情報セキュリティ方針

1. 適用範囲

本方針は、当社が取り扱う顧客情報、個人情報、業務情報、見積・提案資料、設計資料、ソースコード、認証情報、ログ、契約関連情報、当サイトおよび開発・保守業務に関する情報資産に適用します。

2. 基本姿勢

当社は、完全な安全を断定するのではなく、リスクを継続的に把握し、発生可能性と影響度に応じて対策を重ねる多層防御の考え方を採用します。利便性、開発速度、コストとのバランスを取りながら、守るべき情報を明確にし、必要な対策を優先します。

3. 管理体制

情報セキュリティに関する責任者を定め、サービス選定、権限付与、秘密情報の取扱い、外部委託、事故対応について判断・管理します。小規模事業者として過剰な形式主義に偏らず、実効性のあるルールと運用を重視します。

4. アクセス管理

顧客情報、開発環境、クラウドサービス、ソースコード、管理画面等へのアクセスは、業務上必要な範囲に限定します。アカウント、パスワード、多要素認証、権限、共有設定を定期的に確認し、不要になった権限は速やかに削除します。

5. 秘密情報・認証情報の管理

APIキー、パスワード、トークン、秘密鍵、接続情報、顧客データ等は、ソースコードや公開領域に含めず、環境変数、秘密情報管理機能、アクセス制限された保管場所で管理します。共有が必要な場合も、必要最小限の相手・期間・範囲に限定します。

6. 開発時のセキュリティ対策

Webサイト、アプリ、業務システムの開発では、要件に応じて以下の対策を検討・実施します。

• 入力検証、出力エスケープ、CSRF・XSS・SQLインジェクション等への対策
• 認証・認可、権限分離、セッション管理、ログイン保護
• 通信の暗号化、セキュリティヘッダー、ファイルアップロード制御
• 依存パッケージ、フレームワーク、クラウド設定の確認
• 個人情報や機密データを扱う画面・API・DBのアクセス制御

7. AI・自動化ツールの安全な利用

AI、コード生成、業務自動化ツールを利用する場合、個人情報、秘密情報、認証情報、未公開の顧客資料を安易に入力しません。必要に応じて匿名化、要約化、入力範囲の制限、利用サービスの設定確認、契約条件の確認を行います。

8. 外部サービス・委託先の管理

クラウド、メール、ソースコード管理、問い合わせ管理、セキュリティ対策、決済、解析等の外部サービスを利用する場合、サービスの信頼性、セキュリティ機能、データ保存場所、契約条件、権限管理を確認します。外部委託が必要な場合は、守秘義務と情報管理を確認します。

9. ログ・監視・バックアップ

システムの安定運用、不正利用の検知、障害対応、改善のために、必要な範囲でログを取得・確認します。ログには不要な個人情報や秘密情報を含めないよう配慮し、重要なデータについては要件に応じてバックアップと復旧手順を整備します。

10. インシデント対応

情報漏えい、不正アクセス、マルウェア感染、誤送信、設定ミス、脆弱性悪用等のセキュリティインシデントが発生した場合、影響範囲の確認、被害拡大防止、関係者への連絡、原因調査、復旧、再発防止を速やかに行います。法令・契約上必要な報告がある場合は適切に対応します。

11. お客様との役割分担

開発・保守におけるセキュリティは、当社だけでなく、お客様側のアカウント管理、端末管理、業務運用、権限付与、データ入力、従業員教育にも関係します。必要に応じて、実現可能な範囲で運用ルールや権限設計について提案します。

12. 継続的改善

セキュリティ上の脅威、利用技術、法令、事業内容は変化します。当社は、脆弱性情報、依存関係、開発手法、クラウド設定、運用ルールを継続的に見直し、必要な改善を行います。

13. 脆弱性・不審な事象の連絡

当サイトまたは当社が提供するシステムに関して、脆弱性、不審な挙動、誤設定、情報漏えいの疑いを発見した場合は、当サイトのお問い合わせフォームよりご連絡ください。内容を確認し、必要に応じて対応します。