第1条（基本方針）
株式会社Peaks（以下「当社」といいます。）は、医療・福祉領域に特化した有料職業紹介サービス「看護Peaks」を運営しています。
当社は、求職者様、求人企業様、お取引先様その他関係者からお預かりする情報資産を重要な経営資源であると認識しています。
情報資産の漏えい、滅失、毀損、不正アクセスその他の事故は、当社の社会的信用を損なうだけでなく、ご利用者様の権利利益を侵害する重大な問題となります。
当社は、情報資産の適切な管理を企業活動の重要課題として位置付け、法令、ガイドライン、契約その他の要求事項を遵守するとともに、継続的な改善に取り組みます。
第2条（情報セキュリティの目的）
当社は、情報資産について、以下の3つの基本原則を維持することを目的とします。
（1）機密性（Confidentiality）
権限を有する者のみが情報へアクセスできる状態を維持します。
（2）完全性（Integrity）
情報が正確かつ最新の状態で維持され、不正な改ざんや破壊を防止します。
（3）可用性（Availability）
必要なときに必要な情報へ適切にアクセスできる状態を維持します。
第3条（適用範囲）
本方針は、当社が保有、管理または利用するすべての情報資産に適用します。
対象者には以下を含みます。
- 役員
- 正社員
- 契約社員
- パート・アルバイト
- 業務委託先
- 外部パートナー
- 派遣社員
- その他当社業務に従事する者
対象となる情報資産には、以下を含みます。
- 求職者情報
- 求人企業情報
- 従業員情報
- お取引先情報
- 契約情報
- システム
- ネットワーク
- クラウドサービス
- 紙媒体
- 電子データ
- 業務マニュアル
- ノートPC
- スマートフォン
- タブレット
- USBメモリ等の記録媒体
第4条（情報資産の分類）
当社は、情報資産をその重要性に応じて分類し、分類に応じた管理を行います。
（1）機密情報
漏えいした場合、本人または当社に重大な影響を及ぼす情報
例
- 履歴書
- 職務経歴書
- 保有資格
- 面談記録
- 転職理由
- 希望条件
- 要配慮個人情報
- 契約情報
- システム認証情報
これらは、アクセス権限を限定し、高い水準で管理します。
（2）社外秘情報
業務上必要な社内情報
例
- 営業資料
- 社内マニュアル
- 料金表
- 提案書
- 社内会議資料
（3）公開情報
外部へ公開している情報
例
- ホームページ
- 採用情報
- プレスリリース
- SNS
第5条（法令等の遵守）
当社は、以下の法令、ガイドライン、契約その他要求事項を遵守します。
- 個人情報保護法
- 職業安定法
- 電気通信事業法
- 不正アクセス行為の禁止等に関する法律
- 著作権法
- 不正競争防止法
- 個人情報保護委員会ガイドライン
- 厚生労働省が定める有料職業紹介事業関係指針
- IPA（情報処理推進機構）が公表する情報セキュリティ対策
- お客様および取引先との契約
- 社内規程
第6条（情報セキュリティ管理体制）
当社は、情報セキュリティを適切に管理するため、情報セキュリティ管理責任者を設置します。
情報セキュリティ管理責任者は、以下の事項を統括します。
- 本方針の運用
- 社内規程の整備
- リスク管理
- インシデント対応
- 教育・研修
- 改善活動
- 委託先管理
役員および従業員は、本方針および関連規程を遵守しなければなりません。
情報セキュリティ管理責任者
役職：代表取締役
氏名：橋本 悠司
第7条（情報セキュリティリスク管理）
当社は、情報セキュリティに関するリスクを継続的に把握・評価し、必要な対策を講じます。
リスク評価では、以下を考慮します。
- 個人情報漏えい
- ランサムウェア
- 標的型メール
- フィッシング
- 不正アクセス
- 内部不正
- システム障害
- 災害
- クラウドサービス障害
- 委託先リスク
リスク評価は、事業内容、技術動向、法令改正等に応じて定期的に見直します。
第8条（個人情報および機密情報の管理）
当社は、個人情報保護法および当社プライバシーポリシーに従い、個人情報を適切に管理します。
特に、有料職業紹介事業において取得する以下の情報については、高い機密性を有する情報として管理します。
- 履歴書
- 職務経歴書
- 面談記録
- 転職理由
- 希望条件
- 保有資格
- 資格証明書
- 内定状況
- 入職状況
- 要配慮個人情報
これらの情報は、業務上必要な範囲でのみ利用し、権限を有する者のみがアクセスできるよう管理します。
紙媒体で取得した履歴書等についても、電子データと同様に適切に施錠管理し、不要となった場合には適切な方法で廃棄します。
第9条（人的・物理的情報セキュリティ管理）
当社は、情報漏えい防止のため、人的および物理的な安全管理措置を講じます。
（1）従業員教育
役員、従業員および業務委託先に対し、情報セキュリティおよび個人情報保護に関する教育・啓発を継続的に実施します。
教育内容には以下を含みます。
- 個人情報保護
- フィッシングメール対策
- 標的型攻撃メール対策
- ランサムウェア対策
- パスワード管理
- 生成AI利用時の注意事項
- 情報漏えい防止
（2）秘密保持
役員、従業員および業務委託先は、業務上知り得た機密情報および個人情報を正当な理由なく第三者へ開示または漏えいしてはなりません。
退職後または契約終了後も同様とします。
（3）紙媒体の管理
履歴書、契約書その他紙媒体の情報は、施錠可能な保管場所で管理し、不要となった場合には適切な方法で廃棄します。
（4）クリーンデスク・クリーンスクリーン
機密情報を机上へ放置しないよう努めるとともに、離席時には端末をロックするなど、情報漏えい防止に必要な措置を講じます。
