指定された目的のためだけに使用されます。

b.             ウイルス 管理 - 会計エージェントは、マルウェア感染、悪意のあるコード、及び会計エージェント環境内でのコードの不正実行を識別、検出、保護、対応、回復するために設計されたマルウェア保護プログラムを維持します。

c.             変更 管理 – 会計エージェントは、情報システム、サポートインフラストラクチャ、及び施設への変更を管理するための変更管理手続を実施し維持します。特定の会計エージェントのシステム及びアプリケーションの変更は、実装前にテストされ、これには会計エージェントがリスクベースで判断した関連するセキュリティコントロールが含まれる場合があり、変更のタイプ及び/または影響、ならびにその変更に関して現在設置されているインフラストラクチャ及び/またはネットワークコンポーネントを考慮します。

11.          インシデント イベント及びコミュニケーション管理。

a.             インシデント 管理/違反通知 - 会計エージェントは、会計エージェントまたはその下請け業者のいずれかが、党がスワブファンドの機密情報またはスワブファンドの機密情報を含むシステムまたはアプリケーションに不正アクセスした疑いを持った場合またはそれを検出した場合に取るべき行動を指定したインシデント対応計画を維持します（「対応計画この対応計画には、シニアマネージャーへの通知および適用可能な場合には規制機関や法執行機関への報告を含むエスカレーション手続きが含まれます。会計エージェントは、そのような不正アクセスを調査、是正、軽減するために商業的に合理的な努力を行います。

b.             会計エージェントは、シュワブファンドの機密情報への不正アクセスが発生したと判断した後、四十八（48）時間以内にシュワブファンドに通知します。ただし、適用される法律により禁止されない場合に限ります。そのような場合、適用される法律により禁止されない限り、会計エージェントは、会計エージェントが利用可能な範囲で、不正アクセスの一般的な状況と範囲について合理的な説明を提供できる十分な情報を提供し、シュワブファンドに対して合理的な協力を行います。

i.             そのような不正アクセスの調査において；

ii.            シュワブファンドまたはその顧客に適用される法定通知またはその他の適用法令に従うシュワブファンドの努力において；

iii.           シュワブファンドが第三者に対して提起する訴訟や調査において、シュワブファンドの所有権を保護するために合理的に必要な差止めまたはその他の衡平法的救済を含めて。

誤解を避けるために、会計エージェントは、会計エージェントが合理的に判断する場合には、会計エージェントの技術や施設のセキュリティを脅かす情報や、他の会計エージェントのクライアントに影響を与える情報を開示することを求められません。

12.          オフショア作業 - インドの会計エージェントが行う作業に特化しており、会計エージェントは、スワブファンドの機密情報にアクセスするために、仮想デスクトップインターフェース（“VDI）を使用し、データ損失からスワブファンドの機密情報を保護するための制御が整備されている必要があります。この制御は、セキュリティスケジュールの条件に従って、スワブファンドの機密情報を保護するためのものでなければなりません。VDIは、ホストマシンや外部デバイスにデータをダウンロードできないように設定されている必要があります。