株式会社k-enterprise サイバーセキュリティに関するガイドライン

はじめに

このガイドラインは、株式会社k-enterpriseの全従業員・業務委託者が情報セキュリティに関する基本的な知識を習得し、日々の業務で遵守すべき事項を定めたものです。
IPA（独立行政法人情報処理推進機構）が策定するガイドラインの内容も参考に、会社の情報資産を脅威から守り、事業継続性を確保するため、すべての従業員が本ガイドラインを理解し、実践することを求めます。
情報資産を脅威から守り、会社の事業継続性を確保するため、すべての従業員・業務委託者が本ガイドラインを理解し、実践することを求めます。

1. 経営者の責務（IPAガイドラインより）

情報セキュリティは経営課題の一つです。経営者は以下の原則を認識し、リーダーシップをもって対策を推進する責務を負います。

• サイバーセキュリティリスクの認識
  サイバー攻撃が事業に与える影響（金銭的損失、社会的信用の失墜、事業停止など）を理解し、リスク管理の重要課題と位置づける。
• サプライチェーン全体への目配り
  自社だけでなく、取引先や委託先を含めたサプライチェーン全体のリスクにも配慮する。
  
• 社内外とのコミュニケーション
  平時および緊急時において、社内外の関係者と積極的に情報共有を行う。
  

2. 情報資産の分類

当社における情報資産は、機密性、完全性、可用性の観点から以下の3つに分類します。

• 機密情報
  会社の経営戦略、お客様情報、従業員情報、未公開の技術情報、財務情報など。
  
• 一般情報
  社内規定、業務マニュアル、公開されている製品情報など。
• 公開情報
  ウェブサイトで公開されている情報など。

3. 全社員・業務委託者の責務

すべての従業員は、会社の情報セキュリティを維持するため、以下の責務を負います。

• 本ガイドラインを遵守する。
• 常に情報セキュリティに関する最新の知識を習得するよう努める。
• 情報セキュリティ上の問題やインシデントが発生した際は（情報漏洩、電子機器紛失、不正アクセスなど）を速やかに報告する。

3. 情報資産の取り扱い

3.1 パソコン・スマートフォン・タブレットなど電子機器の利用

• 会社から貸与されたパソコンやスマートフォンは、業務目的以外での利用を原則禁止します。
• パソコンやスマートフォンには、常に最新のウイルス対策ソフトウェアをインストールし、定期的にスキャンを実行します。
• 離席する際は、必ずパソコンをロックするか、シャットダウンします。
• 不審なメールの添付ファイルやリンクは開かない。
• 外出先等で利用する業務目的デバイスを公共利用WIFIに接続して利用を行わない。

3.2 パスワード管理について

• パスワードは8文字以上とし、英数字、記号を組み合わせた複雑なものに設定します。
• パスワードを他人と共有したり、付箋などにメモして見える場所に貼ったりしない事を徹底します。
• パスワードは定期的に変更します。
• 複数のシステムで同じパスワードを使い回さない運用を徹底します。

3.3 データの保存と共有

• 機密情報は、許可された者のみがアクセスできる社内管理外部媒体（USBメモリ等）やクラウドストレージに保存します。
• USBメモリや外部ストレージへの機密情報の保存は、原則禁止します。やむを得ず利用する場合は、上長の許可を必須とします。
• USBメモリを利用する際は必ずパスワードロック・暗号化されたものを利用します。
• 外部媒体・USBメモリ等の定期的に棚卸確認を行い、厳重に管理を行います。
  ・機密情報をメールで送信する際は、パスワード付きのZIPファイルを利用するなど、セキュリティ対策を講じます。