（5）記録媒体の管理
USBメモリ、外付けハードディスクその他の記録媒体については、利用を必要最小限とし、紛失・盗難防止のため適切に管理します。
私物の記録媒体を業務で使用する場合には、会社の承認を必要とします。
第10条（システム、ネットワークおよびクラウドサービスの管理）
当社は、情報資産を保護するため、業務で利用するシステム、ネットワークおよびクラウドサービスについて適切な安全管理措置を講じます。
当社が利用するシステムおよびクラウドサービスについては、業務内容および取り扱う情報の重要性に応じて選定し、必要に応じてセキュリティ要件を確認します。
利用する可能性のあるサービスには、以下を含みます。
- Google Workspace
- Microsoft 365
- Amazon Web Services（AWS）
- LINE公式アカウント
- CRM（顧客管理システム）
- ATS（採用管理システム）
- Web会議システム
- その他業務上必要となるクラウドサービス
クラウドサービスを利用する際は、アクセス権限の設定、多要素認証の活用その他必要なセキュリティ設定を行い、適切に運用します。
第11条（アクセス制御および認証管理）
当社は、情報資産へのアクセスについて、業務上必要な範囲に限定し、適切なアクセス制御を行います。
当社は、以下の管理を実施します。
- 利用者ごとのアカウント発行
- 最小権限の原則に基づくアクセス権限の付与
- 退職、異動、契約終了時における速やかな権限の変更または削除
- アカウントの定期的な棚卸し
- 共用アカウントの利用制限
- 管理者権限の適切な管理
本人認証にあたっては、必要に応じて多要素認証（MFA）等の認証方式を採用します。
パスワードは第三者に推測されにくいものを設定し、適切に管理するものとします。
第12条（端末管理、リモートワークおよびBYOD）
当社は、業務で利用するパソコン、スマートフォン、タブレットその他端末について、適切な管理を行います。
端末には必要に応じて以下の対策を講じます。
- OSおよびソフトウェアの最新化
- ウイルス対策ソフトウェアの導入
- ディスク暗号化
- 自動ロック
- ファイアウォールの利用
- 不要なソフトウェアの削除
- 紛失・盗難時の適切な対応
リモートワークを実施する場合には、VPNその他安全な通信手段の利用、第三者による画面ののぞき見防止、機密情報の適切な管理等、情報漏えい防止に必要な措置を講じます。
私物端末（BYOD）を業務で利用する場合は、会社が定めるルールに従い、必要な承認を得たうえで利用するものとします。
第13条（生成AIおよびITサービスの利用）
当社は、業務効率化およびサービス品質向上を目的として、生成AIその他のITサービスを利用する場合があります。
生成AIの利用にあたっては、個人情報、要配慮個人情報、求人企業の機密情報その他秘密情報を、会社の定めるルールに反して入力または送信してはなりません。
また、従業員等は、会社の承認を受けていないクラウドサービス、ファイル共有サービスその他ITサービス（いわゆるシャドーIT）を業務に利用してはなりません。
第14条（ログ管理、バックアップおよび監査）
当社は、システムの適切な運用および不正利用の防止を目的として、必要に応じてアクセスログその他のログを取得し、一定期間保管します。
また、重要な情報については、必要に応じてバックアップを実施し、障害その他の非常時に備えます。
当社は、情報セキュリティ対策の有効性を確認するため、必要に応じて内部点検、監査または見直しを実施します。
第15条（情報セキュリティインシデントへの対応）
当社は、情報漏えい、不正アクセス、マルウェア感染、ランサムウェア被害その他情報セキュリティに関する事故またはそのおそれを認識した場合には、速やかに社内へ報告し、必要な対応を行います。
情報セキュリティインシデント発生時には、以下の対応を行います。
- 事実関係の確認
- 被害拡大防止
- 原因調査
- 復旧対応
- 再発防止策の策定および実施
- 法令等に基づく関係機関への報告
- 必要に応じた本人および関係者への通知
当社は、インシデント対応を通じて得られた知見を再発防止に活用し、継続的な改善に努めます。
第16条（委託先管理および事業継続）
当社は、情報資産の取扱いを外部へ委託する場合には、委託先の情報セキュリティ水準を確認し、必要に応じて秘密保持契約その他の契約を締結します。
委託開始後も、必要に応じて委託先の管理状況を確認し、適切な監督を行います。
また、災害、システム障害その他の緊急事態が発生した場合においても、重要な業務を継続または速やかに復旧できるよう、必要に応じてバックアップその他事業継続に関する対策を講じます。
第17条（教育、見直しおよび継続的改善）
当社は、役員、従業員および業務委託先に対し、情報セキュリティに関する教育および啓発を継続的に実施します。
教育内容には、個人情報保護、情報漏えい防止、標的型攻撃メール対策、フィッシング対策、生成AIの適切な利用その他業務内容に応じた事項を含めます。
また、法令改正、社会情勢、技術動向、事業内容の変化等を踏まえ、本方針および関連規程を定期的に見直し、継続的な改善を図ります。
第18条（お問い合わせ窓口）
本方針に関するお問い合わせは、以下までお願いいたします。
株式会社Peaks
所在地
〒532-0003
大阪府大阪市淀川区宮原二丁目14番4号 MF新大阪ビル2階
メールアドレス
info@peaks-lll.com
受付時間
平日9:00～18:00（土日祝日・年末年始を除きます）
附則
制定日：2026年7月3日
最終改定日：2026年7月16日