情報セキュリティポリシー

株式会社ダブルポケット（以下「当社」）は、お客様・お取引先からお預かりした情報をはじめとする情報資産を適切に保護するため、次のとおり「情報セキュリティポリシー・情報管理規程」を定め、全社で取り組んでいます。

文書番号	IS-001
版数	第1.0版
制定日	2026年10月26日
施行日	2026年10月26日
承認者	代表取締役　児島 大
承認日	2026年10月26日
所管	情報セキュリティ管理責任者（代表取締役）

第1条（目的）

本規程は、株式会社ダブルポケット（以下「当社」という。）が保有・取り扱う顧客、取引先、従業員等に関する情報資産を適切に保護し、情報の機密性・完全性・可用性を確保することを目的とする。特に、GMOあおぞらネット銀行株式会社（以下「銀行」という。）の参照系API（以下「銀行API」という。）を当社システムから利用するにあたり、取得した情報の目的外利用、不正アクセス、漏えい、改ざんおよび滅失を防止する。

第2条（適用範囲）

本規程は、当社の役員、従業員、業務委託先その他当社の情報資産にアクセスするすべての者（以下「対象者」という。）、ならびに業務端末、クラウドサービス、ネットワーク、当社システム、銀行APIの接続環境および紙媒体に適用する。

第3条（基本方針）

当社は、次の方針に基づき情報セキュリティを確保する。

1. 個人情報の保護に関する法律その他の関係法令、契約条件および銀行が定めるAPI利用条件を遵守する。
2. 情報は業務上必要な範囲でのみ取得し、利用目的を明確にする。
3. アクセス権限は必要最小限とし、定期的に見直す。
4. 技術的・組織的・人的・物理的な安全管理措置を講じる。
5. 事故が発生した場合は、迅速に被害を封じ込め、報告・復旧・再発防止を行う。
6. 教育・点検・改善を継続的に実施する。

第4条（管理体制）

1. 代表取締役を情報セキュリティ管理責任者（以下「管理責任者」という。）とする。
2. 管理責任者は、本規程の運用、リスク評価、権限の承認、事故対応の指揮、外部委託先の管理、および本規程の年1回以上の見直しを担う。
3. 管理責任者は、システム運用担当者を指定する。システム運用担当者は、システムに対する作業の記録を残す。システム運用担当者が指定されていない場合は、管理責任者がこれを兼務する。

第5条（情報資産の分類と台帳）

1. 情報は、「機密」（API認証情報、口座情報、顧客情報等）、「社内限り」および「公開」に分類する。
2. 管理責任者は、情報資産ごとに保有場所、利用目的、管理者、アクセス者、保存期間および削除方法を記載した情報資産台帳（以下「台帳」という。）を作成し、維持する。
3. 銀行APIで取得するデータ項目、保存先および連携先は、接続前に特定し台帳に記載する。

第6条（情報の取得・利用）

1. 情報の取得は、正当な業務目的に限定し、必要最小限とする。
2. 銀行APIで取得したデータは、承認された業務目的にのみ利用する。管理責任者の承認なく、第三者への提供、外部への転送、私物端末への保存、および外部の生成AIサービスへの入力を行ってはならない。
3. 開発・テストには、原則としてダミーデータを用いる。

第7条（アクセス管理）

1. 情報システムには個人別のアカウントを使用し、共有アカウントは原則として禁止する。
2. 管理者権限は、業務上必要な者に限定して付与する。
3. 入社・異動・退職の際は、速やかに権限を付与・変更・停止する。
4. アカウントおよび権限は、少なくとも半年に1回棚卸しを行う。
5. 多要素認証に対応するサービスには、多要素認証を適用する。

