当社の全ての役員および従業員、ならびに当社が業務を委託する再委託先に適用します。対象となる情報資産は、受託業務で取り扱う情報、顧客・受講者の個人情報、当社の営業秘密、およびこれらを保存・処理する機器・サービスの全てです。
代表取締役を情報セキュリティ最高責任者とし、情報資産の管理、事故発生時の判断、本方針の見直しについて最終責任を負います。従業員2名の体制であるため責任者と実務担当を分離しませんが、重要な操作（外部への情報送信、データの削除、権限の付与）は必ず代表取締役が確認します。
| 領域 | 当社が実施していること |
|---|---|
| アクセス管理 | 業務システムは多要素認証を有効化。認証情報はパスワード管理ツールで管理し、平文で保存しない。退職・契約終了時は当日中に権限を停止する |
| 端末 | 業務端末はディスク暗号化と自動ロックを有効化。OS・アプリケーションの更新を適用する。私物端末での業務データの保存を行わない |
| テレワーク | 当社はテレワークを常用する。公衆無線LANでの業務データの送受信を行わない。画面を第三者が視認できる環境で機密情報を扱わない |
| 受領した情報 | 受託業務で預かった情報は業務目的以外に利用しない。契約で定める保存期間の経過後は、復元できない方法で削除し、依頼があれば削除の完了を報告する |
| 外部サービス | 業務に用いるクラウドサービスは、提供事業者・所在国・データの取扱条件を確認したうえで採用する。生成AIの利用についてはAI利用方針に別途定める |
| バックアップ | 業務データは複数の媒体・場所に保管し、復元できることを定期的に確認する |
| 委託先 | 再委託を行う場合は事前に発注者の承認を得る。委託先には本方針と同等の義務を契約で課し、履行状況を確認する |
情報の漏えい・滅失・毀損またはそのおそれを認識した場合、直ちに代表取締役へ報告し、被害の拡大防止を最優先で行います。発注者への第一報は覚知後速やかに（遅くとも当日中に）行い、事実関係が未確定の段階であっても、判明している範囲と調査の見込みを伝えます。詳細は事業継続・事故対応方針に定めます。
個人情報の保護に関する法律その他の法令、および受託契約で定める情報管理の条件を遵守します。行政機関から情報セキュリティに関する特段の要求（誓約書の提出、作業場所の限定、機器の指定等）がある場合は、それに従います。
役員・従業員に対し、年1回以上、情報セキュリティに関する教育を実施します。当社は情報セキュリティ研修を事業として提供しており、自社での実施内容をそのまま教材として点検の対象にします。本方針は年1回および重大な事故・事業環境の変化があったときに見直します。