コミュニティ支援プロジェクト支援教育事業AIPの紹介法人概要・沿革AIPCafe舞鶴図工室お問い合わせ
コミュニティ支援プロジェクト支援教育事業AIPの紹介法人概要・沿革AIPCafe舞鶴図工室お問い合わせ

セキュリティポリシー

特定非営利活動法人AIP 情報セキュリティ管理規程
総則
第1条（目的）
本規程は、当法人が保有または業務上取り扱う情報資産を適切に保護し、情報漏えい、紛失、不正利用等のリスクを低減するため、必要な管理事項を定めることを目的とする。
第2条（適用範囲）
本規程は、当法人の役員および職員に適用する。また、外部講師、ボランティア、業務委託先その他当法人の情報資産を取り扱う者に対しては、契約、誓約書、利用条件等を通じて必要な事項の遵守を求める。
第3条（保護対象）
保護対象となる情報資産は、次のとおりとする。
  1. 会員、受講者、講師、職員等の個人情報
  1. 講座、研修、教育プログラムおよび教材に関する情報
  1. 会計、契約、助成金、職員管理等に関する情報
  1. 企業、行政機関、協力団体等から預かった情報
  1. Microsoft 365、Google Workspaceその他のクラウドサービス上の情報
  1. Webサイト、SNS、ドメイン、管理者アカウント等の情報
  1. その他、当法人が業務上重要と判断する情報
第2章　管理体制
第4条（情報セキュリティ責任者）
当法人は、情報セキュリティ責任者を置く。責任者は、次の事項を担当する。
  1. 情報セキュリティ対策の企画・推進
  1. 情報資産およびアクセス権限の管理状況の確認
  1. 役職員・外部関係者への周知・教育
  1. 事故発生時の初動対応および理事長への報告
  1. 定期点検と改善事項の管理
責任者および代行者は、理事長が定める。
第5条（情報資産の管理）
情報セキュリティ責任者は、主要な情報資産、保管場所、管理担当者、アクセス権限、重要度等を情報資産管理台帳に記録し、定期的に見直す。
第3章　情報の取り扱い
第6条（利用目的と必要最小限の取り扱い）
情報は、業務上必要な目的および範囲内で取り扱う。目的外利用、無断複製、無断持ち出し、許可されていない第三者への提供を禁止する。
第7条（情報の保存と廃棄）
情報は、法令、契約、事業上の必要性等を踏まえて定めた期間保管する。保管の必要がなくなった情報は、復元や漏えいのリスクに配慮して適切に廃棄・削除する。
第8条（個人情報および機密情報）
個人情報、会計・職員情報、企業・行政から預かった機密情報等は、特に慎重に取り扱う。業務上の必要性と権限を確認したうえでアクセスを認める。
第4章　情報システムとクラウドサービス
第9条（アカウント管理）
  1. アカウントは、原則として利用者ごとに発行する。
  1. パスワードの使い回しを避け、多要素認証等の利用を推進する。
  1. アカウント情報を他人と共有してはならない。
  1. 管理者権限は必要最小限の者に付与する。
  1. 退職、退任、契約終了、担当変更等があった場合は、速やかに権限を見直し、不要なアカウントを停止する。
第10条（クラウドサービスの利用）
  1. 業務情報の保存・共有には、当法人が利用を認めたサービスを使用する。
  1. Microsoft 365とGoogle Workspaceの双方について、管理者、利用目的、保存場所、共有範囲を明確にする。
  1. 外部共有は必要最小限とし、共有相手と権限を確認する。
  1. 個人所有のアカウントへの業務情報の保存・転送は、責任者の承認なく行わない。
  1. 新たなクラウドサービスの利用開始にあたっては、情報の機密性、利用条件、アクセス管理、データの保存・削除方法等を確認する。
第11条（端末およびネットワーク）
パソコン、スマートフォン等は、OSやソフトウェアを適切に更新し、画面ロック、マルウェア対策等の必要な措置を講じる。端末の紛失・盗難時は速やかに責任者へ報告する。
第12条（バックアップ）
重要な情報は、業務への影響や復旧の必要性を考慮し、定期的なバックアップ等の対策を講じる。バックアップの取得状況を確認し、必要に応じて復旧手順を検証する
。
第13条（生成AI等の利用）
生成AIその他の外部サービスに、個人情報、認証情報、未公開の機密情報、企業・行政から預かった情報を入力してはならない。ただし、承認されたサービスで、安全性、利用条件、入力データの取り扱いを確認し、責任者が認めた場合はこの限りでない。
第5章　外部関係者・委託先の管理
第14条（秘密保持）
外部講師、業務委託先その他の関係者に情報を提供する場合は、提供目的、対象情報、利用範囲、保存方法、返却・削除、事故発生時の連絡等を明確にする。
第15条（委託先の管理）
情報の取り扱いを外部に委託する場合は、委託先の管理体制を確認し、必要に応じて秘密保持、再委託、事故報告、契約終了時の情報削除等を契約に定める。
第6章　事故対応
第16条（事故等の報告）
情報漏えい、誤送信、紛失、不正アクセス、マルウェア感染等の事故またはそのおそれを認識した者は、速やかに情報セキュリティ責任者へ報告する。報告の遅れを避けるため、原因が確定するまで待ってはならない。
第17条（事故対応）
情報セキュリティ責任者は、被害の拡大防止、影響範囲の確認、証拠・記録の保全、理事長への報告、必要な関係者への連絡、再発防止策の検討を行う。個人情報保護委員会への報告や本人への通知が必要となる場合は、法令に従って対応する。
第7章　教育・点検・見直し
第18条（教育）
役員、職員および情報を取り扱う外部関係者に対し、必要な情報セキュリティ教育・周知を行う。
第19条（定期点検）
少なくとも年1回、情報資産、アカウント、共有設定、バックアップ、委託先管理および事故対応体制を点検し、改善事項を記録する。
第20条（違反への対応）
本規程に違反する行為が確認された場合、事実関係を確認し、就業規則、契約、誓約書その他の適用ルールに基づき必要な対応を行う。
第21条（改廃）
本規程の制定・改廃は、当法人の所定の決裁手続により行う。
附則
本規程は、2026年11月1日から施行する。