情報セキュリティ方針
情報セキュリティ基本方針
当社は、自動車事業を中核としてお客様のニーズに応えてきました。今後も、お客様にご満足いただける技術サービスを提供するために、高度情報化社会における情報資産を事故・災害・犯罪などの脅威から守り、お客様ならびに社会の信頼に応えるべく、情報セキュリティ基本方針を定め、当社の情報セキュリティに対する取り組みの指針といたします。
1.社内体制及び情報セキュリティポリシーの整備
当社は、セキュリティの維持及び改善のために必要な管理体制を整備し、必要な情報セキュリティ対策を社内の正式な規則として定めます。
1.社内体制及び情報セキュリティポリシーの整備
当社は、セキュリティの維持及び改善のために必要な管理体制を整備し、必要な情報セキュリティ対策を社内の正式な規則として定めます。
2.リーダーシップにおける責任及び継続的改善
当社の経営者は、本方針の遵守により、当社及びお客様の情報資産が適切に管理されるよう主導します。
3.情報セキュリティ目的の策定と見直し
当社は、情報セキュリティ目的を策定し、その目的を達成するための諸活動を実施します。情報セキュリティ目的は当社の経営者によって承認され、年度ごとに見直しを行うものとします。
４.法令、契約上の要求事項の遵守
当社の従業員は、事業活動で利用する情報資産に関連する法令、規制、規範及びお客様との契約上のセキュリティ要求事項を遵守します。
５.従業員の取組み
当社の従業員は、情報セキュリティの維持及び改善のために必要とされる知識、技術を習得し、情報セキュリティへの取り組みを確かなものにします。
６.継続的改善
当社は、情報セキュリティマネジメントシステムの運用状況を監視し、維持及び継続的な改善を行います。
７.違反及び事故への対応
当社は、情報セキュリティに関わる法令、規制、規範及びお客様との契約に関わる違反及び情報セキュリティ事故への対応のための体制を整備し、違反及び事故の影響を低減します。
2021年7月1日
カーレポ株式会社
代表取締役 赤須 洋一郎
情報セキュリティ個別方針
1.情報資産管理
当社のISMS適用範囲で使用する情報資産を適切に管理するため、使用する情報資産を洗出し、その重要度に応じた、管理策を選択し、実施します。
管理策を適切に実施するため、対象となる情報資産の責任者を明確にし、重要度に応じたラベリングや取り扱いの許容範囲の設定などを実施し、維持します。
情報資産をISMS適用範囲外に持ち出す際の認可プロセスを確立し、実施します。また、持ち出した際の外部での使用におけるリスクを識別し、適切な対策を実施します。
情報資産の処分（廃棄）、及び再利用にあたっては、情報資産が不適切に使用されることを防止するため、確実に消去する手順を確立し、実施します。
2.組織的人的セキュリティ対策
組織内の情報セキュリティ活動を確実にするために、全ての関係者の役割・責任を明確にし、関係者間の調整機能や、経営資源導入・変更に関する認可プロセス、リスクコミュニケーション、内部監査などの組織的な対策を確立し、実施します。
全ての関係者に対して、実施する情報セキュリティ対策の内容を理解し、実施することを確実にするための教育・訓練を継続的に実施し、記録を保持します。
全ての関係者は、その関係が変更又は解消される際には、与えられた権限や貸与物が変更・削除又は返却されるように、責任者を明確にし、確実に実施される仕組みを確立し、実施します。
3.アクセス制御
当社のISMS適用範囲で管理する情報資産を、不正利用や誤使用などの不適切なアクセスから保護するために、利用者の識別・認証（本人であることを確認）、情報資産へのアクセス権限の適切な設定、不正アクセスの早期発見、アクセス記録の取得などの対策を実施し維持します。
4.暗号
情報資産の機密性、真正性、完全性を保護するために、情報資産の重要性、可用性、及び技術の進歩を考慮して、適切な暗号化技術を適用します。
5.物理的環境的セキュリティ対策
情報資産を保護するために必要な施設及び情報資産に対する不正アクセスを防止するために、物理的セキュリティレベルを定め、そのレベルに従った入退管理策や、火災、洪水、地震、爆発、暴力行為、及びその他の自然災害又は人的被害からの物理的な保護対策を実施し、維持します。
セキュリティレベルの高い境界内での不正作業や誤作業を防止するための対策を実施し、維持します。
