情報セキュリティ基本方針

1. 情報セキュリティに関する経営責任

当社は、経営者が情報セキュリティ対策の重要性を認識し、必要な管理体制を整備するとともに、継続的に情報セキュリティ対策の改善に取り組みます。

また、事業内容、利用する情報システム、クラウドサービスおよび情報資産の変化に応じて、必要な対策を見直します。

2. 情報資産の適切な管理

当社が保有または取り扱う情報資産について、重要度および機密性等を考慮した適切な管理を行います。

特に以下の情報について、適切なアクセス管理および取り扱いを行います。

• お客様および取引先から提供された情報
• 業務上作成・取得した文書、設計資料、ソースコードおよびデータ
• Gitリポジトリ等で管理するソフトウェア資産
• クラウドサービス上に保存するデータ
• 認証情報、APIキー、アクセスキーその他の秘密情報
• 当社の営業・財務・契約その他の経営情報
• 個人情報および個人を識別できる情報

3. アカウントおよびアクセス管理

当社は、情報システムおよびクラウドサービスへのアクセスについて、必要最小限の権限を付与することを基本とします。

また、パスワードその他の認証情報を適切に管理し、多要素認証等の利用が可能なサービスについては、必要に応じて適切な認証強化策を実施します。

退職、契約終了、権限変更等が発生した場合には、不要となったアカウントおよびアクセス権限を適切に管理します。

4. ソフトウェアおよびシステムの安全管理

当社は、業務で利用するコンピュータ、スマートフォン、ネットワーク機器、OS、アプリケーションおよびクラウドサービスについて、セキュリティ上必要なアップデートを適切に実施します。

また、ウイルス、マルウェア、不正アクセスその他のサイバー攻撃による被害を防止するため、事業規模およびリスクに応じた技術的対策を講じます。

5. バックアップおよび事業継続

当社は、重要な業務データおよび開発資産について、必要に応じてバックアップを実施します。

ランサムウェア、機器故障、誤操作、サービス障害その他の事故によって情報資産が利用できなくなるリスクを考慮し、重要なデータについて復旧可能な状態を維持するよう努めます。

6. クラウドサービスおよび外部サービスの利用

当社は、AWS、GitHub、Microsoft、Google、OpenAI、Anthropic、Unityその他のクラウドサービス、開発サービスおよびAIサービス等を業務上利用する場合があります。

これらのサービスについて、利用目的、保存する情報、アクセス権限、認証方法、契約条件およびセキュリティ機能等を確認したうえで、適切に利用します。

特に、お客様から預かった機密情報、個人情報、ソースコードその他の重要情報を外部AIサービス等へ入力・送信する場合には、契約条件、サービスのデータ利用方針および当社の情報管理ルールを確認し、適切な取り扱いを行います。

7. AIを利用した開発における情報管理

当社は、AIを活用したソフトウェア開発および業務効率化を推進します。

AIコーディング支援サービス、生成AI、API、MCPその他のAI関連サービスを利用する場合には、入力する情報の機密性およびサービス提供者のデータ取り扱い条件を確認し、情報漏えい等のリスクを低減します。

お客様から提供された情報、非公開のソースコード、認証情報、APIキー、個人情報その他の機密情報については、必要な許可なく外部AIサービスへ入力しないことを基本とします。

8. 開発資産およびソースコードの管理

当社は、ソフトウェア開発においてGit等のバージョン管理システムを利用し、ソースコードその他の開発資産を適切に管理します。

認証情報、APIキー、秘密鍵その他の秘密情報については、ソースコードや公開リポジトリ等へ不用意に保存・公開しないよう管理します。

公開リポジトリを利用する場合には、公開範囲および公開内容を確認し、機密情報が含まれないよう適切に管理します。

9. 個人情報の保護

当社は、個人情報を取り扱う場合、関係法令および当社が定める個人情報保護に関するルールに従い、適切に管理します。

個人情報へのアクセスは業務上必要な範囲に限定し、漏えい、滅失または毀損の防止に努めます。

10. 外部委託先および取引先との情報管理

当社が業務の一部を外部の事業者または個人へ委託する場合、必要に応じて情報セキュリティ上の要求事項を確認し、機密情報および個人情報等が適切に管理されるよう努めます。

また、契約上必要な場合には、秘密保持義務その他の情報管理に関する事項を契約等により明確化します。

11. インシデントへの対応

情報漏えい、不正アクセス、マルウェア感染、アカウントの不正利用、データ消失その他の情報セキュリティ上の事故またはその疑いが発生した場合、当社は被害の拡大防止、原因調査、復旧および再発防止に努めます。

お客様、取引先その他の関係者への影響がある場合には、必要に応じて適切な連絡および対応を行います。

12. 法令およびガイドラインの遵守

当社は、情報セキュリティおよび個人情報保護に関係する法令、契約上の義務、その他の適用される規則およびガイドラインを遵守します。

また、独立行政法人情報処理推進機構（IPA）等が公開する情報セキュリティに関するガイドラインを参考にし、当社の事業規模および事業内容に応じた対策を実施します。

13. 教育および意識向上

当社は、役員、従業者および必要に応じて業務委託先に対し、情報セキュリティに関する必要な教育および注意喚起を行います。

特に、フィッシング、不正アクセス、マルウェア、パスワード漏えい、情報の誤送信およびAIサービス利用時の情報漏えい等について、適切な認識を持って業務を行うよう努めます。

14. 継続的な改善

当社は、情報セキュリティ対策の実施状況および情報セキュリティを取り巻く環境の変化を定期的に確認し、必要に応じて本基本方針および関連する対策を見直します。

情報セキュリティ対策を一度実施して終わりとするのではなく、事業環境、技術および脅威の変化に応じて継続的に改善します。

15. 本基本方針の公開

本基本方針は、当社の情報セキュリティに対する基本的な考え方および取り組みを明確にするため、当社Webサイトにて公開します。