用途: お客様の調達基準やセキュリティチェックシートへの回答資料
位置づけ: 本書は当社の体制を説明するものであり、契約上の義務は保守管理サービス利用条件 第 9 条の 2 および業務委託基本契約書 第 18 条の 2 に定めがあります
本書の位置づけ
当社の体制を、お客様の調達部門やセキュリティ担当の方に説明するための資料です。契約書ではありません。
章立ては、独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第 3 版 付録 7 リスク分析シート」の分類に合わせています。多くのチェックシートが同じ分類を用いているため、そのまま対応表として使えます。
契約上の義務は次のとおりです。本書と契約の定めが異なる場合は、契約の定めが優先します。
| 契約 | 条項 |
|---|---|
| 保守管理サービス | 利用条件 第 9 条の 2 |
| 制作案件 | 業務委託基本契約書 第 18 条の 2、第 18 条の 3 |
本書は契約の改定手続きを経ずに更新します。使用するサービスや運用は変わるためです。最新版は当社へご請求ください。
0. 最初にお伝えすること
当社は小規模な体制で運営しています。
| 項目 | 状況 |
|---|---|
| 体制 | 代表社員のほか、継続的に業務へ従事する者および案件ごとの委託先 |
| 情報セキュリティの専任担当 | なし。代表社員が兼務 |
| 第三者認証（ISMS、プライバシーマーク等） | 取得していません |
| 賠償責任保険 | 未加入（2026 年 8 月時点。加入を検討中） |
| 設立 | 2020 年 9 月 |
人数の内訳は、案件ごとにご提示します。 当社が単独で完結する案件と、外部のクリエイターへ委託する案件があるためです。
次の 2 点を、判定の前にご確認ください。
- 第三者認証の保有が調達の要件である場合、当社は要件を満たしません
- データを国内のサーバーに限定する要件がある場合、第 7-2 章をご覧ください。当社が使うサービスには海外にサーバーを置くものがあります
いずれも、契約の締結前にお知らせください。
1. 組織的対策
| 確認されることが多い項目 | 当社の状況 |
|---|---|
| 経営者が情報セキュリティの方針を明示しているか | 本書をもって方針としています。代表社員が定め、お客様へ提示します |
| 管理責任者を任命し体制を整備しているか | 代表社員が兼務します。当社の規模では、別に専任の担当を置けません |
| 方針に基づく具体的な手順を定めているか | 本書 第 2 章から第 13 章が該当します |
職務分掌や相互牽制を前提とする項目には該当しません。当社の規模では、承認者と実施者を分ける運用が成立しないためです。代替として、重要な操作の記録を残し、事後に確認できる状態を維持します。
方針は「情報セキュリティポリシー」として定めています。ご請求があれば提示します。
2. 人的対策
| 項目 | 当社の運用 |
|---|---|
| 秘密保持義務 | 当社の情報にアクセスする者から秘密保持誓約書の提出を受けます。業務委託の相手方には契約により同等の義務を課します |
| セキュリティ教育 | 情報セキュリティポリシーを周知し、年 1 回説明を行います。 日付と対象者を記録します |
| 業務を離れる際の取扱い | 保有する情報の返却または削除、アカウントの削除、離職後 3 年間の秘密保持を誓約書に定めています |
| 不審メールへの注意喚起 | 上記の年 1 回の説明に含めています |
外部のクリエイターへ委託する場合は、第 9 章のとおり契約で義務を課します。
3. 情報資産管理
| 項目 | 当社の運用 |
|---|---|
| 秘密情報の識別 | お客様ごとにフォルダを分け、他のお客様の情報と混在させません |
| 業務上必要な範囲での利用 | 委託の目的の範囲内でのみ利用します |
| 社外へ持ち出す際の対策 | 業務端末のディスクを暗号化しています |
| バックアップ | 保守契約の対象サイトは 1 日 1 回、保存期間 6 か月（利用条件 第 8 条） |
| 廃棄・消去 | 契約終了後、お客様の指示に基づき削除または返却。削除の日付・対象・実行者を記録します（利用条件 第 8 条第 4 項） |
4. アクセス制御および認証
| 項目 | 当社の運用 |
|---|---|
| 認証情報の保管 | パスワード管理ソフト（1Password）。平文のファイルやメモに保存しません |
| 二要素認証 | 対応しているサービスではすべて有効化 |
| お預かりした認証情報 | 同じ管理ソフトに保管。電子メールやチャットの本文に書きません |
