1. 目的・適用範囲
本方針は、当社が行う全ての事業、当社が提供する全ての製品及びサービス等、ならびに業務で取り扱う情報資産を対象とします。
2. 経営者の責任と推進体制
当社代表者は、情報セキュリティへの取り組みを主導し、必要な体制・資源を整備します。
3. 法令・規範の遵守
当社は、個人情報保護法その他の関係法令、契約上の義務および社会的規範を遵守します。また、電気通信事業法に基づく届出を行ったうえで電気通信役務（AIによる電話応答等）を提供する場合、同法第4条に定める通信の秘密を尊重し、通信の内容を役務の提供に必要な範囲を超えて取り扱いません。
4. 技術的安全管理措置
当社は、取り扱う情報の種類、サービスの構成および想定されるリスクを確認し、サービスの設計段階から必要かつ適切な技術的安全管理措置を検討・実施します。主な検討項目は以下のとおりです。
- 通信経路の保護：サービスの構成に応じ、HTTPS（TLS）その他の適切な方法で通信経路を保護します。
- 認証情報の保護：認証方法に応じ、認証情報を適切な方法で保管・管理します。
- アクセス制御：利用者の役割と業務上の必要性に応じて、アクセスできる範囲を設定します。
- データの分離：サービスの構成に応じ、顧客ごとの情報を論理的または物理的に分離します。
- ログと監視：必要に応じて操作記録を取得し、異常の把握と原因調査に利用します。
- 非公開情報の保護：扱う情報と利用目的に応じて、閲覧・取得できる範囲を制御します。
- バックアップ：データの重要性とサービス構成に応じて、対象、頻度および復旧方法を定めます。
- 不正アクセス対策：想定されるリスクに応じて、認証、利用制限、監視等の対策を組み合わせます。
5. 生成AIの利用方針
外部の生成AIを利用する場合は、その利用条件と設定を確認し、業務情報が機械学習・モデルの訓練に利用されない設定または契約を選択するよう努めます。生成AIへ渡す情報は、利用目的に必要な範囲に限定します。AIが自動で回答または案内する場合があることを前提とし、重要な判断や外部へ公開する制作物等については、サービスの目的とリスクに応じて人が確認します。
6. データの保管・国外移転
クラウド事業者を利用する場合は、取り扱う情報、利用目的およびサービスの構成に応じて、事業者の利用条件や安全管理措置を確認します。クラウド・通信基盤の一部が外国に所在する事業者により運営される場合は、関係法令に基づき、当該国の制度や事業者の保護措置を確認したうえで必要な対応を行います。AIによる電話応答における録音の有無および取得する情報の範囲は、個別のサービス仕様、契約およびプライバシーポリシー等で定めます。
7. 組織的・人的・物理的措置
- 情報の取扱いルールを整備し、関係者へ周知します。
- 業務委託先に対して適切な監督を行います。
- 端末および認証情報を適切に管理します。
8. インシデント対応
情報セキュリティ事故（漏えい・不正アクセス等）が発生し、またはそのおそれがある場合、速やかに被害の拡大防止、原因調査、関係者への報告・通知および再発防止を行います。
9. 継続的改善
本方針および対策の有効性を定期的に見直し、技術や脅威の変化に応じて継続的に改善します。