========================================

規程43：情報セキュリティ管理規程
第1章 総則
第1条（目的）
本規程は、当社の事業活動において使用、管理、または保管される一切の情報資産（データ、プログラム、システム、ネットワーク、紙文書等）について、情報セキュリティの3要素（機密性、完全性、可用性）を確保し、情報漏洩、不正アクセス、改ざん、破壊、紛失、及び各種サイバー攻撃等の脅威から保護するための基本方針、推進体制、並びに運用・管理手続を定めることを目的とする。

第2条（適用範囲）
本規程は、当社のすべての役員、従業員（正社員、無期契約社員、有期契約社員、嘱託社員、パートタイマー、アルバイト、派遣社員等）、並びに当社の情報資産を取り扱う外部委託先・協力会社（以下「役職員等」という。）に適用する。

当社が所有または管理するすべての情報資産、ITインフラ、機器、クラウド環境、並びに検証用船舶「carota」等に搭載されたシステム及び通信設備に適用する。

第3条（関係規程との関係）
個人情報及びマイナンバー（特定個人情報）の具体的な取扱い・手続については、本規程のほか 規程33：個人情報管理規程 及び 規程34：特定個人情報管理規程 の定めを優先して適用する。

自社開発ソフトウェア、ソースコード、及び外部ライセンスソフトウェアの利用・権利管理については、規程51：ソフトウェア・知的財産管理規程 に従う。

情報セキュリティ事故（インシデント）等の発生時における緊急対応及び取締役会報告手続については、規程35：コンプライアンス・リスク管理規程 及び 規程02：取締役会規程 に従う。

情報セキュリティに関する監査記録、アクセスログ、各種申請・許諾文書の保存については、規程30：文書管理規程 に従い保存する。

第2章 管理体制および責任
第4条（最高情報セキュリティ責任者および主管部門）
当社における情報セキュリティの最高責任者（CISO：以下「最高情報セキュリティ責任者」という。）は、総務部長（または代表取締役社長が指名する役員）とする。

情報セキュリティ管理の実務及びインシデント対応を統括する主管部門は、総務部（IT・セキュリティ担当）とする。

最高情報セキュリティ責任者は、セキュリティ基本方針の策定、安全管理策の導入、教育の実施、並びにインシデント発生時の指揮監督に責任を負う。

第5条（部門情報セキュリティ管理者）
各部門長は、自部門における「部門情報セキュリティ管理者」となり、自部門が扱う情報資産の適切な管理、アクセス権限の最小化、及び配下従業員に対する指導徹底に責任を負う。

部門情報セキュリティ管理者は、自部門においてセキュリティ違反またはインシデントの兆候を発見した場合は、直ちに最高情報セキュリティ責任者（総務部）へ報告しなければならない。

第3章 情報資産の分類および物理的・技術的安全管理
第6条（情報資産の機密区分）
当社が保有する情報資産は、機密性に応じて次の3段階に分類し、各区分に応じた取り扱いを行わなければならない。

(1) 極秘（Level 3）：漏洩により会社に極めて重大な損失が生じる情報（未公表決算情報、インサイダー情報（規程36：インサイダー取引防止規程）、最高機密技術ソースコード、特定個人情報等）。厳重な暗号化と最低限のアクセス権限者のみに限定。

(2) 社外秘（Level 2）：業務上必要な関係者のみに開示され、社外への流出を防ぐべき情報（顧客情報（規程33：個人情報管理規程）、人事・給与データ、未公開契約書案、検証用船舶「carota」の内部ログ等）。

(3) 一般（Level 1）：対外的に公表されている情報、または流出しても会社に直接の不利益が生じない情報（広報資料、公開用Webコンテンツ等）。

第7条（物理的安全管理および利用区域制限）
サーバー室、重要書類保管庫、及び重要システム操作エリアは「管理区域」に指定し、許可された者以外の入退室を禁止しなければならない。

役職員等は、離席時に必ずPCの画面ロックを行い、機密情報が掲載された書類を放置してはならない（クリアデスク・クリアスクリーンの徹底）。

第8条（技術的安全管理およびアクセス制御）
ID・パスワード管理：役職員等へ付与するアカウントIDは個別管理とし、他者との共有を禁止する。パスワードは十分な桁数・複雑性を維持し、原則として多要素認証（MFA）を導入しなければならない。

