情報セキュリティ基本方針

1. 基本方針

当社は、次の三つの性質を保つことを情報セキュリティの目標とし、事業活動のあらゆる場面でこれを実践します。

• 機密性：情報を、それを扱う正当な権限を持つ者だけが利用できる状態に保つこと
• 完全性：情報が正確かつ完全であり、許可なく改変されていない状態に保つこと
• 可用性：必要なときに、必要な情報とサービスを確実に利用できる状態に保つこと

当社は、事業の規模や取り扱う情報の性質に見合った、実効性のある管理策を選択して運用します。形式的な規程を並べるのではなく、実際に守り続けられる仕組みを整え、その運用状況を定期的に確かめることを重視します。

2. 適用範囲

本方針は、次の情報資産および関係者に適用します。

情報資産

• 受託開発においてお客様からお預かりするソースコード、設計書、仕様書、データ、アカウント情報などの一切の資産
• 自社サービスの利用者に関する個人情報、利用情報、通信に関する情報
• 当社が開発・運用するソフトウェア、ソースコード、サーバー、クラウド上の環境および設定情報
• 契約書、見積書、財務情報、取引先情報などの業務上の情報
• これらを保存・処理・伝送する端末、記録媒体、ネットワークおよびアカウント

関係者

• 当社の役員および従業員
• 当社の業務に従事する業務委託先、協力者およびその要員
• 当社が業務のために利用する外部サービスの選定・運用に関わるすべての者

3. 情報セキュリティ体制

当社は、代表取締役を情報セキュリティに関する最高責任者（以下「情報セキュリティ責任者」といいます）とします。情報セキュリティ責任者は、本方針および関連する規程の制定・改定、情報資産の管理、管理策の導入と運用、事故発生時の指揮、ならびに本方針の遵守状況の確認について、最終的な責任と権限を持ちます。

業務委託先や協力者を当社の業務に関与させる場合は、情報セキュリティ責任者の監督のもとで、関与する範囲に応じた責任と遵守事項を契約により明確にします。当社の体制が変わった場合には、責任者の指名と役割分担を見直し、本方針に反映します。

4. 情報資産の管理

4.1 情報の分類と取り扱い

当社は、取り扱う情報を、漏えいや改ざんが生じた場合の影響の大きさに応じて分類し、分類ごとに保存場所、共有の可否、持ち出しの可否および廃棄の方法を定めます。お客様からお預かりする資産および個人情報は、常に最も慎重な取り扱いを要する情報として扱います。

4.2 アクセス制御

情報資産へのアクセスは、業務上必要な者に、必要な範囲に限って許可します（最小権限の原則）。アカウントは業務ごと・用途ごとに分け、業務の終了や契約の終了に伴い速やかに権限を削除します。管理者権限は日常業務では使用せず、必要な作業のときに限って行使します。

4.3 認証情報の管理

• パスワードは、サービスごとに異なる十分な長さのものを設定し、パスワード管理ツールで安全に保管します。使い回しは行いません。
• 多要素認証に対応するサービスでは、これを有効にします。
• APIキー、アクセストークン、秘密鍵などの認証情報は、ソースコードやドキュメントに直接書き込まず、環境変数または専用の秘密情報管理の仕組みで管理します。これらの情報は、リポジトリ、チャット、メールなどの共有経路に記録しません。
• 認証情報の漏えいが疑われる場合は、直ちに無効化し、再発行します。

4.4 端末の管理

• 業務に用いる端末は、ストレージの暗号化、画面ロック、OSおよびソフトウェアの最新化を行った状態で使用します。
• 端末の紛失・盗難に備え、遠隔でのロックや初期化ができる状態を保ちます。
• 業務用の端末を第三者に貸与したり、業務目的以外の用途と混在させたりしないよう努めます。
• 端末を廃棄・譲渡する場合は、保存されている情報を復元できない方法で消去します。

4.5 クラウドサービスと自社サーバーの管理

当社は、Webサイトの配信、サーバーレス実行環境、メール、ソースコードの管理、決済などに外部のクラウドサービスを、また一部のサービス運用に自社で管理するサーバーを利用しています。これらについては、次の事項を守ります。

• 管理用アカウントには多要素認証を設定し、権限は用途ごとに分けて最小限とします。
• 公開範囲やアクセス権の設定を定期的に点検し、意図しない公開や過剰な権限が残っていないことを確かめます。
• サーバーは、不要なポートやサービスを閉じ、OSおよびミドルウェアの更新を継続的に適用します。管理接続には公開鍵認証などの安全な方式を用います。
• 通信は暗号化（TLS）し、保存する情報は必要に応じて暗号化します。
• 操作ログおよびアクセスログを取得し、異常の有無を確認できる状態を保ちます。

5. 開発におけるセキュリティ

5.1 受託開発におけるお客様資産の取り扱い

受託開発（請負・準委任）においてお客様からお預かりするソースコード、設計書、データ、アカウント情報などは、お客様の資産であり、当社はこれを契約に定められた目的の範囲でのみ使用します。

• お客様資産は、お客様が指定する環境、またはお客様と合意した当社の環境の中でのみ取り扱い、それ以外の場所に複製・保存しません。
• お客様資産の持ち出し、第三者への開示、当社の他の業務や自社サービスへの流用は行いません。
• お客様から貸与されたアカウントや接続手段は、指定された担当者に限って使用し、契約の終了時に返却または削除します。
• 契約が終了した場合、お客様の指示に従い、お預かりした資産を返還または復元できない方法で消去します。

