情報セキュリティ方針。

1. 適用範囲と責任体制

本方針は、当社の役員・従業者、業務で利用する情報システムおよび委託先による取扱いに適用します。情報資産の管理責任と事故時の報告経路を定め、取扱状況を確認します。

2. 情報の分類と最小権限

情報を内容・機密性・検討段階に応じて分類し、閲覧・編集・持出し権限を業務上必要な担当者へ限定します。異動、担当変更または業務終了時には、権限の変更・削除を行います。

3. 段階的な情報開示

• 初期検討では、社名等を伏せたノンネーム情報を使用します。
• 社名、顧客、従業員その他特定可能な情報は、候補先ごとの事前確認と必要な秘密保持手続き後に開示します。
• 開示する資料・項目・相手・時期を記録し、目的に必要な範囲へ限定します。
• 検討終了時は、契約および法令に従って返却・削除を求めます。

4. 技術的・物理的な対策

通信の暗号化、認証、アクセス制御、更新管理、マルウェア・不正アクセス対策、ログの確認、端末・媒体の管理およびバックアップ等を、情報の重要度に応じて実施します。詳細な構成や認証情報は公開しません。

決算書、顧客台帳、契約書、図面等の機密資料は、初回フォームや通常の自動返信メールへ添付せず、担当者が案内する方法で共有してください。

5. 従業者と委託先の管理

従業者に守秘義務を課し、個人情報・営業秘密・標的型攻撃・誤送信等に関する教育を行います。外部事業者へ取扱いを委託する場合は、安全管理体制を確認し、契約により取扱目的、再委託、事故報告、返却・削除等を定め、必要かつ適切に監督します。

6. 保存・削除・事業継続

情報は、利用目的、契約、法令・ガイドライン上の記録保存に必要な期間に限って保有し、不要となった情報・媒体は復元困難な方法で削除・廃棄します。障害・災害時に必要な業務を継続・復旧できるよう、重要情報のバックアップと復旧手順を整備します。

7. インシデント対応

漏えい、滅失、き損、不正アクセス等を把握した場合は、被害拡大の防止、事実調査、原因分析、再発防止を行います。個人情報保護法その他の法令上必要な場合は、関係機関への報告および本人への通知を行います。

8. 継続的改善

法令、脅威、サービスおよび取扱情報の変化を踏まえ、情報セキュリティ対策と本方針を定期的に見直します。