安全政策(信息安全基本方针)

1. 基本方针

本事务所在遵守行政书士法、个人信息保护法、犯罪收益转移防止法及其他相关法令的基础上，依据以下方针确保信息安全。

1. 在业务执行所必要的范围内，适当取得、利用、管理客户所接收的信息。
2. 为确保信息的机密性、完整性、可用性，采取组织性、人员性、物理性、技术性安全管理措施。
3. 代表持续学习信息安全及个人信息保护相关知识；设有从业人员时，对其实施教育。
4. 对外部委托方及所使用的服务进行适当的选定与监督。
5. 发生信息安全事故时，迅速应对并制定再发防止对策。
6. 持续审视、改进本政策及相关流程。

2. 信息安全管理者

本事务所的信息安全管理者由代表担任。代表对基于本政策的安全管理措施的制定、执行、监督承担最终责任。

3. 组织性安全管理措施

• 制定个人信息/机密信息处理的内部规程，并将其落实到业务运营中。
• 定期检查信息资产的处理状况，根据需要进行改进。
• 制定信息安全事故发生时的报告与应对程序。

4. 人员性安全管理措施

• 雇用从业人员时，要求其提交关于行政书士法第12条保密义务及个人信息处理的承诺书。
• 设有从业人员时，在入职时及定期对其实施信息安全相关教育。
• 退职后，业务上知悉的信息的保密义务继续存在。

5. 物理性安全管理措施

• 事务所出入口实施上锁管理，管控办公区域的进出。
• 包含个人信息的文件保管于可上锁的保管柜等。
• 对业务用设备(PC、智能手机等)采取防丢失、防盗措施。
• 不再需要的文件与记录介质，通过碎纸机处理或专用废弃处理，以不可恢复的状态废弃。

6. 技术性安全管理措施

• 业务用设备的 OS 与软件保持最新状态，及时应用安全更新。
• 业务用设备安装杀毒软件。
• 业务用账户(Google Workspace、各类云服务等)设置不易被猜测的密码、PIN或通行密钥，并尽可能启用双因素认证。
• 包含个人信息的电子数据在业务用电脑及业务用云端(Google Workspace)的指定保存位置进行管理，可处理该数据的人员限定于必要最小限度。
• 不在个人设备(私人 PC、私人邮箱等)上保存业务上的个人信息。
• 本事务所发送包含个人信息的文件时，通过业务用存储的共享链接(限定接收对象)或其他安全方式进行。客户发送给本事务所的文件，在移至指定保存位置后，迅速从接收时所用的途径中删除。
• 事务所 HP(kokusaihome.com)通过 SSL/TLS 进行通信加密，通过安全插件采取防止非法访问的对策。

7. 外部委托方/外部服务的管理

本事务所业务上使用的外部服务如《隐私政策》第 5 项所述。本事务所对这些服务进行以下管理。

• 确认服务提供商的隐私政策与安全标准，进行适当的选定。
• 定期审视服务的使用状况，根据需要进行变更、追加、停用。
• 获悉服务提供商发生重大安全事故时，迅速研究是否继续使用。

8. AI(生成式 AI)服务的使用方针

(1) 翻译服务的使用

• 翻译含有个人信息的文章时，使用提供方公开表明不将输入内容用于学习、翻译完成后不予保存的付费翻译服务，或在终端内处理的翻译功能。使用生成式 AI 的翻译依照(2)。
• 可能将输入内容用于学习或予以保存的翻译服务(免费版网页翻译、设置为将记录保存到账户的翻译应用等)，不用于含有个人信息的业务。
• 在面谈等场合使用会话翻译功能时，优先采用在终端内处理的设置(已下载的语言)。对于无法在终端内处理的语言而使用外部服务器翻译时，设置为不保存记录・语音，且不将姓名・出生日期・各类号码等可识别个人的信息输入翻译机。

(2) 生成式 AI(Claude 等)的使用

• 本事务所将生成式 AI 用于业务知识的调查、文书的撰写・校对、翻译、协助撰写与客户的联络文等。
• 将客户的个人信息输入生成式 AI，仅限于履行受托业务及应对咨询所需的范围。不输入个人编号(My Number)。犯罪记录・病历等特别敏感的信息，限于业务所需的最小限度。
• 所使用的生成式 AI，在不将输入内容用于 AI 学习的设定或合同下使用(被检测为涉嫌违反提供方使用条款的内容用于该提供方安全措施的情形除外)。本事务所定期检查该设定是否得到维持。输入内容的处理国家及保存期间，记载于隐私政策第7项。
• 对于无法确认前项设定或合同的生成式 AI 服务(免费版等)，不输入客户的个人信息。
• AI 的输出结果不直接对外发送，必须由代表确认/修改后使用。

9. 事故应对

发生个人信息泄露、灭失、损毁等信息安全相关事故，或存在此类事故风险时，本事务所将按以下方式应对。

1. 迅速调查事实关系，采取防止损害扩大的应急措施。
2. 迅速通知受影响的客户。
3. 符合个人信息保护法规定要件时，向个人信息保护委员会报告并通知本人。
4. 分析原因，制定并实施再发防止对策。

10. 教育与持续改进

• 代表持续学习信息安全及个人信息保护相关知识；设有从业人员时，定期对其实施信息安全与个人信息保护相关教育。
• 结合法令修改、业务内容变化、技术环境变化等，持续审视并改进本政策及相关流程。

11. 本政策的修订

本事务所将根据需要修订本政策。修订后的政策自本事务所网站(kokusaihome.com)发布之时起生效。