情報セキュリティ基本方針

第1条（目的）

本方針は、KAKEDASH!（以下「当方」という）が事業活動において取り扱う情報資産を、漏えい・改ざん・滅失・不正利用から守り、クライアントおよびクリエイターからの信頼を維持することを目的とする。

当方は、クライアントから案件を受注し、制作をクリエイターへ再委託する「元請け」として事業を運営する。したがって当方は、クライアントの営業秘密とエンドユーザーの個人情報、およびクリエイターの個人情報と成果物という、性質の異なる情報を同時に預かる立場にある。本方針は、この立場に伴う責任を明文化するものである。

第2条（適用範囲）

本方針は、次のすべてに適用する。

1. 当方の事業活動に関わるすべての情報資産（紙媒体・電子データ・音声・画像・記憶内容を含む）
2. 当方が利用する端末、アカウント、クラウドサービス、ネットワーク、開発環境
3. 運営責任者本人および当方の業務に従事するすべての者
4. 業務委託契約または秘密保持契約（NDA）を締結したクリエイター（以下「委託先クリエイター」という）

本方針は、当方の自宅・共同ワークスペース・出先など、業務を行うあらゆる場所に適用する。場所や端末が私物であっても、業務上の情報を扱う限り本方針の対象とする。

第3条（用語の定義）

第4条（基本理念）

当方は「かけるから、おもしろい。」をタグラインに、透明・敬意・手を動かすの3つの約束を掲げる。

情報セキュリティは、この約束を技術的に裏付ける基盤である。すなわち、

• 透明であるためには、預かった情報の扱いを説明できる状態にしなければならない。
• 敬意を払うとは、相手の情報を勝手に扱わないということでもある。
• 手を動かす以上、実行した作業と扱った情報に責任を持たなければならない。

当方は、情報セキュリティを「コスト」ではなく「信頼の設計」として位置づけ、事業の成長と同等の優先度で維持・改善する。

第5条（情報セキュリティの3原則）

当方は、すべての情報資産について次の3原則を確保する。

第6条（組織的対策）

1. 当方は、情報セキュリティに関する責任者をKAKEDASH! 運営責任者とし、本方針の遵守状況の管理、事故対応、教育、見直しの最終責任を負わせる。
2. 当方は、情報資産の棚卸しを年1回以上実施し、管理台帳（保有する情報・利用サービス・アカウント・権限保有者）を最新の状態に維持する。
3. 当方は、業務ごとに取り扱う情報の範囲と権限を定め、必要最小限の範囲にとどめる。
4. 重要文書（契約書、NDA、発注書、納品記録）は、締結・納品から5年間保存する。消費税関係書類は法令に従い保存する。

第7条（人的対策）

1. 当方は、委託先クリエイターとの間で、業務開始前に秘密保持契約（NDA）を必ず締結する。NDAなき業務着手を禁止する。
2. 当方は、委託先クリエイターに対し、業務開始時に本方針を交付または提示し、遵守を求める。
3. 当方は、年1回以上、情報セキュリティに関する教育・周知を実施する。実施内容と日付を記録する。
4. 委託先クリエイターの業務終了時には、保有情報の返却・削除を確認する。
5. 当方は、委託先クリエイターが本方針に違反した場合、契約に基づき業務停止・契約解除等の措置を講じる。

第8条（物理的対策）

1. 業務に使用する端末は、OS・アプリケーションを最新の状態に保ち、画面ロック（自動ロックを含む）を有効にする。
2. 業務端末の紛失・盗難を防止するため、持ち運び時の管理を徹底し、可能な限りディスク暗号化を有効にする。
3. 紙媒体で機密情報を扱う場合、施錠可能な場所で保管し、不要になった時点で溶解または裁断により廃棄する。
4. 第三者が同席し得る場所（公共交通機関、カフェ等）での機密情報の閲覧・通話を、必要最小限にとどめる。
5. 私物端末を業務に用いる場合は、端末の利用者本人以外が操作できない状態を維持し、業務データを私用領域へ複製しない。

