情報セキュリティ基本方針

1. 目的

当社は、事業活動で取り扱うお客様の情報資産および当社の情報資産を、事故、災害、犯罪などのあらゆる脅威から保護し、お客様ならびに社会の信頼に応えるべく、組織的かつ継続的に情報セキュリティに取り組みます。

2. 経営者の責務

当社代表取締役は、情報セキュリティに関する最終的な責任者として、本方針の策定、導入、運用および継続的な改善を主導します。独立行政法人情報処理推進機構（IPA）が示す「経営者が認識すべき3原則」に基づき、経営者のリーダーシップのもとで全社的な情報セキュリティ体制を構築・維持し、本方針を実践するために必要な経営資源を確保するとともに、自らが率先して本方針を遵守します。

3. 適用範囲

本方針は、当社のすべての事業活動、当社の情報資産にアクセスするすべての者（役員、従業員、業務委託先の担当者等を含みます。）、ならびに当社が事業活動において入手および知り得た情報と業務上保有するすべての情報資産（電子データ、紙媒体の書類、ソフトウェア、ハードウェア、ネットワーク設備等）に適用します。

4. 情報セキュリティの基本原則

当社は、情報資産の「機密性」「完全性」「可用性」を維持することを、すべての対策の根幹に据えます。

• 機密性：情報資産へのアクセスを認可された者のみに限定し、不正な開示や漏えいから保護します。
• 完全性：情報資産およびその処理方法が正確かつ完全な状態であることを保証し、不正な改ざんや破壊から保護します。
• 可用性：認可された者が必要とするときに、情報資産および関連システムへ中断なくアクセスできる状態を確保します。

5. 責任と体制

当社代表取締役を情報セキュリティの最高責任者とし、本方針に定める対策を計画、実行、評価、改善する権限と責任を負います。当社は、本方針のもとに情報セキュリティ対策基準および関連規程（情報セキュリティ管理規程、電子メール利用セキュリティ規程、セキュリティインシデント対応・復旧規程、受託業務におけるリスク分析・評価規定等）を整備し、これらに基づいて情報セキュリティ対策を実施します。

6. リスク管理

当社は、保有する情報資産を特定・分類し、脅威と脆弱性を踏まえたリスクの分析・評価を定期的に実施したうえで、リスクに応じた適切な対策を講じます。特にお客様からの受託業務においては、業務ごとにリスクを評価し、お客様の情報を安全に取り扱います。

7. 法令および契約上の要求事項の遵守

当社は、個人情報の保護に関する法律、不正アクセス行為の禁止等に関する法律をはじめとする情報セキュリティ関連の法令、規制、規範、ならびにお客様との契約に含まれるセキュリティに関する義務を特定し、これを遵守します。

8. 情報セキュリティ教育

当社は、IPAやJPCERT/CC等が発信するセキュリティ情報や注意喚起を定期的に確認し、新たな脅威や攻撃の手口に関する知識を継続的に更新するとともに、情報資産にアクセスするすべての者に対して必要な教育・注意喚起を行い、情報セキュリティ意識の向上に努めます。

9. インシデントへの対応

情報セキュリティ上の事故またはそのおそれが生じた場合には、あらかじめ定めた手順に従って被害の拡大防止、原因の究明および復旧を迅速に行い、法令や契約に基づき、お客様および関係機関に対して誠実かつ適切に報告します。あわせて、再発防止策を講じます。本方針からの逸脱が確認された場合も、これをインシデントとして扱い、記録、原因分析、再発防止に取り組みます。

10. 継続的改善

当社は、事業内容の変化、技術の進展、新たな脅威の出現など、内外の環境変化に対応するため、PDCAサイクルを適用し、本方針および関連する規程・手順を定期的（少なくとも年1回）に見直し、情報セキュリティマネジメントの継続的な改善に努めます。あわせて、IPA「5分でできる！情報セキュリティ自社診断」を年1回実施し、その結果を見直しに反映します。