情報セキュリティ管理規程

第1条（目的）

この規程は、株式会社ケーオーシステムワークス（以下「当社」という。）が保有・管理する情報資産を適切に保護し、情報セキュリティの確保を図ることを目的とする。

第2条（定義）

この規程において、次の各号に掲げる用語の意義は、当該各号に定めるところによる。

1. 情報資産：当社が業務上取り扱う全ての情報（電子データ・紙媒体を含む）、情報システム、ネットワーク設備等をいう。
2. 情報セキュリティ：情報資産の機密性・完全性・可用性を維持することをいう。
3. 機密性：許可された者のみが情報にアクセスできる状態を確保すること。
4. 完全性：情報が正確かつ完全である状態を維持すること。
5. 可用性：許可された者が必要なときに情報にアクセスできる状態を確保すること。
6. 従業者：当社の役員、正規従業員、契約社員、派遣社員、アルバイト、業務委託先担当者等、当社の情報資産にアクセスする全ての者をいう。

第3条（適用範囲）

この規程は、当社の全ての従業者及び当社の情報資産を取り扱う全ての者に適用する。

第4条（基本方針）

当社は、以下の基本方針に基づき情報セキュリティに取り組む。

1. 情報資産を適切に管理し、不正アクセス・漏洩・改ざん・紛失等のリスクから保護する。
2. 関係法令・規制及び契約上のセキュリティ要求事項を遵守する。
3. 情報セキュリティインシデントの発生を防止し、発生した場合は迅速に対応する。
4. 情報セキュリティに関する教育・訓練を継続的に実施し、全従業者の意識向上を図る。
5. 情報セキュリティ管理体制を継続的に改善する。

第5条（情報セキュリティ責任者）

1. 当社は、情報セキュリティ責任者を置く。情報セキュリティ責任者は代表取締役が兼務する。
2. 情報セキュリティ責任者は、当社全体の情報セキュリティ管理を統括し、この規程の運用・維持・改善に責任を負う。

第6条（従業者の責務）

1. 全ての従業者は、この規程を遵守し、情報資産の適切な取り扱いに努めなければならない。
2. 従業者は、情報セキュリティに関する疑問・懸念・インシデントを発見した場合、速やかに情報セキュリティ責任者に報告しなければならない。

第7条（情報資産の分類）

情報資産は、重要度に応じて以下のとおり分類し、適切に管理する。

第8条（情報資産の取り扱い）

1. 情報資産は、その分類に応じた適切な方法で保管・利用・廃棄しなければならない。
2. 業務上不要となった情報資産は、復元不可能な方法で速やかに廃棄しなければならない。
3. 情報資産を社外に持ち出す場合は、情報セキュリティ責任者の承認を得なければならない。

第9条（アクセス権限の管理）

1. 情報システムへのアクセス権限は、業務上必要な最小限の範囲で付与する。
2. 従業者の役割・雇用形態が変更された場合、アクセス権限を速やかに見直す。
3. 退職・契約終了時は、全てのアクセス権限を即時に無効化する。

第10条（パスワード管理）

1. パスワードは、英数字・記号を組み合わせた十分な長さ（12文字以上を推奨）のものを使用する。
2. パスワードは他者と共有してはならない。
3. パスワードが漏洩した疑いがある場合は、直ちに変更し情報セキュリティ責任者に報告する。
4. 可能な限り多要素認証（MFA）を導入・利用する。

第11条（執務環境の管理）

1. 重要な情報資産を取り扱う区域への入退室は、適切に管理する。
2. 離席時は、画面ロック等の措置を講じ、情報資産が第三者に閲覧されないよう管理する。
3. 機密情報を含む書類は、施錠可能な場所に保管する。

第12条（機器の管理）

1. 業務用機器（PC・スマートフォン・タブレット等）は、紛失・盗難防止のため適切に管理する。
2. 業務用機器を廃棄・売却する場合は、データを完全に消去する。
3. 私用機器を業務に使用する場合は、情報セキュリティ責任者の承認を得た上で、適切なセキュリティ対策を施す。

第13条（マルウェア対策）

1. 全ての業務用端末にウイルス対策ソフトウェアを導入し、常に最新の状態に維持する。
2. 不審なメール・添付ファイル・URLは開封・クリックしてはならない。
3. マルウェア感染が疑われる場合は、直ちにネットワークから切り離し、情報セキュリティ責任者に報告する。

第14条（ソフトウェア・OS管理）

1. OS・ソフトウェアのセキュリティアップデートは、速やかに適用する。
2. サポートが終了したOS・ソフトウェアは、業務での使用を原則禁止とする。
3. 業務に不要なソフトウェアのインストールは禁止する。

第15条（バックアップ）

1. 重要なデータは定期的にバックアップを取得し、安全な場所に保管する。
2. バックアップデータは定期的に復元テストを実施し、確実に復元できることを確認する。

第16条（クラウドサービスの利用）

1. 業務でクラウドサービスを利用する場合は、情報セキュリティ責任者が承認したサービスのみを使用する。
2. クラウドサービスへのアクセスには、強固なパスワードと多要素認証を使用する。
3. 機密情報をクラウドに保存する場合は、適切なアクセス制御・暗号化措置を講じる。

第17条（インシデントの報告）

1. 従業者は、情報セキュリティインシデント（情報漏洩・不正アクセス・マルウェア感染・機器の紛失等）を発見または疑いが生じた場合、直ちに情報セキュリティ責任者に報告しなければならない。
2. 報告を受けた情報セキュリティ責任者は、被害の拡大防止・原因調査・再発防止策の策定を速やかに実施する。

第18条（個人情報漏洩時の対応）

1. 個人情報の漏洩・滅失・毀損が発生した場合は、個人情報保護法に基づき、個人情報保護委員会への報告及び本人への通知を適切に行う。
2. 顧客の個人情報に関わるインシデントが発生した場合は、速やかに当該顧客に状況を報告する。

第19条（情報セキュリティ教育）

1. 情報セキュリティ責任者は、全従業者に対して年1回以上の情報セキュリティ教育を実施する。
2. 新たに従業者となった者には、業務開始前に情報セキュリティ教育を実施する。
3. 新たな脅威・技術動向に応じて、教育内容を随時更新する。

第20条（規程の見直し）

1. この規程は、年1回以上定期的に見直しを行い、必要に応じて改定する。
2. 法令・規制の変更、重大なインシデントの発生、業務環境の変化等があった場合は、速やかに見直しを実施する。

第21条（違反時の対応）

この規程に違反した従業者に対しては、就業規則・契約の定めに従い、適切な措置を講じる。