第9条（技術的対策）

1. 当方は、すべての業務用アカウントに多要素認証（MFA）を設定する。設定できないサービスは原則として業務に採用しない。
2. パスワードは、サービスごとに異なる十分な長さ・複雑さのものを、パスワードマネージャーで管理する。手書きメモ・ブラウザ保存・使い回しを禁止する。
3. 通信は暗号化された経路（HTTPS等）を用いる。ファイル共有はアクセス権限を設定したクラウドストレージまたは当方指定の手段により行い、私用メール添付・私用ストレージへの保存を禁止する。
4. 端末には信頼できる供給元のソフトウェアのみを導入し、不要なソフトウェアを排除する。
5. 業務データは、当方が指定する保存先（クラウドストレージ・リポジトリ等）に集約する。個人のデスクトップ・私用ドライブのみに存在する状態を禁止する。
6. 機密情報を含むデータの外部持ち出しは、業務上必要な最小限にとどめ、持ち出し先を記録する。
7. 開発環境においては、本番環境の認証情報をソースコード・設定ファイルへ直書きしない。リポジトリへの秘密情報のコミットを禁止する。

第10条（情報資産の分類と取扱い）

当方は、情報資産を次のように分類し、区分に応じた取扱いを行う。

1. 分類の最終判断はKAKEDASH! 運営責任者が行う。判断に迷う情報は、上位の区分として扱う。
2. 実績公開にあたっては、クライアント名・ロゴ・成果物の掲載可否を書面（電磁的記録を含む）で確認する。許諾なき掲載を禁止する。

第11条（個人情報の保護）

1. 当方は、個人情報を利用目的の達成に必要な範囲でのみ取得し、目的外利用を行わない。
2. 当方は、個人情報の取得・利用・提供・保管・廃棄の各段階における安全管理措置を講じる。
3. 当方は、個人情報を第三者に提供する場合、法令に基づく場合を除き、あらかじめ本人の同意を得る。
4. 委託先クリエイターに個人情報を扱わせる場合、当方は必要かつ適切な監督を行う。
5. 個人情報の取扱いの詳細は、別途定めるプライバシーポリシーによる。本方針とプライバシーポリシーの内容が抵触する場合は、個人情報の保護に関する定めを優先する。

第12条（委託先クリエイターおよび再委託の管理）

1. 当方は、委託先クリエイターに対し、当方と同等以上の水準の情報管理を求める。
2. 委託先クリエイターは、当方の事前の書面による承諾なく、業務を第三者へ再委託してはならない。
3. 当方は、委託先クリエイターの情報管理体制について、セキュリティチェックリストにより確認する。確認の時期および内容は、セキュリティ管理規程に定める。
4. 委託先クリエイターは、成果物および作業データを、当方が指定する場所へ納品・保管する。私的な複製の保持を禁止する。
5. 当方は、委託先クリエイターが自ら使用するAI・外部ツールの利用について、機密情報の入力可否を案件ごとに明示する。クライアントの機密情報および個人情報を、当方が許可していない外部AIサービスへ入力することを禁止する。

第13条（委託元であるクライアント情報の取扱い）

1. 当方は、クライアントから預かった情報を、当該案件の遂行の目的にのみ使用する。
2. 当方は、クライアントの情報を、他のクライアントの案件に流用しない。知見の流用は、特定のクライアントが識別できない一般化された形に限る。
3. 当方は、クライアントから指定されたセキュリティ要件がある場合、本方針およびセキュリティ管理規程に加えて当該要件を遵守し、必要に応じて個別の取決めを締結する。

第14条（本業との情報遮断）

当方は、運営に関わる者について、本業（雇用関係にある事業者の業務）と当方の事業を明確に分離する。情報セキュリティ上も、次のとおり取り扱う。

1. 本業（佐渡汽船株式会社およびその関係会社）の業務上知り得た情報、および本業が保有するシステム・アカウント・設備を、当方の事業のために利用しない。
2. 当方の事業に関する情報、端末、アカウントを、本業の業務に使用しない。
3. 当方の事業に関して、本業の同僚・取引先を、職務上の立場を利用して関与させない。
4. 本業の就業規則、秘密保持に関する定め、および副業・兼業に関する定めを遵守する。
5. 本業の設備・時間・情報を用いた作業を行わない（本業の許容する範囲を除く）。
6. 本方針に基づく情報の区分において、本業由来の情報は当方の事業の情報資産に含めない。

