情報セキュリティポリシー

Liiivv株式会社（以下「当社」）は、事業活動において取り扱う情報資産を、意図しない漏えい、改ざん、滅失および不正利用から保護することが、ステークホルダーの信頼と事業継続の基盤であると認識し、情報セキュリティ基本方針を定めます。本方針は、個人情報保護法、不正競争防止法その他の関係法令に加え、ISO/IEC 27001（ISMS）、NIST サイバーセキュリティフレームワーク、および将来の米国上場を見据えたSOX法IT全般統制の要求水準を参照しています。

情報資産の機密性（Confidentiality）、完全性（Integrity）および可用性（Availability）を維持し、事業リスクを許容可能な水準に管理することを目的とします。

本方針は、当社の全役員および全従業員（派遣・業務委託を含みます。）、ならびに当社が取り扱うすべての情報資産（電子データ、書面、情報システム、ネットワーク、クラウドサービス、記録媒体等）に適用されます。

当社は、情報セキュリティを統括する責任者（CISOに相当）を置き、方針の策定・見直し、重大インシデントへの対応、経営層への報告を行います。重要事項は取締役会に報告します。

情報資産を重要度に応じて分類し、分類ごとに取扱い・保管・持ち出し・廃棄の基準を定めます。個人情報および機密情報は特に厳格に管理します。

アクセス権限は業務上必要な最小限の範囲に限定（最小権限の原則）し、定期的に棚卸しします。重要システムへのアクセスには多要素認証を適用し、特権アカウントは厳格に管理・監視します。

執務区域および重要機器の設置場所について、入退管理、施錠管理および盗難・災害対策を講じます。

役員・従業員と秘密保持義務を定めた契約を締結し、採用時および定期的に情報セキュリティ教育を実施します。違反に対しては就業規則等に基づき適切に対応します。

情報資産の取扱いを委託する場合は、委託先の情報セキュリティ水準を評価・選定し、契約により安全管理措置および再委託の制限を義務づけ、必要かつ適切な監督を行います。

情報セキュリティインシデントの発見・報告・初動対応・原因調査・再発防止の手順を定め、対応体制（CSIRT機能）を整備します。個人情報の漏えい等が生じた場合は、法令に基づき監督官庁への報告および本人への通知を速やかに行います。

重大なシステム障害、サイバー攻撃または災害が発生した場合に備え、重要業務の継続・early復旧のための計画を整備し、定期的に見直します。

当社は、関係法令および契約上の要求事項を遵守し、本方針に基づく詳細な社内規程を整備します。

本方針および関連規程の遵守状況を定期的に点検・監査し、監査結果、インシデントの教訓、技術・脅威動向の変化を踏まえてマネジメントレビューを行い、継続的に改善します（PDCA）。

最終改定日：2026-09-03