情報セキュリティ基本方針

当社は、情報セキュリティを事業運営上の重要課題として位置づけ、経営者の責任のもと、 組織的かつ継続的な改善に取り組みます。

当社は、お客様、取引先その他の関係者からお預かりした情報および当社が保有する情報資産を、 不正アクセス、漏えい、改ざん、滅失、災害、誤操作その他の脅威から保護し、事業の安定した継続と信頼の維持に努めます。

本方針は、当社の役員、従業者、業務委託先その他当社の情報資産を取り扱う関係者に適用します。 個別のサービス、契約または法令により追加の要件が必要な場合は、それらに応じた基準を別途定めます。

当社は、情報セキュリティに関する責任と役割を明確にし、情報資産の重要度、取り扱う情報の性質、 想定される脅威および事業への影響に応じて、リスクを識別、評価し、合理的な対策を講じます。

新しいシステム、クラウドサービス、委託先または重要な機能を導入する場合も、利用開始前および利用中に、 必要な範囲で情報セキュリティ上のリスクを確認します。

当社は、情報セキュリティ、個人情報保護、知的財産権その他の関係法令、行政機関の指針、 業界上の規範およびお客様・取引先との契約上の義務を確認し、これらを遵守します。

当社は、情報資産をその重要度や機密性に応じて取り扱い、取得、利用、保存、共有、持出し、 返却および廃棄の各段階で、必要な管理を行います。

情報およびシステムへのアクセスは、業務上必要な者と範囲に限定し、認証情報、権限および利用状況を リスクに応じて管理します。役割の変更や業務終了時には、不要となった権限を見直します。

当社は、システムおよびサービスの企画、設計、開発、テスト、提供、保守および終了までの各段階で、 情報セキュリティを考慮します。

ソフトウェアや機器の更新、脆弱性情報の確認、設定の点検、ログの保全、不正な通信の抑制その他の対策を、 システムの用途とリスクに応じて実施します。確認された脆弱性は、影響と緊急度を評価して対応します。

当社が情報の取扱いやシステム運用を外部へ委託し、またはクラウドサービスを利用する場合は、 取り扱う情報とリスクに応じて、提供者の安全管理、責任分担、データの保存・削除、再委託、 インシデント時の連絡その他の条件を確認し、必要かつ適切な監督を行います。

当社は、情報資産を取り扱う関係者がその責任を理解し、必要な知識と注意をもって行動できるよう、 役割とリスクに応じた教育、注意喚起およびルールの周知を行います。

当社は、情報セキュリティ上の事故またはその兆候を早期に把握し、影響の拡大防止、原因調査、復旧、 再発防止に取り組みます。法令または契約上必要な場合は、関係機関、お客様、取引先その他の関係者への 通知・報告を適切に行います。

当社は、障害、災害、サイバー攻撃その他の事象が発生した場合に備え、重要な情報およびシステムについて、 バックアップ、復旧手順、代替手段その他の対策をリスクに応じて整備し、事業への影響を抑えるよう努めます。

当社は、技術、事業、法令、契約および脅威の変化ならびにインシデントから得られた知見を踏まえ、 本方針、関連するルールおよび情報セキュリティ対策を定期的または必要に応じて見直し、改善します。

• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
• 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• NIST Cybersecurity Framework 2.0
• ISO/IEC 27001:2022

本方針は、これらの指針を参考に当社の基本姿勢を示すものであり、特定の認証取得または各指針への 完全な適合を表明するものではありません。