情報セキュリティ

情報セキュリティ基本方針

1. 目的

当社の重要な情報資産を安全かつ効率よく活用・維持するため、情報セキュリティマネジメントシステム（ISMS）を構築し、当社の経営資源である情報資産をあらゆる脅威から保護するために必要な情報セキュリティの確保を目的として、システムとマネジメントの両面から防衛に取り組みます。

本情報セキュリティ基本方針は、当社及びお客様から委託された情報資産を利用するすべての者が、情報セキュリティを確保するにあたって遵守すべき基本的な指針を定めたものです。

2. 目標

当社は、情報の機密性・完全性・可用性を確保するため、情報セキュリティリスクアセスメントに基づく対策を実施するとともに、情報セキュリティの水準を維持し、継続的に改善・向上することを目標とします。

3. 適用範囲

本情報セキュリティ基本方針は、当社及びお客様から委託された情報資産を対象とし、それらを取り扱うすべての役員及び従業員（パート・アルバイト・派遣社員を含む）に適用されます。また、業務委託先等の第三者が当社の情報資産を取り扱う場合にも、本方針の趣旨を遵守させるものとします。

4. 情報セキュリティの組織

情報セキュリティ統括責任者は、情報漏洩等に係わる危機管理及びセキュリティ全般に関わる全社的な方針を決定します。

情報セキュリティ統括責任者の下に実質的な情報セキュリティ事項を総括する情報セキュリティ対策室を設けます。対策室は対策室長と各部門の情報セキュリティ責任者から構成され、情報セキュリティ関連文書の作成・改訂・廃棄の審議並びにそれらに関連する重要事項の決定等を行い、関係部署への通達、調整を行うとともに、各部門における遵守状況の監視を行います。

5. 情報資産の管理と分類

各役員及び従業員は、当社で取り扱うすべての情報資産を適切に管理しなければなりません。各部門の情報セキュリティ責任者は、担当する情報資産を適切に管理するとともに、情報資産はその内容により分類され、重要度に応じて適切に保護されます。

6. 情報資産の取扱い

当社は、情報資産に対する閲覧権限を与えられた者のみが、その情報資産の内容を閲覧することを認め、変更権限を与えられた者のみが変更を行うことを認めます。また、各情報セキュリティ責任者は、権限を与えられた者がいつでも適切に情報資産を利用できるよう管理します。

7. クラウド・テレワーク環境のセキュリティ

当社は、クラウドサービス及びテレワーク（リモートワーク）の利用に際し、情報資産の機密性・完全性・可用性を確保するための適切なセキュリティ対策を実施します。

（１）クラウドサービスの利用
事前に情報セキュリティ対策室の承認を得るものとし、利用するサービスのセキュリティ要件を確認・評価した上で導入します。

（２）テレワーク時のセキュリティ
テレワーク時においても、社内ネットワーク利用時と同等のセキュリティ水準を維持するため、会社が指定する方法によりアクセスし、情報の取扱いに関するルールを遵守します。

（３）通信の暗号化
公衆無線LAN等の安全性が確保されていないネットワークを通じた情報資産へのアクセスは、VPN等の暗号化通信を利用する場合を除き、原則として禁止します。

8. サプライチェーン管理

当社は、業務委託先・外部サービス事業者等のサプライチェーン全体にわたる情報セキュリティリスクを認識し、適切な管理を行います。

（１）委託先の管理
委託先における情報セキュリティの実施状況を定期的に確認し、問題がある場合は是正を求めます。

（２）契約終了時の対応
委託先との契約終了時は、当社の情報資産が確実に返却・廃棄されることを確認します。

9. 生成AIの利用

当社は、生成AI（人工知能）ツールの業務利用に際し、情報漏洩リスクに十分注意を払い、以下の原則を遵守します。

（１）情報入力の安全性確認
生成AIサービスへ情報を入力する際は、入力する情報の重要度と、利用する生成AIサービスの安全性（入力情報がAIの学習に利用されないこと等）を確認した上で行います。お客様及び当社が保有する個人情報は、原則として入力しません。また、お客様から受領した情報を入力する場合は、当該お客様との契約及び秘密保持義務に反しないことを確認します。

（２）承認されたツールの使用
業務上、生成AIを利用する場合は、情報セキュリティ対策室が承認した利用方法・ツールに限定します。

（３）出力情報の検証
生成AIが出力した情報は、その正確性・適切性を利用者自身が確認した上で使用します。

10. 監視・監査

各情報セキュリティ責任者は、情報資産が適切に管理されているかを常に監視します。また、情報セキュリティ関連ガイドライン等に基づく管理の適否について、内部監査又は第三者による監査を定期的に実施します。

11. インシデント報告

情報セキュリティに関するインシデント（事故・障害・不正アクセス等）が発生した場合、又は発生するおそれが生じた場合には、発見者は速やかに情報セキュリティ対策室及び情報セキュリティ責任者に報告しなければなりません。

情報セキュリティ対策室は、インシデントの原因分析を実施し、必要に応じて事業継続計画等に沿った対策を速やかに講じます。情報セキュリティ統括責任者が重大事故と判断した場合には、経営者に報告し対策を講じます。

なお、個人データの漏洩等が発生した場合は、個人情報保護法の定めに従い、監督機関への報告及び本人への通知を適切に行います。

12. 教育・訓練

経営者は、当社のすべての従業員に対し、職務に応じた情報セキュリティ教育・訓練を定期的に計画し実施します。また、脅威・法令・技術の変化に応じて教育内容を適時見直します。

13. 法令順守

当社の役員及び従業員は、個人情報保護法をはじめとする情報セキュリティに係わる法的要求事項、及び当社の規定を遵守します。

14. 罰則

情報資産を利用するすべての従業員は、本情報セキュリティ基本方針を遵守しなければなりません。遵守事項の違反に対しては、就業規則に基づく処罰等の措置がとられる場合があります。

2011年10月3日　制定
2024年4月1日　改定
2026年4月1日　最新改定

有限会社グローコミュニケーション

代表取締役　前里 耕司

---

ISMS認証情報