セキュリティポリシー

1. 私たちのセキュリティへの取り組み

私たちは以下の保護に取り組んでいます：

• お客様の個人情報および財務情報
• コース教材および知的財産
• 受講生の学習記録および進捗データ
• システムインフラおよび可用性
• コミュニケーションチャネルおよびユーザーアカウント

2. 技術的セキュリティ対策

2.1 データ暗号化

• 通信時：お使いの端末と当社サーバー間で送受信されるすべてのデータはTLS 1.3で暗号化されます
• 保管時：機密データはAES-256暗号化方式で保護されます
• 決済情報：すべての決済データにPCI-DSS準拠の暗号化を適用しています
• パスワード：ソルト付きbcryptハッシュ化により保存されます

2.2 ネットワークセキュリティ

• エンタープライズグレードのファイアウォール保護
• 侵入検知・防止システム（IDS/IPS）
• DDoS攻撃対策および軽減措置
• 定期的なネットワークセキュリティ監査
• セグメント化されたネットワークアーキテクチャ

2.3 アプリケーションセキュリティ

• 定期的なセキュリティコードレビュー
• 自動脆弱性スキャン
• Webアプリケーションファイアウォール（WAF）
• SQLインジェクションおよびXSS対策
• CSRFトークン保護

2.4 インフラセキュリティ

• 冗長性を備えた安全なクラウドホスティング
• 暗号化された定期バックアップ
• 災害復旧手順
• データセンターにおける物理的セキュリティ
• 24時間365日のシステム監視

3. アクセス制御

3.1 ユーザー認証

• 強固なパスワード要件（最低8文字、大文字小文字混在、数字、記号を含む）
• 多要素認証（MFA）の利用が可能
• ログイン失敗時のアカウントロック
• 非アクティブなアカウントのセッションタイムアウト
• 認証済みメールアドレスによるパスワードリセットのみ許可

3.2 スタッフアクセス

• 役割ベースのアクセス制御（RBAC）
• 最小権限の原則
• アクセスログの記録および監視
• 定期的なアクセス権限の見直し
• 退職時の即時アクセス権限剥奪

4. データ保護

4.1 個人データ

• プライバシーポリシーに基づき収集・保管されます
• アクセスは権限を持つ担当者のみに制限されます
• 定期的なデータ監査およびクリーンアップ
• 安全なデータ削除手順

4.2 決済セキュリティ

• PCI-DSSレベル1準拠の決済処理
• クレジットカード番号全体は保存しません
• 継続課金のためのトークン化
• 安全な決済ゲートウェイとの連携
• 不正検知のための取引監視

4.3 バックアップと復旧

• 毎日自動で暗号化バックアップを実施
• 地理的に分散したバックアップストレージ
• 定期的な復旧テスト
• 30日間のバックアップ保持
• 24時間のRPO（目標復旧時点）を備えた災害復旧計画

5. セキュリティ監視

私たちは継続的なセキュリティ監視を行っています：

• 24時間365日の自動セキュリティ監視
• リアルタイムの脅威検知とアラート
• ログの集約および分析
• 異常検知システム
• 定期的なセキュリティインシデントレビュー

6. サードパーティのセキュリティ

当社はすべてのサードパーティサービスプロバイダーを慎重に審査しています：

• 契約前のセキュリティ評価
• セキュリティ条項を含むデータ処理契約
• 定期的なベンダーセキュリティレビュー
• サードパーティとのデータ共有を最小限に制限
• 国際的なセキュリティ基準への準拠

7. 従業員のセキュリティ

7.1 トレーニング

• 全スタッフを対象とした必須のセキュリティ意識向上トレーニング
• 定期的なフィッシングシミュレーション演習
• データ取り扱いおよびプライバシーに関するトレーニング
• インシデント対応トレーニング

7.2 ポリシー

• 署名済みの秘密保持契約
• クリアデスク・クリアスクリーンポリシー
• 適切利用ポリシー
• 私物端末利用（BYOD）に関するセキュリティ要件

8. インシデント対応

セキュリティインシデント発生時の対応手順：

1. 検知：自動システムおよび手動監視によりインシデントを特定します
2. 評価：セキュリティチームが深刻度と影響を評価します
3. 封じ込め：被害を最小限に抑えるための即時対応を行います
4. 調査：根本原因の分析を行います
5. 通知：法律で義務付けられている場合、72時間以内に影響を受けたユーザーへ通知します
6. 是正：脆弱性を修正し、システムを復旧します
7. レビュー：インシデント後のレビューと改善を行います

9. お客様に担っていただくセキュリティ責任

アカウントの安全を維持するためにご協力ください：

9.1 パスワードセキュリティ

• 強固で他と重複しないパスワードを使用してください
• パスワードは誰とも共有しないでください
• 定期的にパスワードを変更してください
• 多要素認証を有効にしてください
• パスワードマネージャーをご利用ください

9.2 端末のセキュリティ

• 端末のOSを常に最新の状態に保ってください
• ウイルス対策ソフトをインストールし、最新の状態に保ってください
• 安全なWi-Fi接続を使用してください（機密性の高い取引には公共Wi-Fiを避けてください）
• 利用終了後は必ずログアウトしてください
• アカウントへのアクセスに共有パソコンを使用しないでください

9.3 不審な活動

以下にお気づきの場合は、直ちにご報告ください：

• アカウントへの不正アクセス
• 当社を装った不審なメール
• 身に覚えのないパスワードリセット要求
• 通常と異なるアカウント活動
• フィッシングの試み

10. コンプライアンスおよび認証

私たちは以下への準拠を維持しています：

• ISO 27001：情報セキュリティマネジメントシステム
• PCI-DSS：クレジットカード業界データセキュリティ基準
• GDPR：一般データ保護規則（EU圏の受講生向け）
• インドIT法：情報技術法（2000年）

11. セキュリティ問題の報告

セキュリティ上の脆弱性を発見された場合：

• してはいけないこと：脆弱性を悪用すること
• してはいけないこと：問題を公に開示すること
• していただきたいこと：直ちにinfo-nihondia@jiem.inまでご報告ください
• 脆弱性に関する詳細情報を含めてください
• 受領後24時間以内にご連絡いたします
• 責任ある開示に対して謝礼を提供する場合があります

12. 本ポリシーの更新

私たちは、以下を反映するため定期的に本セキュリティポリシーを見直し、更新します：

• テクノロジーおよびセキュリティ慣行の変化
• 新たな規制およびコンプライアンス要件
• セキュリティインシデントから得た教訓
• 業界のベストプラクティス

13. セキュリティチームへのお問い合わせ

セキュリティに関するご質問・ご懸念については：