1. 目的
当社は、お客様からお預かりする情報および当社が保有する情報を、事業活動における重要な資産と位置づけます。これらを適切に保護することは、お客様に対する責任であると同時に、当社が事業を続けるための前提であると認識し、本方針を定めます。
情報セキュリティ基本方針
お預かりするものを、どう守るか
お客様の業務に関する情報をお預かりする立場として、何をして、何をしないかを定めています。
本方針は、独立行政法人情報処理推進機構（IPA）が提供する「SECURITY ACTION」の趣旨に沿って策定し、公表するものです。 制定日は2026年9月1日です。
2. 適用範囲
本方針は、当社の役員および業務に従事するすべての者、ならびに当社が業務で用いるすべての情報および情報システムに適用します。当社が業務の一部を外部に委託する場合は、委託先にも本方針と同等の取り扱いを求めます。
3. 責任者
情報セキュリティの最終的な責任は代表取締役が負います。当社は社員数1名の会社であり、専任の担当者を置いていません。したがって責任の所在は代表取締役に一元化し、判断を先送りしない体制とします。
4. お預かりする情報の取り扱い
お客様の業務データは、当社が管理するデータ基盤の上でお預かりします。保管される場所を日本国内へ移す手続きを進めています。お客様ごとに保管場所を分けて管理し、他社の情報と混在させません。ご契約が終了する際は、CSV形式などあらかじめお約束した方法でお返しし、当社側の複製を削除したうえで、削除した旨をご報告します。
5. 組織的な対策
業務で使用する認証情報は、専用の管理手段に集約して保管し、記録媒体や文書に平文で残しません。新しいサービスや道具を業務に導入する際は、利用状況を確認する手段、利用上限の設定、定期的な点検の方法をあらかじめ用意したうえで使い始めます。導入してから対策を考える手順は取りません。
6. 技術的な対策
業務システムは、認証を経ない一切の画面および機能へのアクセスを遮断する構成とします。定期実行される処理は、利用者の認証とは別の鍵で保護します。業務で用いる端末およびソフトウェアは、提供元が配布する更新を適用し、既知の脆弱性を放置しません。通信は暗号化された経路を用います。
7. 委託先の管理
当社は、事業の運営にあたり外部のクラウドサービスを利用します。利用にあたっては、提供元が公表する情報の取り扱い条件を確認し、お客様に説明できる範囲でのみ用います。当社が業務の一部を第三者に委託する場合は、あらかじめお客様の同意を得たうえで、秘密保持の義務を課します。
8. 教育と見直し
代表取締役は、情報セキュリティに関する公的機関の指針および注意喚起を定期的に確認し、必要に応じて本方針および運用の手順を見直します。本方針は、少なくとも年に一度、内容が実態と合っているかを点検します。実態に合わなくなった記載は、速やかに改めます。
9. 事故が起きたときの対応
情報の漏えい、滅失、毀損またはそのおそれを認めた場合は、被害の拡大防止を最優先に対応し、影響を受ける可能性のあるお客様へ速やかにご報告します。原因および再発防止策についても、判明した時点でご報告します。事実を伏せることはいたしません。
株式会社ロハス8
代表取締役 長澤幹子
当社のDX推進に関する方針はDX推進への取り組みに掲載しています。