情報セキュリティ方針・規程

第1.1条（目的）

本規定は、当社が提供するサービスにおける情報セキュリティの確保を目的とし、情報資産の機密性、完全性、可用性を維持するために必要な事項を定める。

第1.2条（適用範囲）

本規定は、当社の全役員および従業員、業務委託先に適用する。

第1.3条（定義）

• 情報セキュリティ最高責任者：代表取締役
• 情報セキュリティ責任者：CTO
• 情報資産：当社が保有・管理するすべての情報およびそれを処理するシステム
• 内部監査チーム：取締役を中心として構成される監査チーム

第1.4条（方針のレビューと周知）

1. 本規定は年1回以上見直しを行い、必要に応じて改定する
2. 本規定は全従業員に周知し、新入メンバーには参画時に教育実施する
3. 規定の改定時は速やかに全従業員に周知する

第2.1条（役割と責任）

第3.1条（攻撃手法情報の収集）

第4.1条（データ分類と取扱い）

第4.2条（データのエクスポート・ポータビリティ）

1. 自社提供SaaSにおけるユーザー領域データは顧客依頼に基づき出力を想定する（利用顧客リスト等）
2. システム領域データは原則として出力不可の対応とする（インシデント対応において顧客から契約上の責務として要求されるケースは例外とする）

第5.1条（アクセス制御の基本方針）

1. 最小権限の原則（PoLP: Principle of Least Privilege）に基づき情報セキュリティ責任者が管理すること
2. 個人アカウントの利用を原則とし、共有アカウントを使用しないこと
3. アクセス権限は情報セキュリティ責任者の管理・承認により付与・変更・削除をおこなうこと

第5.2条（アカウント管理）

第5.3条（認証管理）

第6.1条（外部関係者との合意）

1. 外部関係者との情報共有時は必ずNDAを締結すること
2. クラウドプロバイダー等のPaaS・SaaSについては契約時にセキュリティポリシーを確認すること
3. 各サービスの規定改定通知に応じて不定期での変更点チェックを実施すること

第7.1条（インシデント対応体制）

第7.2条（サービス利用者への報告）

第7.3条（インシデントからの学習と改善）

第8.1条（情報セキュリティ継続計画）

1. 原則、ゾーン冗長以上でのデータ冗長性担保を行うこと
2. 提供サービスはDDoS攻撃対策を含む基盤でホスティングすること（WAFは顧客の要求に応じて必要なら実装すること）

第9.1条（内部監査）

第9.2条（サービス管理状況のレビュー）

1. 情報セキュリティ責任者による年1回以上の管理状況確認
2. 本規定の遵守状況・改善必要項目の特定・対策実施

第9.3条（ソースコードレビュー）

情報セキュリティ責任者によるコードレビューを本番リリース前に必須実施

第10.1条（操作手順書）

1. 原則プロセス自体を自動化すること
2. 手動操作が必要な部分は手順ドキュメントを用意し、関係者が参照可能とするすること

第10.2条（特権管理）

1. 特権を利用した操作は例外時のみ特別に実施し、平常時は厳に慎むこと
2. 運用者への特権付与は行わず、管理者のみが実施すること
3. 特権IDは情報セキュリティ責任者のみが保持し、決して運用者に付与しないこと

第10.3条（変更管理）

第10.4条（サービス変更通知）

• 本稿初版の施行以降、toC利用者への変更通知を計画すること
• toB契約者に対して重要な変更・メンテナンスは個別に通知すること

第11.1条（セキュリティ教育）

1. 全従業員に年1回以上の情報セキュリティ教育を実施すること
2. 新入メンバーには参画時に本規定の教育を実施すること
3. 本規定を教育資料とし、年1回の見直し・更新を実施すること

第11.2条（セキュリティ事象の報告）

セキュリティ事象は発見者が直ちに情報セキュリティ責任者に報告する体制とすること

第12.1条（物理的管理）

1. クラウドサービスを利用し、アカウント権限管理により制御すること
2. オンプレ資産は原則保有しないこと（物理的入退管理等を不要とするため）
3. 執務室は原則リモートワークを標準とする
4. オフィス利用は取締役・役員のみを原則とし、かつ代表取締役が施錠管理を行うこと

第12.2条（環境分離）

• 開発・検証・本番環境は論理的に分離し、相互のデータアクセスを制限すること

第12.3条（マルチテナント分離）

• 最低限、アプリケーション内ミドルウェアレベルでのテナントID別データ出し分けを実装し、他テナントデータへのアクセスを技術的に防止すること
• 重要な分離に関しては行レベル分離などの技術を活用してより厳密な権限分離をおこなうこと

第12.4条（特権アクセス制限）

1. 特に重要な情報（顧客データ・暗号化キー・認証情報）へのアクセスは情報セキュリティ責任者が管理すること

第12.5条（認証強化）

第12.6条（不正ログイン対策）

1. DDoS対策・レート制限を実装
2. 多要素認証対応（GoogleおよびLINEプラットフォーム機能活用）

第12.7条（マルウェア対策）

運用端末（Mac OS）にOS標準のマルウェア対策機能を有効化し、定期的なセキュリティアップデートを適用

第13.1条（技術的脆弱性管理）

第13.2条（脆弱性診断）

第14.1条（ログ取得）

1. 利用システムで対応している場合、必ず監査ログを取得する設定を有効にすること

第14.2条（ログ確認）

1. システム要員の操作ログを不定期で確認すること
2. 重要操作は情報セキュリティ責任者以外のアクセスを制限すること

第14.3条（時刻管理）

1. 原則サーバー時刻を利用する処理を避けること（例：日時情報はDB側タイムスタンプに準拠し整合性を担保する等）

第15.1条（BYOD利用条件）

第15.2条（リモートワーク環境）

第16.1条（施行日）

本規程は、2025年8月30日より施行する。

第16.2条（改訂）

本規程の改訂は、情報セキュリティ責任者の提案により、代表取締役の承認を得て行う。

第16.3条（罰則）

本規程に違反した場合は、就業規則に基づき適切な措置を講ずる。