当法人は、当法人が取得した個人情報の取扱いに関し、個人情報の保護に関する法律、個人情報保護に関するガイドライン等の指針、その他個人情報保護に関する関係法令を遵守します。

1.個人情報の安全管理
当法人は、個人情報の保護に関して、組織的、物理的、人的、技術的に適切な対策を実施し、当法人の取り扱う個人情報の漏えい、滅失又はき損の防止その他の個人情報の安全管理のために必要かつ適切な措置を講ずるものとします。

2.個人情報の取得等の遵守事項
当法人による個人情報の取得、利用、提供については、以下の事項を遵守します。

(1)個人情報の取得
当法人は、当法人が管理するインターネットによる情報提供サイト（以下「本サイト」といいます。）の運営に必要な範囲で、本サイトの一般利用者（以下「ユーザー」といいます。）又は本サイトに広告掲載を行う者（以下「掲載主」といいます。）から、ユーザー又は掲載主に係る個人情報を取得することがあります。

(2)個人情報の利用目的
当法人は、当法人が取得した個人情報について、法令に定める場合又は本人の同意を得た場合を除き、以下に定める利用目的の達成に必要な範囲を超えて利用することはありません。
①　本サイトの運営、維持、管理
②　本サイトを通じたサービスの提供及び紹介
③　本サイトの品質向上のためのアンケート

(3)個人情報の提供等
当法人は、法令で定める場合を除き、本人の同意に基づき取得した個人情報を、本人の事前の同意なく第三者に提供することはありません。なお、本人の求めによる個人情報の開示、訂正、追加若しくは削除又は利用目的の通知については、法令に従いこれを行うとともに、ご意見、ご相談に関して適切に対応します。

3 .個人情報の利用目的の変更
当法人は、前項で特定した利用目的は、予め本人の同意を得た場合を除くほかは、原則として変更しません。但し、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲において、予め変更後の利用目的を公表の上で変更を行う場合はこの限りではありません。

4.個人情報の第三者提供
当法人は、個人情報の取扱いの全部又は一部を第三者に委託する場合、その適格性を十分に審査し、その取扱いを委託された個人情報の安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行うこととします。

5.個人情報の取扱いの改善・見直し
当法人は、個人情報の取扱い、管理体制及び取組みに関する点検を実施し、継続的に改善・見直しを行います。

6.個人情報の廃棄
当法人は、個人情報の利用目的に照らしその必要性が失われたときは、個人情報を消去又は廃棄するものとし、当該消去及び廃棄は、外部流失等の危険を防止するために必要かつ適切な方法により、業務の遂行上必要な限りにおいて行います。

7.苦情や相談の担当窓口
当法人は、個人情報の取扱いに関する担当窓口及び責任者を以下の通り設けます。

【一般社団法人NA-Cord】
〒150-0011 東京都渋谷区東1-22-6

1.宣言
一般社団法人NA-Cord協会（以下、「弊会」と称す）は、企業理念に基づき、すべての情報資産に対する機密性、完全性、可用性の確保・向上に努め、お客様を含む社会全体の信頼に応えるため、情報セキュリティ基本方針（以下、本方針）を定め、これを実施し推進することを宣言します。

2.適用範囲
本方針では、弊会が管理するすべての業務活動に関わる情報資産（含個人情報）を適用範囲とします。

3.法令遵守
弊会は、情報セキュリティに関する各種法令、国が定める指針およびその他規範を遵守します。

4.情報セキュリティ管理体制の確立
弊会は、情報資産の保護および適切な管理を行うため、情報セキュリティ管理体制ならびにセキュリティインシデントの緊急時対応体制を整備すると共に、情報セキュリティに関する責任者を配置し情報セキュリティ推進体制を構築します。

5.情報セキュリティ規程の制定
弊会は、情報資産の保護および適切な管理を行うため、情報セキュリティに関する規程、基準等を制定し、社内に周知徹底します。

6.情報セキュリティ対策の実施
弊会は、情報資産に応じた適切な情報セキュリティ対策を実施することで、情報セキュリティ事故の発生予防に努めます。万一、事故が発生した場合には、迅速に対応し、被害を最小限にとどめるとともに再発防止のための措置を講じます。

