このセキュリティポリシーは、有限会社クリフト(以下「当社」)が事業活動を行う上で、情報セキュリティを確保し、お客様からの信頼を得るとともに、企業価値の向上に貢献することを目的とします。情報セキュリティに関する当社の基本的な考え方と行動規範を明確にし、すべての役員および従業員(以下「社員」)がこれを遵守することで、情報資産を適切に保護します。
1. 目的と基本方針
当社は、お客様の情報資産を保護し、提供するシステムの安全性を確保するため、以下の基本方針に基づきセキュリティ対策を実施します。
- 機密性・完全性・可用性の確保を最優先とし、システム開発・運用の各段階で必要な対策を講じます。
- 関連法令(個人情報保護法など)およびガイドラインを遵守します。
- すべての社員が本ポリシーを遵守することで、情報資産を適切に保護します。
2. セキュリティ体制
当社は、以下の体制で全社的な情報セキュリティを統括します。
- セキュリティ責任者を設置し、情報セキュリティに関する方針の策定、監査、教育などを統括します。
- システム設計・実装・テスト段階で、リスク管理を徹底します。
3. 社員個人の情報セキュリティ対策
社員が使用するPCやモバイルデバイスは、情報資産へのアクセスポイントであると同時に、情報漏洩のリスクを抱えています。そのため、社員は以下のセキュリティ対策を遵守するものとします。
デバイスの適切な管理
- デバイスを紛失・盗難から守るため、離席時や退社時には施錠できる場所に保管します。
- デバイスを他人に安易に貸与しません。
認証情報の厳重な管理
- パスワードなどの認証情報は他人に知られないよう厳重に管理します。
- 推測されにくい複雑なパスワード(例：英数字、記号を含む8文字以上)を設定します。
ソフトウェアの適切な利用:
- 許可されていないソフトウェアのインストールは行いません。
- OSやソフトウェアのセキュリティアップデートは、速やかに適用します。
情報へのアクセス制限
- 業務上必要な情報にのみアクセスし、不要な情報にはアクセスしません。
- 会社の許可なく個人的な目的で社内情報にアクセスしません。
マルウェア対策
- アンチウイルスソフトウェアを導入し、常に最新の状態を保ちます。
- 不審なメールやWebサイトに注意し、安易にファイルを開いたり、リンクをクリックしたりしません。
4. 技術的対策
お客様からお預かりしたデータは、当社の最も重要な情報資産です。その保護のため、以下の技術的対策を講じます。
通信・データ保護
- システムと利用者間の通信は、SSLによる暗号化を徹底します。
- 個人情報や機密情報は厳重に管理し、必要に応じて暗号化します。
アクセス制御
- 顧客データへのアクセスは、業務上必要な社員に限定し、最小限の権限のみを付与します。
- 利用者ごとの認証・権限管理を実施し、最小権限の原則を適用します。
脆弱性対策
- 使用するフレームワークやライブラリは、最新の安定版を使用し、定期的に更新します。
ログ管理
- システム操作やアクセスログを取得・保管し、不正アクセスや障害発生時の調査に利用します。
- アクセスログを定期的に監視し、不審な動きがないか確認します。
バックアップ・障害対応
- 重要データは毎日バックアップを取得し、災害や障害発生時に迅速に復旧できる体制を整備します。
5. 顧客データに関する管理
当社は、お客様からお預かりしたデータの適切な管理を徹底するため、以下の対策を講じます。
データライフサイクル全体にわたる保護
- データの生成から破棄に至るまで、ライフサイクル全体を通じて適切なセキュリティ対策を講じます。
委託先の管理
- 顧客データの取り扱いを外部に委託する場合は、当社のセキュリティポリシーと同等以上のセキュリティ対策を講じていることを確認し、適切な契約を締結します。
- 委託先のセキュリティ対策状況を定期的に監査します。
機密保持の徹底
- 社員は、業務上知り得た顧客情報について、社外への開示や私的利用を一切行いません。
- 退職後も顧客情報の機密保持義務は継続します。
6. 運用管理
セキュリティ教育と訓練
- すべての社員に対し、情報セキュリティに関する教育と訓練を年1回以上実施します。
インシデント発生時の対応
- 情報セキュリティインシデント発生時は、セキュリティ責任者または直属の上司に直ちに報告します。
- 被害を最小限に抑えるための適切な措置を講じ、原因究明と再発防止策を策定・実施します。
7. 法令遵守
当社は、情報セキュリティに関する法令、規制、および業界ガイドラインを遵守します。
8. 継続的改善
本ポリシーは少なくとも年1回見直し、技術や脅威の状況、最新のセキュリティ動向に応じて更新し、継続的な改善に努めます。本ポリシーに違反した場合は、就業規則に基づき懲戒処分の対象となる場合があります。
責任者：代表取締役 小柳正和
発行日：2025/8/1