データ管理方針

正式文書

PDF または正式 URL へのリンク: 英語版「Authoritative document」を参照

所管

項目	値
所管	Takayuki KIKUCHI
最終確認日	2026-04-13

目的

情報が組織における重要性に応じて分類され、保護され、保持され、かつ安全に廃棄されることを確保する。

適用範囲

Rendering Consulting Inc.（以下「当社」）のすべてのデータ、情報、および情報システム。

一般要件

当社は、法的要件、機密性、および事業上の重要度に従い、データおよび情報システムを分類し、情報に適切なレベルの保護が与えられるようにする。データ所有者は、特定のデータに関する追加要件、または標準的な取り扱い要件の例外を特定する責任を負う。

情報システムおよびアプリケーションは、保存または処理するデータの分類のうち最も高い分類に従って分類しなければならない。

データ分類

従業員がさまざまな種類の情報に関連する要件を容易に理解できるよう、当社はデータを次の 3 段階に分類する。

機密（Confidential）

最高水準の保護を要する極めて機微なデータである。アクセスは特定の従業員または部門に限定され、データ所有者または会社役員の承認がある場合にのみ他者へ提供できる。例は次のとおりである。

顧客データ
個人を識別できる情報（PII）
当社の財務および銀行関連データ
給与、報酬、給与計算に関する情報
戦略計画
インシデント報告書
リスク評価報告書
技術的脆弱性報告書
認証資格情報
シークレットおよび秘密鍵
ソースコード
訴訟関連データ

社外秘（Restricted）

当社の営業秘密に相当し、綿密な保護を要する情報である。アクセスは業務上の必要性に基づく「知る必要（need-to-know）」のある者に限定される。当社外への配布には承認が必要である。特段の記載がない限り、当社のすべての情報は本区分が既定となる。例は次のとおりである。

社内ポリシー
法務文書
議事録および社内向けプレゼンテーション
契約書
社内報告書
Slack のメッセージ
メール

公開（Public）

当社外へ自由に配布してよい、公衆向けの文書である。例は次のとおりである。

マーケティング資料
製品説明
リリースノート
外向きのポリシー

ラベル付け

機密データの紙の複製物を配布する場合は、可能な限り「confidential」とラベル付けする。

データの取り扱い

機密データの取り扱い

機密データには、次の保護および取り扱い要件が適用される。

事前承認された役割以外へのアクセスには、データ所有者による文書化された承認が必要である
アクセスは特定の従業員、役割、および／または部門に限定される
機密システムは、未認証または匿名のアクセスを許可してはならない
機密の顧客データは、本番以外のシステム／環境に使用または保存してはならない
機密データは、暗号化方針に従い、保存時および公衆ネットワーク経由の転送時に暗号化しなければならない
機密データを含むノート PC を含むモバイル機器のハードディスクは暗号化しなければならない
機密データを保存またはアクセスするモバイル機器は、ログオンパスワード（または生体認証など同等の手段）またはパスコードで保護し、非使用が 5 分を超えたら画面をロックするよう構成しなければならない
バックアップは暗号化しなければならない
機密データは、個人の電話機または機器、USB ドライブ、CD、DVD などのリムーバブル媒体に保存してはならない
紙の記録は「confidential」とラベル付けし、データの取り扱いおよび廃棄のポリシーおよび手順に従い、承認された方法で安全に保管し、安全に廃棄しなければならない
紙のハードコピーは業務上の必要性に基づいてのみ作成し、可能な限り避けるものとする
機密情報を保存するために使用したハードディスクおよびモバイル機器は、廃棄前に安全に消去するか、物理的に破棄しなければならない
当社外の者または組織への機密データの移転は、法的契約または取り決めに従い、かつ経営またはデータ所有者の明示的な書面による許可がある場合にのみ行うものとする

社外秘データの取り扱い

社外秘データには、次の保護および取り扱い要件が適用される。

アクセスは、業務上の必要性に基づく知る必要のあるユーザーに限定される
社外秘システムは、未認証または匿名のアクセスを許可してはならない
当社外または権限のあるユーザー以外への社外秘データの移転には経営の承認が必要であり、法的契約または取り決め、またはデータ所有者の許可に従ってのみ行うものとする
紙の記録は、データの取り扱いおよび廃棄のポリシーおよび手順に従い、承認された方法で安全に保管し、安全に廃棄しなければならない
社外秘情報を保存するために使用したハードディスクおよびモバイル機器は、廃棄前に安全に消去するか、物理的に破棄しなければならない

公開データの取り扱い

公開データに特別な保護または取り扱い上の統制は不要である。公開データは自由に配布してよい。

データの保持

当社は、利用の必要がある間、または規制上または契約上の要件を満たすために必要な間、データを保持する。データが不要となったら、安全に廃棄するかアーカイブする。データ所有者は、法務顧問と協議して、自らのデータの保持期間を定めてもよい。