7.情報セキュリティ教育・訓練の実施
弊会は、すべての従業者に対して、情報セキュリティの重要性の認識と、情報資産の適正な利用・管理のために必要な教育・訓練を実施します。

8.定期的評価および継続的改善
弊会は、情報セキュリティの取り組みを維持するとともに、経営環境や社会情勢の変化に対応するため、定期的に情報セキュリティに関する管理体制および対策実施状況を評価し、継続的な改善を図ります。

一般社団法人NA-Cord協会
代表理事　高須 美谷子

1. 情報セキュリティに対する組織的な取組み

1-1. 機密情報の利用、保管、持ち出し、消去、破棄における取り扱い手順を定める
・機密情報は、他の情報と区別して保管すること
・機密情報の管理者を定めること
・機密情報にアクセスできる人の範囲を定めること
・最新の従事者（管理責任者を含む）を「従事者台帳」で管理すること
・機密情報を受領した場合には「機密情報管理台帳」に記録すること
・機密情報の利用記録を残しておくこと
・機密情報を複製または電子メールで送信する場合には、事前に委託元の承認を得ること
・機密情報を複製または電子メールで送信した場合には、「機密情報管理台帳」に所在地およびその管理者を記録すること。機密情報および機密情報を取り扱う機器の保安区分外への持ち出しは禁止すること
・機密情報を持ち出す場合、事前に委託元の承認を得ること
・機密情報を持ち出す場合、事前に機密情報の管理者の承認を得ること
・機密情報を持ち出す場合、ファイルの暗号化を行うこと
・機密情報を格納する記憶媒体は、セキュリティロック機能を有すること
・持ち出しの利用を終えた機密情報は、正しく消去されているか確認すること
・機密情報を扱う業務の担当を外れた業務従事者（管理責任者を含む）が保有していた機密情報の廃棄・消去を確認すること
・機密情報および機密情報が化体された物（試作品等）の廃棄手順を定めること
・委託業務の終了時、機密情報が安全に廃棄、消去されたことを示す記録を整備すること。また、委託元に報告すること
・機密情報を格納していたサーバを廃棄、売却またはリース返却する時は、データ消去ツールなどでデータの完全消去を行うこと
・バックアップのルールを定め、定期的に実施すること。機密情報を扱う情報システムの全てのバックアップ媒体は、機密区分に応じた管理を行うこと
・機密情報を含む裏紙は利用しないこと
・機密情報が記されたFAX、プリントアウトその他の書類が長時間放置されたままにならないようなルールの運用をすること
・情報セキュリティが適正に維持、運用されていることを確認するため、定期的に確認すること
・定期的に機密情報取り扱い業務の内部点検を実施すること

1-2. 機密情報に係る業務の再委託に関する事項を定める
・業務の再委託を行う場合は、実施理由・必要性・内容・再委託先についての書面を事前に委託元へ提出し承認を得ること
・再委託先と機密保持に関する契約を締結すること。委託元から委託先に求める情報セキュリティ要求事項と同等の内容を含めること
・項目例：
　- 守秘義務
　- 機密保持の対象となる情報の範囲
　- 守秘義務期限
　- 使用目的の制限
　- アクセス者は必要最小限に限定
　- 機密情報の管理方法
　- 機密情報の複製の制限
　- 委託契約終了後の機密情報の返却または廃棄の規定
　- 委託元からの機密保持に関する確認措置の規定
　- 契約違反時の措置
　- 無断での再委託の禁止
・機密情報に係る再委託先との業務について手順を文書化すること
・再委託先における情報セキュリティ対策が適切に維持・運営されていることを定期的に確認すること
・機密情報を再委託先に開示する場合には、機密情報であることを明示すること
・再委託先への機密情報の受け渡しに関する記録を行うこと
・再委託先への機密情報の受け渡しに際し、暗号化を行うこと
・再委託先に開示した機密情報の廃棄・消去に関する記録を再委託先から取得すること

1-3. 機密情報を扱う従事者に対して遵守事項の周知と、情報セキュリティに関わる知識習得の機会を与える
機密保持に関する遵守事項を従事者に周知させること
・機密保持を実践するために必要な教育を定期的に行い、受講記録を作成すること
・機密情報を公衆の場（居酒屋や電車の中など）で公言しないこと

