情報セキュリティポリシー (Information Security Policy) – SRN Sound Proof Co., Ltd.
1. 目的と適用範囲 (Purpose and Scope)
SRN Sound Proof Co., Ltd. (SRN) は、世界の自動車産業における顧客の要求を満たすため、安定した最高品質の製造に焦点を当てた日本の「モノづくり (Monozukuri)」の哲学を堅持しています。したがって、情報セキュリティは単なる技術的な対策ではなく、品質と納期順守を重視する企業ビジョンに従い、生産の安定性 (Stability of Production) とサプライチェーンの信頼 (Supply Chain Trust) を維持するための戦略的柱となります。
適用範囲： 本ポリシーは、当社のすべての情報資産および業務システムを対象とし、全レベルの従業員、契約社員、および当社と取引を行う外部関係者に適用されます：
- デジタルインフラストラクチャ： メインウェブサイト (www.srnsoundproof.com)、SRN Data Transfer システム、SRN Connect システム。
- 技術データ： 日本および欧州の親会社から移転された生産データおよび知的財産。
- 個人情報： PDPA の管理下にある従業員およびパートナーのデータ。
法令および規制の遵守： コンピュータ関連犯罪法および JAMA/JAPIA 基準を遵守するため、すべての従業員は規則を厳格に遵守しなければなりません。違反した場合は、以下の影響を受けます (Non-compliance impact)：
- 刑事上の影響： 不正なシステムへのアクセスまたはデータの破壊に対するコンピュータ法に基づく懲役および罰金。
- 民事上の影響： 個人情報の漏洩 (PDPA) または営業秘密の侵害に対する損害賠償請求。
- 懲戒上の影響： 警告から解雇に至るまで、会社の規則に基づく懲戒処分。
セキュリティ管理は、次のセクションの重要な防衛線となる明確なアクセス権限から始まります。
2. アクセス制御と技術的セキュリティ (Access Control & Technical Security)
アイデンティティおよびアクセス管理 (Identity and Access Management) は、データの盗難によるリスクや生産の安定性への影響を防ぐための核となります。
パスワードポリシー基準 (Password Policy)：
- パスワードの変更： データ漏洩のリスクを軽減するため、90日ごとのパスワード変更を義務付け。
- 複雑さ： 推測されにくい文字を含め、絶対に他人に共有してはならない。
- MFA： JAMA/JAPIA のガイドラインに基づき、すべての外部システムアクセス (Remote Access) に対して多要素認証 (Multi-factor Authentication) を義務付け。
許可されたソフトウェアリスト (Approved Software List)：
| システムカテゴリ |
許可されたソフトウェア/システムリスト |
使用要件 |
| Productivity & Cloud |
Microsoft 365, SRN Connect |
社内コミュニケーションおよび文書管理用 |
| Data Transmission |
SRN Data Transfer |
パートナーとのデータ転送に許可されている唯一のシステム |
| Production Control |
標準 IATF 16949 ソフトウェア |
品質管理および生産計画用 |
| Prohibited (禁止) |
ゲーム、海賊版ソフトウェア、システム調整ツール |
インストールまたは使用を固く禁ずる |
上記のアクセス対策は、従業員が自身が保持するデータの重要度をどのように分類するかを理解したときに効果を発揮します。
3. データの分類と安全な送信 (Data Classification & Transmission)
セキュリティリソースを費用対効果の高い方法で割り当てるため、SRN は ITA.005 基準および実践的なセキュリティ規制に従ってデータの機密度レベル (Data Classification) を定義しています。
機密度レベルと視覚的マーキング (Visual Marking)： 従業員は、物理的な文書およびデジタル文書の両方の右上隅に赤いスタンプ (S, A, B) を使用して機密度レベルを示さなければなりません：
- レベル S (Top Secret)： 会社の安定性に深刻な影響を与える最高機密データ (スタンプ S)。
- レベル A (High Confidential)： 権限を与えられた担当者のみがアクセスできる重要機密データ (スタンプ A)。
- レベル B (Confidential/Internal)： 内部業務に使用される機密データ (スタンプ B)。
