株式会社アマテック（以下「当社」といいます。）は、お客様、取引先その他の関係者からお預かりする情報、および当社が保有する情報資産を、事業活動を支える重要な資産であると認識しています。
AI、Webアプリケーション、クラウド、IoT、ロボティクス等のデジタル技術を扱う企業として、情報セキュリティの確保を経営上の重要課題と位置づけ、以下の方針に基づき継続的な改善に取り組みます。
1. 経営者の責任
当社は、代表取締役の責任のもと、情報セキュリティ対策を経営課題として推進します。
情報セキュリティ上のリスクを把握し、必要な人的・技術的・組織的対策を検討するとともに、事業や技術環境の変化に応じて対策を見直します。
2. 社内体制とルールの整備
情報セキュリティの維持・改善に必要な責任体制を明確にし、情報資産の取扱い、アカウント管理、アクセス権限、端末、クラウドサービス、バックアップ、インシデント対応等について必要な社内ルールを整備します。
重要な情報については、業務上必要な者だけがアクセスできるよう適切に管理します。
3. 情報資産の適切な管理
当社が取り扱う情報について、その重要度や機密性に応じた管理を行います。
主な対象には以下を含みます。
- お客様・取引先に関する情報
- 個人情報
- 契約情報
- 営業・経営情報
- ソースコード・設計情報
- 開発中のシステム・サービスに関する情報
- APIキー、パスワードその他の認証情報
- 社内文書・業務データ
- その他、業務上取り扱う機密情報
情報の利用目的を明確にし、不要なアクセス権限や不要となった情報は適切に見直します。
4. 人的セキュリティ
役員、従業員その他業務に関わる者が、情報セキュリティの重要性を理解し、適切に行動できるよう必要な教育・周知を行います。
特に以下について継続的に意識向上を図ります。
- パスワード・多要素認証
- フィッシング・不審メール
- 個人情報・機密情報の取扱い
- クラウドサービス利用時の注意
- AI・生成AI利用時の情報管理
- ソフトウェア・端末の安全な利用
- セキュリティ事故発生時の報告
5. 技術的セキュリティ
システム・ネットワーク・端末等について、必要に応じて以下の対策を実施します。
- OS・ソフトウェア・依存パッケージの更新
- 脆弱性情報の確認と必要な対応
- 多要素認証等による認証強化
- 最小権限を基本としたアクセス制御
- 通信の暗号化
- マルウェア対策
- ログ取得・監視
- バックアップ
- 不要なアカウント・サービス・権限の削除
- 開発環境と本番環境の適切な分離
6. クラウド・AI・ソフトウェア開発の安全な利用
クラウドサービスや生成AI等の外部サービスを利用する際は、サービス提供者の信頼性、認証方式、データの取扱い、契約条件等を必要に応じて確認します。
個人情報、顧客機密情報、認証情報、非公開のソースコード等については、利用するサービスの仕様・契約・データ利用条件を確認し、適切に管理します。
ソフトウェア開発においては、設計・実装・テスト・運用の各段階でセキュリティを考慮し、コードレビュー、秘密情報の管理、依存パッケージの更新、認証・認可、バックアップ等の対策に取り組みます。
7. 委託先・外部パートナーの管理
外部事業者へ業務を委託する場合や外部サービスを利用する場合は、取り扱う情報や業務の重要度に応じて、相手方の情報管理体制を確認します。
必要に応じて秘密保持、情報管理、再委託、事故発生時の報告等について契約上の取り決めを行います。
8. バックアップと事業継続
システム障害、災害、ランサムウェア、操作ミス等に備え、重要なデータについて必要なバックアップを実施します。
重要度に応じて、保存場所、世代管理、アクセス制御、復旧方法等を検討し、事業継続性の向上に努めます。
9. 情報セキュリティ事故への対応
情報漏えい、不正アクセス、マルウェア感染、アカウント侵害、サービス停止その他の情報セキュリティ事故が発生した場合、またはその可能性を確認した場合には、速やかに状況を把握し、被害拡大防止、原因調査、復旧、関係者への報告、再発防止を行います。
法令等に基づく報告や通知が必要な場合は、適切に対応します。
10. 法令・契約等の遵守
当社は、情報セキュリティ、個人情報保護、知的財産その他情報管理に関係する法令、規則、ガイドラインおよび契約上の義務を遵守します。
11. 継続的な改善
サイバー攻撃の手法、技術、事業環境は継続的に変化します。
当社は、情報セキュリティ対策の実施状況を定期的に確認し、必要な改善を継続します。
DXの推進と情報セキュリティを両立し、お客様・取引先から信頼されるサービスと事業運営を目指します。
制定日：
株式会社アマテック
代表取締役 天野 良祐