情報セキュリティ基本方針

代表取締役は、本方針の策定および見直し、ならびに情報セキュリティ対策に必要な経営資源の割当てについて責任を負います。

本方針は、当社の全ての役員および従業員、ならびに当社が業務上取り扱う全ての情報資産に適用します。

情報セキュリティ責任者を任命し、方針の運用、事故対応の指揮および教育の実施を担当させます。責任者は少なくとも年1回、対策状況を代表取締役に報告します。

全ての役員および従業員に対し、少なくとも年1回、情報セキュリティ教育を実施します。

個人情報の保護に関する法律その他の関係法令、およびお客様との契約上の秘密保持義務を遵守します。

情報資産へのアクセス権は、業務上必要な者に必要な範囲でのみ付与します。従業員の異動・退職の際は、遅滞なくアカウントを停止または削除します。

推測されにくいパスワードを設定して使い回しを行わず、多要素認証が利用できるサービスでは原則としてこれを有効にします。

業務用端末には修正プログラムを速やかに適用し、ウイルス対策機能を有効に保ちます。画面ロックおよび可能な範囲でのディスク暗号化を実施します。

業務で利用するクラウドサービスを一覧化し、用途、保存する情報の種類および公開範囲の設定を定期的に点検します。

業務の継続に必要なデータを定期的にバックアップし、原本と異なる場所に保管したうえで、復元できることを定期的に確認します。

業務を外部に委託する場合は、委託先の情報セキュリティ体制を確認し、秘密保持義務および再委託の制限を契約または覚書で定めます。

情報セキュリティ上の事故またはその疑いを認知した場合は、直ちに情報セキュリティ責任者に報告し、被害の拡大防止、原因の調査、関係者への報告および再発防止策の策定を行います。個人情報の漏えい等が発生した場合は、法令に従い個人情報保護委員会および本人へ報告・通知します。

生成AIを含む外部のサービスを業務で利用する場合は、社内規程で定めた範囲に従い、お客様の機密情報および個人情報を無断で入力しません。

少なくとも年1回、対策状況を点検し、点検結果、事故の発生状況および事業環境の変化を踏まえて本方針および具体的な対策を見直します。