情報セキュリティポリシー

制定日：2022年3月17日　／　最終改定日：2026年7月25日　／　管理責任者：取締役CIO　橋本　剛

1. 基本方針

当社は、AI人材育成・経営のAI活用・業務の生産性向上・営業支援・DX支援の各サービスを通じて、お客様の経営情報・業務情報をお預かりしています。これらの情報をお守りすることは、当社事業の前提であると認識しています。

• 取締役CIO 橋本剛を情報セキュリティの最終責任者とし、方針の決定・資源の配分・重大事案の判断を自ら行う。
• お預かりした情報は、契約その他で合意した目的の範囲内でのみ取り扱う。
• 本ポリシーは、当社が完全な安全を保証するものではなく、リスクを継続的に把握し低減していくための行動基準として定める。

2. 適用範囲

• 当社の役員および従業員（雇用形態を問わない）。
• 当社が業務を委託する外部の事業者・個人（講師、開発者、事務代行等）。
• 当社の業務で取り扱うすべての情報、および業務に用いる端末・記録媒体・クラウドサービス・ネットワーク。

3. 情報資産の管理

• 取り扱う情報を「お客様からお預かりした機密情報・個人情報」「社内情報」「公開情報」に分類し、分類に応じた取扱いを義務付ける。
• お客様情報へのアクセスは、業務上必要な担当者に限定する（最小権限の原則）。担当を外れた場合は速やかに権限を解除する。
• 保管場所は、当社が管理するアカウントで利用するクラウドサービスおよび業務用端末に限定し、私物アカウント・個人所有の外部サービスへの保存を禁止する。
• 保存の必要性を定期的に見直し、不要となった情報は削除する。契約終了時は、お客様のご指示に従い、お預かりした情報の返却または削除を行い、その結果をご報告する。

本ポリシーの重点事項

4. 生成AIサービス利用時のお客様情報の取扱い

当社は生成AIの活用支援を本業としており、お客様が最も懸念される「自社の情報を生成AIに入力して問題ないか」という点について、以下を社内ルールとして定めています。

• 入力データが学習に利用されない条件での利用に限定する。業務での生成AI利用は、入力データをモデルの学習に用いない旨が規約上明示された法人向けプラン、またはAPI経由での利用を原則とし、個人向け無償プランの業務利用を禁止する。
• お客様の機密情報・個人情報は、事前の合意なく生成AIサービスに入力しない。入力が必要な場合は、対象範囲・利用サービス・目的をお客様にご説明し、合意を得たうえで行う。
• 採用前にサービスを評価する。新たな生成AIサービスを業務に用いる際は、利用規約・データの保存期間・学習利用の有無・保存先地域・第三者提供の有無を事前に確認し、責任者の承認を経てから採用する。
• 合意を得ずに入力する場合は、社名・氏名・連絡先・固有の識別情報等を除去し、業務課題の構造のみを扱う形に加工する。
• 生成AIの出力は必ず人が確認したうえで用い、確認を経ない出力をそのまま成果物としない。

お客様側で「生成AIへの入力を一切認めない」等の運用方針がある場合は、契約時にお申し出ください。当該方針に沿った進め方に合わせて対応いたします。

5. 技術的対策

• 業務で利用するアカウントには、多要素認証の設定を必須とする。
• アカウントは個人ごとに付与し、共用・貸与を禁止する。パスワードはパスワード管理ツールで生成・保管し、サービス間での使い回しを禁止する。
• OS・業務用ソフトウェアは、提供元のサポート対象バージョンを維持し、セキュリティ更新を速やかに適用する。
• 業務用端末にマルウェア対策機能を有効化し、出所の不明なソフトウェア・拡張機能の導入を禁止する。

6. 物理的対策

• 業務用端末および記録媒体は、施錠可能な場所または管理者の管理下で保管し、第三者が単独で操作できる状態に置かない。
• 端末の社外持ち出しは業務上必要な範囲に限り、移動中の車内放置・公共の場での放置を禁止する。
• 離席時は画面ロックを義務付け、一定時間操作がない場合の自動ロックを設定する。
• 紙の資料は不要となった時点で裁断等により廃棄し、記録媒体は復元できない方法で消去のうえ廃棄する。

7. 人的対策

• 役員・従業員・業務委託先に対し、在職中および契約終了後の秘密保持義務を課す。
• 入社・参画時に本ポリシーを周知し、必要な範囲でのみアカウントと権限を付与する。退職・契約終了時は、権限の削除と貸与物の返却を速やかに行う。
• 情報セキュリティおよび生成AIの安全な利用に関する社内教育を継続的に実施する。当社はAI人材育成を本業としており、自社の教育プログラムで用いる知見をそのまま社内リテラシーの維持・向上に用いている。
• 判断に迷う事象は、自己判断で進めず責任者に相談することを行動規範とする。

8. 委託先管理

• 業務を委託する場合は、秘密保持契約の締結を必須とし、再委託には当社の事前承諾を要するものとする。
• 委託先に対し、本ポリシーと同等の管理水準を求め、委託の範囲・取り扱う情報・契約終了時の返却または削除の方法を書面で明確にする。
• 委託先が生成AIを用いる場合は、第4章と同一の条件（学習利用されない環境での利用、事前合意のない機密情報の入力禁止）を適用する。
• お客様情報を委託先に提供する必要が生じた場合は、事前にお客様へご説明する。

9. インシデント対応

• 情報の漏えい・紛失・不正アクセス、またはそのおそれを認知した者は、直ちに責任者へ報告することを義務付ける。社内の第一報の窓口は情報セキュリティ管理責任者（取締役CIO）とする。
• 報告を受けた責任者は、被害拡大の防止措置（アカウント停止、通信遮断等）を優先して実施する。
• お客様の情報が影響を受けた、または受けたおそれがある場合は、判明した事実と対応状況を速やかに当該お客様へご連絡する。判明前であっても、状況が確認でき次第の連絡を優先する。
• 関係法令に基づく監督官庁等への報告が必要な場合は、法令の定めに従い対応する。収束後は原因を検証し、再発防止策を定めて本ポリシーおよび社内手順に反映する。

10. 法令遵守

• 個人情報の保護に関する法律その他の関連法令、および所属する業界の指針を遵守する。
• お客様との契約に定められた情報の取扱い条件を、本ポリシーに優先して遵守する。
• 第三者の権利を侵害しないよう、生成AIの出力を含む成果物の取扱いに留意する。

11. 継続的改善

• 本ポリシーは年1回以上見直すほか、事業内容の変更、利用サービスの変更、法令の改正、インシデントの発生時には随時見直す。
• 見直しの結果は代表取締役が承認し、改定日を明記のうえ関係者に周知する。