msgks 情報セキュリティ基本方針
事業者名： msgks
制定日： 2026年8月
0. 宣言
msgksは、IT/OTセキュリティアーキテクトとして、お客様の情報資産の保護に高い水準で取り組むことを重要な責務と認識しています。お客様からお預かりする情報、および業務上取り扱うすべての情報を適切に管理し、情報セキュリティの維持・向上に継続的に取り組むことをここに宣言します。
1. 目的
本方針は、msgksが業務上取り扱う情報（顧客情報、顧客の技術情報、認証情報等）を適切に保護するための基本方針を定める。個別の操作手順・ツールごとの扱いは、本方針に基づく下位文書「情報取扱いガイドライン」で定める。
2. 適用範囲
msgksが事業活動において取り扱うすべての情報、および業務で使用するすべてのITツール・クラウドサービス・機器に適用する。
3. 法令遵守
msgksは、情報セキュリティおよび情報の取扱いに関係する法令、規制、契約上の義務ならびに合意した顧客要件を確認し、これらを遵守する。
これには、個人情報の保護に関する法律、不正競争防止法、著作権法その他の関係法令、および秘密保持契約その他の顧客との契約を含む。
4. 基本原則
4.1 データ最小化の原則
必要な情報を、必要な範囲・必要な期間だけ扱う。長期保存が不要な情報（顧客発行の一時認証情報等）は、恒常的な保存場所に置かず、用済み次第削除する。
4.2 分類に基づく統制の原則
取り扱う情報を機密度に応じて分類し、分類ごとに利用してよいツール・保存方法を定める。分類基準および分類ごとの許容範囲は「情報取扱いガイドライン」に定める。
4.3 契約に基づくベンダー統制の原則
外部のクラウドサービス・SaaSを利用する場合、以下を確認する。
個人データを取り扱うクラウドサービス等を利用する場合は、サービス提供者によるデータの取扱いの有無、委託への該当性、利用目的、再委託、保存場所、保存期間、安全管理措置その他の必要事項を、利用規約、データ処理契約その他の契約文書により確認する。必要な契約上および技術上の保護措置を確認できないサービスは利用しない。
顧客の機密情報を外部サービスで取り扱う場合は、顧客との契約における秘密保持、第三者提供、再委託、国外での取扱いその他の条件を確認する。契約上必要な場合は、利用目的、取扱方法および外部サービスの利用について顧客に説明し、事前に承諾を得る。
具体的な確認基準・許容範囲・利用サービス一覧は「情報取扱いガイドライン」に定める。
4.4 技術的統制と契約的統制を併用する原則
情報の保護は、契約上の統制と技術的な統制を組み合わせて実施する。特に認証情報等の重要度が高い情報については、暗号鍵を適切に管理し、サービス提供者を含む権限のない者が平文データにアクセスできない方式を優先する。
4.5 顧客への説明責任の原則
顧客に帰属する情報の取扱方法について、契約上または情報セキュリティ上重要な事項を適切に説明する。認証情報その他の重要度が高い情報については、保管方法、アクセス管理および外部サービスの利用条件を明確にし、必要に応じて顧客の承諾を得る。
4.6 可用性とのバランスの原則
情報の削除・最小化は、事業継続に必要なデータの可用性（バックアップ等）とのバランスの上で行う。バックアップが暗号化され、アクセス制御、論理的分離、世代管理その他の適切な保護措置が講じられている場合、バックアップ内に一定期間データが残ることを許容する。
5. 情報分類
取り扱う情報は、機密度に応じて4段階（一般情報・一般顧客情報・顧客機密技術情報・最高機密情報）に分類する。分類の詳細な定義および分類ごとのツール利用可否は、「情報取扱いガイドライン」に定める。
6. 一般的な情報セキュリティ対策
msgksは、情報資産に対する不正アクセス、マルウェア、情報漏えい、改ざん、消失その他のリスクを低減するため、次の対策を実施する。
業務用端末、ネットワークおよびクラウドサービスを適切に構成し、更新および脆弱性への対応を行う。
アカウントおよびアクセス権限を適切に管理し、多要素認証その他の認証強化策を適用する。
保存情報および通信を、その機密度とリスクに応じて暗号化する。
業務継続に必要な情報について、適切なバックアップおよび復旧手段を確保する。
業務用端末、書類および記録媒体に対する物理的な保護措置を講じる。
セキュリティ上必要なログおよび記録を取得・保管し、異常の早期発見に努める。
具体的な実施方法は、情報取扱いガイドラインその他の下位文書に定める。
7. ベンダー選定の方針
新たにクラウドサービス・SaaSを業務に導入する際は、以下を確認する。
業務上の情報を取り扱う可能性がある場合、データの利用目的、学習その他の二次利用の有無、保存期間、削除条件、および保存を行わない設定の可否を確認すること。
顧客の機密情報を取り扱う可能性がある場合、当該サービスの利用が顧客との契約上許容されていることを確認し、必要な場合は顧客の事前承諾を得ること。
認証情報を取り扱うサービスについては、サービス提供者を含む権限のない者が平文データにアクセスできない方式、適切な鍵管理、強固な認証機能その他の必要な技術的保護措置を備えていること。
8. インシデント発生時の対応方針
情報漏えい、または漏えいの疑いが生じた場合は、以下の方針で対応する。
被害の拡大防止、証拠および記録の保全、影響範囲の特定を速やかに行う。
影響を受ける顧客情報が含まれる場合、事実関係を確認の上、速やかに当該顧客へ報告する。顧客への報告について契約上の期限および方法が定められている場合は、それに従う。
法令に基づく行政機関への報告または本人への通知が必要な場合は、所定の期限および方法に従って対応する。必要に応じて、弁護士その他の専門家に相談する。
原因を特定し、本方針および下位のガイドラインの見直しに反映する。
9. 見直し
本方針および下位のガイドラインは、少なくとも半年に一度、また利用するクラウドサービスの契約内容に重要な変更があった場合に見直す。