情報セキュリティ方針

1. 対象と基本原則

本方針は、株式会社M&A Doが豊橋M&A総合センターの運営およびM&A・事業承継支援で取り扱う個人情報、相談記録、匿名ティーザー、企業概要書、財務・税務・契約・人事・許認可資料、候補先情報、通信・アクセスログ等を対象とします。情報の機密性、完全性、可用性を考慮し、必要最小限の取得・利用・開示を基本とします。

2. 組織的・人的安全管理

• 情報の種類、責任者、取扱者、利用目的、保存・廃棄、事故報告の手順を定めます。
• アクセス権限を業務上必要な者に限定し、異動・退職・案件終了時に見直します。
• 従業者・関係者に秘密保持義務を課し、個人情報・M&A機密情報、標的型攻撃、誤送信等に関する教育を行います。
• 重要情報へのアクセス、共有、持出し、送信等を必要に応じて記録・確認します。

3. 物理的・技術的安全管理

• 執務場所、端末、紙・外部媒体へのアクセス、保管、持出し、廃棄を管理します。
• 端末・アカウントの認証、権限分離、画面ロック、更新、マルウェア対策等をリスクに応じて実施します。
• 本サイトはHTTPSで通信し、管理画面・公開API・フォーム・メール送信の設定を定期的に確認します。
• 重要度に応じ、暗号化、追加認証、安全なファイル共有、バックアップ、ログ監視、脆弱性対策等を採用します。
• サイト上では、管理者識別子の公開抑制、ブラウザの不要な権限制限、クリックジャッキング・MIME判定等への対策を実施します。

具体的な構成・認証方式等は、攻撃を助長しないため公開を限定します。

4. M&A機密情報の段階管理

1. 初期相談：会社名や詳細所在地を伏せ、相談に必要な最小限の情報を受領します。
2. 候補探索：匿名ティーザー等により、特定可能性と営業秘密を抑えて関心を確認します。
3. 詳細開示：開示先、目的、範囲、本人・権限者の了承、必要な秘密保持契約を確認します。
4. デュー・ディリジェンス：閲覧者、資料、期間、複製・ダウンロード等を案件に応じて管理します。
5. 終了後：契約・法令・紛争対応に必要なものを除き、アクセス停止、返還、削除・廃棄を行います。

5. 委託先・クラウド・国外での取扱い

ホスティング、メール、クラウド、データルーム、セキュリティ、アクセス解析等を委託する場合、取扱情報、保存場所、アクセス制御、再委託、事故対応、返却・削除等を確認し、契約その他の方法で監督します。国外で処理・保存される場合は、適用法令、制度、保護措置等を確認し、個人情報保護法に従って必要な情報提供・対応を行います。

6. 保存、バックアップ、廃棄

情報の種類、利用目的、案件の進行、契約・法令、紛争リスクに応じて保存期間を設定します。不要となった情報は、復元困難な削除、媒体の裁断・破壊、委託先への削除指示等により処分します。バックアップにもアクセス制御と保存・削除方針を適用します。不正送信防止用の秘密鍵付きハッシュ照合値は最長1時間です。

7. 漏えい等の事故対応

漏えい、滅失、毀損、不正アクセス、誤送信等を把握した場合、被害拡大防止、事実・影響範囲の調査、原因分析、証拠保全、復旧、再発防止を行います。個人情報保護委員会への報告や本人通知が必要な場合は、法令・ガイドラインに従って対応します。委託先・専門家・関係機関と連携する場合も、共有範囲を必要最小限にします。

8. 点検と改善

法令、脅威、サービス、委託先、システムの変更に応じて、アクセス権、プラグイン・ソフトウェア、フォーム項目、ログ、外部送信、バックアップ、教育・事故対応手順を点検し、必要な改善を行います。情報セキュリティに関するご連絡は専用窓口で受け付けます。