情報セキュリティ基本方針
TEKKAN（以下「運営者」と言います）では、部活動やサークル活動を支援することができるツールの提供を通じて、かけがえのない思い出となる皆様の部活動やサークル活動を支援しております。様々な過程において、皆様から情報をお預かりすることとなり、これらの情報資産の重要性や価値について、運営者も認識しております。
皆様に、便利で安心いただけるサービスを提供するためには、運営者として情報資産の適切な取扱や保全に取り組むことが重要な責務の一つであると考えており、この取り組みを確実なものとするために「情報セキュリティ基本方針」を策定し、推進して参ります。
運営者は、情報セキュリティ基本方針（以下「本指針」といいます。）を決して形骸化させることがないように務め、皆様の期待を裏切ることがないよう精進して参ります。
情報セキュリティについて
本指針における「情報セキュリティ」とは、完全性や可用性・機密性を確保し維持することをいいます。
情報資産の保護と目標
保有する情報資産について、適切な保護対策を講じることは運営者の使命であります。
具体的には、以下の目標を定め、情報資産の保護に努めます。
- 情報資産の機密性 を担保し、許可された者だけが情報にアクセスできるようにする。
- 情報資産の完全性 を担保し、情報が不正に改ざんされないよう保護する。
- 情報資産の可用性 を担保し、必要なときに必要な情報が適切に利用できるようにする。
- 情報資産の真正性 を確保し、情報の出所やその正確性が保証されるようにする。
- 情報資産の信頼性 を維持し、情報が一貫性を持ち、依存できるものであることを保証する。
- 情報資産の責任追跡性 を担保し、誰がどのように情報にアクセスし、処理を行ったかを追跡できるようにする。
- 情報資産の否認防止 を確保し、情報の送信者や受信者がその行為を後から否認できないようにする。
また、情報セキュリティを損なう事件や事故が発生した際には、迅速かつ適切に対応し、被害の拡大防止に努めるとともに、再発防止策を講じます。さらに、関係各所への適切な報告を迅速に実施します。
講じている安全管理措置
運営者は、前記の目標を実現するため、「TEKKANプライバシーポリシー」に定める個人情報を含む情報資産について、以下の安全管理措置を講じています。本節は、個人情報の保護に関する法律第32条第1項に基づき運営者が本人の知り得る状態に置く、安全管理のために講じた措置の内容を兼ねます。
組織的安全管理措置
- 個人情報の取扱いに関する責任者を定め、取扱状況を把握できる体制を整備しています。
- 情報セキュリティを損なう事件や事故が発生した場合の報告・連絡の体制を、後掲「事件・事故発生時の対応」のとおり整備しています。
- 個人情報を取り扱う機能の追加・変更を行う際は、取得する情報と利用目的の妥当性を事前に確認しています。
人的安全管理措置
- 情報資産を取り扱うパートナーに対し、後掲「情報資産を取り扱うパートナーの教育」のとおり教育・指導を実施しています。
- 情報資産を取り扱う者に対し、秘密保持の義務を課しています。
物理的安全管理措置
- 情報資産を取り扱う機器および電子媒体等について、盗難または紛失を防止するための措置を講じています。
- 業務に使用する端末には、記憶領域の暗号化および画面ロックを設定しています。
技術的安全管理措置
- 利用者の端末と運営者のサーバーとの間の通信、および運営者が利用する外部サービスとの通信を、すべて暗号化しています。
- 情報資産へのアクセス権限を必要最小限に限定し、権限を持つ者を管理しています。
- 外部からの不正アクセスや不正なプログラムから情報資産を保護する仕組みを導入し、通信の遮断および検知を行っています。
- 利用者からの要求について、単位時間あたりの回数を制限し、過大な負荷や機械的な試行を抑止しています。
認証情報の保護
運営者は、利用者の認証（ログイン）に関する情報について、特に以下の措置を講じています。
- パスワードを平文で保持しません。
利用者が設定したパスワードは、運営者が運用するmyTEKKANにおいて、復元できない形式に変換して保管しています。運営者を含め、何人も保管された値から元のパスワードを知ることはできません。 - 認証および認可は、標準的な仕様（OAuth 2.0 / OpenID Connect）に基づくmyTEKKANに集約し、各機能が個別に認証を行わない構成としています。
