１ 目的
当社の各情報システムが取り扱う情報には、個人情報など、部外に漏洩等した場合には極めて重大な結果を招く情報が多数含まれている。
したがって、これらの情報及び情報を取り扱う情報システムを様々な脅威から防御することは、個人のプライバシー等を守るためにも、また、事務の安定的な運営のためにも必要不可欠である。
ひいては、このことが当社に対するお客様からの信頼の維持向上に寄与するものである。
また、近年のいわゆるＩＴ革命の進展により、電子商取引の発展や電子自治体の実現が期待されているところである。
当社がこれらに積極的に対応するためには、全てのネットワーク及び情報システムが高度な安全性を有することが不可欠な前提条件である。
そのため、当社の情報資産の機密性、完全性及び可用性を維持するための対策（セキュリティ対策）を整備するために当社セキュリティポリシーを定めることとし、このうち、セキュリティ基本方針については当社の情報セキュリティ対策の基本的な方針として、情報セキュリティポリシーの対象、位置付け等を定めるものとする。
２ 定義
（１）ネットワーク
当社における内部部所、各営業所に接続するための通信網、その構成機器（ハードウェア及びソフトウェア）及び記録媒体で構成され、処理を行う仕組みをいう。
（２）情報システム
電子計算機（ネットワーク、ハードウェア及びソフトウェア）及び記録媒体で構成され、処理を行う仕組みをいう。
（３）情報資産
ネットワーク及び情報システムの開発と運用に係る全てのデータ並びにネットワーク及び情報システムで取り扱う全てのデータをいう。
（４）情報セキュリティ
情報資産の機密の保持及び正確性、完全性の維持並びに定められた範囲での利用可能な状態を維持することをいう。
３ セキュリティポリシーの位置付け
セキュリティポリシーは、当社が所掌する情報資産に関するセキュリティ対策について、総合的、体系的かつ具体的に取りまとめたものであり、セキュリティ対策の頂点に位置するものである。
４ セキュリティ管理体制
当社の情報資産について、幹部が率先してセキュリティ対策を推進・管理するための体制を確立するものとする。
５ 情報資産の分類
情報資産をその内容に応じて分類し、その重要度に応じたセキュリティ対策を行うものとする。
６ 情報資産への脅威
セキュリティポリシーを策定するうえで、情報資産を脅かす脅威の発生度合や発生した場合の影響を考慮すると、特に認識すべき脅威は以下のとおりである。
（１）部外者による故意の不正アクセスまたは不正操作によるデータやプログラムの持出・盗聴・改ざん・消去、機器及び媒体の盗難等
（２）社員等及び部外者による意図しない操作、故意の不正アクセスまたは不正操作によるデータやプログラムの持出・盗聴・改ざん・消去、機器及び媒体の盗難及び規定外の端末接続によるデータ漏洩等
（３）地震、落雷、火災等の災害並びに事故、故障等によるサービス及び業務の停止
７ セキュリティ対策
上記６で示した脅威から情報資産を保護するために、以下の情報セキュリティ対策を講ずるものとする。
（１）物理的セキュリティ対策
情報システムを設置する施設への不正な立入り、情報資産への損傷・妨害等から保護するために物理的な対策を講ずる。
（２）人的セキュリティ対策
情報セキュリティに関する権限や責任を定め、全ての社員等にセキュリティポリシーの内容を周知徹底する等、十分な教育及び啓発が講じられるように必要な対策を講ずる。
（３）技術及び運用におけるセキュリティ対策
情報資産を外部からの不正なアクセス等から適切に保護するため、情報資産へのアクセス制御、ネットワーク管理等の技術面の対策、また、システム開発等の外部委託、ネットワークの監視、情報セキュリティポリシーの遵守状況の確認等の運用面の対策を講ずる。
また、緊急事態が発生した際に迅速な対応を可能とするための危機管理対策を講ずる。
８ セキュリティ対策基準の策定
当社の様々な情報資産について、上記７の情報セキュリティ対策を講ずるに当たっては、遵守すべき行為及び判断等の基準を統一的なレベルで定める必要がある。そのため、セキュリティ対策を行う上で必要となる基本的な要件を明記したセキュリティ対策基準を策定するものとする。
９ セキュリティ実施手順の策定
セキュリティ対策基準を遵守してセキュリティ対策を実施するために、個々の情報資産の対策手順等をそれぞれ定めていく必要がある。
そのため、情報資産に対する脅威及び情報資産の重要度に対応するセキュリティ対策基準の基本的な要件に基づき、内部部局の長等が所掌する情報資産のセキュリティ実施手順を策定するものとする。
なお、セキュリティポリシー及びセキュリティ実施手順は、公にすることにより当社の運営に重大な支障を及ぼす恐れのある情報であることから原則非公開とする。
10 セキュリティ監査の実施
情報セキュリティポリシーが遵守されていることを検証するため、定期的に監査を実施する。
11 評価及び見直しの実施
セキュリティ監査の結果等により、セキュリティポリシーに定める事項及びセキュリティ対策の評価を実施するとともに、セキュリティを取り巻く状況の変化に対応するために、セキュリティポリシーの見直しを実施する。 |