- レベル Public： 影響なく一般に公開できるデータ。
重要な禁止事項 (参照：ITA.003)：
- Social Network Prohibition (ソーシャルネットワークの禁止)： サイバー脅威を防ぎ、仕事への集中力を維持するため、会社のコンピュータを介して Line、Facebook、TikTok、Instagram、Threads、YouTube、Telegram、OnlyFans、BlueSky、Pantip、ClubHouse などのすべてのソーシャルメディアにアクセスすることを禁止します。
- Personal Content (個人コンテンツ)： 家族の写真、有名人の写真、ポルノメディア、個人の金融取引データ (クレジットカード番号) を会社のサーバーやコンピュータに保存しないでください。
- Data Sanitization (データの無害化)： SRN Data Transfer を介して送信されるデータは、送信前にマルウェアからファイルを消去するため、常にスキャンと無害化 (Scanning and Sanitization) を経る必要があります。
4. インシデント管理と事業継続計画 (Incident Management & BCP)
生産の安全性を保証するため、SRN は 基準に従い、物理的およびサイバー的な緊急対応計画を統合しています。
停電 / 電力サージ発生時の BCP 運用手順 (BCP Operational Steps)：
- 検査 (15分)： 従業員は、最初の15分以内に自分のエリアに損傷がないか直ちに確認しなければなりません。
- バックアップ： 停電が15分を超える場合は、直ちに重要なデータのバックアップを進めます。
- 通知： 責任者または建物管理者に直ちに通知します。
- シャットダウン： 損傷を防ぐため、サーバーとネットワーク機器を適切にシャットダウンします。
- 報告： 指揮系統 (Command Chain) に従って上司に結果を報告します。
10の優先セキュリティ対策 (10 Priority Security Measures)： 要件に従い、当社は以下の対策を実施します：
- MFA for Remote Access： 多要素認証の実施。
- Web Gateway： 安全なウェブサイトへのアクセスの検査。
- Email Gateway： スパムやマルウェアメールのフィルタリング。
- SOC： セキュリティオペレーションセンターを介したセキュリティ管理。
- EDR： エンドポイントの脅威の監視と対応。
- Awareness： 継続的な従業員の意識向上。
- Vulnerability Management： 脆弱性の検査と管理。
- Patching： ソフトウェアを常に最新の状態に保つ。
- Next-gen Anti-Virus： 非常に効果的なアンチウイルスシステムの利用。
- BCP： サイバー攻撃に対処するための事業継続計画の確立。
5. ガバナンスと責任 (Governance & Responsibility)
ポリシーの実施が法令 (コンピュータ法第18条) に準拠することを確実にするため、当社は以下の作業委員会 (参照：ITA.002 発表) を任命しました：
- 人事マネージャー： 使用規律、従業員の機密保持、および NDA 署名を監督します。
- ITスーパーバイザー： 防衛技術および技術的セキュリティ対策の実施に責任を負います。
- ITオフィサー： システム監査を実施し、緊急時の技術サポートを提供します。
主な権限： 委員会は、違反の合理的な疑いがある場合にデジタル証拠を調整して当局に引き渡す権限を持ち、内部コンピュータシステムへのアクセス権限を定期的に監査する責任を負います。
6. ポリシーのライフサイクルと意識向上 (Policy Lifecycle & Awareness)
本ポリシーは、少なくとも年に1回、または組織構造に重大な変更があった場合には必ず見直されなければなりません。
経営幹部向けチェックリスト (Executive Checklist)：
- [ ] 90日間のパスワードと MFA は、すべての重要なシステムで完全に実施されていますか？
- [ ] 従業員の100%が秘密保持契約 (NDA) に署名し、ポリシーを認識していますか？
- [ ] バックアップシステムは、BCP に従って準備状況のテストが行われていますか？
- [ ] データの分類 (Data Classification) は、基準に従ってS、A、Bのスタンプで正しく視覚的にマークされていますか？
SRN Sound Proof Co., Ltd. は、「モノづくり」の価値と自動車産業におけるパートナーからの継続的な信頼を保護するため、情報セキュリティ基準の維持への取り組みを確認します。
発表日：2025年1月1日