정보 보안 정책

株式会社フォーク(이하 ‘당사’)는 정보가 사회를 지속적으로 성장시키기 위해 매우 중요한 자산이라고 판단하며, 고객에게 신뢰와 안심을 제공함과 동시에 임직원이 서로 신뢰하며 안심하고 업무에 종사할 수 있도록 다음과 같은 정보 보안 정책을 수립하여 준수합니다.

대상 범위

당사가 취급하는 정보와 관련된 모든 사업 및 모든 정보를 대상으로 합니다.

지속적 개선 체계(매니지먼트 시스템) 구축

당사의 모든 임원 및 임직원(아르바이트 및 협력회사 포함)은 이 정책을 이해하고 규정을 준수합니다. 또한, 정보의 중요성에 대해서는 수동적으로 교육받는 것에 그치지 않고, 스스로 적극적으로 받아들이고 전달하며 남겨나가는 것을 원칙으로 하여 지속적인 검토 및 개선 활동을 수행합니다. 이 정책과 체계는 연간 단위 및 필요에 따라 경영회의에서 결정하며, 관리자를 임명하고 계획적으로 감사, 검사, 훈련을 실시합니다.

법령 및 계약 준수

당사가 취급하는 정보와 관련하여 적용되는 법령, 국가가 정한 지침 및 기타 규범, 그리고 계약에 기반한 의무를 준수합니다.

리스크 평가 실시

당사는 정보 산업 분야에서도 높은 수준의 정보 보안 활동을 지속하며, 사회적 프레임워크의 책정 및 실현에 기여합니다. 또한, 엄격한 기밀성을 준수한 상태에서 정보 공유를 통한 형식지(Explicit Knowledge) 형성을 권장합니다.

제정일: 2013년 8월 22일
최종 개정일: 2015년 5월 1일
株式会社フォーク 대표이사 사장 사토 고

정보 보안을 위한 노력

株式会社フォーク는 고객에게 안전하고 안심할 수 있는 고품질의 서비스를 제공하고, 고객과의 높은 신뢰 관계를 유지 및 지속하기 위해, 서비스 제공을 통해 알게 된 정보 및 보유한 시스템·정보 자산을 부정 액세스, 범죄, 과실, 재해 등의 위협으로부터 보호하기 위한 필요한 안전 관리 조치를 강구합니다.

1. 조직적 안전 관리 조치

• 각종 규정 정비 (취업규칙, 정보 보안 관련 규정, 개인정보 보호 관련 규정)
• 취업규칙에 따른 위반자의 징계 처분 규정
• 정보 취급 등급 실시 (구분: 일반, 사내비·관계자 외비, 비밀, 극비)
• 필요한 역할 및 권한 등을 정하여 설치 (보안 위원회, 보안 관리 책임자/개인정보 보호 관리자, 감사 책임자, 시스템 관리자, 시설 관리자 등)
• 감사(내부·외부) 실시
  • 내부 감사(연 2회): 내부 감사원에 의한 감사 ※ 내부 감사원 대상 감사 교육 실시
  • 외부 감사(연 2회): 제3자 인증 기관에 의한 심사(ISMS·P 마크), FORTS 서버 플랫폼 진단
• 대표자에 의한 정기적 검토 (연 2회)
• 재택근무 관련 규칙 등 각종 이용 규칙 정비 (재택근무, 클라우드, PC, 스마트폰, 생성형 AI, SNS 등)
• IT 업무 배상 책임 보험 및 사이버 보험 가입 (개인정보 유출 포함)

2. 물리적 안전 관리 조치

• 출입 시스템을 통한 시설 출입 제한
• 보안 수준에 따른 사무실 구역 분리
• 사무실 내 방범 카메라 설치
• 기밀 정보 및 개인정보를 포함한 종이·기록 매체의 잠금 관리
• 기밀 정보 및 개인정보를 포함한 종이·기록 매체의 파쇄 또는 용해 폐기
• 선정된 업체를 통한 PC/서버 하드디스크의 물리적 파괴 및 폐기 증명서 수령

