情報セキュリティ基本方針

第1条（目的）

株式会社ConFinanceAI（以下「当社」といいます。）は、会計不正検知サービス「FraudLens」（以下「本サービス」といいます。）の提供を通じて、お客様およびそのグループ会社の試算表データをはじめとする極めて機密性の高い財務情報をお預かりしています。

これらの情報は、お客様の未公表の財務情報を含むものであり、その漏えい、改ざんまたは滅失は、お客様の企業価値および資本市場の信頼を直接に損なうおそれがあります。当社は、情報セキュリティの確保が当社の事業継続の前提であり、経営上の最重要課題の一つであることを認識し、本方針を定めます。

本方針は、当社における情報セキュリティマネジメントの最上位の規程として位置づけられ、当社の全ての情報セキュリティ関連規程は本方針に従って整備・運用されます。

第2条（適用範囲）

1.　本方針は、次に掲げる者（以下「役職員等」といいます。）に適用します。

• (1)当社の取締役その他の役員
• (2)当社の従業員（雇用形態を問わず、契約社員、パートタイマーおよびアルバイトを含みます。）
• (3)当社の業務に従事する派遣社員および業務委託先の要員のうち、当社の情報資産を取り扱う者

2.　本方針は、次に掲げる情報資産に適用します。

• (1)お客様からお預かりする試算表データ、勘定科目マスタ、組織情報その他の情報（以下「顧客データ」といいます。）
• (2)本サービスの検知ロジック、科目マッピング仕様その他の当社の技術情報
• (3)営業情報、財務情報、人事情報その他の当社の経営情報および個人情報
• (4)上記各号の情報を保管し、または処理する情報システム、クラウド環境、端末、記録媒体およびネットワーク

3.　本方針は、当社の全ての事業所およびテレワーク環境ならびに当社が利用する外部のクラウドサービス基盤に適用します。

第3条（情報セキュリティの定義）

当社は、情報セキュリティを、情報資産について次の三つの要素を維持することと定義します。

• (1)機密性　アクセスを許可された者だけが情報にアクセスできることを確実にすること
• (2)完全性　情報および処理方法が正確かつ完全であることを保護すること
• (3)可用性　許可された利用者が必要なときに情報にアクセスできることを確実にすること

第4条（基本方針）

当社は、前条の目的を達成するため、次の事項を基本方針とします。

• (1)顧客データの保護の最優先　当社は、顧客データを当社の情報資産のうち最も高い保護水準を要するものとして分類し、他のいかなる情報資産よりも厳格に管理します。
• (2)目的外利用の禁止　当社は、顧客データを、お客様との契約において定められた本サービスの提供の目的の範囲内でのみ取り扱い、これを超えて利用しません。
• (3)最小権限の原則　当社は、情報資産へのアクセス権限を、その職務の遂行上必要な最小限の範囲に限定して付与します。
• (4)法令等の遵守　当社は、情報セキュリティに関する法令、国が定めるガイドラインおよびお客様との契約上の義務を遵守します。
• (5)委託先の管理　当社は、業務を外部に委託する場合、委託先について当社と同等の情報セキュリティ水準を確保するよう管理・監督します。
• (6)組織的な取組み　当社は、情報セキュリティを特定の担当者のみの責務とせず、役職員等の全員が担うものと位置づけ、必要な教育を継続的に実施します。
• (7)継続的改善　当社は、情報セキュリティに関する取組みの状況を定期的に点検し、事業環境および脅威の変化に応じて継続的に改善します。

第5条（顧客データの取扱いに関する基本原則）

当社は、顧客データについて、特に次の事項を遵守します。

• (1)帰属　顧客データは、お客様に帰属します。当社は、本サービスの提供に必要な範囲でこれを取り扱う受託者の立場にあります。
• (2)検知ロジックの改善への不使用　当社は、顧客データを機械学習モデルの学習データとして利用せず、また、特定のお客様の顧客データを他のお客様に提供する本サービスの検知ロジックの改善のために利用しません。
• (3)分離　当社は、お客様ごとに顧客データを論理的に分離して保管し、他のお客様が閲覧できない状態を維持します。
• (4)暗号化　当社は、顧客データについて、通信経路上および保管時のいずれにおいても暗号化を施します。
• (5)アクセスの記録　当社は、顧客データに対するアクセスの記録を取得し、一定期間保管します。
• (6)保管場所　当社は、顧客データを日本国内のAWSのリージョン（東京および大阪）に保管します。保管場所を変更する場合は、あらかじめお客様に通知します。
• (7)返却および削除　当社は、お客様との契約の終了時その他お客様の指示があった場合、顧客データを契約に定める方法により返却し、または復元できない方法で削除します。

