# 株式会社ミナトデジタルワークス 情報セキュリティ規程

制定 2022年4月1日／最終改定 2026年4月1日

## 第1章 総則

### 第1条（目的）
この規程は、会社の情報資産を適切に保護し、情報セキュリティを確保するために必要な事項を定める。

### 第2条（適用範囲）
この規程は、役員、正社員、契約社員、パートタイム従業員、および業務委託契約者を含む、会社の情報資産を取り扱うすべての者に適用する。

### 第3条（情報資産の分類）
情報資産は、次の4区分に分類する。

| 区分 | 内容 | 取扱い |
|---|---|---|
| 極秘 | 漏洩により会社の存立に重大な影響を与える情報 | 指定された者のみ／持出し禁止 |
| 秘 | 漏洩により会社に重大な損害を与える情報 | 所属部門内／持出しは部門長承認 |
| 社外秘 | 社外への開示を予定しない情報 | 全従業員／持出しは所属長承認 |
| 公開 | 社外へ開示してよい情報 | 制限なし |

## 第2章 アクセス管理

### 第4条（アカウント）
情報システムの利用にあたっては、個人ごとにアカウントを付与する。**アカウントの共用を禁止する。**

### 第5条（パスワード）
パスワードは次の要件を満たさなければならない。
1. **12文字以上**であること
2. 英大文字、英小文字、数字、記号のうち**3種類以上**を含むこと
3. 氏名、生年月日、辞書に掲載された単語をそのまま用いないこと
4. 他のサービスと同一のものを用いないこと

パスワードの有効期間は**90日**とし、期間経過後は変更しなければならない。過去**5世代**のパスワードは再利用できない。

### 第6条（多要素認証）
次のシステムについては、多要素認証を必須とする。
1. 社外からアクセス可能なすべてのシステム
2. 「極秘」または「秘」に分類される情報を扱うシステム
3. 管理者権限を有するアカウント

### 第7条（権限の付与および削除）
アクセス権限は、業務上必要な最小限の範囲で付与する。

従業員の異動または退職の際は、**退職日または異動日の当日中**にアクセス権限を削除または変更する。

### 第8条（権限の棚卸）
情報システム管理者は、**半期に1回**、アクセス権限の棚卸を実施し、不要な権限を削除する。

## 第3章 端末およびデータの管理

### 第9条（業務用端末）
業務には会社が貸与する端末を使用する。**私物端末の業務利用を原則として禁止する。**

やむを得ず私物端末を利用する場合は、事前に情報システム管理者の承認を得るとともに、会社が指定するセキュリティ対策を講じること。

### 第10条（端末の設定）
業務用端末には、次の設定を施す。
1. ディスク全体の暗号化
2. **10分間**操作がない場合の自動画面ロック
3. ウイルス対策ソフトの導入および定義ファイルの自動更新
4. OSおよびソフトウェアの自動更新

### 第11条（データの持出し）
「極秘」に分類される情報の社外持出しを禁止する。

「秘」および「社外秘」の情報を社外に持ち出す場合は、次の要件を満たすこと。
1. 所属長の事前承認を得ること
2. 会社が承認した暗号化手段を用いること
3. 持出し記録を残すこと

### 第12条（外部記憶媒体）
USBメモリその他の外部記憶媒体の利用は、原則として禁止する。

業務上やむを得ない場合は、会社が貸与する暗号化機能付きの媒体のみ使用できる。

### 第13条（クラウドサービスの利用）
業務で利用するクラウドサービスは、情報システム管理者が承認したものに限る。

承認されていないクラウドサービスへの業務データの保存を禁止する。

生成AIサービスの業務利用については、別に定める「生成AI利用ガイドライン」による。

## 第4章 ネットワーク

### 第14条（社外からの接続）
社外から社内ネットワークに接続する場合は、会社が指定するVPNを使用する。

### 第15条（公衆無線LAN）
業務用端末で公衆無線LANに接続する場合は、必ずVPNを経由すること。暗号化されていない公衆無線LANへの接続を禁止する。

## 第5章 インシデント対応

### 第16条（報告義務）
情報セキュリティに関する事故またはそのおそれを認知した者は、**直ちに**情報システム管理者および所属長に報告しなければならない。

報告を怠り、または遅延させたことにより被害が拡大した場合、就業規則に基づき懲戒処分の対象となることがある。

### 第17条（初動対応）
報告を受けた情報システム管理者は、次の対応を行う。
1. 被害範囲の特定
2. 該当端末のネットワークからの隔離
3. 経営層への報告
4. 必要に応じた関係機関への届出

### 第18条（個人情報の漏洩）
個人情報の漏洩またはそのおそれが生じた場合、法令に従い、**速やかに個人情報保護委員会に報告する**。

本人への通知は、事態を把握した後、**遅滞なく**行う。

## 第6章 教育および監査

### 第19条（教育）
全従業員に対し、**年1回以上**情報セキュリティ教育を実施する。

新たに採用した者に対しては、**入社後1か月以内**に教育を実施する。

### 第20条（監査）
情報セキュリティ監査を**年1回**実施する。監査結果は経営層に報告する。