個人を識別できる情報（PII）は、業務上の利用がなくなり次第、削除するか非識別化しなければならない。

保持期間は、本方針の付録 B にあるデータ保持マトリクスに文書化する。

データおよび機器の廃棄

社外秘または機密に分類されたデータは、不要となったときに安全に削除しなければならない。当社は、第三者管理方針に従い、第三者ベンダーのデータおよび廃棄の実務を評価する。社外秘または機密データの保存および処理には、安全なデータ廃棄について当社の要件を満たす第三者のみを用いるものとする。

当社は、廃棄時またはそれ以前に、すべての社外秘および機密データが会社の機器から安全に削除されることを確保しなければならない。機密および社外秘の紙媒体は、シュレッダーまたはその他の安全な方法で廃棄する。

個人を識別できる情報（PII）は、正当な事業目的がある間に限り収集、利用、保持する。PII は、当社のポリシー、契約上の義務、およびすべての関連法令に従い、契約終了後に安全に削除・廃棄しなければならない。また、当社にデータを保持する正当な事業上の利益またはその他の法的義務がない場合、消費者またはデータ主体からの検証済みの請求に応じて PII を削除しなければならない。

年次データレビュー

経営は、本方針の年次レビューに際してデータ保持要件をレビューする。データは本方針に従って廃棄する。

法的要件

一定の状況において、当社は、法務顧問が定める法的ホールド、訴訟、その他の事項に関連するデータの保持を要する法的手続の対象となり得る。そのような記録および情報は、本方針に定めるその他の要件から免除され、法務部門が示す要件に従って保持する。すべてのそのようなホールドおよび特別な保持要件は、当社の法務顧問と年次レビューを行い、継続要件および範囲を評価する。

ポリシー遵守

当社は、業務ツールのレポート、社内および外部の監査など、さまざまな方法により、本方針への遵守を測定し検証する。

例外

本方針への例外の申請は CEO に提出し、CEO の承認を得なければならない。

違反および執行

本方針に違反していることが判明した場合は CEO に報告しなければならない。本方針に違反した場合、システムおよびネットワークの利用権限の直ちの剥奪または停止、ならびに雇用契約に従った懲戒処分（解雇を含む）を含み得る。

付録 A — 社内保持および廃棄手順

CEO は、当社が管理するアカウントおよび機器について、データ保持および廃棄手順の設定および執行に責任を負う。

顧客アカウント

顧客アカウントおよびデータは、契約終了から 60 日以内に、手動のデータ削除プロセスにより削除する。

機器

従業員の退職時には、従業員の機器を速やかに回収する。リモート従業員には送付用ラベルを送付し、機器の返却を監視する。
回収した機器は再プロビジョニング用に消去するか、在庫から除外する。再プロビジョニング時には当社が機器を安全に消去する。
機器イメージは、経営の裁量により事業目的で保持してもよい。

機器または電子媒体の破棄

ソフトウェア手段で消去できない機器の場合、当社は認定された第三者の IT 資産廃棄（ITAD）サービスプロバイダーを利用する。当社が指定するプロバイダーは Sofmap ITAD Service（https://www.sofmap.com/itad/service/）であり、NIST SP 800-88 基準に沿った次のデータサニタイズ方法を提供する。

ソフトウェア消去 — ADEC 認定または Blancco 認定の消去ツールを使用し、完了時にデータ消去証明書を発行する
消磁 — ソフトウェア消去が困難な HDD および磁気テープ媒体向け
物理破壊 — 穿孔（HDD）、粉砕（SSD、USB、SD カード、CD／DVD）、またはオンサイト破壊サービス

適切な方法は、機器の種類、状態、および保存されていたデータの機密性に基づき選定する。Sofmap が発行するデータ消去証明書または破棄報告書は、少なくとも 1 年間保持する。機器がフルディスク暗号化で保護されていることが検証される場合、データ復元のリスクが否定されるため、物理破壊を省略してもよい。

経営は、本手順を少なくとも年に一度レビューする。

付録 B — データ保持マトリクス

システムまたはアプリケーション	データの説明	保持期間
Rendering Consulting Inc. SaaS 製品（Azure）	顧客データ、顧客インスタンスおよびメタデータ、デバッグデータ	契約終了後最大 60 日
Rendering Consulting Inc. カスタマーサポートチケット（GitHub）	サポートチケットおよびケース	無期限
Rendering Consulting Inc. セキュリティイベントデータ（Azure Monitor / Okta）	セキュリティおよびシステムイベントログ、サインインログ、認証イベント、監査ログ。Okta のシステムログは長期保持のため Azure Monitor にエクスポートする。	1 年
Rendering Consulting Inc. 脆弱性スキャンデータ（Microsoft Defender for Cloud）	脆弱性スキャン結果および検知データ	1 年
Rendering Consulting Inc. 顧客営業（Pipedrive）	案件および営業データ	無期限
Rendering Consulting Inc. QA およびテストデータ（GitHub）	QA、テストシナリオおよび結果データ	無期限
セキュリティポリシー	セキュリティポリシー	アーカイブ後 1 年
一時ファイル	Azure 一時ストレージ	処理完了時に自動削除