情報セキュリティ基本方針

1. 適用範囲

本方針は、当社が事業活動において取り扱うすべての情報資産、ならびに当社のすべての役員および従業員(業務委託先を含みます)に適用されます。

2. 法令等の遵守

当社は、個人情報保護法をはじめとする情報セキュリティに関連する法令、規範およびお客様との契約上の義務を遵守します。

3. 管理体制

当社は、情報セキュリティに関する責任者を定め、情報セキュリティ対策の導入、運用および見直しを統括する体制を整備します。

4. 具体的な取り組み

1. アクセス制御: 情報資産へのアクセスは業務上の必要性に基づき最小限の範囲で許可し、ロールに基づく権限管理および多層的な認可の仕組みを実施します。
2. 暗号化: 通信はすべてTLSにより暗号化し、保存データはストレージ層の暗号化に加え、機微性の高い項目にはアプリケーション層での暗号化を実施します。
3. 監査ログ: 機微な情報の閲覧・変更を記録し、不正な取扱いを検知・追跡できる体制を維持します。
4. 脆弱性管理: 依存ソフトウェアの脆弱性を継続的に把握し、重大な脆弱性には速やかに対処します。
5. 委託先管理: クラウドサービス等の委託先の選定にあたり第三者認証の取得状況等を確認し、当社と委託先との契約において適切な安全管理措置を義務付けます。
6. 教育: 当社の役員および従業員に対し、情報セキュリティに関する教育を継続的に実施します。

5. インシデント対応

当社は、情報セキュリティに関する事故の予防に努めるとともに、万一事故が発生した場合に備え、被害の拡大防止、原因究明、再発防止および関係者への速やかな報告(個人データの漏洩等における個人情報保護委員会への報告および本人への通知を含みます)を行うための体制を整備します。

6. 継続的改善

当社は、情報セキュリティを取り巻く環境の変化および技術の進展に応じて、本方針および関連する対策を定期的に見直し、継続的な改善に努めます。