情報セキュリティ方針

HCT SYSTEMS JSC は、他の組織が依存するシステムを構築しており、そのデータをお預かりする 機会も少なくありません。本方針では、当社およびお客様の情報をどのように保護し、何について 責任を負うのかを明らかにします。

1. 目的と適用範囲

本方針は、当社のすべての役員、従業員、業務委託先および取引先に適用され、当社が保有し または取り扱うすべての情報資産（お客様のデータ、ソースコード、認証情報、業務記録および それらを扱うシステム）を対象とします。

構成は ISO/IEC 27001 の管理策のテーマに沿っています。現時点で認証は取得しておらず、その旨を 明記します。認証を取得する場合に働き方そのものを設計し直す必要がないよう管理策を設計しています。

2. 基本原則

1. 最小権限。 アクセス権は、理由を明示したうえで、業務が成り立つ最小の範囲で付与し、不要になった時点で削除します。
2. 多層防御。 単一の管理策が有効であり続けることを前提としません。ある層の失敗は次の層で封じ込めます。
3. セキュア・バイ・デフォルト。 新規システムは閉じた状態から始めます。アクセスは意図的に開放するものであり、後から閉じるものではありません。
4. 主張より証跡。 提示できない管理策は、存在しないものとして扱います。
5. 誠実な開示。 問題が生じた場合は、当社から速やかに関係者へお知らせします。

3. 統制体制

• 経営層が情報セキュリティに責任を負い、少なくとも年 1 回本方針を見直します。
• セキュリティ責任者を任命し、日々の実施、インシデント対応の統括、リスク登録簿の維持を担当させます。
• リスクは、責任者、影響度と発生可能性の評価、対応方針とともに記録します。受容するリスクは、担当者名と日付を明示して受容します。

4. 人的管理策

• 守秘義務は契約上の義務とし、契約終了後も存続します。
• アクセス権は入社時に付与し、役割変更時に見直し、最終出社日に削除します。
• 入社時および定期的に、フィッシング、認証情報の取扱い、セキュアな開発を含むセキュリティ教育を実施します。

5. アクセス制御

• お客様のデータ、ソースコードまたは認証情報を保有するすべてのシステムで、多要素認証を必須とします。
• 共有アカウントは使用しません。個別アカウントに対応しないシステムでは、アクセスを仲介し記録します。
• 秘密情報は管理されたシークレットストアで保管します。認証情報をソースコード管理に格納することはなく、リポジトリを走査し、露出した認証情報は侵害されたものとして扱い直ちに再発行します。
• 特権アクセスは少なくとも四半期ごとに棚卸しします。

6. データ保護

• 通信時： 非公開データを扱うすべての通信で TLS 1.2 以上および現行の暗号スイートを使用します。
• 保存時： すべての端末でディスク全体を暗号化し、マネージドストレージでは保存時暗号化を有効にします。
• 最小化： 業務の遂行に必要な最小限のデータのみをお客様にご提供いただき、開発・テスト環境では合成データまたは匿名化データを優先します。
• 廃棄： 契約に定める保存期間の終了時にデータを削除し、端末は廃棄または再配備の前に暗号学的に消去します。

7. セキュアな開発

セキュリティは、当社の AI-DLC における開発ライフサイクルの一部であり、最後に置かれる関門 ではありません。

• 新規システムおよび信頼境界を変更する変更については脅威モデリングを実施します。
• マージ前のピアレビューを必須とします。AI 支援により生成したコードも、人が入力したコードと同一の基準でレビューします。管理策はレビューそのものであり、コードの出自によって基準は変わりません。
• 継続的インテグレーションで静的解析と依存関係の脆弱性スキャンを実行し、合意した深刻度を超える検出があればビルドを失敗させます。
• 開発・ステージング・本番環境を分離し、下位環境に本番データを配置しません。
• インフラはコードとして定義し、アプリケーションコードと同じ基準でレビューします。

8. 運用

• お客様のデータを扱うシステムについて、改ざん検知可能な形でログを集約・保存します。
• 可用性、エラー率およびセキュリティ関連事象を監視し、アラートを設定します。
• リスクにもとづく計画でパッチを適用します。インターネットに接する系統の重大な脆弱性は緊急に対処します。
• バックアップはお客様と合意した復旧目標に従って取得し、暗号化したうえで復元テストを実施します。テストされていないバックアップはバックアップではありません。

9. 委託先のセキュリティ

委託先が当社に代わってデータを取り扱う前に、そのセキュリティ体制を評価し、守秘義務、安全 管理措置、再委託、侵害時の通知、契約終了時の削除を定めた書面による契約を締結します。委託先は 定期的に再評価します。

10. インシデント対応

検知、封じ込め、根絶、復旧および事後レビューを含む、文書化されたインシデント対応手順を 整備しています。

• インシデントは深刻度により分類し、セキュリティ責任者が対応を統括します。
• 影響を受けるお客様には、判明していること、まだ判明していないこと、および対応内容を、遅滞なくお知らせします。
• 個人データの侵害が通知義務の対象となる場合は、法定期限内（GDPR においては 72 時間以内）に監督当局へ通知し、必要な場合は本人へも通知します。
• 重大なインシデントについては、個人の責任追及ではなく発生要因に焦点を当てた事後レビューを文書として作成します。

11. 事業継続

重要システムを特定し、目標復旧時間および目標復旧時点を定めます。復旧手順は文書化し、 訓練を実施します。

12. 脆弱性のご報告

当社のシステムまたは本サイトにセキュリティ上の問題を発見された場合は、 security@hct-systems.com までご連絡ください。

• 再現に必要な情報をお知らせください。
• 他者のデータへのアクセス・改変・削除、当社サービスの品質低下を招く行為、可用性に影響する自動スキャンはお控えください。
• 3 営業日以内に受領をご連絡し、進捗をお知らせします。ご希望があればクレジットを記載します。

上記に従い誠実にご報告いただいた研究者に対して、当社が法的措置をとることはありません。

13. 遵守と見直し

本方針は少なくとも年 1 回、およびシステム、サービスまたは法的義務に重大な変更があった場合に 見直します。本方針への違反は懲戒手続きにより対応します。

14. お問い合わせ

HCT SYSTEMS JSC - セキュリティ責任者 security@hct-systems.com 237A/08 Dũng Sĩ Thanh Khê, Phường Thanh Khê, Thành phố Đà Nẵng, ベトナム