情報セキュリティへの取り組み
株式会社KEY SELECT は、お客様のシステムとデータをお預かりする立場として、自社でも情報セキュリティ体制を構築し、運用しています。お客様にご提案する対策を、自社でも導入・運用しています。
自社の情報セキュリティ管理
国際的な情報セキュリティ管理の枠組みに沿って、情報セキュリティ方針と規程を定め、組織・人・物理・技術の 4 つの面から管理策を運用しています。情報資産のリスクを評価して対策を決め、連携したサービスの状態を統合的に管理しながら、運用の状況を継続的に確認して見直しています。
組織的な
方針、体制、リスクの管理
- 情報セキュリティ方針と、
関連する 規程の 策定と 周知 - 代表取締役を
最高責任者と する 管理体制と、 責任者の 任命 - 情報資産の
洗い 出しと、 重要度に 応じた 分類と 管理 - 情報資産の
リスクの 評価と、 対策の 決定 - 委託先の
評価と、 契約に よる セキュリティ要求事項の 明確化 - インシデントの
報告と 対応の 手順の 整備 - 運用状況の
定期的な 確認と、 方針・規程の 見直し
人的な
従業員の誓約と教育
- 入社時の
秘密保持の 誓約 - 全従業員への
定期的な 情報セキュリティ教育 - 標的型メールや
不審な 連絡への 対応の 周知 - 退職時の
アカウントの 停止と、 貸与した機器と 情報の 返却
物理的な
オフィスと情報の保管
- 機密情報への
ラベル付けと、 ラベルに 応じた 保管と 持ち出しの 管理 - オフィスへの
入室の 管理 - 書類と
記録媒体の 施錠保管と、 不要に なった ものの 確実な 廃棄 - 社外で
作業する ときの 作業場所の 選定と、のぞき見・紛失への 対策
技術的な
アクセス、端末、検知、復旧
- 多要素認証と、
業務に 必要な 範囲に 限った アクセス権の 付与 - MDM に
よる 全端末の 一元管理と、 ディスクの 暗号化 - EDR に
よる 不審な 動きの 検知と 対応 - ログの
記録と 監視 - データの
バックアップと、 復旧の 手順の 確認 - OS と
ソフトウェアの 更新と、 脆弱性への 対応
連携したサービスを統合的に管理
管理策の
- 攻撃の
手が かりに ならないよう、 使っている 製品と 設定の 内容は 掲載していません。
お預かりする情報資産の扱い
お預かりする
- 業務に
必要な 範囲に 限って 利用 - アクセスできる
担当者を 限定 - 定められた
場所に 保管し、 不要に なった 情報は 削除 - ご契約の
終了時に 返却または 削除 - 個人情報を
含む 場合は、 法令と 社内の 規程に 沿って 取り扱い
お客様のシステムへの アクセスの管理
お客様の
- 担当者ごとの
作業用の アカウントを 使い、 アカウントを 共有しない - 多要素認証を
必須に する - 作業に
必要な 範囲と 期間に 限って、 権限を 受け取る - 作業の
内容と、 操作の 記録を 残す - ご契約の
終了や 担当の 交代の ときに、 権限の 削除を お客様と 確認する
AI を使うときの データの扱い
開発と保守運用で AI を活用するときは、入力した情報が AI の学習に利用されないサービスだけを使います。お客様のソースコードや資料が、AI のモデルの学習に使われることはありません。AI の出力は、必ずプロフェッショナルが内容を確認してから利用します。
- 入力した
情報を AI の 学習に 利用しない、 法人向けの 契約・設定の サービスだけを 利用 - 個人情報は
AI に 入力しない - 認証情報 (パスワード、
鍵など) は、 AI から 直接参照できない 仕組みで 管理し、 安全性を 確保したうえで 利用 - AI の
エージェントには、 操作できる 範囲の 制限など、 安全措置を 講じたうえで 利用 - 利用する
AI サービスの、 データの 保存期間と 保存場所を 確認したうえで 利用 - お客様の
社内の 規程で AI の 利用に 制限が ある 場合は、 その 規程に 合わせて 対応 - AI の
出力には 誤り (ハルシネーション) が 含まれる ことがある ため、 プロフェッショナルの 視点で 内容を 確認してから 利用 - AI を
利用する 従業員に、 情報の 扱いと 出力の 確認に ついての 教育を 実施
開発での品質とセキュリティ
システムの
- 変更は、
レビューと 自動テストを 通してから 反映する - 使っている
依存パッケージの 脆弱性を 自動で 確認し、 修正を 取り込む - パスワードや
API キーなどの 秘密情報は、 ソースコードに 含めず、 専用の 仕組みで 管理する - 本番の
環境への 反映は、 決まった 手順で 行い、 個人の 端末からの 手作業に よる 反映を なくす
インシデントへの対応
情報セキュリティのインシデント (事故) が起きることを想定し、被害が最小限となるよう、日頃から備えています。万一発生した場合も直ちに対応し、お客様にご連絡いたします。
日頃からの
備え 対応の
手順と 連絡の 体制を 定め、 バックアップと 復旧の 手順を 確認しています。 不審な 動きは、 検知の 仕組みで 早く 見つけられるように しています。 発生時の
対応 インシデントを
確認した ときは 直ちに 対応し、 影響の 範囲を 確かめて、 被害の 拡大を 防ぎます。 お客様への
ご連絡 お客様に
影響が 及ぶ 場合は、 速やかに ご連絡し、 状況と 対応の 内容を ご報告いたします。 原因の
究明と 再発の 防止 原因を
調べて 対策を 講じ、 手順と 仕組みを 見直して、 同じ インシデントが 起きないようにします。
脆弱性のご報告の受付
弊社の Web サイトやサービスの脆弱性にお気づきの場合は、security@keyselect.co.jp までご連絡ください。内容を確認し、担当の者からご返信いたします。
セキュリティの
ご相談・
内容が