2．物理的セキュリティ

2-1. 機密情報を保管および扱う場所の入退管理と施錠管理を行う
・機密情報を保管している部屋（事務室）又はフロアーへの侵入を防止するための対策を行っていること
・機密情報を保管している部屋（事務室）又はフロアーに入ることができる人を制限し、入退の記録を取得していること
・機密情報が格納された記憶媒体、紙資料、ノートPC等は施錠管理すること
・機密情報を取り扱う情報システムを格納するサーバルームへの入退館の記録やサーバへの作業記録を保存し、事故が発生した際、後からトレースできるようにすること
・鍵またはIDカードなどの保管や所有について定期的に確認すること

2-2. 機密情報を保管および扱う場所への個人所有物の持込み・利用を禁止する
・会社による管理機能のない個人所有のPC・記憶媒体等（※）の業務利用を禁止すること
・会社による管理機能のない個人所有のPCの社内ネットワーク接続を禁止すること
・記憶媒体等（※）の利用は会社貸与品のみとし、個人所有の記憶媒体等（※）の利用を禁止すること

※記憶媒体（SDカード、USBメモリ等）、カメラ付き携帯電話、携帯情報端末（PDA）、音楽プレーヤーなど

3．機密情報が格納される情報システムの運用管理

3-1. ウイルス対策ソフトをはじめとしたアプリケーションの運用を適切に行う
・ウイルス対策ソフトを導入し、パターンファイルの更新を定期的に行っていること
・ウイルス対策ソフトが持っている機能（ファイアーウォール機能、スパムメール対策機能、有害サイト対策機能）を活用すること
・サーバやクライアントPCについて、定期的なウイルス検査を行っていること
・ノートPCには、BIOSパスワード、HDDパスワードの設定および暗号化ソフトの導入をすること
・ファイル共有ソフト等、組織で許可されていないソフトウェアのインストールを禁止していること。禁止ソフトがインストールされていないか定期的に確認すること
・機密情報をコピーして持ち出さないよう、記憶媒体が接続できない設定とすること
・情報システムの時刻は定期的に同期をとること
・業務に不要なwebサイトへのアクセスを制限すること

3-2. 情報システムに対して、最新のパッチを適用するなどの脆弱性対策を行う
・脆弱性の解消（修正プログラムの適用、Windows update等）を行っていること
・不要なサービスの停止など、セキュリティを考慮した設定を実施するなどの対策が施されているかを確認すること
・Webブラウザや電子メールソフトのセキュリティ設定を行うこと

4．機密情報へのアクセス制御の状況

4-1. 機密情報へのアクセスを制限するために、利用者IDの管理（パスワードの管理など）を行う
・機密情報が扱える利用者毎にIDとパスワードを割当て、そのIDとパスワードによる識別と認証を確実に行うこと
・利用者IDの登録や削除に関する規程を整備すること
・パスワードは有効期限を設け、定期的に変更すること。また、空白のパスワードや単純な文字列のパスワードを設定しないよう利用者に求めること
・離席する際は、ソフトウェア的なロック機能によってパソコンを保護すること
・業務従事者への機密情報アクセス権の付与状況を定期的に見直し、必要のないアクセス権を削除すること
・遠隔診断ポートの利用は、保守サポートなどの必要な場合のみに限定すること
・遠隔診断ポートを利用した接続は、認証機能やコールバック機能等を備えるなど、適切なセキュリティ対策を施すこと

5．情報セキュリティ上の事故対応

5-1. 機密情報漏えいが判明した時に、状況を把握し委託元にすみやかに報告する
・機密情報漏えい発生時の体制および連絡網を整備し、すべての従事者に周知すること
・機密情報漏えいが発生した場合、漏えいの発生が疑われる場合、または漏えいに至る可能性のある問題が発見された場合には、すみやかに情報セキュリティ担当者に報告すること
・機密情報について上記の問題が発生した場合、すみやかに委託元に報告すること
・機密情報漏えいが発生した場合には、委託元と再発防止策を協議し、従事者に周知すること