情報セキュリティ基本方針

1. はじめに

Meowgicにおいて、情報のセキュリティ、機密性、完全性、可用性の確保は、お客様、パートナー、そしてユーザーに対する私たちの基本的な責務です。

AIコマースプラットフォームであるMeowgicは、EC事業者のストア運営、出品の最適化、アプリ開発、ワークフロー自動化、ビジネスオペレーション改善を支援するツールおよびサービスを提供しています。

私たちは、ビジネス情報、顧客データ、認証情報、サードパーティ連携を通じてアクセスされる情報の保護を極めて重要視しています。

本情報セキュリティ基本方針は、Meowgicがライフサイクル全体を通じて情報を安全に保護するための原則、責任、セキュリティ要件を定めています。

当社のセキュリティプログラムは、関連法規、業界標準、契約、プラットフォームの要件を遵守しながら、情報セキュリティリスクを特定、評価、軽減、監視するよう設計されています。

2. 目的とセキュリティ目標

本方針の目的は、Meowgicの事業活動全体における情報セキュリティリスクを管理するための強固なフレームワークを確立することです。

主なセキュリティ目標は以下のとおりです：

• 機密性の高いビジネス情報、顧客情報、個人情報を、不正アクセス、開示、改ざん、破棄から保護する。

• 情報システムおよびサービスの機密性、完全性、可用性を維持する。

• 適切なアクセス制御および認証メカニズムを確立する。

• 情報セキュリティインシデントを防止、検知し、迅速に対処する。

• サードパーティECプラットフォームおよびAPIとの安全な連携を確保する。

• 組織全体でセキュリティ意識と責任感を醸成する。

• 適用されるデータ保護法令および各プラットフォームのセキュリティ要件を遵守する。

• 情報セキュリティプラクティスを継続的に見直し、改善する。

3. 適用範囲

本方針は、Meowgicの事業運営に関わるすべての情報資産、システム、アプリケーション、インフラストラクチャ、プロセス、関係者に適用されます。

具体的には以下が含まれます：

• MeowgicのWebサイト、アプリケーション、API、AI搭載サービス

• クラウドインフラ、データベース、サポートシステム

• 顧客アカウント、マーチャント情報、ビジネスデータ

• 認証されたサードパーティ連携を通じてアクセスされるデータ

• 従業員、業務委託先、承認されたサービスプロバイダー

• 企業情報や顧客情報へのアクセスに使用されるデバイスおよびシステム

• 開発、テスト、ステージング、本番環境

Meowgicの情報を取り扱うすべての担当者および認定サードパーティは、本方針の適用要件を遵守する必要があります。

4. ガバナンス体制

Meowgicの経営陣は、組織の情報セキュリティプログラムを策定、維持、監督する責任を負います。

セキュリティに関する役割と責任は以下のとおりです：

経営陣の責任

• 情報セキュリティポリシーの承認および定期的な見直し

• セキュリティ関連業務の責任者の任命

• 情報セキュリティに必要なリソースの適切な配分

• 重大なセキュリティリスクおよび是正措置の評価

技術・運用部門の責任

• セキュリティコントロールの実装と運用保守

• アクセス権限と認証メカニズムの厳格な管理

• 脆弱性やインシデントに関するシステムの継続的な監視

• セキュリティアップデートおよび是正措置の適用

• セキュアな開発およびデプロイ手順の維持

従業員・委託先の責任

• 定められたセキュリティポリシーおよび手順の遵守

• アカウント認証情報と機密情報の厳格な保護

• 承認された業務目的のみに限定した情報へのアクセス

• セキュリティインシデントの疑いがある場合の迅速な報告

• 所定のセキュリティトレーニングおよび啓発活動の受講

組織や運用に重大な変更が生じた場合、セキュリティ責任の分担を見直すものとします。

5. 情報の分類とデータ保護

Meowgicは、情報の機密性、事業価値、保護要件に応じて情報を分類しています。

情報の分類カテゴリ：

• 公開情報（Public）： 一般への公開が承認されている情報。

• 社内情報（Internal）： 権限を持つ社内関係者のみが利用する運用上の情報。

• 機密情報（Confidential）： 顧客情報、取引記録、社内文書など、アクセス制限が必要な非公開情報。

• 極秘情報（Restricted）： 認証情報、APIシークレット、アクセストークン、機微な個人データなど、極めて秘匿性の高い情報。

情報の分類と機密性に応じた適切なセキュリティ対策を講じます。

Meowgicは以下のデータ保護原則に従います：

• 正当かつ承認された業務目的に必要な情報のみを収集・処理する。

• 業務上の必要性に基づいてアクセスを制限する。

• 送信時および保存時において機密情報を強固に暗号化・保護する。

• 機密データの不要な複製や長期保持を行わない。

• 顧客およびマーチャント情報の不正な開示を防止する。

• 法的要件や契約上の義務を満たした上で、不要となった情報を安全に消去または匿名化する。

6. アクセス制御と認証

Meowgicのシステムおよび情報へのアクセスは、最小権限の原則（Least Privilege）および知る必要性の原則（Need-to-Know）に基づきます。

