要点
- 本サービスに届くすべてのアカウントで 2 段階認証を使い、アクセスは必要な者に限ります。
- 緊急の脆弱性は 72 時間以内、重要な脆弱性は 14 日以内に修正します。
- すべてのリリースは分離テストを含む同じ確認を通過し、記録されます。
- 毎年、及び重大なインシデントの後に見直します。
この要点は本文を読む際の手引きです。適用されるのは以下の本文です。
第1条（目的及び適用範囲）この条へのリンク
1.1 本方針は、AirTA合同会社が AirTA Sites 及びそこで保有するデータ（各社から委託された求職者データ、各社自身のデータ、サービスを運用するシステムとアカウント）を守るために従う規則を定めます。
1.2 本方針は、従業員、役員、業務委託先を問わず、本サービス又はそのデータにアクセスできるすべての者と、そのために使うすべての端末及びアカウントに適用します。
第2条（責任体制）この条へのリンク
2.1 当社代表者は、情報セキュリティ及び個人データの管理について責任を負い、本方針を承認し、その例外を判断します。例外は、理由と終了日とともに記録します。
2.2 本方針の適用を受ける者は、アクセス権を受ける前と見直しのたびに本方針を読み、書面により守秘義務を負い、セキュリティインシデントのおそれがある事象を直ちに報告します。
第3条（アクセス管理）この条へのリンク
3.1 本番環境のシステムとデータへのアクセスは、業務に必要な者に、必要な最小限の権限でのみ付与し、不要になった日に取り消します。
3.2 ホスティング、データベース、コードリポジトリ、メール、決済を含め、本サービスに届くすべてのアカウントで 2 段階認証を使います。認証情報はパスワード管理ツールで保管し、共有、書き留め、コードへの記載をしません。
3.3 アクセス権は四半期ごとに見直し、各アカウントが必要な者に限られていることを確認して記録します。
3.4 会社の管理画面には「AirTA Sites support」メンバーとしてのみ入り、開いた内容はその会社のアクティビティログに記録されます。データベース上で会社のデータを扱う作業はサポート用のスクリプトのみを通じて行い、その理由を同じログに記録します。データベースの管理コンソールへの直接アクセスはインシデント対応に限り、その都度インシデント記録に残します。
第4条（データの取扱い）この条へのリンク
4.1 求職者データは、会社の指示に従ってのみ利用します（利用規約第14条）。暗号化したバックアップへの複製と、会社の依頼による提供を除き、サービスの外に複製しません。
4.2 求職者データをサービスの開発や試験に使うことはありません。試験には架空の会社と人物を使い、試験の終了後に削除します。
4.3 データは、会社の設定、利用規約及び法令が求める期間に限り保存し、「データの取り扱い」に定める方法で削除します。
第5条（脆弱性管理）この条へのリンク
5.1 依存パッケージの既知の脆弱性はリリースのたびに確認し、重要又は緊急の脆弱性がある状態ではリリースできません。
5.2 修正が提供された時点から、本サービス又は依存パッケージの緊急の脆弱性は 72 時間以内に、重要な脆弱性は 14 日以内に修正してリリースします。修正がない場合は、影響を抑える措置を講じ、その理由を記録します。
5.3 業務用 PC とそのソフトウェアは最新の状態に保ち、セキュリティ更新は提供され次第適用します。
第6条（変更管理と安全な開発）この条へのリンク
6.1 すべての変更は、リリース用のコマンドを通じてのみ本番環境に反映します。このコマンドは型チェック、全テスト、静的解析、分離テスト、依存パッケージの確認を順に実行し、1 つでも失敗すれば止まり、実行のたびに日時とバージョンを記録します。確認を省略する方法はありません。
6.2 データベースの変更は、複数回実行しても安全なマイグレーションとして手書きし、新しいテーブルは同じ変更の中で行レベルセキュリティの対象とします。
6.3 セキュリティに関わる動作はテストで確認します。会社間の分離、役割、サインインの制限、入力・アップロード内容の無害化、AI に渡る情報が対象です。トラストセンターで「稼働中」と表示するのは、その根拠がコードに存在する対策だけです。
6.4 秘密情報はホスティング事業者の暗号化された設定と暗号化した業務用 PC に保管し、コードやその履歴には含めません。
第7条（委託先の管理）この条へのリンク
7.1 本サービスのために個人データを取り扱う事業者は、データを受け取る前に airtasites.jp/subprocessors に掲載し、当社の利用規約と同等以上にデータを保護する書面上の条件の下で利用します。新たな委託先は 30 日前までに各社へ通知します。
7.2 各委託先のセキュリティ条件、漏えい時の通知条件、データの保存場所、公表している第三者監査を、毎年及び契約の変更時に見直します。見直しで見つかった事項は記録し、対応します。
第8条（端末）この条へのリンク
8.1 本サービスの運用に使う PC は、ディスク全体を暗号化し、5 分以内に画面がロックされるよう設定します。
8.2 求職者データをそれ以外の端末に保存しません。端末を紛失し又は盗まれた場合は当日中に報告し、すべてのアカウントからサインアウトさせ、保存されていた鍵を交換します。
第9条（インシデント対応と事業継続）この条へのリンク
9.1 インシデントは、インシデント対応計画（airtasites.jp/trust/incidents）に従って対応します。求職者データに影響がある場合の 48 時間以内の通知も含みます。
9.2 バックアップ、復元テスト及び復旧は、事業継続計画（airtasites.jp/trust/continuity）に従います。復元は少なくとも四半期に 1 回テストします。
第10条（記録）この条へのリンク
次の記録を少なくとも 5 年間保存します。
- すべてのリリースと各確認の結果
- すべてのインシデント、データベースへの直接アクセス、振り返り
- すべての復元テスト
- 委託先の見直し、アクセス権の見直し、本方針の見直し
各社のアクティビティログは、その会社の他のデータとともに保存します。
第11条（見直し）この条へのリンク
11.1 本方針は、毎年、重大度 1 のインシデントの後、及びサービス又は委託先に大きな変更があったときに見直します。各版には日付を付し、最新版をここに公開します。
本方針への違反は当社に対する義務違反であり、各社との契約違反となる場合もあります。これに応じて対処します。