WEST ORANGEは、お客様の業務情報・コード・AIモデルを扱う事業の特性に合わせ、
情報セキュリティを経営課題のひとつとして捉えています。生成AI時代の新しいリスクにも、
体制・契約・実装の3層で備えています。
お客様から預かる情報資産を保護するため、当社は次の方針に則って事業活動を行います。経営層の責任のもと、全役職員に徹底しています。
代表取締役を最高責任者とする情報セキュリティ管理体制を構築し、経営層が方針策定・運用・改善に直接関与します。年1回以上、方針・ルールを経営会議でレビューします。
個人情報保護法、不正アクセス禁止法、著作権法等の関連法令、ならびにお客様との秘密保持契約・委託契約に定められた要件を遵守します。海外データの取り扱いについても、関連法令の要件に沿って運用します。
業務上必要となる情報・権限のみを取り扱う「最小特権」を徹底し、不要な情報の収集・保持は行いません。情報の利用目的をお客様に明示し、目的外利用は行いません。
入社時および年次の情報セキュリティ研修を実施し、生成AI時代の新たなリスク（プロンプトリーク、出力情報の取り扱い等）も含めて全役職員が理解する状態を維持します。
新たな脅威・技術動向・お客様要件をふまえ、社内ルール・運用・技術対策を継続的に見直し、改善します。インシデントから得た学びも、必ず仕組みに反映します。
方針を実装するため、以下の領域で具体的な対策を講じています。プロジェクトの性質に応じて、お客様要件に合わせた追加対応も行います。
情報セキュリティインシデントが発生した場合、または兆候を検知した場合は、被害の最小化と再発防止を最優先に対応します。
検知から速やかに、情報セキュリティ責任者を含む対応チームを招集。影響範囲を切り分け、必要な遮断・隔離を実施します。お客様プロジェクトに関連する事象は、把握次第お客様窓口へ第一報を行います。
被害の拡大を防ぐため、対象システム・アカウントの停止／鍵の再発行等を実施。並行してログ・監査記録から原因を特定し、影響範囲（情報・期間・対象）を確定します。
お客様、関係当局、ユーザー等、報告すべき関係者へ事実関係・影響・対応状況を、適切なタイミングで報告します。法令上の通知義務（個人情報保護委員会等）も遵守します。
原因に対する恒久対策を実装し、社内ルール・運用・技術構成へフィードバック。同様事象が他のシステム・業務で発生する可能性も洗い出し、横展開で予防します。
業界・業務の性質に応じて、追加の契約・体制・運用が必要となる場合があります。以下は代表的な対応例です。要件はお気軽にご相談ください。
業界別の追加要件、お客様規定のチェックシート対応、NDA締結まで、まずはお気軽にご相談ください。