7.4 KiB
情報セキュリティ管理規程
- 掲示板ID: 4080000000758661653
- 投稿ID: 4080000000774291302
- 投稿日時: 2026-03-12T15:44:06+09:00
- 投稿者: 堀田信弘
第１章 総則第１条（目的）本規程は、当社の情報資産を適切に管理し、情報漏えい、改ざん、紛失、不正利用等のリスクを防止することを目的として、情報セキュリティの基本的事項および管理体制を定めるものである。第２条（適用範囲）本規程は、当社の役員、従業員、契約社員、派遣社員、業務委託先その他当社の情報資産を取り扱うすべての者に適用する。第３条（情報資産）情報資産とは、以下を含むものとする。①業務データおよび文書②顧客情報、個人情報、機密情報③情報システムおよびソフトウェア④ネットワークおよび通信設備⑤IT機器（PC、スマートフォン、サーバ等）⑥記録媒体（USB、外部ストレージ等）第４条（基本方針）当社は以下の原則に基づき情報セキュリティを管理する。機密性（Confidentiality）の確保完全性（Integrity）の確保可用性（Availability）の確保第２章 情報セキュリティ管理体制第５条（最高情報セキュリティ責任者）当社は情報セキュリティを統括する責任者として最高情報セキュリティ責任者（CISO）を置く。2.CISOは、管理部門の担当役員が兼ねることができる。第６条（情報システム部門）情報システム部門は以下を担当する。①情報セキュリティ対策の企画および実施②システムおよびネットワークの管理③IT利用状況の監視④インシデント対応⑤社内ITリテラシー教育、情報セキュリティー教育第７条（部門管理者）各部門の管理者は、所属社員に対する情報セキュリティ管理を行う責任を負う。第３章 情報資産の管理第８条（情報分類）情報資産は以下の区分に分類する。①極秘情報②機密情報③社外秘情報④公開情報第９条（情報の取扱い）各情報区分に応じ、以下の管理を行う。①保存場所の制限②アクセス権限の設定③持ち出し管理④廃棄手続き第４章 アクセス管理第10条（アクセス権限）情報システムへのアクセス権限は業務上必要な範囲に限定する。第11条（認証）システム利用時には以下を実施する。ID・パスワード認証多要素認証（必要に応じて）第12条（アカウント管理）入退社・異動時には速やかにアカウントを発行または停止する。なお、社内システムの利用者アカウントIDの命名方針は「名．（ドット）姓」とする。 2.前項において、ミドルネームがある場合などはそれを省略または短縮できるものとする。3.利用者アカウントIDの表記は、原則としてパスポートに記載のもの、またはヘボン式ローマ字を用いて小文字で表す。4.利用するシステムが、前各項の定めによる命名方針が適用できない場合に限って、当該システムの命名方針にあわせる。第５章 IT機器の管理第13条（会社貸与機器）会社貸与のIT機器は業務目的に限り使用する。第14条（私物機器の利用）私有スマホの業務利用（BYOD）は主にBCP対策を目的として「私有スマートデバイス取扱規程」に従うものとする。但し、私有パソコンの利用は原則として禁止する。第15条（記録媒体）USB等の外部記録媒体の使用は制限または管理対象とする。第６章 ソフトウェアおよびクラウド利用第16条（シャドーITの禁止）情報システム部門が承認していない情報システム、クラウドサービス、ソフトウェア等（以下「シャドーIT」という）を会社貸与機器へ導入すること、または会社貸与機器からアカウント等を開設して利用することを禁止する。2.利用者は前項にかかわらず、会社が未承認クラウドサービスの利用、個人アカウントによる業務データ保存、未承認ソフトウェアのインストールなどを許可なく実施してはならない。第17条（ソフトウェアの導入）会社貸与機器へソフトウェアを導入する際は、事前に情報システム部門の承認を得なければならない。2.申請のないソフトウェアの導入は、シャドーITとしてこれを禁止する。3.部門において、複数のものが利用するソフトウェアを導入する際には、部門長からの申請により、情報システム部門の承認を得なければならない。4.前項に関わらず、複数の部門に渡って同一のソフトウェアを導入する際には、役員会の承認を得なければならない。第18条（ITサービス利用申請）会社貸与機器から、会員登録が必要なITサービスを利用する際には、事前に情報システム部門の承認を得なければならない。2.申請のないIT サービスの利用は、シャドーITとしてこれを禁止する。3.部門において、複数のものが利用するITサービスを利用する際には、部門長からの申請により、情報システム部門の承認を得なければならない。4.前項に関わらず、複数の部門に渡って同一のITサービスを利用する際には、役員会の承認を得なければならない。第７章 ネットワークおよび通信管理第19条（ネットワーク利用）社内ネットワークの利用は業務目的に限る。第20条（外部接続）外部ネットワーク接続は、VPN等の安全な方法により行う。第21条（メールおよびインターネット）以下の行為を禁止する。不審メールの開封不正サイトへのアクセス業務情報の無断送信第８章 物理的セキュリティ第22条（入退室管理）サーバ室および重要エリアへの入退室は管理する。第23条（書類管理）機密文書は施錠保管する。第24条（廃棄）機密情報を含む媒体は安全な方法で廃棄する。第９章 インシデント管理第25条（報告義務）情報漏えい、不正アクセス、ウイルス感染等の疑いがある場合は速やかに報告する。第26条（対応）情報システム部門は原因調査および再発防止策を実施する。第27条（外部報告）必要に応じて顧客、関係機関、監督官庁へ報告する。第10章 教育および監査第28条（教育）従業員に対して定期的な情報セキュリティ教育を実施する。第29条（監査）情報セキュリティの遵守状況について定期監査を実施する。第11章 その他第30条（懲戒処分）役職員等が、この規程に違反した場合、就業規則に定めるところにより処分を行うものとする。第31条（改廃）この規程の改廃は、別に定める「規程管理規程」によるものとする。2.この規則の解釈適用について、疑義または紛議が生じた場合の解釈の決定及び紛議の解決は、管理部門担当役員が責任者としてこれを決定する。第32条（施行）本規程は2026年4月1日より施行する。