5.2 環境の分離

お客様ごと、案件ごとに作業環境、アカウントおよびリポジトリを分離し、異なるお客様の資産が同じ環境で混在しないようにします。自社サービスの開発環境と受託開発の環境も分離して運用します。本番環境と開発・検証環境は分け、本番データを開発・検証環境に持ち込む場合は、お客様の同意を得たうえで匿名化などの措置を講じます。

5.3 秘密保持

当社は、お客様との間で締結した秘密保持契約およびその他の契約上の義務を遵守します。契約の有無にかかわらず、業務上知り得たお客様の情報を、業務の目的以外に使用したり、第三者に開示したりしません。この義務は、契約の終了後も存続するものとして扱います。

5.4 生成AIをはじめとする外部のAIツールの利用

当社は、業務の効率化のために外部のAIツールを利用することがありますが、その利用にあたっては、次の原則を守ります。

• お客様の資産を外部のAIツールに読み込ませないことを原則とします。お客様からお預かりしたソースコード、設計書、データ、認証情報およびこれらを推測させる情報は、外部のAIサービスに入力しません。
• お客様の明示的な書面による同意があり、かつ入力した内容がサービス提供者の学習に利用されないことが契約上明らかなサービスに限り、同意の範囲内で例外的に利用することがあります。この場合も、認証情報や個人情報は入力しません。
• 自社サービスの開発においても、個人情報、認証情報および公開していない重要な情報は外部のAIツールに入力しません。
• AIツールが生成したコードや文章は、そのまま採用せず、当社の責任で内容を確認したうえで使用します。

5.5 安全なソフトウェア開発

• 入力値の検証、認証・認可の適切な実装、機密情報の暗号化など、安全なコーディングの原則に従います。
• 利用するライブラリやフレームワークは、既知の脆弱性に関する情報を継続的に確認し、更新を適用します。
• ソースコードはアクセス制御されたリポジトリで管理し、変更の履歴を保持します。
• 自社サービスにおいて脆弱性が判明した場合は、影響の評価と修正を優先して行い、必要に応じて利用者に告知します。

6. 委託先・外部サービスの管理

当社は、業務の一部を外部に委託する場合、および情報の保存や処理に外部サービスを利用する場合、次の事項を確かめたうえで委託先・サービスを選定し、利用期間中もその状態を確認します。

• 委託先・サービス提供者において、取り扱う情報の性質に見合った安全管理措置が講じられていること
• 秘密保持、目的外利用の禁止、再委託の制限、契約終了時の情報の返還・消去について、契約または利用規約で明確になっていること
• 情報が保存・処理される国や地域、ならびに当該サービスが提供する管理機能（アクセス制御、ログ、暗号化など）を把握していること
• お客様の資産を委託先に扱わせる必要がある場合は、事前にお客様の承諾を得ていること

7. 法令・契約の遵守

当社は、情報セキュリティに関係する次の法令およびガイドライン、ならびにお客様との契約上の要求事項を遵守します。

• 個人情報の保護に関する法律（個人情報保護法）および関連するガイドライン
• 電気通信事業法その他、当社が提供するサービスに適用される法令
• 不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）
• 不正競争防止法（営業秘密の保護）および著作権法
• お客様との契約、秘密保持契約およびお客様が定める情報セキュリティに関する規程

8. 教育・啓発

当社の業務に携わるすべての者は、本方針および関連する規程を理解し、これを遵守します。情報セキュリティ責任者は、脅威の動向、法令の改正、事故事例などについて継続的に情報を収集し、自らの知識を更新するとともに、業務委託先や協力者に対して、関与する業務に必要な遵守事項を業務の開始時に周知します。

9. 事故対応

情報の漏えい、改ざん、滅失、不正アクセス、認証情報の流出、端末の紛失などの情報セキュリティ事故が発生した場合、または発生のおそれがある場合には、次の手順で対応します。

1. 検知・報告：事故またはその兆候を認識した者は、直ちに情報セキュリティ責任者に報告します。
2. 初動対応：影響の拡大を防ぐため、該当するアカウントの停止、認証情報の無効化、対象システムの隔離などの措置を速やかに講じます。
3. 影響の把握：対象となる情報、影響を受けるお客様や利用者の範囲、原因を調査し、記録します。
4. 関係者への通知：影響を受けるお客様および利用者に、判明している事実、想定される影響、当面の対処をできる限り速やかにお知らせします。個人情報保護法その他の法令に基づく報告が必要な場合は、所定の期限内に監督官庁へ報告します。
5. 復旧・再発防止：原因を取り除いてサービスを復旧し、再発防止策を定めて本方針および関連する規程に反映します。

10. 事業継続

当社は、機器の故障、サービス障害、災害、サイバー攻撃などによって業務やサービスが中断した場合に備え、次の措置を講じます。

• ソースコード、設定情報および業務上の重要なデータについて、複数の場所に定期的にバックアップを取得し、復元できることを確かめます。
• 自社サービスの構成と復旧手順を文書化し、障害時に速やかに再構築できる状態を保ちます。
• お客様との契約において求められる復旧目標がある場合は、それを満たすための手段を事前に整えます。

11. 継続的改善・見直し

当社は、本方針および関連する規程について、少なくとも年に一度、ならびに事業内容、体制、利用するサービス、法令、脅威の状況に重要な変化があったときに見直しを行います。見直しにあたっては、運用の中で判明した課題や事故の教訓を反映し、管理策が実際に機能しているかを確かめたうえで改善します。

本方針に関するお問い合わせ

本方針に関するご質問、ならびに当社の情報の取り扱いに関するご指摘は、当社お問い合わせフォームよりご連絡ください。