セキュリティーポリシー

当社は、情報資産の保護を重要な責務と認識し、社会的信頼の維持とお客様の安心のため、以下の通り情報セキュリティ基本方針を定め、実施いたします。

1. 情報資産の保護と継続的改善
当社は、情報資産への不正アクセス、漏洩、改ざん、紛失等を予防するため、以下の技術的対策を含む適切な安全対策を講じます。

リモートアクセス管理
VPN・暗号化通信の必須化、多要素認証（MFA）の導入、アクセスログの取得・監査を実施。

クラウドセキュリティ
データ分類に基づく暗号化、アカウント権限の最小化、設定変更履歴の記録管理を徹底。

2. リスクアセスメントの実施
全ての情報資産を対象に年1回以上のリスクアセスメントを実施し、クラウド環境やテレワーク関連リスクも評価対象に含めます。

3. 管理体制の明確化と教育の徹底
リモートアクセス権限管理者とクラウドサービス責任者を明確に任命し、全従業員に年2回以上の実践的研修を実施します。

4. 法令・規範の遵守
ISO/IEC27017（クラウドサービスセキュリティ）や総務省ガイドライン等、最新規格を順守します。

5. 契約上の守秘義務の遵守
クラウドサービス利用時もデータ主権を確保し、機密情報のサードパーティ管理に厳格な契約条項を適用します。

6. 事故発生時の対応
リモートアクセス経路の遮断手順やクラウドデータの緊急バックアップ体制を整備し、72時間以内の初動対応マニュアルを策定します。

7. プライバシー保護と個人情報管理
クラウド上での個人情報処理時はEU一般データ保護規則（GDPR）にも準拠した管理を実施します。

8. 技術的セキュリティ基準
以下の具体策でシステムの堅牢性を確保します。

アクセス制御
IP制限/時間帯制限の設定、セッションタイムアウト（15分以上無操作時自動切断）

端末管理
会社認証端末へのMDM（モバイルデバイス管理）導入、自動更新の強制適用

クラウド設定
パブリックアクセス禁止、バケットポリシーの厳格化、監査ログの90日以上保持