第15条（インシデント対応）

1. 当方は、インシデントの発生またはその疑いを認識した場合、速やかにKAKEDASH! 運営責任者へ報告する体制を整える。
2. KAKEDASH! 運営責任者は、次の初動対応を行う。
   • 事実関係の確認と記録（発生時刻、対象情報、影響範囲、原因の推定）
   • 被害の拡大防止（アカウント停止、パスワード更改、ネットワーク遮断、該当データのアクセス権限変更）
   • 関係者（クライアント、委託先クリエイター、必要に応じて監督官庁・警察）への連絡
3. 個人情報の漏えい等が発生した場合、個人情報保護法および関連ガイドラインに従い、必要な報告・通知を行う。
4. 当方は、インシデントの記録を保存し、原因分析と再発防止策を策定する。再発防止策は本方針または下位文書へ反映する。
5. 当方は、年1回以上、インシデント対応手順の確認を行う。

第16条（教育・啓発）

1. 当方は、運営責任者自らが本方針および関連法令に関する知識の維持・向上に努める。
2. 当方は、委託先クリエイターに対し、業務開始時および年1回以上、本方針および具体的な注意事項を周知する。
3. 当方は、周知・教育の実施記録（日付・対象者・内容）を保存する。

第17条（遵守事項および法令等の遵守）

1. 当方は、個人情報の保護に関する法律、不正アクセス行為の禁止等に関する法律、著作権法、下請代金支払遅延等防止法、特定受託事業者に係る取引の適正化等に関する法律（フリーランス新法）、労働者派遣法、その他関係法令を遵守する。
2. 当方は、クライアントおよび委託先クリエイターとの契約上の義務を遵守する。
3. 当方は、本方針に反する行為を、業務上の指示として行わない。

第18条（監査および評価）

1. 当方は、本方針および下位文書の遵守状況を、年1回以上自己点検する。
2. 自己点検には、セキュリティチェックリストテンプレートを用いる。
3. 点検の結果、不備が認められた場合は、是正措置を講じ、その完了を確認する。
4. 重要な取引先から監査・確認を求められた場合、当方は合理的な範囲でこれに応じる。

第19条（違反時の措置）

1. 委託先クリエイターが本方針または秘密保持契約に違反した場合、当方は契約に定める措置（業務停止、契約解除、損害賠償請求等）を講じる。
2. 当方は、違反の内容および経緯を記録し、再発防止策を講じる。

第20条（継続的改善および見直し）

1. 当方は、本方針を年1回以上見直す。次に該当する場合は、時期を問わず見直す。
   • 事業内容、取引構造、利用するシステム・サービスの重要な変更
   • 法令・ガイドラインの改正
   • インシデントの発生または重大なヒヤリハット
   • クライアントまたは委託先クリエイターからの重要な指摘
2. 本方針の改訂はKAKEDASH! 運営責任者が行い、改訂履歴に記録する。
3. 本方針を改訂した場合、関係者へ速やかに周知する。

第21条（情報セキュリティ体制）

当方は、事業規模に応じた次の体制を敷く。

運営責任者が不在等により職務を遂行できない場合に備え、緊急時の連絡先および判断の代行者を定める。

第22条（インシデント報告・連絡フロー）

異常を認識した者（クリエイター／運営）
      │ 速やかに報告（手段を問わない：電話・メール・チャット）
      ▼
KAKEDASH! 運営責任者
      │ 事実確認・初動対応（拡大防止）／記録開始
      ├─▶ 影響を受けるクライアントへの連絡
      ├─▶ 影響を受ける委託先クリエイターへの連絡
      └─▶ 個人情報の漏えい等に該当する場合：関係法令に基づく報告・通知
      ▼
原因分析・再発防止策の策定・本方針への反映

緊急連絡先（要記入）

本方針の運用にあたり、次の文書を併せて適用する。下位文書の定めが本方針に反する場合は、本方針の定めを優先する。

1. 本方針は、2026年9月28日から施行する。
2. 本方針の内容は、事業の拡大および法令の改正に応じて見直す。
3. 本方針および関連記録の保管期間は、制定・改訂から5年間とする。

改訂履歴