パソコンやサーバー等の装置及び装置の稼働を維持するために必要な電源、ケーブル等の設備全般に対して、環境上の脅威、災害、不正アクセスなどから保護するための対策を実施し、維持します。
装置をISMS適用範囲外に持ち出す際の認可プロセスを確立し、実施する。また、持ち出した際の外部での使用におけるリスクを識別し、適切な対策を実施します。
装置の処分（廃棄）、及び再利用にあたっては、情報資産が不適切に使用されることを防止するため、確実に消去する手順を確立し、実施します。
6.通信及び運用管理
重要な情報処理設備の運用においては、不正操作や誤操作を防止するために、職務及び設備の分割、操作手順書の整備などの対策を確立し、実施します。
システムの可用性及び完全性を維持するため、システム容量管理や情報資産のバックアップなどの対策を確立し、実施します。
マルウェア（悪意のあるコード及び認可されないモバイルコードなど）からの保護のために、検出、予防及び回復のための対策（利用者の意識向上の重要性を含めて）を確立し、実施します。
あらゆる情報交換（物理的配送、電子メールなど）において、リスクを認識し、適切な対策を確立し、実施します。
認可されていない情報処理活動の検知及び障害時の対策に使用するため、システム使用状況や作業ログ、障害ログなどを適切に取得し、ログに対する不正アクセスからの保護及び適切な期間の保持を実施します。
7.システムの取得、開発及び保守管理
情報システムの取得、開発及び保守管理のプロセスにおいて、不正行為又は誤作業等に起因する情報セキュリティインシデントの発生を未然に防ぐために、対策方針に従って、環境を整備し、規則を策定して、プロセスを実施します。
情報システムの実装にあたって、情報セキュリティ要件を満たすことを確実にします。
インターネットを介して利用するアプリケーションサービス（電子商取引など）を利用する場合は、そのリスクを認識し、適切な対策を確立します。
8.供給者関係（外部委託及び第三者の提供するサービス）管理
業務を外部委託する場合及び第三者が提供するサービスを利用する場合に、経営効率の向上を図ると同時に、情報セキュリティを確保するために、供給者に求める情報セキュリティ要求事項を特定し、事前に供給者と合意します。
また、合意内容の監視及びレビューを適時実施し、必要に応じて合意内容を見直します。
9.情報セキュリティインシデント管理
情報セキュリティ事象（インシデント及びインシデントに繋がるかも知れない弱点）を早期に発見し、適切な対処を迅速に実施するために、情報セキュリティ事象の検知手順、真の原因を除去するための是正処置及び未然防止のための予防処置の手順を明確にし、実施します。
10.事業継続管理
当社のISMS適用範囲の事業継続に重大な影響を与える情報セキュリティ上の事件・事故が発生した際に、業務を早期に復旧及び継続するための計画（事業継続計画）を策定し、維持します。
11.順守
情報セキュリティに関わる法令、規制又は契約上のあらゆる義務、及びセキュリティ上のあらゆる違反を避けるために、関連する事項の洗い出しと対策を実施し、維持します。
順守を確実にするために、監査活動に留まらず日常の自主点検や定期的な技術的点検を実施します。
当社のISMS適用範囲で使用する情報資産を適切に管理するため、使用する情報資産を洗出し、その重要度に応じた、管理策を選択し、実施します。
管理策を適切に実施するため、対象となる情報資産の責任者を明確にし、重要度に応じたラベリングや取り扱いの許容範囲の設定などを実施し、維持します。
情報資産をISMS適用範囲外に持ち出す際の認可プロセスを確立し、実施します。また、持ち出した際の外部での使用におけるリスクを識別し、適切な対策を実施します。
情報資産の処分（廃棄）、及び再利用にあたっては、情報資産が不適切に使用されることを防止するため、確実に消去する手順を確立し、実施します。
2.組織的人的セキュリティ対策
組織内の情報セキュリティ活動を確実にするために、全ての関係者の役割・責任を明確にし、関係者間の調整機能や、経営資源導入・変更に関する認可プロセス、リスクコミュニケーション、内部監査などの組織的な対策を確立し、実施します。
全ての関係者に対して、実施する情報セキュリティ対策の内容を理解し、実施することを確実にするための教育・訓練を継続的に実施し、記録を保持します。
