インシデント対応

当社は、情報漏えい、サイバー攻撃、システム障害等の情報セキュリティインシデントに備え、対応体制と手順を定めています。本ページはインシデント対応規程のうち公開可能な範囲を要約したものです。

対象とする事象

1. 個人情報その他の機密情報の漏えい、滅失、毀損、またはそのおそれ
2. 不正アクセス、不正ログイン、権限の不正使用
3. マルウェア（ランサムウェアを含む）の感染
4. Webサイトの改ざん、DDoS攻撃、その他のサイバー攻撃
5. 認証情報（パスワード、APIキー、アクセストークン、暗号鍵等）の漏えい、またはそのおそれ
6. 業務用端末・記録媒体・書類の紛失または盗難
7. 誤送信・誤公開による情報の外部流出
8. サービスの停止を伴うシステム障害
9. 委託先において発生した上記に相当する事象

対応体制

インシデントの発生を認知した時点で、インシデント対応チームを招集します。

対応フロー

1. 検知・報告（発生から1時間以内を目標）

インシデントを認知した従業者は直ちに総括責任者へ報告します。判断に迷う場合も報告することとし、報告したことによる不利益な取扱いは行いません。

2. 初動・封じ込め（報告から3時間以内を目標）

被害の拡大を防ぐため、該当アカウント・APIキー・アクセストークンの無効化、該当機能の一時停止、端末のネットワークからの隔離、攻撃元IPの遮断等を状況に応じて実施します。あわせて証跡を保全します。

3. 調査・影響範囲の特定（初動から24時間以内を目標）

侵入経路、影響を受けた情報の種類と件数、影響を受けた利用者を特定し、二次被害の有無を確認します。必要に応じて外部の専門機関へ調査を依頼します。

4. 復旧

原因を除去したうえでサービスを復旧し、復旧後は同種の事象が再発していないか一定期間監視します。

5. 報告・公表

個人情報の漏えい等が発生した場合、個人情報保護法に基づき個人情報保護委員会への報告および本人への通知を行います。金融機関APIに関するインシデントの場合は、当該金融機関へ速やかに連絡します。社会的影響が大きい場合は当社Webサイト等で公表します。

6. 再発防止

発生原因を分析して再発防止策を策定し、実施責任者と完了予定時期を明記して追跡します。必要に応じて関連規程を改訂し、従業者へ周知します。

訓練と記録

年1回以上、想定シナリオに基づく机上訓練を実施し、連絡体制と対応手順の実効性を確認しています。インシデント対応記録、調査結果、再発防止策の実施記録は5年間保管します。

連絡窓口

情報セキュリティに関するご連絡・ご報告は、mail@nexsjp.com までお願いいたします。