セキュリティポリシー

当社において、情報資産（情報および情報システム等）はクラウドサービス事業の根幹をなす最重要資産です。お客様から預かる情報を守ることは社会的責任であり、経営の最優先事項の一つです。

当社はサイバー攻撃の高度化・巧妙化を重大な経営リスクとして認識します。金融機関をはじめとする重要情報を委ねてくださるお客様に対して、情報セキュリティとサイバーセキュリティの両面から継続的に対策を強化し、信頼に応えてまいります。

この方針のもと、以下のセキュリティ目標を定め、達成に向けた諸施策を誠実に実施します。

• お客様との契約ならびに法令または規制要件を尊重します
• 情報セキュリティインシデントを防止するため、物理的・技術的・組織的な管理策を継続的に講じます
• 情報資産をサイバー攻撃を含む情報セキュリティの脅威から保護します
• サイバー攻撃による被害を最小化するための検知・対応・復旧体制を維持します

1.  法令・規制の遵守

適用される法令・規制・お客様との契約上のセキュリティ要件を遵守します。ISO/IEC 27001（ISMS）をはじめとする国際標準に基づき、金融機関向けセキュリティ要件にも対応したセキュリティ管理を実施します。

2.  情報資産の保護

情報資産の機密性・完全性・可用性を確保し、脅威から継続的に保護します。当社は、情報資産の機密性・完全性・可用性を確保し、あらゆる脅威から保護に努めます。すべての情報資産に対し、定められた基準に基づくリスクアセスメントを実施し、その結果に応じた最適なセキュリティ対策を講じることで、情報の安全性を担保します。

3.  経営層によるコミットメント

代表取締役 CEOを最高責任者とし、経営層が指定するセキュリティ統括責任者を置きます。情報セキュリティ委員会を設置し、セキュリティ施策を審議・決定・監督します。取締役会へ定期的にセキュリティ状況を報告します。

4.  サイバー攻撃への対応体制

技術的サイバー攻撃（不正アクセス・マルウェア感染・ランサムウェア・脆弱性の悪用等）に専門的に対応するため、CSIRT（Computer Security Incident Response Team）を設置します。CTO/CPOがCSIRT実務統括として技術現場を指揮し、コンティンジェンシープランに定める体制で迅速に対応します。万が一、重大なインシデントが発生した場合には、お客様および関係機関に対して、法令および契約に基づき迅速かつ適切な通知・報告を実施します。

5.  リスクの継続的な評価と対処

サイバー攻撃を想定した脅威シナリオに基づくリスク評価を定期的に実施し、対策を講じます。外部のセキュリティ専門機関と連携し、サイバー脅威に関する最新情報を継続的に収集します。

6.  脆弱性管理と技術的対策の検証

脆弱性情報を継続的に収集・評価し、深刻度に応じた優先対処を行います。定期的な外部ペネトレーションテストにより対策の有効性を検証します。

7.  サプライチェーンへの適用

外部委託先に対してもセキュリティ要件を定め、契約に明記するとともに適切な管理を行います。

8.  教育・訓練の継続実施

全従業員に対して定期的なセキュリティ教育・サイバー攻撃を想定した訓練を実施します。

9.  継続的改善

本方針の実施状況を定期的に見直し、脅威環境・法令の変化に応じて改善を続けます。本方針は全従業員に周知し、遵守を求めます。

以上
2026年5月20日 改定
UPWARD株式会社