セキュリティ要件は以下のとおりです：

• 付与された役割と責任に応じてアクセス権限を割り当てる。

• 技術的に可能な限り、認可された担当者ごとに固有のアカウントを使用する。

• 機密システムへのアクセスには強力な認証メカニズムを義務付ける。

• 特権アカウントおよび重要なアカウントに対して多要素認証（MFA）を適用する。

• 本番環境、データベース、認証情報、管理機能へのアクセスを制限する。

• 定期的な棚卸し、または担当者の異動・退職時にアクセス権限を見直す。

• 不要になったアクセス権限は直ちに取り消す。

• アカウント認証情報の共有を禁止する。

管理者権限および特権アクセスについては、リスクレベルに応じた追加の厳格な審査を実施します。

7. 暗号化と安全なデータ通信

Meowgicは、データの保存中および送信中において適切な技術的保護措置を講じています。

これらの保護措置には以下が含まれます：

• 機密情報の送信時にHTTPSやTLSなどの安全な通信プロトコルを使用する。

• データベースやクラウドインフラに保存された機密情報を、適切な暗号化とアクセス制御で保護する。

• API認証情報、トークン、その他アプリケーションシークレットを安全に管理する。

• 暗号化キーおよび認証情報へのアクセスを厳格に制限する。

• 公開リポジトリのソースコード、ログ、クライアントサイドのリソースに機密情報を含めない。

• 技術の進歩やセキュリティ要件の変化に応じて、暗号化および認証情報管理手法を継続的に見直す。

暗号化メカニズムは、情報の機密性と適用要件に応じて選定・維持されます。

8. サードパーティ連携およびAPIセキュリティ

Meowgicは、マーチャント向け機能を提供するためにサードパーティのコマースプラットフォームや外部サービスと連携しています。

これには、TikTok Shop、Shopify、SHOPLINE、Shoplazzaなどの対応プラットフォームが含まれます。

マーチャントの情報を保護するため、以下の要件を定めています：

認可とアクセス権限

• 正式に認可された連携メカニズムを通じてのみマーチャント情報にアクセスする。

• 提供する機能に必要な最小限のAPI権限のみを要求する。

• プラットフォームのスコープおよびマーチャントの設定権限を遵守する。

• 認可の取り消しや有効期限切れの際は、直ちにアクセスを停止する。

API認証情報の保護

• アクセストークン、リフレッシュトークン、APIシークレット、認証情報を安全に保管する。

• 機密認証情報へのアクセスを、許可されたシステムと担当者のみに限定する。

• 公開コードやフロントエンドにAPI認証情報を露出させない。

• 漏洩の疑いがある場合を含め、必要に応じて認証情報をローテーション、失効、再発行する。

マーチャントデータの保護

• マーチャントデータは、正当かつ認可されたサービス目的のためにのみ処理する。

• 異なるマーチャントの情報間において、適切な論理的セパレーションを維持する。

• マーチャント間での不正アクセスやデータ漏洩を防止する。

• 不適切な手段でマーチャントのプラットフォームアカウントパスワードを収集しない。

• プラットフォームデータの不正な転売、開示、悪用を固く禁止する。

プラットフォームポリシーの遵守

すべての連携は、各プラットフォームの開発者規約、APIポリシー、データ保護要件、セキュリティガイドラインに準拠する必要があります。

TikTok Shopとの連携においては、TikTok Shop Partner Centerの要件および開発者セキュリティポリシーを厳格に遵守します。

9. AIサービスとデータ処理のセキュリティ

Meowgicは、コンテンツ生成、ストア最適化、デザイン支援、ワークフロー自動化などのコマース機能にAIテクノロジーを活用しています。

AI関連のデータ処理においても、他のシステムと同等の高水準なセキュリティ原則を適用しています。

AIセキュリティ要件は以下のとおりです：

• 顧客およびマーチャントデータは、承認されたサービス目的のみに処理する。

• AIプロバイダーと共有する情報は、タスクの実行に必要な最小限に限定する。

• AIプロバイダーのセキュリティ、機密保持体制、データ取り扱いプラクティスを事前評価する。

• AI処理サービスに送信される機密データを暗号化・保護する。

• AIが生成したコンテンツおよび関連ビジネス情報への不正アクセスを制限する。

• AIプロバイダー選定時に、データ保持期間およびデータの二次利用方針を厳密に評価する。

• AIワークフローを介した機密情報の意図しない流出を防止するための制御を適用する。

外部AI処理は、適用される契約、プライバシー、セキュリティ義務に準拠し続けます。

10. セキュアソフトウェア開発

ソフトウェア開発ライフサイクルのすべてのフェーズにおいて、セキュリティを最優先事項として考慮します。

