ITPoricy のバックアップ(No.2)

情報セキュリティポリシー　草案

違反時における罰則

　当社は、『情報セキュリティポリシー』の違反者に対し、厳格な措置をとることとします。

　情報セキュリティ委員会は、『情報セキュリティポリシー』に違反した事項の重要度を評価し、適切な処置を講じることとします。

　当社の情報セキュリティが侵害されたと思われる事象が判明した場合は、速やかに準備された対応方法に従って対応しなければなりません。

プライバシー及び個人を特定できる情報の保護

　顧客の個人情報（以下「顧客情報」とする）を適切に収集・保管・廃棄における取り扱い時に注意するべき事項をまとめ、発生しうる問題を未然に防ぐことを目的とします。

　顧客情報を取り扱うすべてのコンピュータ及び媒体を対象とします。

（４．２．１ 顧客情報を取り扱う部門の特定）

現在は部門の特定を必要としないため省略。

（４．２．２ 顧客情報管理責任者の設置）

現在は部門ごとの責任者を設置しないため省略。

顧客情報保護方針の公開

　顧客情報管理責任者は、顧客情報を広く一般から収集する場合、当社のWeb サイトや広告等に当社の顧客情報保護方針を公開しなければなりません。

　顧客情報保護方針には、下記に記載される遵守事項の内容および当社への連絡先を明確にしなければなりません。

顧客情報の収集と保管、破棄

　顧客情報の収集時には、顧客に対して利用目的を明示し、顧客からの同意を得なければなりません。なお、収集以外の形で得た顧客情報を利用する場合は改めて顧
客から同意を得なければなりません。

　収集した情報を顧客に明示した利用目的以外の利用をしてはなりません。また、顧客に示した利用目的に必要な情報以外の情報を収集してはなりません。

　顧客情報に対する登録・参照・変更・削除の実施可能な者を明確にし、顧客情報へのアクセス制限を実施しなければなりません。

　顧客情報を利用する場合、正確な情報を利用しなければならず、そのための保護策を実施しなければなりません。

　顧客情報のバックアップを実施しなければなりません。バックアップした媒体は、顧客情報と同様の管理策を設けなければなりません。

　顧客から当該顧客の顧客情報に関する開示・訂正・削除の要求があった場合、これに対応しなければなりません。

　顧客情報を廃棄する場合、第三者の目にさらされないように注意して廃棄しなければなりません。また、電子媒体等の破棄においては、『システム利用規程』に基づいて実施しなければなりません。

顧客からのクレーム処理

　当社の業務において顧客からクレームを受けた場合には、いかなるクレームでも、速やかに対応しなければなりません。また、第一報を12 時間以内に情報セキュリティ委員会に報告し、その後の対応状況に関しても適宜連絡しなければなりません。

　顧客情報が漏えいしてしまったなど、必要がある場合、情報セキュリティ委員会を開催し、当社の見解を迅速に明確にし、関係者に周知しなければなりません。

情報セキュリティ教育

　情報セキュリティ意識の向上のため、情報資産に携わっているすべての者、またはそれを運用、管理し、業務に携わっているすべての者を対象とし、情報セキュリティ教育、訓練に関わる事項を規定します。各自の責任及びその責任を果たす方法について、認識をさせることを目的とします。

教育の計画立案

　教育部門ならびに、各部署の情報セキュリティ責任担当者は、対象者およびタイミング、もしくはその内容について、各教育を計画し、立案しなければなりません。また、保護すべき情報及び情報を保護するために実施されている管理策を考慮に入れて、計画します。

一般説明会

　教育部門は、年に１回、情報資産に携わるすべての人に対して、情報セキュリティに関する説明会を実施しなければなりません。

再教育

　教育部門は、情報セキュリティ違反者に対して、セキュリティの再教育を実施し、違反の再発防止に努めなければなりません。

新入社員、中間採用者への教育

　教育部門は、新入社員、中間採用者に対して、入社時に情報セキュリティ教育を計画しなければなりません。

（社内異動者への教育）

省略。

（契約社員および協力会社への教育）

省略。

教育の実施

教育部門ならびに、各部署の情報セキュリティ責任担当者は、情報資産に携わるすべての人に対し、以下の教育内容について、教育資料を使用し、情報セキュリティ教育を実施しなければなりません。

教育内容

・当社の情報セキュリティ方針
・情報セキュリティの問題のもつ意味を理解
・組織や個人の情報セキュリティの重要性
・情報セキュリティ対策
・情報セキュリティ計画
・データ所有者の責任
・モラル教育
・法令、規則等の違反、罰則に関する事項
・禁止行為に関しての教育他
・最新の情報

再教育

　教育部門は、情報セキュリティ違反者に対して、情報セキュリティの再教育を実施し、違反の再発防止に努めなければなりません。

新入社員、中間採用者への教育

　教育部門は、新入社員、中間採用者に対して、入社時に情報セキュリティ教育を実施しなければなりません。

（社内異動者への教育）

省略。

契約社員および協力会社への教育

省略。