情報管理・セキュリティ方針

主要な実施対策

1. 基本方針

• 機密情報は、業務遂行に必要な範囲でのみ取得・利用し、目的外利用を行いません。
• アクセス権は「必要な人に、必要な期間だけ」を基本とし、過剰な共有を避けます。
• 認証情報・暗号鍵・データ本体を可能な限り分離し、単一の情報漏えいで全てが突破されない構成を採用します。
• 外部共有は例外運用として扱い、共有先・共有範囲・必要性を確認したうえで実施します。
• 導入した仕組みに依存せず、アカウント、権限、端末、保管先、復旧方法を定期的に見直します。
• 予防的なアクセス制御に加え、対象となる業務環境を定期的に点検し、機密情報・認証情報の不適切な保存や共有を早期に検知・是正します。

2. 情報の分類と保管方針

運用上の補足： 機密情報をローカル端末へ恒久保存することは避け、業務上必要な場合は必要最小限の期間に限定し、作業完了後に整理・削除します。

3. アカウント・管理者権限の管理

• Google環境では管理者用途と通常業務用途を分離し、管理者権限を日常利用アカウントへ常設しない運用とします。
• Cloud Identity を用いて組織アカウントを管理し、退職・契約終了・役割変更時にはアクセス権を速やかに見直します。
• 管理者権限は必要最小限とし、管理操作に使用する認証情報の共有を禁止します。
• 強固な認証と端末側の本人確認を組み合わせ、第三者による不正利用リスクを低減します。

4. Google Drive の運用ルール

• 社内資料は、原則として組織管理下のGoogle Drive領域で保管します。
• 外部共有は「リンクを知っている全員」ではなく、特定の相手への個別共有を基本とします。
• 機密性の高い案件は案件単位でフォルダを分け、閲覧・編集権限を必要なメンバーへ限定します。
• 取引・案件の終了時には、外部共有権限および不要な社内権限を見直します。
• 公開を意図しないファイルについて、安易な一般公開リンクの作成を避けます。

5. 機密情報の保管 - セキュアSAMBA

当社では、機密性が高いファイルの保管・共有に法人向けファイル共有基盤であるセキュアSAMBAを導入しています。Google Driveと役割を分け、情報の重要度に応じて保管先を選択します。

• 案件・利用者単位でアクセス範囲を分け、不要な横断閲覧を避けます。
• 顧客から指定された保管条件がある場合は、契約・個別要件を優先します。
• 外部共有が必要な場合は、目的・共有先・対象ファイルを確認してから実施します。
• 不要となった共有権限・ファイルは、案件終了時等のタイミングで整理します。

6. パスワード・秘密情報の管理 - KeePassXC

認証情報の平文保存や個人メモへの分散を避けるため、パスワードマネージャー KeePassXC を導入し、業務上必要なパスワード・秘密情報を集約管理しています。

• 各サービスでは使い回しを避け、十分な長さとランダム性を持つパスワードを使用します。
• KeePassXC のデータベース、マスター認証情報、追加鍵・復旧情報を分離して管理し、一つの保管先が侵害されても直ちに全認証情報へ到達できない構成とします。
• 復旧情報は暗号化したうえでアクセス範囲を限定し、通常運用のデータ保管先とは分離します。
• ブラウザ拡張は公式連携機能を利用し、必要な認証情報のみを対象サイトへ連携します。

7. 端末・認証の保護

• 業務端末ではWindows Hello等の端末認証を利用し、第三者による端末利用を防止します。
• 画面ロックを適切に利用し、離席時に認証情報や機密情報が閲覧されないよう管理します。
• ソフトウェア・ブラウザ・OSは適切に更新し、既知の脆弱性を放置しない運用を基本とします。
• 端末紛失・盗難・不正アクセスが疑われる場合は、アカウント停止・認証情報変更・アクセス権見直しを優先して実施します。

8. 日次セキュリティ監査

対象となるGitHub、Slack、Gmail、Google Driveの業務環境について、自動化された日次セキュリティ監査を実施します。

• 認証情報の平文残存、顧客機密情報・個人情報の不適切な共有・送信、公開範囲やアクセス権限の過剰設定等を重点的に確認します。
• 検知事項は重大度に応じて分類し、対象・影響・推奨初動・対応期限等を記録して是正につなげます。秘密情報の実値は監査結果へ転載しません。
• 日次監査は補助的な検知統制として位置づけ、MFA、アクセス制御、保管先の限定、パスワード管理等の予防的対策と組み合わせて運用します。

9. セキュリティ事故への対応

10. 外部委託・AI・クラウドサービス利用時の考え方

• 外部サービスへ機密情報を送信する場合は、業務上の必要性、データの取扱条件、学習利用の有無、アクセス制御等を確認したうえで利用します。
• 顧客との契約や秘密保持義務により取扱条件が定められている場合は、その条件を優先します。
• 必要に応じて、サービス提供者の法人向け契約、データ処理条件、DPA等を確認します。
• 個人向け・無料サービスへ、顧客の機密情報を安易に投入しないことを基本とします。

11. 継続的な見直し

• アカウント、管理者権限、外部共有、保管先、認証方式を定期的に見直します。
• 新しいシステムやクラウドサービスを導入する際は、既存の情報管理方針との整合を確認します。
• 顧客・取引先から追加のセキュリティ要件が提示された場合は、案件の特性に応じて個別に対応を検討します。

12. 実施中の情報管理対策