第6条（未公表の財務情報の管理およびインサイダー取引の防止）

当社が取り扱う顧客データには、お客様が公表していない財務情報が含まれます。当社は、これらが金融商品取引法に規定する重要事実に該当し得ることを認識し、次の事項を遵守します。

• (1)当社は、顧客データその他業務上知り得たお客様の未公表の情報を、本サービスの提供以外のいかなる目的にも利用せず、第三者に開示しません。
• (2)役職員等は、業務上知り得た未公表の重要事実に基づき、当該お客様その他関係会社の株式その他の有価証券の売買その他の取引を行ってはなりません。
• (3)当社は、前号の遵守状況を確保するため、役職員等に対する教育制度を整備します。

第7条（推進体制）

1.　当社は、代表取締役を最高情報セキュリティ責任者（CISO）とし、情報セキュリティに関する最終的な責任を負うものとします。

2.　CISOは、情報セキュリティ管理者を任命し、本方針および下位規程の整備、運用、点検ならびに改善に関する実務を統括させます。

3.　情報セキュリティ管理者は、少なくとも年1回、情報セキュリティに関する取組みの状況をCISOに報告し、CISOはその結果を踏まえて必要な指示を行います。

4.　役職員等は、本方針および下位規程を理解し、これを遵守する責任を負います。

第8条（安全管理措置）

当社は、情報資産を保護するため、次の各区分において必要かつ適切な安全管理措置を講じます。具体的な措置は下位規程において定めます。

• (1)組織的安全管理措置　責任者の設置、取扱状況の記録および点検、報告連絡体制の整備
• (2)人的安全管理措置　役職員等との秘密保持契約の締結、教育の実施、退職時の措置
• (3)物理的安全管理措置　執務区域および機器の管理、記録媒体の持出しの制限、機器の廃棄手順
• (4)技術的安全管理措置　アクセス制御、認証の強化、通信および保管データの暗号化、ログの取得と監視、脆弱性への対応
• (5)外的環境の把握　外国において顧客データまたは個人データを取り扱う場合における当該国の制度の把握と、それに応じた措置

第9条（委託先の管理）

1.　当社は、クラウドサービス事業者その他の外部事業者に業務を委託する場合、あらかじめ当該委託先の情報セキュリティ水準を評価したうえで選定します。

2.　当社は、委託先との間で、秘密保持、安全管理措置の実施およびインシデント発生時の報告に関する事項を含む契約（約款によるものを含みます。）を締結し、再委託先の管理状況を確認します。

3.　当社は、委託先における情報の取扱状況を定期的に確認します。

第10条（教育および訓練）

1.　当社は、役職員等に対し、採用時および少なくとも年1回、情報セキュリティおよびインサイダー取引規制に関する教育を実施します。

2.　教育には、本方針および下位規程の内容、顧客データの取扱い、未公表の財務情報の管理ならびにインシデント発生時の対応手順を含めます。

第11条（情報セキュリティインシデントへの対応）

1.　役職員等は、情報セキュリティインシデントまたはそのおそれを認識した場合、直ちに情報セキュリティ管理者に報告しなければなりません。

2.　当社は、インシデントが発生した場合、被害の拡大の防止、原因の究明および復旧を最優先に対応するとともに、影響を受けるお客様に対し、契約に定める期限までに事実を報告します。

3.　個人データの漏えい等が発生し、または発生したおそれがある場合、当社は、個人情報の保護に関する法律に基づき、個人情報保護委員会への報告および本人への通知を行います。

4.　当社は、インシデントの発生後、再発防止策を策定し、その実施状況を確認します。

第12条（事業継続）

当社は、災害、システム障害その他の事由により本サービスの提供に支障が生じた場合に備え、顧客データのバックアップを取得するとともに、復旧の目標時間および手順をあらかじめ定め、その実効性を定期的に確認します。

第13条（違反時の措置）

役職員等が本方針または下位規程に違反した場合、当社は、就業規則その他の社内規程に従い、必要な措置を講じます。違反が法令に触れる場合には、法的措置を講じることがあります。

第14条（点検および継続的改善）

1.　当社は、少なくとも年1回、本方針および下位規程の遵守状況ならびに情報資産の管理状況を点検します。

2.　当社は、点検の結果、法令の改正、事業内容の変更または新たな脅威の出現を踏まえ、本方針および下位規程を必要に応じて見直します。

第15条（規程体系）

本方針の下に、次の規程を整備します。各規程は本方針に反してはなりません。

第16条（改廃）

本方針の改廃は、代表取締役の承認により行います。

附則

本方針は、2026年9月30日から実施します。