SECURITY

情報セキュリティ
への取り組み

当社は、お客様の業務そのものを伺い、そのデータをお預かりする仕事をしています。 だからこそ「何を、どこに、どれだけの期間置いているか」を自分たちで説明できる状態を保つことを、 いちばんの方針としています。このページには、実際に行っている措置だけを記載しています。

1. 基本的な考え方

• 必要な情報だけを、必要な人だけが、必要な期間だけ扱います。
• 仕組みで防げることは、運用の心がけではなく仕組みで防ぎます。 人が気をつけ続けることを前提にした対策は、いずれ破れると考えています。
• 何かあったときに「何が起きたか」を後から追える状態にしておきます。

2. AIの利用について

当社はAIを用いたシステムの企画・開発・導入支援を行っており、業務のなかでAIを利用します。 お客様が最も気にされる点だと考えていますので、具体的に記載します。

お客様の資料をAIに読ませる場合は、事前にご相談のうえ、対象とする範囲を決めてから扱います。 お預かりした資料を、ご了解なく別の用途に用いることはありません。

3. お預かりした情報の取り扱い

• お問い合わせ・診断でお預かりした情報は、取得から3年間保管し、その後は削除します。
• 個人情報を含むデータは、ウェブサーバーの公開領域の外に保存しています。 URLを推測してアクセスできる場所には置きません。
• IPアドレスは、元に戻せない形に変換したうえで取り扱っています。

4. システムの安全対策

• 通信はすべて暗号化しています（HTTPS）。
• 外部のスクリプトが実行されない設定にしています（Content Security Policy）。 第三者による不正なスクリプトの混入を、ブラウザの段階で遮断します。
• 認証情報（APIキー等）をソースコードに含めません。 公開領域の外で管理し、ソースコードの保管場所にも記録されない仕組みにしています。
• なりすましメールを防ぐため、送信ドメインの認証を設定しています（SPF / DKIM / DMARC）。
• お問い合わせフォームには、連続送信および不正利用を防ぐ措置を講じています。

5. 変更の管理

• システムへの変更は、すべて記録が残る形で行います。 「いつ・誰が・何を・なぜ変えたか」を後から確認できます。
• 主要なシステムは担当者が直接書き換えることを禁止し、 必ず記録の残る手順を経る設定にしています。
• 本番環境へ反映する前に、自動チェックを通します。

6. アカウントとアクセスの管理

• 業務で利用するサービスは、二要素認証を必須としています。
• アクセス権限は必要最小限とし、担当していない領域には権限を与えません。
• お客様ごとに作業領域を分けています。 あるお客様の情報が、別のお客様の作業の中に現れることのない構成にしています。

7. 外部サービスの利用

業務上、外部のサービスを利用しています。個人情報を伴うものについては プライバシーポリシーに記載しています。 ご契約にあたって利用サービスの詳細をご確認いただく場合は、個別にご説明します。

8. 事故が発生した場合

情報の漏えい等が疑われる事態が生じた場合は、速やかに状況を確認し、影響の範囲をお客様にご報告します。 あわせて、原因と再発防止策をお伝えします。

9. 継続的な見直し

事業内容と技術の変化に応じて、本ページの内容および社内の取り扱いを見直します。