| アクセス権限の棚卸し | 年 1 回、対象者ごとの権限を確認し、不要なものを削除します |
| 管理画面へのアクセス | お客様が発行されたアカウントで行います。当社が独自にアカウントを作ることはありません |
| 契約終了時 | 当社が保有する認証情報を削除。お客様側でのアカウント無効化もお願いしています |
5. 物理的対策
| 項目 | 当社の運用 |
|---|---|
| 第三者の立ち入り防止 | 業務を行う場所を施錠しています |
| 端末の共用 | なし。家族を含む第三者に業務端末を使わせません |
| 可搬記録媒体（USB メモリ等） | 取り扱いません。受け渡しはクラウドストレージで行います |
6. IT 機器の利用
| 項目 | 当社の運用 |
|---|---|
| 業務端末 | 代表社員が使う 2 台（据置型・携帯型） |
| セキュリティ更新 | 自動適用を有効化 |
| ウイルス対策 | 標準搭載の保護機能を有効化 |
| 端末の紛失・盗難対策 | ディスクを暗号化。遠隔での位置確認および消去を有効化。一定時間の未操作で自動ロック |
| 個人所有機器の業務利用 | 行いません |
| 社外での業務 | 事業所の固定回線で行います。公衆無線 LAN での業務は行いません |
7. IT 基盤の運用管理
7-1. 使っているサービス
| サービス | 用途 | サーバーの所在 |
|---|---|---|
| Vercel | サイトの配信 | 米国（リージョンの指定により変動） |
| Google Workspace / Google Drive | 業務データの保管、メール | 米国ほか |
| Cloudflare 等の配信網 | 配信の高速化 | 各国に分散 |
| GitHub | ソースコードの保管 | 米国 |
| 1Password | 認証情報の保管 | 米国・カナダ |
案件ごとの一覧は、ご請求があれば個別に提示します。
7-2. 国内サーバー限定の要件について
データを国内設置のサーバーに限定する要件がある場合、当社は原則として満たしません。
隠さず先に申し上げます。そのうえで、次のいずれかを相談させてください。
| 案 | 内容 |
|---|---|
| 取り扱う情報の範囲を確定する | 当社が扱うのがデザインデータのみで、貴社の会員情報・個人情報を含まない場合、要件の適用外となることがあります |
| 当該案件のみ国内に寄せる | 制作データの受け渡し先を国内のストレージに限定するなど、案件単位での対応 |
| 辞退する | 例外が認められない場合、無理にお受けしません |
最初に「当社が触れる情報は何か」を確定させるのが、双方にとって早い進め方です。
7-3. Google Workspace のテナントについて
当社の Google Workspace は、一般社団法人 社会構想デザイン機構と同一のテナントを共用しています。
| 項目 | 状況 |
|---|---|
| 共用の相手 | 一般社団法人 社会構想デザイン機構（当社代表社員が代表理事を務める法人） |
| 特権管理者の権限 | テナント全体に及びます。 いずれかの法人の特権管理者は、他方の法人のデータにも技術的にアクセスできます |
| 特権管理者の人数 | 2 名。事業の継続のため、複数名を置いています |
| フォルダの分離 | 法人ごと、顧客ごとにフォルダを分けて管理しています |
技術的な分離ではなく、運用上の分離である点をあらかじめ申し上げます。 完全な分離をお求めの場合、契約の締結前にご相談ください。
7-4. クラウドサービスの選定
費用だけでなく、提供事業者の信頼性、認証の保有状況、障害時の対応を見て選びます。選定と承認は代表社員が行います。承認を得る相手を別に置く運用にはなっていません。
8. システム開発および保守
| 項目 | 当社の運用 |
|---|---|
| 開発環境と本番環境の分離 | 分離しています。テスト環境で確認してから本番へ反映します |
| 本番データのテスト利用 | 行いません |
| 脆弱性への対応 | CMS、テーマ、プラグインの脆弱性情報を確認し、保守契約の範囲で更新します（利用条件 第 9 条） |
9. 委託先の管理
当社は、制作の一部を外部のクリエイター（イラストレーター、フォトグラファー、デザイナー等）に委託する場合があります。
| 項目 | 当社の運用 |
|---|---|
| 契約による義務 | 外注業務委託契約書 第 16 条により、当社と同等の秘密保持義務を課しています |
| 生成 AI への入力 | 同 第 13 条第 8 項により、お客様の秘密情報の入力を禁じています |
| お客様への通知 | 個別契約の締結時に、外部クリエイターの関与をお知らせします |