第8条（認証情報・API接続の管理）

1. APIクライアント情報、秘密鍵、トークン等の認証情報は、ソースコードや共有フォルダに平文で保存せず、アクセス制御されたシークレット管理の仕組み等に保管する。
2. 銀行との通信は銀行が指定する安全な方式で行い、証明書の検証を無効化してはならない。
3. 認証情報はログに出力しない。漏えいの疑いがある場合は、速やかに失効させ再発行する。
4. 銀行APIの権限は参照系に限定し、利用規約に従って接続先、IPアドレス制限等の設定を確認する。

第9条（端末・ネットワーク・システムの保護）

1. 業務端末には、画面ロック、OSおよびソフトウェアの更新、マルウェア対策を適用する。機密情報を取り扱う端末には、ディスク暗号化を適用する。
2. 当社システムは、本番環境と開発環境を分離し、脆弱性の修正、依存ライブラリの更新、アクセス制御および入力値の検証を行う。
3. システムの公開範囲および管理画面へのアクセスは、必要な者に限定する。

第10条（保管・バックアップ・ログ）

1. 機密情報は、アクセス制御および暗号化等により保護する。
2. 業務上必要なデータは復旧可能な方法でバックアップし、定期的に復旧手順を検証する。
3. API呼出し、管理者操作、認証失敗、設定変更等の監査ログを、機密情報を含めずに記録し、改ざん防止および閲覧制限の措置を講じる。
4. データおよびログの保存期間は、法令、契約および業務上の要件を踏まえて台帳に定める。

第11条（情報漏えい防止：取得・保管・廃棄）

1. 【取得】取得する項目、目的および権限は事前に管理責任者が承認し、安全な通信経路で取得する。
2. 【保管】保存先を限定し、アクセス制御、暗号化、持出し制限およびバックアップを適用する。紙資料は施錠できる場所に保管する。
3. 【廃棄】保存期間の満了時または利用目的の終了時には、復元困難な方法でデータおよび媒体を削除または廃棄する。銀行APIで取得したデータおよび機密情報を削除・廃棄したときは、その日時、対象および方法を記録する。紙資料は裁断処理する。

第12条（外部委託・クラウドサービス）

1. 業務の委託またはクラウドサービスの利用にあたっては、取り扱う情報、権限、再委託の有無、事故時の報告、契約終了時の情報の返却・消去について事前に確認し、必要な事項を契約に定める。
2. 銀行APIで取得したデータを委託先に取り扱わせる場合は、事前に契約条件および銀行の定める条件との整合を確認する。

第13条（インシデント対応）

1. 情報の漏えい、誤送信、不正アクセス、認証情報の流出、端末の紛失等を認知した者は、直ちに管理責任者に報告する。
2. 管理責任者は、接続の停止、認証情報の失効、端末の隔離等により被害を抑え、証跡を保全し、影響範囲を調査する。
3. 管理責任者は、契約および法令に照らして、銀行、本人、関係当局等への連絡の要否と期限を判断する。個人データの漏えい等が個人情報の保護に関する法律に定める報告対象事態に該当する場合は、同法に従い個人情報保護委員会への報告および本人への通知を行う。
4. 復旧の経過および再発防止策は記録する。

第14条（教育・点検・見直し）

1. 対象者には、採用時および年1回以上、守秘義務、認証情報の取扱い、フィッシング対策、事故時の報告等に関する教育を行う。
2. 管理責任者は、年1回以上、台帳、ログ、バックアップ、外部委託先等の状況を点検し、改善内容を記録する。アカウントおよび権限の棚卸しは、第7条第4項に定めるとおり半年に1回以上行う。
3. システムの重要な変更時または重大な事故の発生時には、随時本規程を見直す。

第15条（違反への対応）

本規程に違反する行為があった場合は、事実関係を確認のうえ、就業規則または契約に基づき適切に対応する。

第16条（運用手順書）

本規程の運用に必要な詳細な技術設定、緊急連絡先等は、管理責任者が別に定める運用手順書で管理する。

附則

本規程は、2026年10月26日から施行する。

改定履歴

お問い合わせ

本ポリシーに関するお問い合わせは、info@4696.studioまでメールにてご連絡ください。