セキュリティポリシー(情報セキュリティ基本方針)

1. 基本方針

当事務所は、行政書士法、個人情報保護法、犯罪収益移転防止法その他の関連法令を遵守したうえで、以下の方針に基づき情報セキュリティを確保します。

1. お客様からお預かりする情報を、業務遂行に必要な範囲で適切に取得・利用・管理する。
2. 情報の機密性・完全性・可用性を確保するため、組織的・人的・物理的・技術的安全管理措置を講じる。
3. 代表は、情報セキュリティおよび個人情報保護について継続的に学び、従業者を置くときは、その者に教育を行う。
4. 外部委託先・利用サービスに対し、適切な選定および監督を行う。
5. 情報セキュリティに関する事故が発生した場合、速やかに対応し、再発防止策を講じる。
6. 本ポリシーおよび関連手続を継続的に見直し、改善する。

2. 情報セキュリティの管理者

当事務所における情報セキュリティの管理者は、代表が務めます。代表は、本ポリシーに基づく安全管理措置の策定・運用・監督について最終的な責任を負います。

3. 組織的安全管理措置

• 個人情報・機密情報の取扱いに関する内部規程を整備し、業務運用に反映する。
• 情報資産の取扱状況を定期的に点検し、必要に応じて改善する。
• 情報セキュリティ事故の発生時における報告・対応の手順を定める。

4. 人的安全管理措置

• 従業者を雇用するにあたっては、行政書士法第12条の守秘義務および個人情報の取扱いに関する誓約書の提出を求める。
• 従業者を置くときは、入所時および定期的に情報セキュリティに関する教育を実施する。
• 退職後においても、業務上知り得た情報の秘密保持義務を継続させる。

5. 物理的安全管理措置

• 事務所の出入口は施錠管理し、執務エリアへの入退室を管理する。
• 個人情報を含む書類は施錠可能な保管庫等に保管する。
• 業務用機器(PC、スマートフォン等)について、紛失・盗難防止のための措置を講じる。
• 不要となった書類・記録媒体は、シュレッダー処理または専用の廃棄処理により、復元不可能な状態で廃棄する。

6. 技術的安全管理措置

• 業務用機器のOS・ソフトウェアを最新の状態に保ち、セキュリティ更新を適時適用する。
• 業務用機器にウイルス対策ソフトを導入する。
• 業務用アカウント(Google Workspace、各種クラウドサービス等)について、推測されにくいパスワード、PINまたはパスキーを設定し、二要素認証を可能な限り有効化する。
• 個人情報を含む電子データは、業務用のパソコンおよび業務用クラウド(Google Workspace)の所定の保存先で管理し、取り扱うことができる者を必要最小限に限定する。
• 個人用機器(プライベートPC・私用メール等)に業務上の個人情報を保存しない。
• 当事務所から個人情報を含むファイルをお送りするときは、業務用ストレージの共有リンク(相手を限定したもの)その他の安全な手段で行う。お客様からお送りいただいたファイルは、所定の保存先に移したうえで、受け取りに使った経路からは速やかに削除する。
• 事務所HP(kokusaihome.com)について、SSL/TLSによる通信暗号化、セキュリティプラグインによる不正アクセス対策を講じる。

7. 外部委託先・外部サービスの管理

当事務所が業務上利用する外部サービスは、プライバシーポリシー第5項に定めるとおりです。これらのサービスについて、当事務所は以下の管理を行います。

• サービス提供事業者のプライバシーポリシー・セキュリティ基準を確認し、適切な選定を行う。
• サービスの利用状況を定期的に見直し、必要に応じて変更・追加・廃止する。
• サービス提供事業者の重大なセキュリティ事故を知ったときは、速やかに利用継続の可否を検討する。

8. AI(生成AI)サービスの利用方針

(1) 翻訳サービスの利用

• 個人情報を含む文章の翻訳には、入力した内容を学習に利用せず、翻訳の完了後に保存しないことを提供事業者が公表している有料の翻訳サービス、又は端末内で処理する翻訳機能を利用する。生成AIによる翻訳は(2)による。
• 入力した内容を学習に利用し、又は保存する可能性のある翻訳サービス(無料版のウェブ翻訳、履歴をアカウントに保存する設定の翻訳アプリ等)は、個人情報を含む業務に利用しない。
• 面談等で会話の翻訳機能を使うときは、端末内で処理する設定(ダウンロードした言語)を優先する。端末内で処理できない言語で外部のサーバーによる翻訳を使うときは、履歴・音声を保存しない設定とし、氏名・生年月日・各種番号等の個人を特定できる情報は翻訳機に入力しない。

(2) 生成AI(Claude等)の利用

• 当事務所は、業務知識の調査、文書の作成・校正、翻訳、お客様との連絡文の作成補助等に生成AIを利用する。
• お客様の個人情報を生成AIに入力するのは、ご依頼いただいた業務の遂行及びご相談への対応に必要な範囲に限る。個人番号(マイナンバー)は入力しない。犯罪経歴・病歴等の特に機微な情報は、業務上必要な最小限にとどめる。
• 利用する生成AIは、入力した内容をAIの学習に利用しない設定又は契約のもとで利用する(提供事業者の利用規約に違反する疑いがあるとして検知された内容が、同事業者の安全対策に用いられる場合を除く)。当事務所は、この設定が維持されていることを定期的に点検する。入力した内容が処理される国と保存の期間は、プライバシーポリシー第7項に記載する。
• 前項の設定又は契約を確認できない生成AIサービス(無料版等)には、お客様の個人情報を入力しない。
• AIの出力結果はそのまま外部に発信せず、必ず代表が確認・修正したうえで利用する。

9. インシデント対応

個人情報の漏えい、滅失、毀損その他の情報セキュリティに関する事故が発生し、またはそのおそれが生じた場合、当事務所は以下のとおり対応します。

1. 速やかに事実関係を調査し、被害の拡大防止のための応急措置を講じる。
2. 影響を受けるお客様に対し、速やかにご連絡する。
3. 個人情報保護法に定める要件に該当する場合、個人情報保護委員会への報告および本人通知を行う。
4. 原因を分析し、再発防止策を策定・実施する。

10. 教育および継続的改善

• 代表は、情報セキュリティおよび個人情報保護について継続的に学び、従業者を置くときは、その者に情報セキュリティおよび個人情報保護に関する教育を定期的に実施する。
• 法令の改正、業務内容の変化、技術環境の変化等を踏まえ、本ポリシーおよび関連手続を継続的に見直し、改善する。

11. 本ポリシーの改定

当事務所は、必要に応じて本ポリシーを改定することがあります。改定後のポリシーは、当事務所のウェブサイト(kokusaihome.com)に掲載した時点から効力を生じます。