「情報セキュリティ・共同責任ポリシー」

01 検証可能な安全管理措置

本ポリシーは、読まれるためだけでなく、検証されるために存在します。以下の数値は、改定時点における実際の設定値であり、目標や予定ではありません。

内部構成、ファイアウォール規則、認証情報の名称など、公開により安全性を損なう情報は、取引先審査において秘密保持契約のもとで提供します。

02 多層防御

単一の対策でシステムを保護することはできません。ひとつの層が破られても直ちにデータが露出しないよう、多層構造で防御します。

03 データの保管場所および取扱事業者

本項目は取引先審査において最も重要となるため、他の項目に先立ち、明確に記載します。

ご契約により、お客様は上記の取扱いに同意されたものとします。データを日本国内に限定して保管する必要がある場合は、契約前にお申し出ください。現行構成とは異なるため、契約書への明記が必要です。

04 通信・アカウント・アクセス制御

システムへのアクセスは、すべて暗号化された経路および記名アカウントにより行います。複数人で共有するアカウントや、匿名によるお客様データへのアクセスは存在しません。

05 バックアップおよび事業継続

バックアップは毎日自動的に取得し、本番サーバー外へ複製します。サーバーの喪失がデータの喪失に直結しない構成です。

データベースは、サービスを停止することなく整合性を保った状態で取得します。実行結果は記録され、復元が必要になった時点ではなく、その時点でバックアップの失敗を検知できます。

06 責任分担

実際のインシデントの多くは、提供者側の技術的欠陥ではなく、放置された権限、保護されていない端末、共有されたパスワードに起因します。したがって、責任分担を明示します。

07 インシデント対応

不正アクセス、漏えい、滅失または改ざんが発生した場合、定められた手順に従います。最悪の局面で場当たり的な対応とならないようにするためです。

1. 01封じ込め進行中の事象を停止し、影響範囲を限定します。必要に応じ、機能を一時停止します。
2. 02証跡の保全是正の前に記録および証跡を保全し、事後に原因を特定できるようにします。
3. 03影響調査アクセスされた範囲、対象となるデータの主体および実際の影響を、過小評価することなく特定します。
4. 04通知確度の高い情報が得られ次第、影響を受けたお客様へ通知し、法令上必要な場合は監督官庁へ報告します。
5. 05是正症状ではなく原因を除去し、是正が有効であることを確認します。
6. 06再発防止教訓を記録し、同種の不具合が形を変えて再発しないよう、手順またはコードを改めます。

08 AI利用における文脈の限定

当社は、サポート、整理および点検において AI を利用します。これは対応能力を高める一方、誤りの影響範囲も広げます。したがって、設計上その利用範囲を限定します。

• エージェントには、対象製品および対応中の利用者に関する文脈のみを与えます。
• 不可逆な操作および重大な判断には、人による確認を必須とします。
• AI は、当社またはお客様に代わって法務、医療、財務または懲戒に関する判断を行いません。

09 現時点の限界

以下の措置は、現時点で未導入です。その不存在がお客様のご判断に影響し得るため、また、これを秘することは誤導にあたるため、明記します。

10 脆弱性の報告

当社のいずれかのシステムに脆弱性を発見された場合は、公表前にお問い合わせ窓口へご連絡ください。当社は、受領、調査および結果の回答を行います。

• 検証にあたり、第三者のデータへのアクセス、変更または複製を行わないでください。
• 他の利用者のサービス品質を低下させる試験は行わないでください。
• 誠実にこれらを遵守して報告された方に対し、当社が法的措置を講じることはありません。