情報セキュリティ基本方針

1. 対象

本方針は、当方が提供するタイピング無双（学習機能「情報無双」および学校向け機能を含みます。以下「本サービス」）と、その運営に用いるサーバー、作業端末、アカウント、および委託先に適用します。

2. 体制

当方は個人事業として本サービスを運営しています。代表者が情報セキュリティの責任者を務め、サービスの提供の責任、システムの管理、日々の運用のすべてを担います。従業員はおらず、本番環境および学校からお預かりした情報にアクセスする権限は、代表者本人にのみ付与しています。

3. 法令等の遵守

個人情報の保護に関する法律その他の関係法令、ならびに当方が定めた利用規約、プライバシーポリシーおよび学校向け機能における個人情報の取扱いを守ります。Google API から受け取った情報は、Limited Use の要件を含む Google API Services User Data Policy に従って扱います。学校向け機能については、文部科学省「教育情報セキュリティポリシーに関するガイドライン」のうちクラウドサービス事業者に関する項目に照らして、自己点検を行います。

4. 取り組み

当方は、情報の機密性・完全性・可用性を保つため、次のことに取り組みます。具体的な措置は「学校向け機能における個人情報の取扱いについて」第 12 項に記載しています。

• 必要な人に必要な範囲だけ — 情報にアクセスできる人と範囲を、役割に必要な最小限にとどめます。運営者が使うアカウントには 2 段階認証を設定し、管理画面には運営者の端末での本人確認を求めます。
• 通信と保管の保護 — 通信を暗号化し、保管する情報のうち特に重要なものは暗号化して保管します。
• 記録と監視 — アクセスと操作の記録を取得して保管し、サービスの稼働とサーバーの変化を常に監視します。
• 失わないための備え — データベースのバックアップを定期的に取得し、復旧の手順を定めています。
• 弱点を放置しない — 利用しているソフトウェアの脆弱性の情報を確認し、更新を行います。
• 作業端末の管理 — 運営に使う端末を限り、ディスクの暗号化、OS の更新、マルウェア対策を行います。本番のデータを端末に複製するのは、障害・お問い合わせ・不正利用への対応に必要な範囲に限り、作業後 30 日以内に削除します。
• 委託先の管理 — 委託先は、情報の取扱いに関する方針を確認したうえで選び、プライバシーポリシーに公表します。運営者の業務に使う AI の支援ツールは、入力した内容を学習に利用しない設定で使います。開発・保守等の作業の中で学校からお預かりした情報を取り扱わせることがあり、その範囲と条件は「学校向け機能における個人情報の取扱いについて」§8 に公表しています。

5. 事故への対応

個人データの漏えい、滅失、毀損その他の事故、またはそのおそれに備えて、対応の手順を定めています。事故が起きたときは、被害の拡大を防ぎ、原因を調べ、再発を防ぎます。学校へのご連絡は「学校向け機能における個人情報の取扱いについて」第 13 項のとおり行い、一般の利用者の皆さまへは、サービス内のお知らせおよび公式 X でお知らせします。法令に基づく個人情報保護委員会への報告が必要な場合は、これを行います。

6. 代表者が対応できないとき

当方には代表者のほかに運営を代わる者はいません。そのため、代表者が対応できない間も本サービスが止まらず、学校の記録が失われないように、次のとおり取り決めています。

• サービスは動き続けます — バックアップの取得と稼働の監視は自動で行っており、代表者の日々の作業がなくてもサービスは動き続けます。
• 記録はいつでも書き出せます — 先生は、代表者を介さずに、いつでも名簿・進捗・採点簿を CSV 形式で書き出せます。
• 前もって分かる不在はお知らせします — 7 日以上続く不在があらかじめ分かっている場合は、事前にサービス内でお知らせし、ご契約中の学校のご担当者へメールでお知らせします。
• 復帰後に順にお答えします — 代表者が対応できない間に届いたお問い合わせには、復帰後に順にお答えします。
• 提供を終えるとき — 学校向け機能の提供を終える場合は、利用規約 第 10 条のとおり、6 か月以上前にお知らせし、終了日の後も 90 日間は記録の閲覧と CSV の書き出しができる状態を保ちます。

7. 学習・点検・見直し

代表者は、年に 1 回以上、情報セキュリティと個人情報の保護について学び、本方針と運用の決まりが守られているかを自己点検し、本サービスの Web の脆弱性を自己診断します。その結果と、法令やサービスの大きな変更に応じて、本方針と取り組みを見直します。なお、当方は第三者による情報セキュリティの認証・監査・脆弱性診断を受けていません。

8. 脆弱性のご報告

本サービスの脆弱性にお気づきになった場合は、メール（[email protected]）またはお問い合わせページからお知らせください。当方で内容を確かめ、必要な修正を行い、ご報告くださった方に結果をお知らせします。独立行政法人情報処理推進機構（IPA）の届出窓口を通じてご報告いただくこともできます。ご報告にあたっては、次の点にご協力をお願いします。

• 書いていただきたいこと — 脆弱性のある画面や URL、再現の手順、想定される影響。
• ほかの利用者の情報に触れない — 確かめるために、ほかの利用者のアカウントや情報を見たり変えたりしないでください。触れてしまった場合は、それ以上使わず、その旨をお知らせください。
• サービスを止めない — 大量の通信を送るなど、本サービスの提供を妨げるおそれのある方法で試さないでください。
• 公表は修正の後に — 修正が済むまで、内容を公表しないでください。

9. お問い合わせ

本方針に関するお問い合わせは、お問い合わせページからご連絡ください。