Testlify 情報セキュリティ基準

1. はじめに

本文書は、情報資産の保護に努めるソフトウェア企業 Testlify の情報セキュリティ基準を定めたものです。本基準は、データの機密性、完全性、可用性を確保し、関連する法令および規制の遵守を支えることを目的としています。

2. 情報セキュリティの目的

• 当社の情報資産を、不正なアクセス、開示、改変および破壊から保護すること。
• 情報の機密性、完全性および可用性を確保すること。
• 法令上、規制上および契約上の義務を遵守すること。
• 組織内にセキュリティ意識の高い文化を醸成すること。

3. 適用範囲

本基準は、Testlify の情報システムおよびデータにアクセスするすべての従業員、業務委託先、第三者サービス提供者に適用されます。

4. 情報セキュリティの役割と責任

5. リスク管理基準

• 情報資産に対する脅威を特定し評価するため、定期的なリスク評価を実施する。
• リスク対応計画を文書化し、維持する。
• 特定されたリスクを低減するための管理策を実装する。
• リスク管理プロセスを毎年、または重大な変更が生じた際に見直し、更新する。

6. 情報の分類および取扱い基準

7. アクセス制御基準

• 職務に応じて情報システムへのアクセスを制限するため、ロールベースアクセス制御（RBAC）を実装する。
• 重要システムへのアクセスには、多要素認証（MFA）などの強力な認証方式を用いる。
• アクセス権限を定期的に見直し、更新する。
• 最小権限の原則を徹底し、従業員には職務遂行に必要な最小限のアクセスのみを付与する。

8. データ保護基準

• すべてのデータを定期的にバックアップし、安全に保管する。
• 保存データおよび通信中のデータに暗号化を用いる。
• 不正なデータ持ち出しを防ぐため、データ損失防止（DLP）対策を実装する。
• 情報の正確性および完全性を確保するため、定期的なデータ整合性チェックを実施する。

9. インシデント管理基準

• インシデント対応計画（IRP）を策定し、維持する。
• インシデントの報告および対応手順について従業員を教育する。
• すべてのセキュリティインシデントを文書化し、調査する。
• 根本原因を特定しセキュリティ対策を改善するため、事後分析を実施する。

10. 事業継続および災害復旧基準

• 事業継続計画（BCP）および災害復旧計画（DRP）を策定し、維持する。
• BCPおよびDRPの定期的な試験と更新を確実に行う。
• 重要システムおよびデータのオフサイトバックアップを維持する。
• 重要システムについて目標復旧時間（RTO）および目標復旧時点（RPO）を定める。

11. 物理セキュリティ基準

• 入退室カードまたは生体認証システムにより、社内施設への入退室を管理する。
• 物理資産を監視し保護するため、監視カメラおよびセキュリティ警報を設置する。
• 機微な情報を含む物理媒体は施錠された保管区域で安全に管理する。
• 物理的脅威から保護するため、消火設備などの環境管理策を実装する。

12. コンプライアンスおよび法令基準

• 関連する法令、規制および業界標準の遵守を確保する。
• 定められた基準への適合を検証するため、定期的な監査を実施する。
• コンプライアンス活動および指摘事項の記録を保持する。
• コンプライアンス上の不備に対処するための是正措置を実施する。

13. セキュリティ意識向上および教育基準

• すべての従業員に対し、定期的なセキュリティ意識向上教育を実施する。
• 最新のセキュリティ動向および脅威を反映するよう教育資料を更新する。
• テストおよび模擬演習を通じて教育プログラムの有効性を評価する。
• セキュリティ意識の文化と、セキュリティ上の問題の自発的な報告を促進する。

14. 基準の見直しと維持

• 情報セキュリティ基準を毎年、または重大な変更が生じた際に見直し、更新する。
• 更新内容をすべての従業員および関係者に周知する。
• 情報セキュリティプログラムの継続的改善を確保する。