1. 守る対象
この方針で守るのは、次の情報と、それを扱う仕組みです。
- ご契約の業務でお客様からお預かりするデータと、お客様の業務に関する情報
- お問い合わせやお申込みでいただいた個人情報
- 当社の契約、経理、開発などの情報と、それを扱う端末、アカウント、クラウドサービス
2. 守り方の原則
必要な人が、必要な分だけ扱う
情報にアクセスできる人と範囲は、その仕事に必要な分に絞ります。仕事が終わった人や、関わりがなくなった人の権限は外します。
預かるデータは少なく、持つ期間は短く
お客様のデータは、目的に必要なものだけをお預かりします。業務が終わったら、契約に従って返すか消します。
AIで扱うときも、決めた範囲を出ない
お客様のデータをAIで処理するときは、使うサービスと扱う範囲をお客様と取り決め、その範囲の中でだけ扱います。
なりすましと盗み見を防ぐ
情報をやり取りする経路は暗号化します。業務で使うアカウントには、多要素認証を必須とします。
3. 役割と責任
代表取締役が情報セキュリティの責任者として、この方針の実行に責任を持ちます。役員、社員、業務委託のパートナーなど、当社の仕事に関わる全員がこの方針に従います。新しく加わる人には、仕事を始める前にこの方針を伝えます。
4. 外部のサービスと協力会社
クラウドサービスを使うときや、仕事の一部を協力会社にお願いするときは、事前に情報の扱い方を確かめてから決めます。協力会社とは、秘密を守ることを約束したうえで情報を渡します。
5. 事故が起きたとき
情報の漏えいやアカウントの乗っ取りなどが起きた、または疑わしいときは、まず被害が広がるのを止めます。影響を受けるお客様にはすぐにお知らせし、法令で必要な報告を行います。原因を突き止め、同じことが起きない対策を取ります。
6. 法令とお客様との取り決め
個人情報保護法をはじめとする法令、国のガイドライン、お客様と結んだ契約のセキュリティに関する取り決めを守ります。個人情報の扱いの詳細は、「プライバシーポリシー」に定めています。
7. 見直し
事業の内容、使う技術、新しい攻撃の手口は変わり続けます。それに合わせてこの方針と取組みを見直し、改めます。