# 정보 보안 정책

date: 2021-05-06

> For the complete documentation index, see [llms.txt](https://www.fork.co.jp/ko/llms.txt)


> 정보 보안 정책. 정보 자산 보호, 리스크 평가, 법령 및 계약 준수, 지속적인 개선 활동에 대해 안내합니다.

## 정보 보안 정책
  株式会社フォーク(이하 '당사')는 정보가 사회를 지속적으로 성장시키기 위해 매우 중요한 자산이라고 판단하며, 고객에게 신뢰와 안심을 제공함과 동시에 임직원이 서로 신뢰하며 안심하고 업무에 종사할 수 있도록 다음과 같은 정보 보안 정책을 수립하여 준수합니다.

## 대상 범위
 당사가 취급하는 정보와 관련된 모든 사업 및 모든 정보를 대상으로 합니다.

## 지속적 개선 체계(매니지먼트 시스템) 구축
 당사의 모든 임원 및 임직원(아르바이트 및 협력회사 포함)은 이 정책을 이해하고 규정을 준수합니다. 또한, 정보의 중요성에 대해서는 수동적으로 교육받는 것에 그치지 않고, 스스로 적극적으로 받아들이고 전달하며 남겨나가는 것을 원칙으로 하여 지속적인 검토 및 개선 활동을 수행합니다.
이 정책과 체계는 연간 단위 및 필요에 따라 경영회의에서 결정하며, 관리자를 임명하고 계획적으로 감사, 검사, 훈련을 실시합니다.

## 법령 및 계약 준수
 당사가 취급하는 정보와 관련하여 적용되는 법령, 국가가 정한 지침 및 기타 규범, 그리고 계약에 기반한 의무를 준수합니다.

## 리스크 평가 실시
 당사는 정보 산업 분야에서도 높은 수준의 정보 보안 활동을 지속하며, 사회적 프레임워크의 책정 및 실현에 기여합니다. 또한, 엄격한 기밀성을 준수한 상태에서 정보 공유를 통한 형식지(Explicit Knowledge) 형성을 권장합니다.

<p>
제정일: 2013년 8월 22일<br>
최종 개정일: 2015년 5월 1일<br>
株式会社フォーク 대표이사 사장 사토 고
</p>

## 정보 보안을 위한 노력

株式会社フォーク는 고객에게 안전하고 안심할 수 있는 고품질의 서비스를 제공하고, 고객과의 높은 신뢰 관계를 유지 및 지속하기 위해, 서비스 제공을 통해 알게 된 정보 및 보유한 시스템·정보 자산을 부정 액세스, 범죄, 과실, 재해 등의 위협으로부터 보호하기 위한 필요한 안전 관리 조치를 강구합니다.

### 1. 조직적 안전 관리 조치
- 각종 규정 정비 (취업규칙, 정보 보안 관련 규정, 개인정보 보호 관련 규정)
- 취업규칙에 따른 위반자의 징계 처분 규정
- 정보 취급 등급 실시 (구분: 일반, 사내비·관계자 외비, 비밀, 극비)
- 필요한 역할 및 권한 등을 정하여 설치 (보안 위원회, 보안 관리 책임자/개인정보 보호 관리자, 감사 책임자, 시스템 관리자, 시설 관리자 등)
- 감사(내부·외부) 실시
  - 내부 감사(연 2회): 내부 감사원에 의한 감사 ※ 내부 감사원 대상 감사 교육 실시
  - 외부 감사(연 2회): 제3자 인증 기관에 의한 심사(ISMS·P 마크), FORTS 서버 플랫폼 진단
- 대표자에 의한 정기적 검토 (연 2회)
- 재택근무 관련 규칙 등 각종 이용 규칙 정비 (재택근무, 클라우드, PC, 스마트폰, 생성형 AI, SNS 등)
- IT 업무 배상 책임 보험 및 사이버 보험 가입 (개인정보 유출 포함)

### 2. 물리적 안전 관리 조치
- 출입 시스템을 통한 시설 출입 제한
- 보안 수준에 따른 사무실 구역 분리
- 사무실 내 방범 카메라 설치
- 기밀 정보 및 개인정보를 포함한 종이·기록 매체의 잠금 관리
- 기밀 정보 및 개인정보를 포함한 종이·기록 매체의 파쇄 또는 용해 폐기
- 선정된 업체를 통한 PC/서버 하드디스크의 물리적 파괴 및 폐기 증명서 수령