Meowgicは、設計、実装、テスト、デプロイ、保守に至るセキュア開発ガイドラインを確立しています。

主な開発要件は以下のとおりです：

• セキュアコーディングガイドラインの遵守

• セキュリティ影響に応じたコードレビューの実施

• ソースコードリポジトリおよび開発認証情報の保護

• 本番環境への直接アクセスの制限

• 機密設定値およびシークレットの安全な管理

• リスクに応じた脆弱性診断・セキュリティテストの実施

• ソフトウェアの脆弱性を検知・修正するプロセスの確立

• 適切な変更管理と自動デプロイプロセスの適用

• 開発・テスト環境における実際の顧客機密データの利用回避

セキュリティ上の欠陥は、その深刻度とビジネス影響度に基づいて優先順位を決定し、迅速に改修します。

11. インフラおよびネットワークセキュリティ

Meowgicのクラウドおよびインフラストラクチャは、リスクベースのセキュリティコントロールによって厳格に管理されています。

インフラセキュリティ要件は以下のとおりです：

• クラウド管理コンソールおよび本番環境インフラへのアクセス制限

• ネットワーク分離およびサービスアクセスの制御

• システムおよび依存関係（ライブラリ）の最新化

• セキュリティリスクを排除するための定期的な構成レビュー

• データベースおよびストレージサービスへの不正アクセスの遮断

• 適切なシステム監視および運用ログの収集・保管

• バックアップリソースおよび管理機能のセキュリティ保護

• 不要なサービスや公開エンドポイントの無効化・削除

大規模なアーキテクチャ変更が発生した際は、インフラのセキュリティコントロールを再検証します。

12. セキュリティ監視と脆弱性管理

Meowgicは、潜在的なセキュリティ脅威や脆弱性を早期に特定・管理するためのプロセスを構築しています。

主な取り組みは以下のとおりです：

• 不審な挙動や不正アクセスを検知するための常時監視

• セキュリティイベントログの適切な記録と監査

• 特定された脆弱性の評価とビジネスインパクトの分析

• リスクおよび深刻度に応じた修正作業の優先順位付け

• 適切な期間内でのセキュリティパッチおよびアップデートの適用

• 異常な認証試行、挙動、システム異常の調査

• 重大な変更やインシデント発生後のセキュリティ対策の見直し

監視およびロギングの実装においては、個人情報の保護に配慮し、不要な機密データの出力を防止します。

13. インシデント対応体制

Meowgicは、セキュリティインシデントを迅速に特定、封じ込め、調査、復旧するためのインシデント対応プロセスを整備しています。

対象となるインシデントには、不正アクセス、認証情報の漏洩、データ流出、不正な攻撃活動、サービス停止などが含まれます。

インシデント対応のステップ：

1. 検知・特定

報告または検知された事象を評価し、セキュリティインシデントの発生有無を判定します。

2. 封じ込め

影響の拡大を最小限に抑え、さらなる不正アクセスを防止するための即時措置を講じます。

3. 調査

インシデントの性質、範囲、根本原因、および潜在的な影響を特定します。

4. 是正・根絶

脆弱性の修正、不正アクセスの遮断、影響を受けた認証情報の変更、再発防止策を実施します。

5. 復旧

セキュリティと整合性を確認した上で、影響を受けたシステムとサービスを安全に復旧します。

6. 通知・報告

法令、契約、またはプラットフォーム要件に基づき、影響を受ける関係者、提携プラットフォーム、管轄当局へ迅速に通知します。

7. 事後検証と改善

インシデントの振り返りを実施して知見をドキュメント化し、セキュリティ体制の強化に活かします。

セキュリティインシデントは、担当部署へ速やかにエスカレーションされます。

14. サードパーティ・委託先セキュリティ

Meowgicは、ホスティング、インフラ、データベース、AI、モニタリングなどの運用支援にサードパーティサービスを利用する場合があります。

機密情報を取り扱う、またはアクセスする委託先については、提供されるサービスのリスクに応じて事前審査を実施します。

評価基準：

• データ保護および機密保持に関する誓約

• アクセス制御および認証プラクティス

• データの保存時および通信時の暗号化

• インシデント対応および通知体制

• データ保持および削除に関するポリシー

• 適用法令およびプライバシー規制への準拠状況

• 再委託先（サブプロセッサー）に伴うリスク評価

委託先に付与する権限は必要最小限に留め、定期的な見直しを行います。

15. データ保持と確実な消去

Meowgicは、正当な事業目的の達成、または法的・契約上の要件を満たすために必要な期間に限り情報を保持します。

データ保持の基本原則：

• 情報の種類および利用目的に応じた保持期間の定義

• マーチャントや顧客データの不要な長期保存の防止

