情報セキュリティポリシー

第1条（目的）
本ポリシーは、当社が取り扱う情報資産（お客様の車両情報、自動車保険、個人情報、機密情報、当社の業務システムなど）を、不正アクセス、漏洩、改ざん、破壊、紛失等の脅威から保護し、お客様からの信頼を維持するとともに、事業継続性を確保することを目的とします。

第2条（対象範囲）
本ポリシーは、当社の役員、従業員（正社員、契約社員、パート・アルバイトを含む）、および当社の情報資産にアクセスする全ての関係者に適用されます。

第3条（基本方針）
当社は、以下の基本方針に基づき、情報セキュリティ対策を実施します。

法令・模範の遵守
• 情報セキュリティに関連する法令、規制、および業界のガイドラインを遵守します。

情報資産の保護
• お客様からお預かりした車両、個人情報、および当社の業務に関する機密情報を、適切な管理体制のもとで保護します。

リスク管理
• 情報セキュリティに関するリスクを定期的に評価し、必要な対策を講じます。

教育・啓蒙
• 全従業員に対し、情報セキュリティに関する教育・啓発を継続的に実施し、意識向上を図ります。

インシデント対応
• 情報セキュリティインシデントが発生した場合、迅速かつ適切に対応し、被害の拡大防止と再発防止に努めます。

継続的改善
• 情報セキュリティ対策の効果を定期的に評価し、継続的な改善を行います。

第4条（情報セキュリティ対策）

第4条の1（物理的セキュリティ）

• 入退室管理:

  • 事務所、作業場、保管庫など、情報資産が存在するエリアへの入退室を管理し、権限のない者の立ち入りを制限します。

  • 重要な書類やデータが保管されている場所へのアクセスは、担当者のみに限定します。

• 設備管理:

  • ネットワーク機器が設置されている場所は、施錠管理を徹底し、適切な温度・湿度管理を行います。

• 廃棄物管理：

  • 機密情報が含まれる書類や記録媒体は、シュレッダー処理や専門業者による溶解処理など、安全な方法で廃棄します。

第4条の2（技術的セキュリティ）

• アクセス制御:

  • システムやデータへのアクセスは、IDとパスワードによる認証を基本とし、職務上必要な最小限の権限のみを付与します（最小権限の原則）。

  • パスワードは、定期的な変更、複雑な設定（英数字、記号の組み合わせ）、使い回しの禁止を徹底します。

• ネットワークセキュリティ:

  • 無線LAN（Wi-Fi）は、WPA2/WPA3などの強力な暗号化方式を使用し、不正利用を防止します。

  • 社外からのリモートアクセスが必要な場合は、VPNなどの安全な接続手段を利用します。

• マルウェア対策:

  • 全ての端末に最新のウイルス対策ソフトを導入し、定義ファイルを常に最新の状態に保ちます。

  • 不審なメールの添付ファイルやリンクを開かないよう、従業員に注意喚起します。

• システム・ソフトウェアの管理:

  • OSやアプリケーションは、常に最新のセキュリティパッチを適用し、脆弱性を解消します。

  • 不要なソフトウェアはアンインストールし、システムをシンプルに保ちます。

• データのバックアップ:

  • 重要なデータは、定期的にバックアップを取得し、安全な場所に保管します。

  • バックアップデータは、定期的に復旧テストを行い、確実に復旧できることを確認します。

• ログ管理:

  • システムへのアクセスログや操作ログを記録・保管し、不正行為の監視やインシデント発生時の原因究明に活用します。

第4条の3（人的セキュリティ）

• 従業員教育:

  • 入社時および定期的に、情報セキュリティに関する研修を実施します。

  • 研修内容には、パスワード管理、フィッシング詐欺対策、機密情報の取り扱い、インシデント発生時の報告手順などを含みます。

• 機密保持義務:

  • 全従業員は、在職中および退職後も、業務上知り得た機密情報（お客様情報、技術情報など）について、機密保持義務を負います。

• ソーシャルエンジニアリング対策:

  • 電話やメール、対面でのなりすましによる情報詐取（ソーシャルエンジニアリング）の手口について従業員に周知し、注意を促します。

  • 不審な問い合わせには、安易に情報を提供せず、管理者に確認するよう徹底します。

• 退職者の管理:

  • 退職者のアカウントは速やかに削除し、アクセス権限を剥奪します。

  • 貸与していたPCや携帯端末、アクセスカードなどは確実に回収します。

第4条の4（運用・管理）

• インシデント対応体制:

  • 情報セキュリティインシデント発生時の報告窓口、対応手順、連絡体制を明確に定めます。

  • インシデント発生時には、速やかに原因を特定し、被害の拡大防止、復旧、再発防止策の実施を行います。

• 委託先の管理:

  • 業務を外部に委託する場合、委託先が適切な情報セキュリティ対策を実施していることを確認します。

  • 委託契約において、情報セキュリティに関する義務を明確に定めます。

• 定期的な見直しと監査:

  • 本ポリシーおよび関連する規程は、定期的に見直し、最新の状態に保ちます。

  • 情報セキュリティ対策の実施状況について、内部または外部による監査を実施します。

第5条（違反時の措置）
本ポリシーに違反した従業員に対しては、就業規則に基づき、懲戒処分を含む厳正な措置をとります。

第6条（ポリシーの周知）
本ポリシーは、全従業員に周知され、理解されるように努めます。