情報セキュリティ基本方針

1. 目的と適用範囲

本方針は、社内外の故意または偶然によるあらゆる脅威から、お客様および当社の情報資産を保護し、安定したサービス提供と事業活動の継続を図ることを目的とします。当社は、情報セキュリティを単なる技術的な対策にとどめず、経営・業務・サービス開発の各側面において一体的に推進すべきものと位置づけ、お客様が安心してカロミーをはじめとする当社サービスをご利用いただける環境を維持します。

本方針は、当社が事業活動において取り扱う情報資産を対象とします。情報資産には、お客様からお預かりする食事記録・身体データ・アカウント情報等のデータ、当社が保有・運用する業務情報およびシステム、ネットワーク、設備、ならびに業務上取り扱うその他の情報資源を含みます。本方針は当社の役員および従業員に適用されるほか、当社の業務に従事する協力会社の従業員等についても、契約等に基づき必要な範囲で遵守を求めます。

2. 管理体制

当社は、経営層を中心に情報セキュリティ体制を整え、情報セキュリティに関する責任者および各役割を明確にします。方針の策定・見直し、リスクへの対応、インシデント発生時の意思決定など、重要な事項については経営層が関与し、組織全体で対策を推進します。

あわせて、情報セキュリティに関する規程・手順を整備し、日常業務における判断基準と行動指針を明確にします。体制や規程は、事業規模やサービス内容の変化に応じて適宜見直し、実効性のある運用を維持します。

3. 情報資産の保護と安全なサービスの提供

当社は、保有・利活用する情報資産について、その重要度と想定される脅威を特定し、リスクアセスメントを実施します。評価結果に基づき、不正アクセス、漏えい、改ざん、滅失、毀損等を防ぐために必要な技術的・組織的対策を講じます。アクセス権限の適切な管理、通信および保存データの保護、端末・アカウントの管理、ログの取得・監視など、リスクに応じた対策を実施し、不要となった情報は適切に廃棄または消去するよう努めます。

また、サービスの企画、設計、開発、運用の各段階において情報セキュリティを考慮し、お客様が安心して利用できるサービスの提供に努めます。最新の脅威情報や技術動向の収集に努め、脆弱性への対応や運用改善を継続的に行います。外部のクラウドサービスやAI等を利用する場合も、取扱う情報の性質に応じて適切な選定・設定・監視を行い、サービス全体としての安全性の維持に取り組みます。

4. 法令・契約の遵守と教育

当社は、情報セキュリティおよび個人情報保護に関する法令、国が定める指針、その他の規範ならびに契約上の義務を把握し、これを遵守します。個人情報の取扱いについては、プライバシーポリシーその他の関連文書と整合する形で運用し、本方針に基づく社内規程を定め、業務においてこれを徹底します。

役員および従業員に対しては、本方針および関連規程の周知を行うとともに、情報セキュリティに関する教育・訓練を継続的に実施します。情報セキュリティは一部の担当者だけが担うものではなく、情報を取り扱うすべての者が当事者であるという認識のもと、組織全体のセキュリティ意識の向上に努めます。本方針または関連規程に違反した場合には、就業規則その他の社内規程に基づき、必要な措置を講じます。

5. インシデント対応と事業継続

当社は、情報セキュリティ上の事件・事故が発生し得ることを前提に、対応手順を整備します。事件・事故が発生した場合、またはそのおそれがある場合には、速やかに検知・状況把握を行い、被害の拡大防止、封じ込め、原因究明、復旧および関係者への必要な連絡を行います。対応後は、再発防止策を検討・実施し、必要に応じて手順や対策を見直します。

あわせて、災害、事故、障害、その他セキュリティ上の問題がサービスおよび事業活動に与える影響を最小化するため、予防策および早期復旧のための計画を整備します。有事においても、可能な限りサービスの継続または早期復旧を図り、お客様への影響を抑えるよう努めます。

6. 委託先の管理

当社は、業務の一部を外部に委託する場合、秘密保持契約の締結、選定時および定期的な確認等を通じて委託先を適切に監督します。委託先の選定にあたっては、取扱う情報の重要度に応じて、セキュリティ対策の状況を確認したうえで判断します。

委託先においても、当社が求めるセキュリティ水準が維持されるよう努め、契約条件や運用状況に問題が認められた場合は、是正を求め、必要に応じて委託内容の見直しを行います。

7. 継続的改善

当社は、情報セキュリティに関する自己点検・監査等を定期的に行い、管理体制および対策の実施状況を評価します。評価結果やインシデント対応の教訓、外部環境の変化を踏まえ、本方針および関連施策を見直します。

経営環境、技術動向、脅威の変化に応じて対策を更新し、情報セキュリティの水準を継続的に向上させるよう取り組みます。本方針自体も、必要に応じて改定し、改定後は適切に周知します。

関連ページ