• 保有期間経過後の安全なデータ削除または匿名化の実施

• 正当なアカウント削除およびデータ削除要求への対応

• 連携解除または不要となったインテグレーション認証情報の無効化

• バックアップデータおよびアーカイブへの適切なアクセス管理

• 法的義務または正当な法的手続きにより保存が必要な情報の保管

マーチャントの連携が終了した場合、プラットフォームデータへのアクセスは直ちに遮断され、保管データは規定に従って安全に処理・削除されます。

16. 事業継続とディザスタリカバリ

Meowgicは、サービスの高可用性を維持し、予期せぬ障害から迅速に復旧することの重要性を認識しています。

事業継続計画（BCP）の要件：

• 重要システムおよびサービス依存関係の特定

• 適切なバックアップ体制と復旧手順の確立

• バックアップデータの厳重な保護

• サービス停止時の迅速なインシデント対応手順の整備

• 運用リスクに応じた復旧機能の定期的な見直し

• 大規模障害発生時における統制された重要サービスの復旧

事業継続および復旧手順は、基幹サービスに大きな変更があった際に見直しおよび更新されます。

17. 人的セキュリティと啓発

Meowgicのシステムや機密情報にアクセスするすべての関係者には、情報セキュリティに関する責任を正しく理解することが求められます。

セキュリティ意識向上のためのトレーニング項目：

• パスワード管理および認証セキュリティ

• フィッシングおよびソーシャルエンジニアリング対策

• 顧客機密情報の保護

• API認証情報やアクセストークンの安全な取り扱い

• 社内システムおよび外部サービスの適切な利用

• セキュリティインシデントの検知と速やかな報告

担当者の職務変更や契約終了に伴い、アクセス権限は直ちに変更または剥奪されます。

18. プライバシーとコンプライアンス

Meowgicは、適用されるプライバシー保護法およびデータ保護要件を遵守して情報を取り扱います。

当社のセキュリティプログラムは、各国の法令、契約上の義務、および提携プラットフォームの規約遵守を徹底しています。

適用される主な要件：

• サービスを提供する各法域のデータ保護法およびプライバシー法

• 契約上の機密保持義務およびデータ処理契約

• 各プラットフォームの開発者規約およびAPIセキュリティ要件

• 個人情報の開示、訂正、利用停止、削除に関する法的主張への対応

本方針は、Meowgicのプライバシーポリシーおよび利用規約を補完するものです。

法令やプラットフォームの義務と本方針に不一致がある場合は、適用される法令やプラットフォームの規定が優先されます。

19. リスクマネジメント

Meowgicは、情報セキュリティの脅威を特定、評価、管理するためにリスクベースのアプローチを採用しています。

主なリスク管理活動：

• 重要情報資産およびシステムの特定

• 潜在的な脅威、脆弱性、ビジネスへの影響度の評価

• 新サービスや新規連携に伴うセキュリティリスクの事前審査

• リスク低減のための適切なセキュリティ対策の実施

• 大規模な技術変更や運用変更時のリスク再評価

• 特定された弱点に対する是正措置のトラッキング

セキュリティ対策は、情報の重要性およびインシデント発生時の潜在的リスクに見合った水準を維持します。

20. 方針の見直しと継続的改善

Meowgicは、情報セキュリティプラクティスの継続的な維持・改善に取り組んでいます。

本方針は、最低12ヶ月に1回、また以下のような重大な変化が生じた場合に適宜見直されます：

• 事業展開または組織体制の変更

• インフラやサービスアーキテクチャの変更

• 適用法令または規制の改定

• サードパーティプラットフォームの要件改定

• 組織を取り巻く脅威やリスク環境の変化

• 方針や手順の改定を必要とするインシデントの発生

見直しプロセスでは、既存のセキュリティ要件が妥当かつ効果的であるかを検証します。

改定内容は責任者の承認を経て、関係者に速やかに周知されます。

本方針の最新版は、Meowgicの公式ウェブサイトにて常時公開されます。

21. 遵守と適用

すべての従業員、委託先、関係者は本方針を遵守する義務を負います。

違反の疑いがある場合は、速やかに担当部署へ報告され、調査が実施されます。

違反が認められた場合、是正措置、アクセス権の制限や剥奪、契約解除、または状況に応じた厳正な法的措置が講じられる場合があります。

22. お問い合わせ

本方針に関するご質問、セキュリティ上の懸念、インシデントのご報告、または脆弱性の情報については、セキュリティチームまでお問い合わせください。

Meowgic セキュリティチーム
メール： safe@meowgic.ai
ウェブサイト： https://meowgic.ai

いただいたお問い合わせは、社内手順に従い、専任担当者が迅速に対応いたします。