全ての関係者は、その関係が変更又は解消される際には、与えられた権限や貸与物が変更・削除又は返却されるように、責任者を明確にし、確実に実施される仕組みを確立し、実施します。
3.アクセス制御
当社のISMS適用範囲で管理する情報資産を、不正利用や誤使用などの不適切なアクセスから保護するために、利用者の識別・認証（本人であることを確認）、情報資産へのアクセス権限の適切な設定、不正アクセスの早期発見、アクセス記録の取得などの対策を実施し維持します。
4.暗号
情報資産の機密性、真正性、完全性を保護するために、情報資産の重要性、可用性、及び技術の進歩を考慮して、適切な暗号化技術を適用します。
5.物理的環境的セキュリティ対策
情報資産を保護するために必要な施設及び情報資産に対する不正アクセスを防止するために、物理的セキュリティレベルを定め、そのレベルに従った入退管理策や、火災、洪水、地震、爆発、暴力行為、及びその他の自然災害又は人的被害からの物理的な保護対策を実施し、維持します。
セキュリティレベルの高い境界内での不正作業や誤作業を防止するための対策を実施し、維持します。
パソコンやサーバー等の装置及び装置の稼働を維持するために必要な電源、ケーブル等の設備全般に対して、環境上の脅威、災害、不正アクセスなどから保護するための対策を実施し、維持します。
装置をISMS適用範囲外に持ち出す際の認可プロセスを確立し、実施する。また、持ち出した際の外部での使用におけるリスクを識別し、適切な対策を実施します。
装置の処分（廃棄）、及び再利用にあたっては、情報資産が不適切に使用されることを防止するため、確実に消去する手順を確立し、実施します。
6.通信及び運用管理
重要な情報処理設備の運用においては、不正操作や誤操作を防止するために、職務及び設備の分割、操作手順書の整備などの対策を確立し、実施します。
システムの可用性及び完全性を維持するため、システム容量管理や情報資産のバックアップなどの対策を確立し、実施します。
マルウェア（悪意のあるコード及び認可されないモバイルコードなど）からの保護のために、検出、予防及び回復のための対策（利用者の意識向上の重要性を含めて）を確立し、実施します。
あらゆる情報交換（物理的配送、電子メールなど）において、リスクを認識し、適切な対策を確立し、実施します。
認可されていない情報処理活動の検知及び障害時の対策に使用するため、システム使用状況や作業ログ、障害ログなどを適切に取得し、ログに対する不正アクセスからの保護及び適切な期間の保持を実施します。
7.システムの取得、開発及び保守管理
情報システムの取得、開発及び保守管理のプロセスにおいて、不正行為又は誤作業等に起因する情報セキュリティインシデントの発生を未然に防ぐために、対策方針に従って、環境を整備し、規則を策定して、プロセスを実施します。
情報システムの実装にあたって、情報セキュリティ要件を満たすことを確実にします。
インターネットを介して利用するアプリケーションサービス（電子商取引など）を利用する場合は、そのリスクを認識し、適切な対策を確立します。
8.供給者関係（外部委託及び第三者の提供するサービス）管理
業務を外部委託する場合及び第三者が提供するサービスを利用する場合に、経営効率の向上を図ると同時に、情報セキュリティを確保するために、供給者に求める情報セキュリティ要求事項を特定し、事前に供給者と合意します。
また、合意内容の監視及びレビューを適時実施し、必要に応じて合意内容を見直します。
9.情報セキュリティインシデント管理
情報セキュリティ事象（インシデント及びインシデントに繋がるかも知れない弱点）を早期に発見し、適切な対処を迅速に実施するために、情報セキュリティ事象の検知手順、真の原因を除去するための是正処置及び未然防止のための予防処置の手順を明確にし、実施します。
10.事業継続管理
当社のISMS適用範囲の事業継続に重大な影響を与える情報セキュリティ上の事件・事故が発生した際に、業務を早期に復旧及び継続するための計画（事業継続計画）を策定し、維持します。
11.順守
情報セキュリティに関わる法令、規制又は契約上のあらゆる義務、及びセキュリティ上のあらゆる違反を避けるために、関連する事項の洗い出しと対策を実施し、維持します。
順守を確実にするために、監査活動に留まらず日常の自主点検や定期的な技術的点検を実施します。
2021年7月1日
カーレポ株式会社
代表取締役 赤須 洋一郎