情報セキュリティ基本方針
1 目的
株式会社長野技研（以下「当社」という）は、発注者から信頼される建設コンサルタントとして、情報資産をあらゆる脅威から保護し、リスクを最小限に抑え、安全を確保することが責務であり、事業を継続する上で不可欠であると考える。ここに、「ISMS基本方針」を定め、業務に携わる役員、従業員が遵守し、継続的な情報セキュリティへの取組みを実施することとする。
2 情報セキュリティの定義
情報セキュリティとは、情報資産の「機密性」、「完全性」及び「可用性」を確保し維持することをいう。
(1) 機密性：許可されていない個人、職位、部門に対して、情報を使用不可又は、非公開にする特性（情報を漏えいや不正アクセスから保護すること）。
(2) 完全性：資産の正確さ及び完全さを保護する特性（情報の改ざんや間違いから保護すること）。
(3) 可用性：認可された利用者が要求したときに、情報及び関連する資産を確実にアクセスできる特性（情報の紛失・破損やシステムの停止などから保護すること）。
3 適用範囲
【組織】
株式会社長野技研
【施設】
本社、諏訪支店、飯田事務所、長野事務所
塩尻営業所、木曽営業所、安曇野営業所、大町営業所
【対象者】
役員及び従業員（社員、契約社員、外部委託先社員等）
【業務】
河川・砂防、道路、鉄道、上・下水道、農業土木、森林土木、造園、都市計画及び地方計画、建築、土質及び基礎、鋼構造及びコンクリート、トンネル、建設環境に関するコンサルティング及び補償コンサルタント業務（付随する計画、調査、測量を含む）
【資産】
当社の組織と上記業務に関わる情報資産、及び社内情報システム
【ネットワーク】
全社ネットワーク
4 実施事項
(1) 情報セキュリティ対策
情報資産を脅威（漏えい、不正アクセス、改ざん、紛失・破損）から保護するための情報セキュリティマネジメントシステムを確立、導入、運用、監視、見直し、維持及び改善するものとする。
(2) 法令・規範の遵守
情報資産の取り扱いは、関係法令及び契約上の要求事項を遵守するものとする。
(3) 事業継続管理
重大な障害または災害から事業活動が中断しないように、予防及び回復手順を策定し、定期的な見直しをするものとする。
(4) 情報セキュリティ教育
情報セキュリティの教育・訓練を、役員及び全従業員に対して定期的に実施するものとする。
5 責任と義務及び罰則
(1) 情報セキュリティの責任は、社長が負う。そのために社長は、適用範囲の従業員が必要とする資源を提供するものとする。
(2) 適用範囲の従業員は、本方針を維持するため策定された手順に従わなければならないものとする。
(3) 適用範囲の従業員が、取り扱う情報資産の保護を危うくする行為を行なった場合は、懲戒処分・法的処分の対象とする。
6 定期的見直し
情報セキュリティマネジメントシステムの見直しは、社会的変化、技術的変化、法令等の変更に伴い、定期的に実施するものとする。
個別方針群
1 情報資産管理方針
社内で利用している情報資産を適切に管理していくため、情報資産の洗い出しを行い、機密性・完全性・可用性を資産の重要度を基にレベルを設定し、資産価値を決定する。また、それぞれの脅威に対する脆弱性を特定し、資産価値を考慮して情報資産のリスク値を求める。リスク値が一定値以上のものについては、具体的な対策を取り、リスク値の低減を図る。
また、定期的に監査を行い、見直しを実施する。
2 アクセス制御方針
情報に対するアクセス制御は、利用者もしくは職務権限ごとにアクセス権を適用し、不正なアクセスから保護する。また、定期的にアクセス権の確認・見直しを実施する。
3 ウィルス（マルウェア）対策方針
情報機器およびウィルス対策ソフトでウィルス対策を行い、社内への侵入を防ぐ。また、常に最新の状態に保ち、新しいウィルスの脅威から情報資産を保護する。
4 情報転送の方針
情報転送の方針および手順を定める。送信の記録は一定の期間保存され、その記録は不正アクセスから保護する。
5 モバイル機器利用方針
モバイル機器を社外へ持ち出す際は、管理者の許可を必要とし記録する。また、公共の場所での利用を禁止する。
6 メディア利用方針
利用を許可したメディアのみ利用可能とし、無許可のものは利用不可能とする。また、記録状況は一定の期間保存され、その記録は不正アクセスから保護する。メディアを破棄する際は、物理的に破壊する。
7 クリアデスク・クリアスクリーン
書類及び各種メディアに対するクリアデスクを行う。情報機器に対するクリアスクリーンを行う。
8 バックアップ管理方針
業務上重要なファイルは、拠点間で相互にデータの複製を行い、定期的にバックアップを行う。また、その記録を管理する。障害発生時に備え、復旧の操作手順を文書化する。
9 事業継続方針
事業継続に重大な影響を与える災害およびセキュリティインシデントが発生した際に、従業員の安全確保、業務の早期再開・継続を行うための計画を策定する。
10 供給者関係との情報セキュリティ方針
組織の資産に対する供給者のアクセスに関連するリスクを軽減するための情報セキュリティ要求事項について、供給者と合意し、文書化する。
制定 平成３０年４月１日
改訂 令和 ３年４月１9日
代表取締役社長 中嶋 孝満