アクセス権限の最小化：情報資産へのアクセス権限は、業務上真に必要最小限の範囲でのみ付与し、人事異動や退職時には遅滞なく権限を剥奪・修正しなければならない。

外部攻撃・悪意あるプログラム対策：社内PC、サーバー、及びネットワーク機器には、許可された抗ウイルスソフト等を導入し、最新のセキュリティパッチを常時適用しなければならない。

データの暗号化およびバックアップ：極秘・社外秘データを外部へ送信、または可搬型記憶媒体へ保存する場合は、必ず暗号化処理（SSL/TLS、ファイル暗号化等）を行わなければならない。また、重要データは定期的に自動バックアップを実施しなければならない。

第4章 運用管理およびモバイル・クラウドの利用
第9条（シャドーITおよび私的デバイス持ち込み（BYOD）の禁止）
役職員等は、会社の許可を得ていない私用PC、スマートフォン、タブレット、USBメモリ、及びその他の記憶媒体を社内ネットワークに接続し、または業務データを保存・処理してはならない（BYODの原則禁止）。

業務上で私用デバイスまたは社外ツールの利用が必要な場合は、あらかじめ「IT機器・ツール利用申請書」を総務部へ提出し、最高情報セキュリティ責任者の事前承認を得なければならない。

第10条（クラウドサービス（SaaS/IaaS/PaaS）の利用管理）
業務上で新たなクラウドサービス、AI生成ツール、または外部開発プラットフォームを導入・利用しようとする場合の承認手続は、規程51：ソフトウェア・知的財産管理規程 第9条の定めるところによる。総務部は、当該承認にあたり、データ保管場所、暗号化、二次利用規定の確認等のセキュリティ評価を行う。

クラウドインフラ（AWS、GCP等）の利用にあたっては、不正アクセスを防ぐためアクセスキー及びIAM権限を厳重に管理しなければならない。

第11条（検証用船舶（carota）等の特殊環境におけるセキュリティ）
検証用船舶「carota」等に搭載されたネットワーク機器、独立通信設備、及び検証用端末についても、社内LANと同等のセキュリティ対策（ファームウェア更新、暗号化通信、不正アクセス監視）を施さなければならない（規程50：検証用船舶管理および運用要領）。

検証用に取得した通信ログ、センサーデータ、及び動作結果等を外部へ公開する場合は、規程51：ソフトウェア・知的財産管理規程 第8条に基づく事前審査を経て、個人情報や極秘技術が含まれていないことを確認しなければならない。

第5章 教育、監査およびインシデント対応
第12条（教育および訓練）
総務部は、全役職員等に対し、年1回以上、情報セキュリティに関する教育・研修、及び標的型攻撃メール訓練等を実施しなければならない。

新入社員及び中途採用者に対しては、採用時に情報セキュリティに関する基本的な指導を行い、誓約書を徴求しなければならない（規程43）。

第13条（情報セキュリティ監査）
総務部は、年に1回以上、社内の情報セキュリティ対策の定着状況、ルール遵守状況、及びアクセスログの監査を実施しなければならない。

監査の結果、改善が必要と認められた場合、最高情報セキュリティ責任者は該当部門長に対し、直ちに是正命令を出さなければならない。

第14条（インシデント（事故）の発生および対応）
情報資産の漏洩、紛失、破壊、改ざん、ウイルス感染、不正アクセス、またはその疑いを発見した者は、直ちに被害の拡大を防止するための応急措置（該当端末のネットワーク切断等）を講じるとともに、総務部（IT担当）へ報告しなければならない。

総務部は、報告を受けた場合、直ちに事実関係を調査し、最高情報セキュリティ責任者及び代表取締役社長へ報告する。

重大な漏洩事故等が発生した場合は、緊急対策本部を設置し、規程35：コンプライアンス・リスク管理規程 及び関係法令に従い、個人情報保護委員会等への報告、並びに適切な公表・被害防止措置を講じなければならない。

附則
第1条（施行日）
本規程は、2026年9月1日より施行する。

第2条（改定）
本規程の改定は、取締役会の決議による。




========================================
