情報セキュリティ方針群

 １．アクセス制御方針

情報に対するアクセス制御は、責任者を定めてグループごとに行う。また、必要に応じて、利用者ごとにアクセスを制御します。
情報資産は「関係者外秘密」「社内一般」「公開」に機密レベルを分類し、各々アクセス方法や管理方法を設定します。
業務に関するデータが保存されているオンラインストレージへのアクセスへはパスワード以外の要素を認証に用いることで機密性を確保します。

２．情報機器管理方針

長期の離席時には自身の机の上に放置せず、原則として所定の施錠できる場所に重要情報を保管します。 情報機器およびシステムは、認可されていない変更を防止し、常に安全な設定（セキュリティ構成）が維持されるよう構成管理を行います。
パスワードロック付きスクリーンセーバーを設定し、定期的に作業場所の整理整頓を実施します。

３．情報機器の利用・廃棄方針

会社から情報機器を貸与され、利用する際には、申請を行い、社内利用中資産として管理します。従業員が私物の機器を業務で利用する際にはソフトウェアの最新化やパスワード設定規定、セキュリティソフトを導入した上でBYOD申請を行い、承認された場合のみ利用可能とします。

４．情報保管・バックアップ方針

情報の保管は、原則として当社が承認したクラウドストレージに保存し、ファイル履歴機能等によりバックアップを確保します。 クラウドサービスの利用にあたっては、当社のセキュリティ要求事項を満たすサービスを選定し、利用の開始から終了（データの回収・抹消）までを適切に管理します。

５．情報移送方針

情報移送を行う際には事前に上長の承認を得た上で、既定の申請書にて承認を受けた場合にのみ移送可能とします。
移送に電子メールを使用する場合には、ダウンロード用URLを付与した本文を送付し、データ自体の添付は行わないこととします。

６．供給者関係のための情報セキュリティ方針

委託先およびサービス提供者が、当社の情報資産を利用したり、アクセスしたりする場合には、当社のISMS要求事項に従うこと等について合意し、秘密保持契約書などを締結します。

７．セキュリティに配慮した開発のための方針

セキュリティに配慮した開発（セキュア開発）の推進を行います。
プロジェクトごとの判断としますが開発環境、試験環境および運用環境は許可されていないアクセスまたは変更によるリスク低減のために分離します。

８．情報の削除方針 

不要になった情報資産は、法令および契約上の保持期間を確認した上で、復元不可能な方法で速やかに削除・物理的破壊を行い、不必要な露出を防止します。

９．データマスキング方針 

機密性が極めて高い情報や個人情報を取り扱う際は、業務上の必要性に応じてデータマスキング、仮名化、または匿名化を行い、情報の保護を強化します。

１０．脅威インテリジェンス活用方針 

最新の脅威情報（脅威インテリジェンス）を継続的に収集・分析し、適切なリスク低減処置および是正処置に反映させることで、変化するサイバー攻撃の脅威に先んじて対応します。