3. 기술적 안전 관리 조치

• 업무용 PC의 사용자 단위 로그인 비밀번호 설정
• 업무용 PC에 보안 대책 소프트웨어 도입 (바이러스 정의 파일 매일 자동 업데이트)
• 보안 대책 소프트웨어를 통한 방화벽 설정 (외부로부터의 부정 액세스 방어)
• 노트북 하드디스크 암호화 실시
• MDM 툴을 통한 단말기 반출 시 분실 대책 실시
• USB 등 기록 매체의 PC 연결 로그 취득
• PC 데이터 불필요 시 디스크 초기화 툴을 사용하여 정보 파기
• 사내 파일 서버에 대한 액세스 제어 및 로그 취득
• 사내 파일 서버의 정기적인 백업 실시
• 사내 그룹웨어로 Google Workspace 이용 (메일, 채팅, 스토리지, 화상 회의, 캘린더, 원격 데스크톱 등을 사내에서 관리)
• Google 액세스 제어, 데이터 보존, 기록 보존(Google Vault)
• Google 계정의 2단계 인증 프로세스 보호

4. 인적 안전 관리 조치

• 정기 교육(연 2회) 및 입사 시 교육 실시
• 긴급 상황 대응 훈련 실시 (연 1회)
• 긴급 연락처·세이프티 카드 휴대 의무화
• 입사 및 퇴사 시 비밀유지 서약서 작성
• 전 임직원을 대상으로 이해도 테스트 매월 실시

개인정보 보호를 위한 노력

1. 조직적 안전 관리 조치

• 기밀 등급에 따른 단계 구분 및 취급 규칙 정비 (수탁 개인정보는 ‘극비’)
• 개인정보 관리 대장 정비
• 개인정보 보호 규정 등에 규정된 운영
• 극비 개인정보를 취급하는 사무국 출입 등에 관한 규칙 정비
• 극비 개인정보가 기록된 매체를 이송할 때의 규칙 정비

2. 물리적 안전 관리 조치

• 극비 개인정보 취급을 사무국 내로 한정
• 사무국 내에 개인정보 추출 전용 단말기 등 각 작업에 따른 단말기 설치

3. 기술적 안전 관리 조치

• 개인정보 수집 시 SSL 암호화 통신 사용
• 개인정보 탐지 툴 ‘P-Pointer’를 통한 부정 보관 여부 체크
• 극비 개인정보 작업을 위한 파일 서버 영역 설정
• 개인정보를 취급하는 사무국 업무용 PC에 웹 필터링 소프트웨어 도입
• 개인정보를 취급하는 사무국 업무용 PC에 EDR 도입

4. 인적 안전 관리 조치

• 개인정보 보호사 자격 취득 권장 (개인정보 관련 프로젝트에 자격 보유자 배치)

5. 외적 환경 파악

• 외국 개인정보 보호 제도 파악 및 적절한 안전 관리 조치 실시

외국에서 개인 데이터를 보관하는 경우, 해당 국가의 제도를 파악한 후 적절한 안전 관리 조치를 실시합니다.
당사가 위탁하고 있는 외국 법인의 소재국 및 해당 국가의 개인정보 보호 제도 개요는 다음과 같습니다.
미국 / 제도 개요 자료(개인정보보호위원회 자료의 연방 및 캘리포니아주 참조)

※ 위탁 업무에서 취급하는 개인정보의 보관에 대해서는 도쿄 리전에 한정하고 있습니다.
※ 장애 대책 등을 위해 서버 소재국을 특정할 수 없는 서비스의 경우, 서비스 제공자의 안전 관리 조치 등을 확인한 후 이용하고 있습니다.
서버 소재국을 특정할 수 없는 서비스: Google Workspace / 서비스 제공자의 안전 관리 조치

재택근무에 대한 노력

근무 체제는 재택근무를 기본으로 합니다. (보안에 필요한 구역 등은 사무실에 설치)

• 회사 지급 단말기 사용 (보안 대책 소프트웨어 도입)
• 집 이외의 장소로의 단말기 반출 금지 (상급자의 허가제, 하드디스크 암호화, MDM 툴 등록)
• 단말기 내 정보 저장 금지 (회사가 정한 스토리지 등에 보관)
• 무선 LAN은 암호화 방식/비밀번호 조건을 규정 (암호화 방식: WPA2 이상, 비밀번호: 영문·숫자·기호 혼합 8자 이상으로 설정)
• 종이 및 기록 매체 등의 보관 및 폐기는 사내에서 수행
• 가족 등에게도 단말기를 만지게 하지 않도록 규칙에 명시
• 개인정보를 취급하는 작업 금지 (취급 시에는 원격으로 사내 단말기를 조작)