Kufa（クファ）

情報セキュリティ基本方針

策定日: 2026年8月1日 / 公開日: 2026年8月19日 / 最終更新日: 2026年8月22日 / English

1. 目的

本方針は、大一株式会社（以下「当社」）が取り扱う情報資産、特にTikTok Partner Center等の外部プラットフォームから取得するユーザー個人データおよび機密情報を適切に保護し、情報セキュリティ事故を未然に防止することを目的とします。

2. 適用範囲

本方針は、当社が運営するすべての業務、システム、サービス、およびそれらに関わるすべての情報資産（データ、ソースコード、サーバー環境等）に適用します。

3. 体制と責任

当社は小規模組織にて運営されており、代表者が情報セキュリティ最高責任者（CISO）を兼任し、情報セキュリティの維持・向上、および法令遵守の全責任を負います。

4. 情報資産の管理とデータセキュリティ

  1. 暗号化:
    • 転送中のデータ（通信）はすべてHTTPS/TLSを用いて暗号化します。
    • お客様の個人データ（氏名・住所等）は、ECモール（TikTok Shop・BASE・Qoo10）のシステム内で保管されます。当社は出荷・顧客対応に必要な最小限の項目のみを取り扱い、自社環境での長期保管は行いません。
    • 自社環境で保存する機密情報（API認証情報・設定情報等）は、アクセス権限を限定した設定ファイルで分離管理し、ソースコードリポジトリ等の共有領域には保存しません。
    • 開発用端末（Windows）のディスクはBitLockerにより暗号化しています。
  2. アクセス制御（最小特権の原則）:
    • 当社は実質1名体制で運営しており、サーバー・データベース・各種管理画面へのアクセス権限は代表者1名のみに限定しています。
    • 重要なオンラインアカウント（メール等）には多要素認証（MFA）を設定しています。
    • サーバーへのログインはSSH公開鍵認証のみを許可し、パスワード認証は無効化しています。外部ネットワークからの管理作業はVPN接続経由で実施します。
    • 業務上不要になったアクセス権限は直ちに削除します。
  3. データの最小化と保持制限:
    • TikTok API等から取得するデータは、サービスの提供に必要な最小限の項目に絞り込みます。
    • 取得したデータは利用目的の達成に必要な期間のみ保持し、不要となったデータは安全な方法で速やかに完全消去します。

5. データ分類

当社は、取り扱う情報を以下の3区分に分類し、それぞれに応じた保護措置を講じます。

6. ネットワークセキュリティ

7. 法令・規約の遵守

当社は、日本の個人情報保護法等の関連法令、およびTikTokの「開発者利用規約」「データセキュリティポリシー」をはじめとする各種規約を厳格に遵守します。ユーザーからのデータ開示・削除請求には速やかに対応します。

8. 教育と基本的なセキュリティ施策

代表者および将来的な参画メンバーに対し、定期的なセキュリティ知識のアップデートを行い、マルウェアや不正アクセスから情報資産を保護します。以下の基本施策を実施しています。

9. 事故発生時の対応

万が一、情報漏洩や不正アクセス等のセキュリティインシデントが発生またはその懸念が生じた場合は、直ちに被害拡大防止措置を講じ、TikTokを含む関係各所への報告および規制当局への届出を速やかに実施します。詳細な手順はトラブル対応ポリシー（インシデント対応計画）に定めています。

策定日: 2026年8月1日
組織名/事業者名: 大一株式会社
代表者: 代表取締役 須河弘治