### 3. 기술적 안전 관리 조치
- 업무용 PC의 사용자 단위 로그인 비밀번호 설정
- 업무용 PC에 보안 대책 소프트웨어 도입 (바이러스 정의 파일 매일 자동 업데이트)
- 보안 대책 소프트웨어를 통한 방화벽 설정 (외부로부터의 부정 액세스 방어)
- 노트북 하드디스크 암호화 실시
- MDM 툴을 통한 단말기 반출 시 분실 대책 실시
- USB 등 기록 매체의 PC 연결 로그 취득
- PC 데이터 불필요 시 디스크 초기화 툴을 사용하여 정보 파기
- 사내 파일 서버에 대한 액세스 제어 및 로그 취득
- 사내 파일 서버의 정기적인 백업 실시
- 사내 그룹웨어로 Google Workspace 이용 (메일, 채팅, 스토리지, 화상 회의, 캘린더, 원격 데스크톱 등을 사내에서 관리)
- Google 액세스 제어, 데이터 보존, 기록 보존(Google Vault)
- Google 계정의 2단계 인증 프로세스 보호

### 4. 인적 안전 관리 조치
- 정기 교육(연 2회) 및 입사 시 교육 실시
- 긴급 상황 대응 훈련 실시 (연 1회)
- 긴급 연락처·세이프티 카드 휴대 의무화
- 입사 및 퇴사 시 비밀유지 서약서 작성
- 전 임직원을 대상으로 이해도 테스트 매월 실시

## 개인정보 보호를 위한 노력
### 1. 조직적 안전 관리 조치
- 기밀 등급에 따른 단계 구분 및 취급 규칙 정비 (수탁 개인정보는 '극비')
- 개인정보 관리 대장 정비
- 개인정보 보호 규정 등에 규정된 운영
- 극비 개인정보를 취급하는 사무국 출입 등에 관한 규칙 정비
- 극비 개인정보가 기록된 매체를 이송할 때의 규칙 정비

### 2. 물리적 안전 관리 조치
- 극비 개인정보 취급을 사무국 내로 한정
- 사무국 내에 개인정보 추출 전용 단말기 등 각 작업에 따른 단말기 설치

### 3. 기술적 안전 관리 조치
- 개인정보 수집 시 SSL 암호화 통신 사용
- 개인정보 탐지 툴 'P-Pointer'를 통한 부정 보관 여부 체크
- 극비 개인정보 작업을 위한 파일 서버 영역 설정
- 개인정보를 취급하는 사무국 업무용 PC에 웹 필터링 소프트웨어 도입
- 개인정보를 취급하는 사무국 업무용 PC에 EDR 도입

### 4. 인적 안전 관리 조치
- 개인정보 보호사 자격 취득 권장 (개인정보 관련 프로젝트에 자격 보유자 배치)

### 5. 외적 환경 파악
- 외국 개인정보 보호 제도 파악 및 적절한 안전 관리 조치 실시

외국에서 개인 데이터를 보관하는 경우, 해당 국가의 제도를 파악한 후 적절한 안전 관리 조치를 실시합니다.<br>
당사가 위탁하고 있는 외국 법인의 소재국 및 해당 국가의 개인정보 보호 제도 개요는 다음과 같습니다.<br>
미국 /
<a href="https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/#gaikoku" target="_blank">제도 개요 자료(개인정보보호위원회 자료의 연방 및 캘리포니아주 참조)<i class="fa-solid fa-up-right-from-square ml-1 text-xs"></i></a>

※ 위탁 업무에서 취급하는 개인정보의 보관에 대해서는 도쿄 리전에 한정하고 있습니다.<br>
※ 장애 대책 등을 위해 서버 소재국을 특정할 수 없는 서비스의 경우, 서비스 제공자의 안전 관리 조치 등을 확인한 후 이용하고 있습니다.<br>
  서버 소재국을 특정할 수 없는 서비스: Google Workspace /
<a href="https://www.google.com/intl/ja/policies/privacy/" target="_blank">서비스 제공자의 안전 관리 조치<i class="fa-solid fa-up-right-from-square ml-1 text-xs"></i></a>

## 재택근무에 대한 노력
근무 체제는 재택근무를 기본으로 합니다. (보안에 필요한 구역 등은 사무실에 설치)
- 회사 지급 단말기 사용 (보안 대책 소프트웨어 도입)
- 집 이외의 장소로의 단말기 반출 금지 (상급자의 허가제, 하드디스크 암호화, MDM 툴 등록)
- 단말기 내 정보 저장 금지 (회사가 정한 스토리지 등에 보관)
- 무선 LAN은 암호화 방식/비밀번호 조건을 규정 (암호화 방식: WPA2 이상, 비밀번호: 영문·숫자·기호 혼합 8자 이상으로 설정)
- 종이 및 기록 매체 등의 보관 및 폐기는 사내에서 수행
- 가족 등에게도 단말기를 만지게 하지 않도록 규칙에 명시
- 개인정보를 취급하는 작업 금지 (취급 시에는 원격으로 사내 단말기를 조작)