情報セキュリティ基本方針

1適用範囲と本方針の位置づけ

本方針は、当社が事業活動において取り扱うすべての情報資産、およびこれを取り扱うすべての者（役員、正社員、契約社員、業務委託先、パートナー企業の従業員、協働するフリーランス等を含みます）に適用します。

本方針は当社の情報セキュリティに関する最上位の文書とし、これに基づく各種社内規程、ガイドラインおよび手順書を整備・運用します。個人情報および個人データの取り扱いについては、本方針に加え、別途定めるプライバシーポリシーに従います。

2情報セキュリティ体制と責任

当社は、情報セキュリティの維持および改善を統括する責任者として最高情報セキュリティ責任者（CISO）を任命し、経営レベルでの意思決定と資源配分に責任を負う体制を確立します。

CISOは、情報セキュリティの状況およびリスクを定期的に経営会議に報告し、必要な是正措置を主導します。あわせて、インシデント発生時に即応する対応体制（CSIRT機能）を整備し、平時・有事の指揮系統を明確にします。

3リスクアセスメントとリスク対応

当社は、情報資産に対する脅威および脆弱性を体系的に評価するリスクアセスメントを定期的に、および事業環境やシステム構成に重大な変更が生じた際に実施します。評価結果に基づき、リスクの大きさに応じた対策を選択・実施し、受容するリスクについては経営レベルで判断・記録します。

4情報資産の管理と保護

当社は、取り扱うすべての情報資産（クライアントの経営・技術情報、分析データ、プロダクト開発コード、デジタルコンテンツ資産、AIに関連するデータ等）を、その機密性および事業影響度に応じて分類し、区分ごとに取扱ルールを定めます。

フルリモート環境を前提とし、ネットワーク境界に依存しないゼロトラストの考え方に基づき、以下を含む安全管理措置を講じ、情報の機密性・完全性・可用性を維持します。

• 最小権限の原則に基づくアクセス制御、および権限の定期的な棚卸し
• ID・認証の一元管理と多要素認証の適用
• 利用SaaSの棚卸し・審査・統制、およびシャドーITの抑止
• 業務端末の資産管理、構成管理、マルウェア対策および脆弱性・パッチ管理
• 保存時および通信時のデータ暗号化
• アクセスログ・操作ログの取得、保全および監視
• 自宅・社外作業環境を含む物理的および環境的な取扱ルールの整備
• 情報資産のライフサイクル（取得・保管・移送・削除・返却）に応じた管理

5AIの安全な利活用とAIガバナンス

当社は、AXの推進を支援し、自らもAIを積極的に活用する事業者として、AIの利活用に固有のリスクに対応するガバナンスを整備します。

• 社内AI利用ガイドラインを策定・維持し、利用可能なサービスおよび入力してよい情報の範囲を明確にします
• 機密情報および個人情報の取り扱いに際しては、入力データが提供事業者の学習等に利用されない構成・契約条件を確認のうえ利用します
• AIエージェント等の自律的に動作する仕組みについては、権限範囲を限定し、重要な判断・実行に人間による確認を介在させます
• AIの生成物について、著作権その他の権利侵害および事実誤認のリスクを検証する手順を設けます
• クライアントに提供するAI関連サービスにおいては、透明性、説明可能性および人間による監督の確保に配慮します

本項の運用にあたっては、「AI事業者ガイドライン」（総務省・経済産業省）等の国内指針、および AIマネジメントシステムに関する国際規格（ISO/IEC 42001）の考え方を参照します。

6サプライチェーンおよび委託先の管理

当社は、パートナー企業および協働するプロフェッショナルとともに事業を遂行しています。外部への業務委託または再委託を行う場合は、事前に委託先のセキュリティ水準を確認し、秘密保持、情報の取扱範囲、再委託の可否、インシデント時の報告義務、業務終了時のデータ返却・消去等を契約により明確にします。

また、当社が利用するクラウドサービスおよびソフトウェアについても、供給元に起因するリスクを評価し、継続的に見直します。

7事業継続と可用性の確保

当社は、サービスおよび自社メディアの提供継続を脅かす事象（システム障害、サイバー攻撃、災害等）を想定し、重要業務の継続および早期復旧のための手順、バックアップおよび代替手段を整備します。あわせて、その有効性を定期的に確認します。

8法令、規範および契約の遵守

当社は、情報セキュリティ、個人情報保護および知的財産権に関する法令、国が定める指針その他の規範、ならびにクライアントとの契約（秘密保持契約等）に定められたセキュリティ上の義務を遵守します。

9教育および訓練の実施

当社は、本方針の適用を受けるすべての者に対し、情報セキュリティの重要性を認識させ、必要な知識と対応能力を維持するための教育を定期的に実施します。特に、リモートワーク下における情報の取り扱い、SaaSおよび業務アプリケーションの安全な利用、AIの適正な利用、ならびに著作権・IP資産の保護を重点対象とします。

あわせて、インシデントを想定した実践的な訓練（標的型攻撃メール訓練、インシデント対応訓練等）を実施し、有事の対応力を検証します。

10インシデントへの対応と再発防止

情報セキュリティに関する事故（不正アクセス、情報漏洩、アカウントの侵害、システムまたはメディアの停止、AIの不適切な利用等）が発生した場合、またはその兆候を検知した場合、当社は直ちに被害の拡大を防止するための措置を講じます。

あわせて、法令および契約に基づき、クライアント、影響を受ける方、および監督官庁その他の関係機関に対し、速やかに報告・連絡を行います。事後には原因を究明し、実効性のある再発防止策を策定・実施するとともに、必要に応じてその内容を関係者に説明します。

セキュリティに関する問題および脆弱性のご報告は、お問い合わせ窓口にて受け付けます。

11点検、監査および継続的改善

当社は、本方針および関連規程の遵守状況について定期的に内部監査および点検を実施し、その結果をCISOおよび経営層が評価します（マネジメントレビュー）。評価結果、事業環境の変化、技術およびAIの進展、ならびに新たな脅威動向を踏まえ、情報セキュリティマネジメントシステムを継続的に見直し、改善します。

また当社は、自社の取り組みを客観的な基準に照らして検証するため、情報セキュリティマネジメントシステムに関する国際規格（ISO/IEC 27001）に定められた要求事項および管理策を指針として参照し、これに準拠した管理体制の確立を目指します。

12違反に対する措置

役員および従業員が本方針または関連規程に違反した場合は、就業規則等に基づき厳正に対処します。委託先、パートナー企業およびその従業者による違反については、契約に基づき是正を求め、必要に応じて取引の停止その他の措置を講じます。

13本方針の公開と改定

当社は、本方針を当社ウェブサイトにおいて公開し、必要に応じて改定します。重要な改定を行った場合は、改定日を明示します。