基本方針

newpo(以下「当社」)は、お客様からお預かりする情報を、業務の遂行に必要な範囲でのみ利用し、適切に保護します。当社は AI を業務の中核に使う会社として、AI の利用範囲とデータの扱いを明示し、記録を残し、お客様に開示します。

体制

• 情報セキュリティの責任者は代表者とします。
• 全役員・業務委託先は本方針と社内規程に従います。規程は文書化し、年1回以上見直します。

情報の分類と取扱い

情報を4段階(公開 / 社内 / 顧客機密 / 個人情報・認証情報)に分類し、分類ごとに保管場所、アクセスできる者、AI への入力可否を定めています。お客様の情報は「顧客機密」以上として扱い、お客様ごとに分離した保管場所に置きます。

AI の利用

• 入力データがモデルの学習に利用されない契約条件の AI サービスのみを使用します。
• お客様の情報を AI に入力する範囲は、契約時に「AI利用に関する覚書」で合意します。
• 個人情報は原則として AI に入力しません。必要な場合は氏名・連絡先等を除去または仮名化します。
• AI の出力は人が確認してからお客様に提出します。お客様へのメール送付やシステム変更を AI が自動で行うことはありません。
• AI の利用記録(日時、業務、用途、サービス、入力データの区分、人の確認)を保持し、お客様に月次で開示します。

アクセス管理

• 業務アカウントは全員が多要素認証を使用します。
• AI エージェントは人とは別の専用アカウントで動作し、業務に必要な最小限の権限のみを付与します。権限は台帳で管理し、四半期ごとに棚卸しします。
• 認証情報はパスワードマネージャーで管理し、チャットやメールで共有しません。
• 退任・契約終了時はアクセス権を即日停止します。

端末と通信

• 業務端末はディスク暗号化と画面ロックを必須とし、OS とソフトウェアを最新に保ちます。
• 通信は TLS で暗号化します。公衆無線 LAN での業務は VPN 等の保護下でのみ行います。

データの保管・削除

• お客様の情報は、契約で定めた期間(標準は業務終了後1年)が経過した時点で削除し、削除を報告します。
• データは国内外のクラウドサービスに保管されます。所在は利用サービスごとに明示できます。

事故対応

情報の漏えい、紛失、誤送信、AI への誤入力等を認知した場合、直ちに拡大を止め、24時間以内にお客様へ第一報を行い、原因と対策を報告します。

継続的改善

本方針と社内規程は、法令・契約・技術の変化に応じて年1回以上見直します。