情報セキュリティ方針

株式会社Senrigan（以下、「当社」）は、お客様の大切な情報を守るため、この方針を定めます。当社は、情報セキュリティの中でも、とくにAIセキュリティ（AIを使うことで生まれる新しい危険から、情報を守ること）に重きを置きます。以下では、当社がシステムを設計するときの考え方と、開発でAIを使うときのお客様の情報の扱いを、順にご説明します。個人情報の扱いについては、プライバシーポリシーに定めています。

1. 基本の考え方

企業の機密情報は、サイバー攻撃（ネットワークを通じた不正な侵入や、情報の盗み出し・破壊）を受けたとしても、守れるように設計しておく必要がある。当社は、そういう時代に入ったと考えています。

そのために、攻撃を入り口で防ぐだけでなく、万一入り込まれても、機密が読まれにくく、被害が広がりにくく、壊されたデータを元に戻せるように、何重にも備えます。これを、当社がシステムを設計するときの基本とします。

2. 設計で守る

当社がお客様のシステムを設計するときは、次の考え方を組み合わせて、機密を守れるようにします。どこまで取り入れるかは、扱う情報の大切さに合わせて、お客様と相談して決めます。

• 機密を外に出さない：とくに大切な情報は、外部のサービスに送らず、お客様の社内の機械とネットワークの中だけで扱う作りを考えます。AIを組み込むときも、インターネットにつながず、社内の機械の中だけで動くAIを使う方法を検討します。また、機密が、お客様の知らないうちに外部のAIへ送られる作りにはしません。
• 入り口を固く守る：使える人を、正しいIDとパスワードを持つ人に限ります。さらに、スマートフォンに届く確認コードなどで、本人かどうかをもう一度確かめる仕組み（二段階認証）を入れ、入り口そのものを社内のネットワークなどに絞ることも考えます。
• 保存するデータを暗号化する：保存するデータは、暗号化（鍵がなければ読めない形に変えておくこと）します。機械やデータが盗まれても、中身を読まれにくくするためです。
• 見られる人を分ける：情報を分類し、分類ごとに見られる人を決めます。たとえば、経営や人事の情報は限られた人だけが見られるようにし、登録や変更ができる人も絞ります。こうしておけば、万一ひとつのID（アカウント）が乗っ取られても、被害が広がりにくくなります。AIが答えるときも、質問した人が見てよい範囲の情報だけを使うように作ります。
• 操作を記録する：誰が、いつ、何をしたか（AIへの質問や、情報の閲覧・登録・変更）を、記録（監査ログ）に残します。おかしな使われ方に気づき、あとから確かめられるようにするためです。
• バックアップを分けて持つ：データの写し（バックアップ）を複数持ち、そのうち1つは、ネットワークから切り離して別の場所に保管します。攻撃でデータを壊されたり、機械が故障したりしても、元に戻せるようにするためです。
• AIの答えは根拠とともに：AIが答える仕組みを作るときは、答えのもとになった資料を示し、根拠が見つからないときは、そのことを伝えるように作ります。AIの答えは判断の材料として示し、最後に判断するのは人である、という前提で作ります。

3. 開発でAIを使うときの、お客様の情報の扱い

当社は、プログラムを書く作業の多くをAIに任せています。そのため、AIには、作るものの仕様（どんな画面で、どう動くか）などを渡して作業を進めます。開発に使うAIは、外部の会社がインターネット越しに提供するサービスで、渡した内容は、その会社のサーバーで処理されます。そこで、お預かりした情報は、次のように扱います。

• お客様の実データは、ご了承をいただいた場合だけAIに入れます：顧客名簿や売上、案件の記録など、お客様の実データをAIに入れるのは、事前にお客様のご了承をいただいた場合だけです。それ以外の開発や確認には、作り物のデータ（ダミーデータ）を使います。AIに作業させるフォルダに置くファイルや、AIとのやり取りに貼り付ける画面の写真なども、ここでいう「入れる」に含みます。
• 学習に使われない設定で使います：開発に使うAIのサービスは、入れた内容をAIの学習（AIの性能を上げるための材料にすること）に使わない契約や設定にしたものに限ります。
• AIが書いたプログラムも、動きを確かめてから納品します：AIが書いたプログラムも、当社が動きを確かめ、責任を持って納品します。
• 秘密保持契約を結びます：ご希望に応じて、秘密保持契約（お預かりした情報をほかに漏らさないことをお約束する契約）を結びます。

4. 学び続ける

当社自身も、セキュリティについて積極的に学び、最新の情報を集め、それをシステムの開発と設計に生かします。その第一歩として、AIのセキュリティを扱う資格「CompTIA SecAI+」の合格を目指して、学び始めています。

5. もしものときの対応

情報の漏えいや不正な侵入など、セキュリティの事故が起きたときは、次のように対応します。

• すぐに、最初の対応をとります。
• 影響の範囲を調べ、被害が広がらないように手を打ちます。
• 原因を調べ、同じことが起きないように対策を立てます。
• 影響を受けるお客様など関係する方に、分かったことを速やかにお知らせします。

6. お問い合わせ

この方針や、お預かりする情報の扱いについてのご質問は、下記までご連絡ください。

制定日：2025年7月1日
改定日：2026年10月13日