4.DX化・電子化の推進とセキュリティ

当社は業務効率化と生産性向上を目的として、DX化・電子化を積極的に推進しています。
情報セキュリティの重要性も重視した推進も行っております。

• ペーパーレス化の徹底
  書類を印刷する際は、必要性を検討し、原則として電子データでの保存・共有を遂行します。
• 電子データの安全な取り扱い徹底
  契約書や重要文書を電子化する場合、アクセス権限を適切に設定、パスワード保護を行うなど、紙媒体以上の慎重さで取り扱いを徹底します。
• 電子署名・タイムスタンプの活用
  文書の真正性を担保するために、契約書などの書面を取り交わす際には電子契約システムを利用し、電子署名やタイムスタンプの活用を推奨します。

5. 情報漏洩対策

• 会社の情報資産を持ち出す際は、上長へ申請を行い許可を得る運用を徹底します。
• リモートワークで業務を行う際には、自宅のネットワーク環境のセキュリティを確保を行います。
• 個人情報を扱う際は、個人情報保護法および社内規定を遵守します。
• 情報漏洩が発生・発生した可能性がある場合は速やかに原因・漏洩した情報内容確認対応を行います。

6. インシデント発生時の対応

サイバー攻撃や情報漏洩などのインシデントが発生した場合、迅速かつ適切な対応が被害の拡大を防ぐために重要です。

• 速やかな報告
  不審な挙動やセキュリティ上の問題を発見した際は、直ちに情報セキュリティ責任者に報告します。
• 被害の最小化
  指示に従い、ネットワークからの切断、システムの停止など、被害を最小限に抑えるための対処を行います。
• 原因究明と再発防止
  インシデント発生後は、原因を究明し、再発防止策を策定・実行します。

7.セキュリティ監査の実施

7.1 監査対象

当社の情報資産およびそれを取り扱うすべてのシステム、ネットワーク、物理的環境、業務プロセス、および全従業員・業務委託者とする。

7.2 セキュリティ実施内容

技術的対策： セキュリティ対策ソフトなどを活用した不正アクセス対策、マルウェア対策、脆弱性管理、ログ管理などを実施します。
組織的対策： セキュリティ教育・訓練の実施状況、物理的セキュリティ対策などを最新のトレンドを常に意識して実施します。
物理的対策： セキュリティエリアへの入退室管理、機器の物理的保護などを実施します。

7.3 監査の責任者

セキュリティ監査の責任者は、情報セキュリティ委員会委員長とする。委員長は監査計画の策定、および監査結果の報告を取りまとめる。
監査実施者は、十分な専門知識と経験を持ち、公平かつ客観的な立場で監査を実施しなければならない。

7.4 監査の実施時期

セキュリティ監査は、原則として年1回以上定期的に実施する。
ただし、以下のような場合は、臨時の監査を実施することができる。

• 重大なセキュリティインシデントが発生した場合
• 組織体制や事業内容に大きな変更があった場合
• 法令、規制、または顧客との契約に準拠する必要が生じた場合

7.5 監査のプロセス

監査は以下のプロセスに従って実施する。

①監査計画の策定
監査目的、範囲、時期などを定めた計画書を作成する。

②監査事前調査
監査対象の情報収集を行い、リスクを洗い出す。

③監査の実施
現地調査、書類・対象システムのレビューなどにより、セキュリティ対策の実施状況を確認する。

④報告書の作成
監査結果・発見された問題点、および是正対応内容を記載した報告書を作成する。

⑤フォローアップ
是正対応内容措置が実施されているかを確認する。

7.6 監査結果の報告

監査結果の報告書を作成後、報告を行い、監査結果に基づき
経営陣に対して情報セキュリティ対策の改善案を提言する。

7.7 既定の改廃

本規定の改廃は、経営層の承認を得なければならない

8. 違反時の措置

本ガイドラインに違反し、会社の情報資産に損害を与えた場合、または損害を与える可能性があると確認できた場合、
就業規則に基づき懲戒処分の対象となることがあります。

9. お問い合わせ

本ガイドラインに関して不明な点がある場合は、情報セキュリティ責任者までお問い合わせください。