- myTEKKANが発行したトークンおよび端末ごとの復旧のための識別情報は、端末のOSが提供する保護領域に保存しています。
- myTEKKANへのアクセスは、あらかじめ許可された経路に限定し、許可されていない要求は各機能に到達する前に遮断しています。
- 利用者のメールアドレスについて確認手続きを設け、なりすましによる登録および乗っ取りの防止に努めています。
- 登録および重要な操作に際して、機械的な試行を判別する仕組みを導入しています。
情報資産の保管場所と外的環境の把握
- 運営者は、本サービスの提供のため、外国に所在する事業者が提供するクラウドサービス、ストレージ、通知配信、解析および生成AIの各サービスを利用しています。これらに伴い、情報資産の一部は外国において保管または取り扱われます。
- 利用している具体的なサービス、送信される情報、提供元の事業者および所在国については、「ウェブサイト・TEKKANアプリで利用する外部サービスについて」に記載しています。
- 運営者は、情報資産を保管している外国の個人情報の保護に関する制度を把握した上で、前記の安全管理措置を実施しています。各国の制度については、個人情報保護委員会が公表する調査結果をご参照ください。
- 運営者は、利用者が投稿した射形動画その他のコンテンツについて、アクセス権限のない者が参照できない設定でストレージに保管しています。
利用者ご自身にお願いしたいこと
情報資産の保護は、運営者の措置だけでは完結しません。利用者の皆様には、以下のご協力をお願いいたします。
- パスワードは、他のサービスと使い回さず、推測されにくいものを設定してください。
- 認証情報を他人に教えたり、射手IDを共用したりしないでください。
- 端末を紛失・譲渡・廃棄される場合は、事前に本サービスからログアウトしてください。
- メールアドレスを設定していない射手IDは、端末の初期化やアプリの削除によりデータを復旧できない場合があります。メールアドレスの設定または外部アカウントの連携をおすすめします。
- 心当たりのないログインの通知を受け取った場合や、認証情報が漏えいしたおそれがある場合は、速やかにお問い合わせ窓口までご連絡ください。
運営者の情報セキュリティへの理解
運営者は、情報セキュリティへの理解に務め情報資産の保護をより強固なものにするべく、情報処理安全確保支援士試験に取り組み試験に合格しました。（情報処理安全確保支援士としての登録は実施しておりません）
情報資産を取り扱うパートナーの教育
情報資産を本サービスを運営するためパートナーが取り扱う際は、以下の事項の教育や指導を実施します。
- 情報セキュリティについての教育を実施します。
- 本指針の意義や内容、ならびに「TEKKANプライバシーポリシー」についての教育を実施します。
- ITリテラシー向上のための教育を実施します。
法令および契約の遵守
運営者は、日本国にて定められている法令や規制を遵守いたします。
また、契約を交わす際は日本国の法令や規制に則った上で、その内容を遵守いたします。
環境変化に伴う対応
運営者は、社会情勢やサービス領域などの変化に伴う環境変化が生じた場合には、その変化に柔軟に対応し、情報セキュリティ管理のルールや仕組みを見直します。また、継続的な改善に努めます。
事件・事故発生時の対応
運営者は、情報セキュリティを損なう事件や事故（法令違反や契約違反を含みます）が発生した際には、迅速かつ適切に対応いたします。具体的には、以下の方針を遵守します。
- 情報資産の保護を最優先とし、被害の拡大を防ぐために即座に対応策を講じます。
- 事件や事故の原因を迅速に特定し、再発防止策を策定・実施します。
- お客様やお取引先などの関係各所へ、迅速かつ適切な報告を行い、透明性を確保します。
- ランサムウェア攻撃や不正アクセスなどによる不当な要求や過大な要求に対しては、法令に基づき断固とした姿勢で臨み、金銭的な要求には一切応じません。
- 必要に応じて、専門機関や法執行機関・個人情報保護委員会への報告や連携を行い、問題解決に努めます。
改訂履歴
- 2024年8月12日 制定・発行
- 2026年9月13日 講じている安全管理措置、認証情報の保護、情報資産の保管場所と外的環境の把握、利用者ご自身にお願いしたいことの各節を追加