1. 目的
当社に属する情報資産の機密性、完全性、可用性を維持するほか、関連の法令や法律の要件を満たし、内部及び外部の意図的または偶発的な脅威から当社の権利と利益を保護するため。

2. 適用範囲
情報セキュリティ管理には14項のセキュリティ分野が含まれます。ヒューマンエラー、意図的または自然災害などによる情報の不正利用、漏洩、改ざん、破壊など、当社へのさまざまなリスクや危害を防ぐため、以下の通り管理しています。
2.1 情報セキュリティポリシーの制定と評価
2.2 組織的な情報セキュリティの責任と分担
2.3 人的資源のセキュリティと教育訓練
2.4 情報資産の管理
2.5 アクセス制御とパスワード管理
2.6 パスワード管理
2.7 物理的及び環境的セキュリティ
2.8 作業のセキュリティ管理
2.9 ネットワークのセキュリティ管理
2.10 情報システムの取得、開発、メンテナンス
2.11 サプライヤーのセキュリティ管理
2.12 情報セキュリティのインシデント管理
2.13 事業継続管理
2.14 コンプライアンス（適法性）

3. 根拠
3.1 ISO/IEC 27001:2013 （Information technology-Security techniques-Information security management systems-Requirements）
3.2 ISO/IEC 27002:2013 （Information technology-Security techniques-Code of practice for information security management）
3.3 行政院に属する各機関の情報産業のアウトソーシングサービスに関する参考原則。
3.4 情報通信セキュリティ管理法

4.情報セキュリティポリシー
当社における各情報セキュリティマネジメントシステムの徹底を推進するため、特に「情報保護、総動員、情報通信セキュリティ、連帯責任」を声明し、効果的かつ安全な運営、監督、管理、継続的な実施により、当社の重要な情報システムの機密性、完全性、可用性を維持しています。また、この情報セキュリティポリシーを、従業員の日常業務における明確な指針及び原則とし、当社の権利と利益を保護しています。全従業員がこれを理解して実施及び維持し、当社の事業目標の達成を目指しています。情報セキュリティポリシーは以下の通りです。
4.1 情報セキュリティに関するトレーニングを強化し、情報セキュリティに対する理解を深める 従業員の情報セキュリティの着実な実施を監督し、「情報セキュリティ、連帯責任」の概念を確立しています。毎年継続的に情報セキュリティに関する適切なトレーニングを実施し、情報セキュリティの意識を高めています。従業員が情報セキュリティの関連規定に違反した場合、権利と責任の追求は従業員の賞罰に関する規定に従って取り扱います。
4.2 着実な情報セキュリティ、事業を継続的に維持 当社の全従業員は情報セキュリティマネジメントシステムを徹底しています。外部からの脅威または内部の従業員による不適切な管理、漏洩、破壊または紛失などのリスクから情報資産を保護するため、適切な保護対策を採択し、リスクを許容レベルまで下げています。また、ISMSを継続的にモニタリング、審査、監査して事業を継続的に維持し、持続可能な経営という目的を達成しています。

5. 情報セキュリティポリシーの内容
5.1 当社の各情報通信セキュリティ管理規定は政府の関連法規（刑法、国家機密保護法、特許法、商標法、著作権法、個人情報保護法、情報通信セキュリティ管理法など）の規定を遵守しています。
5.2 情報セキュリティシステムの構築と推進を担う情報セキュリティ管理組織の確立
5.3 定期的に情報セキュリティに関する教育訓練を実施し、情報セキュリティポリシーと関連の実施規定を周知しています。
5.4 リソースの配分と運用を調整するため、メインフレームとネットワークの利用に関する管理メカニズムを確立しています。
5.5 新しい設備の設置前にリスクとセキュリティの要素を合わせて考慮し、システムのセキュリティに危険が生じるのを防いでいます。
5.6 重要な情報設備と環境的セキュリティ対策を確立しています。
5.7 インターネットシステムの使用権に関する規範を明確に定め、不正なアクセスを防いでいます。
5.8 情報セキュリティ管理システムの内部監査計画を制定し、当社が推進する情報セキュリティ管理システムの範囲において、定期的に全従業員及び設備の利用状況をチェックするほか、監査報告に基づいて是正措置及び予防措置を制定及び実施しています。
5.9 当社の事業を継続できるよう、事業継続管理規定を設定し、実際に訓練を行っています。
5.10 当社の全従業員が情報セキュリティを維持する責任を負い、関連の情報セキュリティ管理規程を遵守しています。
5.11 情報セキュリティ管理システム管理規程を明確に文書化しています。

6. 責任
6.1 本ポリシーは当社の管理者層が制定及び審査しています。
6.2 情報セキュリティ管理者は、適切な基準と手順で本ポリシーを実施しています。
6.3 全従業員及び外部の契約サプライヤーは、当社の情報セキュリティマネジメントシステム（ISMS）で求められている各手順を遵守し、本ポリシーの各規範を維持しています。
6.4 全従業員がセキュリティインシデント及び特定されたすべての脆弱性を報告する責任を負っています。
6.5 全従業員及び外部の契約サプライヤーが、当社の情報セキュリティ規範、法令、法律を意図的に違反した場合、処罰を受けるか法的責任を負います。

7. 審査
7.1 最新の政令、技術、業務の動向などに対応し、事業及び適切なサービス提供の能力を維持するため、少なくとも1年に1度、本ポリシーを評価する必要があります。
7.2 本ポリシーに重要な変更があった場合、直ちに審査し、その適切性と有効性を確保しています。双方が遵守できるよう、必要に応じて関連機関や提携企業に通知しています。

8. 実施
本ポリシーは情報セキュリティの責任者（または情報セキュリティ管理の代表者）に承認された後、発表日から有効となります。また、書面、電磁的方法または他の適切な方法で、当社の従業員及び当社の関係会社に通知されます。修正があった場合も同様となります。

当文書の最終更新日：2021年08月16日

ポップワールドデジタルクリエイティブ株式会社