情報セキュリティ基本方針

1. 経営者の責任

経営者は情報セキュリティ管理体制を整備し、必要な経営資源を投入するとともに、情報セキュリティ活動の継続的な改善を推進します。

2. 法令等の遵守

当社は、個人情報保護法、不正アクセス行為の禁止等に関する法律その他の関連法令、ガイドライン、契約上の義務および社会的規範を遵守します。

3. 情報資産の保護

当社は、以下の情報資産を保護対象とします。

• 顧客情報
• 個人情報
• 契約情報
• 営業秘密
• ソースコード
• システム構成情報
• クラウドサービス上のデータ
• 生成AIサービスにおける入力データおよび出力データ
• その他事業活動上重要な情報

当社は、不正アクセス、情報漏えい、改ざん、破壊、紛失、サービス停止、ランサムウェアその他の脅威から情報資産を保護します。

4. 情報資産の分類と管理

当社は、情報資産の重要度に応じて分類を行い、それぞれに適切な管理基準を定め運用します。

5. アクセス管理

当社は、情報資産へのアクセスを業務上必要な範囲に限定し、最小権限の原則に基づいて権限管理を実施します。

また、入社、異動、退職等に伴う権限付与および権限削除を適切に実施します。

6. 技術的安全管理措置

当社は、情報資産保護のため、以下を含む技術的安全管理措置を講じます。

• 多要素認証（MFA）
• 通信および保存データの暗号化
• 脆弱性管理およびセキュリティパッチ適用
• ログ取得および監視
• マルウェア対策
• バックアップおよび復旧体制の整備
• 端末およびクラウド環境のセキュリティ管理
• 不正アクセス対策

7. 生成AIおよびクラウドサービスの利用

当社は、生成AIサービスおよびクラウドサービスの利用に際し、情報漏えいリスクおよび法令遵守を考慮した適切な管理措置を講じます。

また、お客様からお預かりした情報については、契約または法令上認められる場合を除き、当社のAIモデル学習その他の目的に利用しません。

8. 委託先およびサプライチェーン管理

当社は、業務委託先、クラウド事業者、開発パートナーその他の取引先に対して適切なセキュリティ評価を実施し、必要に応じて契約上の安全管理措置を求めます。

9. 教育および啓発

当社は、全役員および従業員に対して継続的な情報セキュリティ教育および啓発活動を実施し、情報セキュリティ意識の向上に努めます。

10. 情報セキュリティインシデントへの対応

当社は、情報セキュリティ事故またはその疑いを認知した場合、速やかに事実確認を行い、被害拡大防止、原因調査、復旧対応および再発防止策を実施します。

必要に応じて関係当局、お客様および関係者への報告を行います。

11. 事業継続

当社は、自然災害、システム障害、サイバー攻撃その他の緊急事態に備え、事業継続および早期復旧に必要な体制整備に努めます。

12. 継続的改善

当社は、情報セキュリティ管理体制および本方針について定期的な見直しを行い、継続的な改善に努めます。