情報セキュリティ基本方針

1. 適用範囲

本方針は、株式会社グロックス（以下「当社」といいます）の役員・従業員（派遣社員、業務委託先の従事者を含みます）が、事業活動において取り扱う、すべての情報資産に適用します。情報資産には、お客様から預かる情報、当社の業務情報、自社開発のクラウドサービス（IKYU.AI®、ALSOL、HIQLOP など）のデータ、システム、機器、文書を含みます。

2. 基本方針

1. 機密性・完全性・可用性の確保：情報を、許可された人だけが使え、正確で、必要なときに使える状態に保ちます。
2. 法令・契約の遵守：個人情報保護法、不正アクセス禁止法、医療機器関連法令などの法令・規範と、お客様との契約上の義務を守ります。
3. リスクに基づく対策：情報資産の重要度と、想定されるリスクを評価し、それに見合った対策を講じます。
4. 継続的な改善：取り組みを定期的に見直し、改善します。

3. 管理体制

代表取締役を最高責任者とし、情報セキュリティ責任者を置きます。責任者は、方針の運用、対策の実施状況の確認、事故への対応を統括します。システム開発・運用の担当者は、責任者のもとで、各システムの技術的な対策を実施します。

4. 情報資産の管理

• 情報資産を洗い出し、重要度（機密・社外秘・公開）で分類します。
• 分類に応じて、保管場所、アクセスできる人、持ち出しの可否を定めます。
• 不要になった情報は、復元できない方法で消去・廃棄します。

5. アクセス管理・認証

• アクセス権限は、業務に必要な最小限の範囲で付与し、異動・退職時に速やかに見直し・削除します。
• システムの管理画面や、クラウドサービスには、多要素認証を使います。
• パスワードは、推測されにくいものを使い、使い回しをしません。共有アカウントは、原則使いません。
• 管理者権限の操作は、記録を残します。

6. 技術的対策

• 通信の暗号化：当社サイトと、クラウドサービスの通信は、TLS（HTTPS）で暗号化します。
• データの保護：重要なデータは、保管時にも暗号化されたサービスに保存し、定期的にバックアップを取ります。
• 脆弱性の管理：使用するソフトウェア・ライブラリを最新に保ち、重大な脆弱性が見つかったときは、速やかに対応します。
• マルウェア対策：業務用の端末に、マルウェア対策を導入し、OS・ソフトを更新します。
• ログの記録：システムへのアクセスと、重要な操作の記録を取り、不正の早期発見に使います。
• 入力の検証：当社サイトのフォームは、入力内容を検証し、ボット対策（ハニーポット、必要に応じて Cloudflare Turnstile）を行います。

7. システム開発におけるセキュリティ

• 設計の段階から、セキュリティ要件を検討します（認証・認可、入力検証、データ保護）。
• 変更は、レビューを経て、本番環境へ反映します。本番のデータを、開発・試験に使いません（必要な場合は、匿名化します）。
• API キーなどの秘密情報は、ソースコードに含めず、環境変数・シークレット管理の仕組みで保管します。
• 外部のライブラリ・サービスは、信頼性とライセンスを確認して採用します。

8. クラウドサービスと外部サービスの利用

当社は、サイトの提供と業務のために、次の外部サービスを利用しています。いずれも、提供元のセキュリティ水準を確認して採用しています。

外部サービスを追加・変更した場合は、必要に応じて、本ページとプライバシーポリシーに反映します。

9. 従業員の教育・守秘

• 入社時と、その後も定期的に、情報セキュリティの教育を行います（標的型メール、パスワード管理、個人情報の取り扱いなど）。
• 役員・従業員は、業務上知った情報について、在職中も退職後も、守秘の義務を負います。
• 私物の端末や、個人のクラウドサービスに、業務の情報を保存しません。

10. 委託先の管理

業務を外部へ委託する場合は、委託先の選定時に、情報管理の体制を確認します。契約で、守秘義務、再委託の条件、事故の報告、終了時のデータの返却・消去を定め、必要に応じて、実施状況を確認します。

11. 物理的な対策

• 事務所は、入退室を管理し、無人時は施錠します。
• 重要な書類は、施錠できる場所に保管し、不要になったら、シュレッダー等で廃棄します。
• 端末の紛失・盗難に備え、画面ロックとディスクの暗号化を行い、紛失時は、速やかに報告します。

12. 事故への対応

情報セキュリティ上の事故（漏えい、不正アクセス、紛失、マルウェア感染など）が発生した、またはそのおそれがある場合は、次の手順で対応します。

1. 発見者は、直ちに、情報セキュリティ責任者へ報告します。
2. 被害の拡大を防ぐため、影響のある機器・アカウントを、隔離・停止します。
3. 原因と、影響の範囲を調べます。
4. 影響を受けるお客様・関係先へ、速やかに連絡し、法令に基づき、必要な届出（個人情報保護委員会など）を行います。
5. 再発の防止策を実施し、方針・手順に反映します。

13. 事業継続・復旧

障害・災害に備え、重要なデータのバックアップと、復旧の手順を整備します。クラウドサービスは、提供元の冗長構成を活用します。復旧の手順は、定期的に見直します。

14. 個人情報の保護

個人情報の取り扱いは、プライバシーポリシーに定めるとおりです。

15. 点検と見直し

本方針に基づく取り組みを、定期的に点検し、事業・技術・法令の変化に応じて、見直します。重要な変更は、本ページに反映します。

16. 脆弱性・セキュリティ上の問題のご報告

当社のサイトやサービスの脆弱性、不審な動作、なりすましのメールなどに気づかれた場合は、下記へご連絡ください。内容を確認し、対応します。

• メール：contact@glox.co.jp（件名に「セキュリティ」とご記載ください）
• お問い合わせフォーム
• 電話：03-5859-5966（平日 9:00〜18:00）

ご報告の際は、確認した日時、対象のページ・サービス、再現手順をお知らせいただけると、調査が早く進みます。ご報告いただいた情報は、調査と対策以外には使いません。お客様のデータへのアクセス、サービスの妨害、他のお客様に影響する試験は、お控えください。報告用の情報は、security.txt にも掲載しています。

制定日：2026年11月3日
株式会社グロックス　代表取締役　蔡 成平