法人・教育機関向け
情報セキュリティ方針

版：org-security-2026-08-14-v1／制定・施行：2026-08-14

1. 基本方針

組織データの機密性、完全性、可用性に対するリスクと、児童生徒等が被る権利利益への影響に応じた安全管理を行います。安全性を絶対に保証するものではなく、運営者と契約組織がそれぞれの管理範囲で対策する「共同責任」です。

2. 主な技術的・組織的対策

3. 保守・変更管理

脆弱性・依存関係・設定を定期的に点検し、リスクと影響に応じて修正します。機能変更はコード検査、構文検査、回帰確認を行い、秘密情報をソースコード・画面・通常ログへ出力しない運用とします。

4. 委託先・外部サービス

機能、取扱データ、安全管理、再委託、データ所在地、事故連絡等を考慮して委託先を選定します。詳細は外部委託先・連携サービス一覧に示します。

5. インシデント対応

1. 検知・受付、影響拡大の防止、関係ログの保全
2. 対象組織、情報項目、人数、原因、二次被害の調査
3. 契約組織への不当な遅滞のない通知と定期更新
4. 個人情報保護委員会等への報告、本人通知・代替措置に必要な情報提供と協力
5. 復旧、再発防止、必要に応じた公表・利用者向け注意喚起

セキュリティ事故の疑いは、通常の問い合わせと明確に区別し、組織名、発生日時、影響を受けたアカウント・画面、観測した事象をお問い合わせ窓口へ直ちに連絡してください。パスワードやAPIキーは送信しないでください。

6. 契約組織が実施する対策

• 組織責任者を2名以上にし、請求・教材・監査権限を必要最小限にする。
• アカウント共有を禁止し、強固なパスワード、端末ロック、OS・ブラウザ更新を行う。
• 異動・退職・卒業当日に権限を削除し、定期的にメンバーと監査ログをレビューする。
• プリントの氏名欄等を隠し、共有端末・公共Wi-Fi・私物端末のルールを定める。
• エクスポートしたCSV・画像の保存先、持出し、共有、削除を組織で管理する。
• 不審なログイン、誤送信、紛失、退職者のアクセス等を直ちに報告する。

7. 第三者認証・SLAについて

本ページは実施中の対策を説明するもので、ISO 27001、SOC 2、ISMAP、教育情報セキュリティ認証の取得や特定の稼働率・復旧時間を表明するものではありません。必要な保証・SLA・監査権は契約前に個別に確認してください。