情報セキュリティ基本方針
制定日：2026年9月28日 株式会社STELLA
株式会社STELLA（以下「当社」といいます。）は、薬局業務を支援する「STELTH NOTE」の提供にあたり、契約者、利用者および患者に関する情報を重要な資産として認識し、その機密性、完全性および可用性を維持するため、本方針を定めます。
1. 法令・契約等の遵守
当社は、個人情報保護法、関連法令、医療情報に関するガイドライン、契約上の義務および社内規程を確認し、情報資産を適切に取り扱います。
2. 管理体制と責任
当社は、情報セキュリティに関する責任者を定め、リスク評価、権限管理、委託先管理、事故対応および定期的な見直しを行います。
3. アクセス制御
- 利用者ごとの認証および所属店舗・役割に応じた権限管理
- データベースの行単位アクセス制御による店舗間のデータ分離
- 管理用機能および秘密情報へのアクセス制限
- 退職・異動・契約終了時の権限停止
4. データ保護
- 通信中およびクラウド上に保存されるデータの暗号化
- 録音音声および処方画面画像を原則保存しない設計
- 文字起こし・SOAP案等を原則48時間後に自動削除
- AI・データベースの管理用キーをサーバー側で管理
- 入力情報を必要最小限とする画面案内および運用
5. 監視・ログ管理
ログイン、招待、生成、削除、設定変更等の重要操作を監査ログへ記録し、不正アクセス、過剰な実行、障害その他の異常を確認します。ログは目的に必要な期間のみ保持し、アクセスを制限します。
6. 脆弱性・変更管理
当社は、利用するソフトウェアおよびクラウドサービスの更新情報を確認し、依存パッケージの脆弱性検査、修正プログラムの適用、変更前後の確認および不要な権限の見直しを行います。
7. 委託先・外部サービスの管理
クラウド基盤、データベース、AI処理、メール配信等の委託先について、安全管理措置、データの利用条件および障害時の対応を確認し、契約その他の方法により必要な監督を行います。
8. インシデント対応
情報漏えい、不正アクセス、サービス障害等が発生し、またはそのおそれを認識した場合、当社は速やかに状況を確認し、封じ込め、影響調査、復旧、関係者への連絡および再発防止を実施します。法令上必要な場合は、関係機関への報告を行います。
9. 事業継続
当社は、障害・災害等に備え、バックアップ、復旧手順、緊急連絡および代替運用を整備し、重要機能の継続または早期復旧に努めます。
10. 継続的改善
当社は、技術、脅威、法令およびサービス内容の変化に応じて、本方針および安全管理措置を定期的に評価し、改善します。