情報保全方針

第一条（目的）

この規程は、野澤組が取り扱う情報を、漏えいした場合の影響に応じて区分し、その区分に応じた保護を行うための方針を定めることを目的とする。

2情報の保護は、秘匿することのみを目的とするものではない。必要とする者が必要とする時に情報を利用できる状態を確保しつつ、必要としない者への開示を防ぐことをもって足りるものとする。

第二条（適用範囲）

この規程は、次の各号に掲げる情報について適用する。

1. 一お客様その他の関係者から受領した情報
2. 二野澤組が業務上作成し、又は保有する情報
3. 三野澤組が提供するサービスの運用に伴い記録される情報

第三条（他の規程との関係）

個人情報の取扱いについては、プライバシーポリシーの定めるところによる。この規程は、個人情報に当たらない情報を含む全ての情報について、区分及び取扱いの方針を定めるものであり、プライバシーポリシーを変更するものではない。

2脆弱性に関する情報の取扱いについては、脆弱性開示ポリシーの定めるところによる。

第四条（この方針の位置付け）

この規程は、野澤組が内部に定める情報保全の制度のうち、外部に対して負う約束に当たる部分を公開するものである。

2野澤組が情報に付する区分は、野澤組の内部における取扱いの基準である。法令に基づく秘密の指定その他の法的資格は、関係する法令又は契約に基づき現に該当する場合に限り生じるものであり、野澤組が区分を付したことのみをもって生じるものではない。

第五条（最小権限）

情報へのアクセスは、業務の遂行に必要な最小限の範囲に限るものとする。

2職位の上下は、アクセスできる範囲を当然には拡大しない。

第六条（知る必要性）

情報を取り扱う資格を有する場合であっても、当該情報を知る業務上の必要性がないときは、アクセスさせないものとする。

第七条（過剰な区分の禁止）

必要以上に高い区分を付してはならない。

2過剰な区分は、業務の効率を損ない、及び制度に対する信頼を失わせるものであることに留意する。

第八条（追跡可能性）

重要な情報に対する閲覧、変更、出力及び共有については、可能な限り記録を残し、事後に確認できるようにするものとする。

第九条（多層による防護）

情報の保護は、単一の手段に依存させず、認証、端末の管理、暗号化、記録、物理的な管理その他の手段を組み合わせて行うものとする。

第十条（区分）

複数の区分に属する情報を結合したときは、原則として最も高い区分以上のものとして取り扱う。

2情報は、漏えいした場合に生じる影響の大きさに応じ、次の各号に掲げる区分のいずれかに区分する。

1. 一公開　公開を前提とし、第三者への開示による実質的な損害が想定されないもの
2. 二部内　原則として野澤組の内部で利用するもので、漏えい時の影響が限定的であるもの
3. 三取扱注意　漏えい又は誤用により、業務、関係者又はお客様に無視できない支障が生じるもの
4. 四秘　漏えいにより重大な財務上、技術上、信用上又は法律上の損害が生じ得るもの
5. 五極秘　漏えいにより中核となる事業、重要なお客様又は重要な技術に極めて重大な損害が生じ得るもの
6. 六機密　保護が最高度に必要であり、漏えいにより組織の存続に関わる甚大な損害が想定されるもの

第十一条（お客様から受領した情報）

お客様から受領した情報は、原則として取扱注意以上の区分として取り扱う。

2お客様との間で区分について別段の合意があるときは、その合意に従う。

第十二条（区分の見直し）

区分の根拠が消滅したときは、当該情報を保有する者は、区分を見直し、引下げ又は公開とすることができる。

2この規程は、情報を永続的に秘匿することを目的とするものではない。

第十三条（完全性及び可用性）

情報については、漏えいに対する評価とは別に、改ざんされた場合の影響及び利用できなくなった場合の影響を評価することができる。

2秘密の度合いが高くない情報であっても、改ざん又は停止による影響が大きいものがあることに留意する。

第十四条（保存及び送信）

区分に応じ、保存の場所、暗号化の要否、送信の方法及び共有の範囲を定めるものとする。

2野澤組のウェブサイト及び提供するダッシュボードとの通信は、暗号化された経路によるものとする。

第十五条（持出し）

高い区分の情報を管理された環境の外へ持ち出すときは、事前の承認を要するものとする。

2可搬媒体による持出しは、必要最小限にとどめるものとする。

第十六条（生成人工知能その他の外部サービス）

生成人工知能その他の外部サービスに情報を入力するときは、当該情報の区分及び当該サービスにおける情報の取扱いを確認した上で行うものとする。

2お客様から受領した情報については、お客様の同意がある場合又は契約上許容される場合を除き、外部サービスに入力しないものとする。

第十七条（廃棄）

保存の必要がなくなった情報は、区分に応じた方法により、復元できない状態にして廃棄するものとする。

第十八条（事故が生じたとき）

情報の漏えい、滅失、毀損その他の事故が生じ、又は生じたおそれがあるときは、速やかに事実を確認し、被害の拡大を防止するための措置を講ずるものとする。

2お客様から受領した情報に係る事故については、確認できた事実を、確認できた範囲において、当該お客様に通知するものとする。

3事実が確定していない段階においても、通知を遅らせることが被害の拡大につながると認められるときは、確定していない旨を明示した上で通知するものとする。

第十九条（公開しない事項）

野澤組の内部における判断の基準、承認の系統、区画の名称、技術的な統制の細目その他、公開することにより情報の保護を弱めるおそれのある事項は、この規程には記載しない。

2前項の事項は、内部の規程に定める。

第二十条（見直し）

この規程は、原則として年に一回、及び事業又は法令に重大な変更が生じたときに見直すものとする。

第二十一条（問合せ）

この規程に関する問合せは、野澤組の問合せ窓口において受け付ける。