三和化工株式会社

「一人ひとりの力によって、顧客に満足される品質に高めよう！」

わたしたち三和化工株式会社（以下、「当社」）は、情報を重要な経営資産と位置付け、適切な管理および保護が事業活動における重要課題の一つであることを認識しています。

当社は、お客様および取引先からお預かりする情報を厳格に取り扱うとともに、法令改正や社会情勢、サイバー脅威の変化に対応したマネジメントシステムを構築し、適切に運用することで、信頼の維持と向上に努めてまいります。

当社は、情報セキュリティに関する取り組み方針として「情報セキュリティ方針」を以下のとおり定め、お客様、取引先および社会から信頼される企業であり続けることを目的とし、全従業員および関係者へ周知徹底と遵守の推進を図ります。

1. 適用範囲
本方針では、当社が管理するすべての業務活動に関わる情報資産（個人情報を含む）を適用範囲とします。

2. 経営者の責任
経営者は、情報セキュリティを経営上の重要課題として位置付け、ISMSの確立、維持、改善に責任を持ちます。必要な体制と資源を確保するとともに、方針の周知と遵守の徹底を推進します。

3. 情報セキュリティ管理体制（ISMS）の構築と運用
当社は、情報セキュリティを組織的に管理するため、ISMSの体制を構築し、役割・責任・権限を明確にします。情報資産を取り巻く脅威から適切に保護するため、規程と手順を整備し、運用状況を定期的に確認し維持します。

4. 教育と周知の実施
当社は、全従業員および関係者に対し、情報セキュリティに関する教育と訓練を継続的に実施します。規程、ルール、注意事項を周知し、意識向上と遵守徹底を図ります。

5. 違反および事故（インシデント）への対応
当社は、情報セキュリティに関わる法令違反、契約違反および事故が発生した場合には速やかに対応し、再発防止に努めます。

6. 定期的評価および継続的改善
当社は、ISMSの有効性を定期的に評価し、必要な是正および改善を実施します。社会情勢や脅威の変化、事業環境に応じて、情報セキュリティ対策を継続的に見直します。

1. 組織管理
当社のISMS運用に関わる従業者の役割・責任を明確にし、その遂行を業務として各従業員に割り当てる。
当社のISMS適用範囲で業務に従事する従業者は、業務に従事する前にISMSに関する基礎知識を持ち、当該業務関わる情報セキュリティ対策と従業者自身の役割と責任を認識しなければならない。
従業者の雇用（又は契約）の終了又は変更の際に、継続して順守すべき情報セキュリティの責任を伝達するとともに、権利を喪失したアクセス権の削除又は変更及び当該従業者が所持する全ての会社資産の返却（個人のICT機器に記録された情報は消去）手続きを確立し、実施する。

2. 情報資産管理
当社のISMS適用範囲で使用する情報資産を適切に管理するため、使用する情報資産を洗出し、情報資産の重要度（リスクが顕在化した場合の影響度）に応じたリスク対策を決定し実施する。
リスク対策を適切に実施するため、対象となる情報資産の責任者を明確にし、影響度に応じた分類とそのラベル付け及び取り扱いの基準を定め実施する。
可用性が重要な情報資産は、適切なバックアップを取得し安全な場所に保管する。
情報資産の処分（廃棄）、及び再利用（再販、譲渡含む）にあたり、情報資産に対する不適切な取り扱いのリスクを防止するために、記録された情報（通常消去されたデータ含む）を完全に消去又は物理的に破壊（消磁を含む）する手順を確立し、実施する。

3. アクセス権管理
当社が保有又は保管する情報資産に対するアクセスは、業務上の必要性及びリスク対策上の必要性を考慮し、「業務、部門（プロジェクト含む）、職位・職階、セキュリティ区画、拠点」等の観点で電子的及び物理的アクセス権を設定し、不必要又は無許可のアクセスを制限する。
アクセス制御の運用では、許可された者（従業者、情報システムの処理プロセス、部門、お客様、取引先等）だけが情報資産にアクセス可能とするために、セキュリティを保った認証（本人確認）と認可（アクセス権限）の仕組みを整備する。

4. 情報セキュリティインシデント管理
インシデント発生の場合、再発を防止（インシデントの原因への対処）するための是正処置を検討し実施する。

5. 事業の中断・阻害時の情報セキュリティ
当社のISMS適用範囲の事業継続に重大な影響を与える事象（災害、パンデミック、テロなど）が発生した際に、継続的に必要となる情報セキュリティ（情報システムの可用性、テレワーク環境の機密性、社会混乱時の物理的保護など）の要求事項を決定し実行可能な計画を策定し、維持する。また、事業を継続するためのICTの備えを計画し実施する。
事業の中断・阻害時のデータ又はシステムの損失からの回復を可能にするため、ソフトウェア及びシステムのバックアップを維持する。

6. 順守
情報セキュリティに関わる法令、規制又は契約上の義務を識別し、知的財産権、個人情報の保護、法令に元づく記録の保護などに関する情報セキュリティ上の違反を防止するための活動を実施し、維持する。
当社が定める情報セキュリティ規則に対する順守を確実にするために、日常的なISMS活動の自主点検や定期的な技術的点検及び内部監査を実施する。

7. 物理的環境的セキュリティ
情報資産を物理的に保護するために、敷地、建物、施設、部屋、区画等をそこで取り扱っている情報資産の重要度に応じて分類（レベル分け）し、区画のセキュリティレベル毎の入退出を管理するための境界の設定とその物理的保護及び入退出規則と区画内での行動指針を整備する。
物理的環境的セキュリティが保たれていることを確認するために、必要と認めた場合には監視カメラやセンサーの設置など物理的セキュリティの監視を行う。
PC等の記憶装置を内蔵した装置は、社内外を問わず「のぞき見、盗難、紛失等」のリスクから保護するための運用ルールを定め実施する。

8. 通信及びICT設備の運用管理
重要な情報処理設備の運用においては、不正操作や誤操作を防止するために、職務及びネットワークやICT設備の分離、操作手順書の整備、技術的脆弱性の管理などの対策を確立し、実施する。
システムの可用性及び完全性を維持するため、人的、物理的、システム的容量・能力の管理や情報資産のバックアップなどの対策を確立し、実施する。
マルウェアや不正アクセスからの保護のために、検出、予防及び回復のための対策（利用者の意識向上の重要性を含めて）を確立し、実施する。
情報転送では、電子的通信（電子メール、インターネットファイル交換、オンラインストレージ、ファイル転送、SNSなど）、FAX、電話（ボイスメッセージ等）、無線通信、物理的記憶媒体の輸送又は手渡し、口頭による会話や伝達において、リスクを認識し、適切な対策を確立し、実施する。
認可されていない情報処理活動の検知及び障害時の対策に使用するため、イベントログ（システム使用状況、障害ログなど）及び実務管理者の作業ログを適切に取得し定期的にレビューする。また、ログに対する不正アクセスから保護し適切な期間保持する。

9. ネットワーク及び情報システムの適正利用
ネットワークを利用した組織の情報システムを保護するために、ネットワーク及びネットワーク装置を保護する。また、ネットワークサービスにおける情報セキュリティを評価し、脆弱性のあるサービスの利用を禁止する。
情報システムの安全な運用のために、特権的アクセス権やユーティリティの管理、ログ監視、ソフトウェアの導入手順の確立などを行う。

10. システムの取得、開発及び保守
情報システムの開発では、セキュリティに配慮した開発のライフサイクルを確立し、セキュア設計、セキュアコーディング、開発及び受入テストによって脆弱性のないシステム開発を行う。