情報セキュリティ基本方針
reco-education（以下「当事業」）は、お客様からお預かりする情報と、当事業の情報資産を守ることを重要な責務と考え、以下の方針を定めて取り組みます。
1. 基本方針
- 情報セキュリティに関する法令、国が定める指針、その他の規範、およびお客様との契約上の義務を遵守します。
- 情報資産を不正アクセス、漏えい、改ざん、紛失、破壊などから守るため、必要な管理的・技術的・物理的な対策を講じます。
- 業務に関わる者に本方針を周知し、情報セキュリティへの意識を継続して高めます。
- 事故が起きた場合は、速やかに対応し、原因を究明して再発防止に努めます。
- 本方針と取り組みを定期的に見直し、継続的に改善します。
2. 管理体制
代表者を情報セキュリティ責任者とし、本方針の運用、対策の実施、事故発生時の対応について責任を負います。
3. 具体的な取り組み
本方針に基づく具体的な取り組みを、以下のとおり定めます。本ページの内容は、当事業の情報セキュリティの運用ルール（マニュアル）を兼ねます。
(1) 事務所の入退室管理
事務所は不在時に施錠します。第三者の立入時は、お客様の情報が記載された書類や画面が見えないようにします。
(2) 教育・周知
代表者は年1回以上、公的機関が発信する情報セキュリティの最新情報を確認し、本方針と取り組みを見直します。業務の協力者や委託先には、業務開始時に本方針を周知します。
(3) 秘密保持
従業員を雇用する場合、および業務の協力者・委託先と契約する場合は、秘密保持に関する条項を含む契約を結びます。
(4) パソコン・スマートフォンの盗難・紛失対策
- 業務で使う端末には、ログインパスワードまたは生体認証と、自動画面ロックを設定します。
- 端末のストレージは暗号化し、紛失時に遠隔でロック・データ消去ができる状態にします。
- 端末を持ち出す際は、置き忘れや盗難に注意し、目の届かない場所に放置しません。
(5) 目的外利用の禁止
業務で使う端末、アカウント、お客様からお預かりした情報を、業務以外の目的で利用しません。
(6) ウイルス対策
OSとソフトウェアを常に最新の状態に更新し、ウイルス対策機能を有効にします。不審なメールの添付ファイルやリンクは開きません。
(7) アクセス制御・パスワード管理
- 業務で使うクラウドサービスには、推測されにくいパスワードを設定し、使い回しをしません。
- 利用できるサービスでは、2段階認証を有効にします。
- お客様の情報へのアクセス権は、業務に必要な者に、必要な範囲でのみ付与します。
(8) 情報・機器の廃棄と返却
業務情報が記録された端末、記録媒体、書類を廃棄・譲渡・返却する際は、データを復元できない方法で消去するか、物理的に破壊・裁断します。
(9) アクセス権の削除
業務の協力者・委託先との契約が終了したときや、従業員が退職したときは、直ちに業務用アカウントやお客様情報へのアクセス権を削除します。
(10) 事故発生時の対応
情報の漏えい、紛失、不正アクセスなどの事故、またはそのおそれを把握した場合は、次の手順で対応します。
- 被害の拡大を防ぐ（パスワード変更、端末の遠隔ロック、アカウント停止など）
- 影響を受けた情報、範囲、原因を確認し、記録する
- 影響を受けるお客様・関係者へ速やかに連絡する
- 法令等で必要な場合は、個人情報保護委員会などの関係機関に報告する
- 原因を踏まえた再発防止策を講じ、本方針・取り組みに反映する
(11) 委託先の管理
業務を外部に委託する場合は、情報を適切に取り扱える委託先を選び、秘密保持と目的外利用の禁止、業務終了時の情報の返却・消去を契約で定めます。必要に応じて、取扱いの状況を確認します。
4. 個人情報の取扱い
個人情報の取扱いについては、個人情報保護方針に定めます。
5. お問い合わせ窓口
reco-education 代表 山下 恭史朗
メール：yamashita@reco-education.jp