情報セキュリティ方針

第１条（目的・適用範囲）

1. 本方針は、当社が取り扱うすべての情報資産（顧客情報・業務情報・個人情報・開発資産等）を対象とします。
2. 当社は、国際的な情報セキュリティ基準（ISO/IEC 27001）に準拠し、情報の機密性・完全性・可用性（安全に保管し、正確な状態を保ち、必要な時に使えること）を確保します。

第２条（組織体制）

1. 代表取締役を最高情報セキュリティ責任者（CISO）とし、社内に情報セキュリティ委員会を設置して、組織全体でセキュリティに取り組みます。
2. 委員会は、方針の決定、リスクの評価、社内ルールの確認、教育などを担当し、定期的に経営層へ状況を報告します。

第３条（リスクマネジメント）

1. どのような危険があるかを定期的に評価し（リスクアセスメント）、その危険を発見・分析し、対策を立て、継続的に見直す仕組みを確立します。
2. 特に重大な危険については、優先順位をつけて計画的に対策を行い、その状況を委員会が確認します。

第４条（資産管理・アクセス管理）

1. 当社が持つ情報資産を明確にし、その重要度に応じて分類し、適切な保護を行います。
2. 情報へのアクセスは、その人の役割に応じて必要最小限の権限のみを与え（最小権限の原則）、ログイン時には複数の方法での本人確認（多要素認証）や、一度のログインで関連サービスを利用できる仕組み（シングルサインオン）の利用を推奨します。
3. 従業員の退職や異動の際には、速やかにアカウントを停止し、アクセス権限を取り消します。

第５条（技術的な安全対策）

1. お客様のデータの保護
   • データは日本国内（AWS 東京リージョン）の安全な場所に限定して保管します。
   • 保存するデータは強力な方式（AES-256-GCM）で暗号化し、暗号化の鍵は専用のサービス（AWS KMS）で厳重に管理します。
   • インターネット通信は最新の安全な方法（TLS 1.3）で暗号化し、盗聴や改ざんを防ぎます。
2. サービス基盤（インフラ）の防御
   • ネットワークを安全に区切り（VPC分離、セキュリティグループ等）、不正な通信をブロックします。また、ウェブサイトへの攻撃を防ぐ専門サービス（AWS WAF、Shield）を導入しています。
3. アプリケーション（Rakulog自体）の保護
   • プログラム開発の段階から、自動的に弱点がないか検査する仕組み（SAST、DAST等）を取り入れています。

第６条（サービスの運用管理）

1. システムの状態を24時間365日監視し、ログ（操作記録）を適切に収集・保管・分析します。異常があれば自動的に担当者へ通知される仕組みになっています。
2. 使用しているOSやソフトウェアに弱点（脆弱性）が見つかった場合、常に情報を収集し、特に危険なものについては迅速（7日以内目安）に修正プログラムを適用します。

第７条（物理的な安全対策）

データを保管している施設（データセンター）は、国際的な認証（ISO 27001、SOC 2等）を取得しており、不正な侵入を防ぐための入退室管理、監視カメラ、安定した電力供給などの物理的な対策が講じられています。

第８条（安全な開発プロセス）

1. サービスの設計段階からセキュリティを考慮に入れる開発プロセス（Secure SDLC）を採用し、各段階で安全性を確認します。
2. プログラムの変更は、必ず他の開発者によるチェック（コードレビュー）を経てから、実際のサービスに反映されます。

第９条（外部委託先・クラウドサービスの管理）

1. 業務の一部を外部に委託する場合や、外部のクラウドサービスを利用する際には、事前にその委託先やサービスの安全性を評価し、契約で情報の取り扱いに関するルールを定めます。
2. 決済サービス（Stripe）やAIサービス（OpenAI）などの外部サービスを利用する際は、その目的と提供するデータを明確にし、お客様のデータが意図しない目的（例：AIモデルの学習）に使われないように管理します。

第10条（セキュリティ問題発生時の対応）

1. 万が一、セキュリティに関する問題（インシデント）が発生した場合に備え、迅速に対応できる体制を整えています。問題の発見から、影響の拡大防止、原因の除去、復旧、再発防止までの手順を定めています。
2. 重大な問題が発生し、お客様に影響が及ぶ可能性がある場合は、原則として発見から1営業日以内を目安に必要な情報をお知らせします。

第11条（従業員への教育・訓練）

1. すべての従業員に対し、入社時および年に1回以上、情報セキュリティに関する研修を実施し、セキュリティ意識の向上を図ります。
2. 問題発生時の対応訓練や、偽のメール（フィッシングメール）を見破る訓練などを定期的に行い、実践的な対応能力を高めます。

第12条（見直しと継続的な改善）

1. 社内でのルール遵守状況の確認（内部監査）や、外部の専門家による侵入テストなどを定期的に実施し、改善点を見つけて対策します。
2. この情報セキュリティ方針や関連する手順は、法律の改正、社会状況の変化、新しい技術の登場などに合わせて、常に見直し、改善していきます。

第13条（法令等の遵守）

当社は、個人情報保護法をはじめとする、情報セキュリティに関連する日本の法律やガイドラインを遵守します。

第14条（お問い合わせ窓口）

当社の情報セキュリティに関するご質問やご懸念は、下記までご連絡ください。

株式会社ユニティコンサルティング 情報セキュリティ担当

E-mail: support@rakulog.ai