1. ホーム
  2. 法務・ポリシー
  3. セキュリティ基本方針

セキュリティ基本方針

Security Policy

セキュリティ基本方針

本方針は、合同会社マウンテンフィールド（以下「当社」）が提供する「クチコミー（口コミ先生）」および関連サイト・システムにおける情報セキュリティの基本的考え方と実施事項を定めるものです。

制定： 最終改定： お問い合わせ：/contact/

1. 目的と適用範囲

当社は、お客様・利用者・取引先・当社従業員等に関する情報資産を保護し、事業継続性と信頼性を確保します。本方針は、当社が管理・運用する全ての情報資産（クラウド環境、端末、ネットワーク、アプリケーション、ログ、バックアップ）および業務委託先（サブプロセッサーを含む）に適用します。

2. 基本原則（CIA）

機密性：権限を有する者のみがアクセスできる状態を維持
完全性：情報が正確・完全で改ざんされていない状態を維持
可用性：必要なときに利用可能な状態を維持
責任追跡性：誰が何をしたかを追跡可能に

3. 体制と責任

  • 情報セキュリティ責任者（CISO相当）：体制整備、リスク評価、教育、監査、インシデント統括
  • 管理者：アクセス権限、構成/資産管理、監査ログ、バックアップ、脆弱性対応
  • 従業者：方針・手順の遵守、機密保持、兆候の速やかな報告

4. 技術的・組織的安全管理措置

4.1 アクセス制御と認証

  • 最小権限（RBAC）・職務分掌・四半期見直し
  • 本番・管理画面はMFA必須、OAuth2.0/SSO活用
  • パスワード：最小8文字（大/小/数字/記号 各1）。原則システム自動生成・割当。定期変更は行わず、漏えい時に速やかにリセット
  • 端末：画面ロック、フルディスク暗号化、最新パッチ、不要アプリ禁止

4.2 暗号化

  • 転送時：TLS 1.2以上（推奨 TLS 1.3）
  • 保存時：業界水準の暗号化（例：AES-256）。鍵はKMS等の安全なストアで管理・ローテーション
  • Cloudflare 経由のE2E暗号化を基本

4.3 ログと監査

  • 認証、権限変更、設定変更、データ操作の監査ログを取得
  • 改ざん防止、アクセス制限、90日以上の保持を原則
  • 定期レビューとアラート設計を運用

4.4 脆弱性管理 / SSDLC

  • 依存パッケージの月次更新・スキャン、OWASP遵守
  • 静的/動的解析、コードレビュー、CI/CDでセキュリティゲート
  • Dev/Stg/Prod 分離、機密情報のマスキング、PR/ロールバック手順
  • 年1回のペネトレーションテストを目安に実施

4.5 教育・人事

  • 入社時・年次のセキュリティ/プライバシー研修、誓約書の取得
  • 入退社時のアカウント停止・返却管理

4.6 リモートワーク

  • 公衆Wi-FiはVPN/HTTPS必須
  • 私物端末の業務利用は原則禁止。やむを得ず利用時は承認とポリシー準拠

5. データ保護とライフサイクル

  • データ分類（公開／内部／機微）と取扱い手順の定義
  • 収集最小化、目的限定、保存期間の管理
  • 退会/契約終了時は原則30日以内に削除、バックアップは最長90日で消去
  • 個人データは プライバシーポリシー に従い適切に処理

6. バックアップ / 事業継続（BCP）・災害復旧（DR）

  • 定期バックアップ（目安：1日1回）と計画的な復元テスト
  • RTO/RPOの目標設定、単一障害点の排除
  • 計画停止は原則 0:00–3:00（JST）で年4回目安。可能なら14日前告知

7. ログ監査

運用ログ・監査ログは収集範囲・保持期間・閲覧権限を定義し、定期的に見直します。重大イベントは検知・通知ルールを設定し、エビデンスとして保全します。

8. 委託先（サブプロセッサー）管理

  • NDA、DPA、SCC 等の適切な契約とセキュリティ水準の確認
  • 所在・役割・処理範囲の明確化と定期見直し
  • 現行の一覧は サブプロセッサー一覧 を参照

9. 脆弱性の受け入れと是正

脆弱性情報はトリアージ基準に従って優先度を付与し、是正期限を設定します。重大度に応じて回避策の展開、影響範囲の通知、恒久対策の実装を行います。

10. インシデント対応

  • 受付窓口：社内既定の連絡経路。お客様は /contact/ から連絡
  • 初動目標：重大度に応じ 24時間以内に一次対応・封じ込め開始
  • 報告目標：関係各所へ 72時間以内を目安に暫定報告。以降、原因分析・再発防止策を提示
  • 個人データ漏えい等は法令・指針に従い適切に通知

11. 法令・規約の遵守

  • 個人情報保護法（APPI）、GDPR/UK GDPR、CCPA/CPRA 等の適用法令
  • OWASP ガイドライン、経産省AIガイドラインの趣旨に整合
  • Google ビジネス プロフィールの投稿・レビューガイドライン準拠（レビューゲーティング禁止の運用）

12. 例外・継続的改善・改定/所管

  • 例外：やむを得ない例外はリスク評価と代替措置を記録し、情報セキュリティ責任者の承認を要します。
  • 継続的改善：監査・レビュー・インシデントの教訓を踏まえ改善（少なくとも年1回の見直し）。
  • 所管：情報セキュリティ責任者（CISO相当）。最新の本ページが常に有効です。

関連：プライバシーポリシー ／ サブプロセッサー一覧

© 合同会社マウンテンフィールド | 本ページは予告なく更新される場合があります。