| 秘密情報の受け渡し | クラウドストレージに限定しています |
| 委託先の定期監査 | 実施していません。 監査を行う体制がないためです。契約による義務づけと、案件ごとの確認で担保しています |
| 委託先の監査記録の提出 | 提出できません（上記のとおり監査を実施していないため） |
| 委託先の一覧 | ご請求があれば案件ごとに提示します |
再委託を行わない案件も多くあります。当社のみで完結する案件では、本章は該当しません。個別契約の締結時にお知らせします。
10. 生成 AI の利用
| 項目 | 当社の運用 |
|---|---|
| お客様の秘密情報・個人情報 | 外部の生成 AI サービスに入力しません（業務委託基本契約書 第 14 条第 9 項） |
| 例外 | 入力内容を学習に利用しない旨が保証され、かつお客様の書面による承諾がある場合に限ります |
| 生成物の納品 | 生成 AI の出力をそのまま納品しません |
| 生成 AI の利用を認めない場合 | 個別契約でその旨をお申し付けください |
11. インシデント対応および事業継続
| 項目 | 当社の運用 |
|---|---|
| 第一報 | 覚知から 72 時間以内に連絡します（業務委託基本契約書 第 18 条第 2 項）。原因が判明していなくても、判明している範囲でお知らせします |
| 記録 | 経緯、影響範囲、対応内容を書面で報告します（様式 F5 障害・検知通知、F3 緊急対応完了報告書） |
| 保守契約がある場合 | 緊急対応の受付と一次切り分けは全プランで実施します（利用条件 第 10 条、別紙 2 サービス水準表） |
| 事業継続 | 代表社員に業務が集中しており、長期の疾病等により業務の継続に支障が生じる可能性があります。事業継続計画を定め、顧客のサイトが手作業に依存せず動き続ける状態（自動更新、自動バックアップ、監視）と、引き継ぎのための経路を平時から確保しています |
事業継続については、大手事業者と同じ水準を約束できません。代表社員に業務が集中していることが最大の制約です。 重要度の高い業務では、この点を踏まえてご判断ください。
12. 個人情報および個人番号
| 項目 | 当社の運用 |
|---|---|
| 個人情報保護方針 | https://correlate.design/policy/privacy-policy/ にて公開 |
| 取り扱う個人情報 | CMS 管理画面のアカウント情報、フォーム送信データ、アクセス解析データ等（利用条件 第 21 条） |
| 外国にある第三者への提供 | 対象サイトの構成により生じる場合があります。当社は外国の名称と保護措置の情報を提供し、本人同意の取得は個人情報取扱事業者であるお客様に行っていただきます（利用条件 第 21 条第 5 項） |
| 個人番号・特定個人情報 | 取り扱いません。当社の業務範囲に含まれません |
個人情報を一切扱わない案件も多くあります。デザイン制作のみを引き受ける場合など。個別契約の締結時に、取り扱いの有無を確定させます。
13. 監査
| 項目 | 当社の対応 |
|---|---|
| 現地への訪問による確認 | 受け入れます。日程は事前にご相談ください |
| 書面による報告 | 受け入れます（業務委託基本契約書 第 18 条の 3） |
| 頻度 | 書面は年 2 回、現地は年 1 回を上限としています。これを超える場合は費用を相談します |
| 他のお客様の秘密情報 | 開示できません。当該部分を除いて確認いただきます |
14. お客様のチェックシートへの回答
独自のセキュリティ基準やチェックシートをお持ちの場合、契約の締結前にご提示ください。回答できる範囲でお答えします。
回答にあたり、次の点をあらかじめ申し上げます。
- 第三者認証は保有していません（第 0 章）
- 規模により、職務分掌・相互牽制・専任部署を前提とする項目には該当しません（第 1 章）
- データを国内サーバーに限定する要件は原則として満たしません（第 7-2 章）
- 委託先の監査は実施しておらず、監査記録も提出できません（第 9 章）
- Google Workspace を関連する一般社団法人と同一のテナントで共用しています（第 7-3 章）。運用上の分離であり、技術的な分離ではありません
- 情報セキュリティポリシーおよび事業継続計画は 2026 年 8 月の制定であり、運用の実績はこれからです
- 他のお客様の秘密情報に関わる事項は、お答えできません
- 回答に相当の工数を要する場合、費用を相談します
該当しない項目を「実施していない」と書くと、実態より低く評価されることがあります。 選択肢に「自社に該当しない」がある場合は、そちらでご判定ください。