PANDORA FMS セキュリティポリシー
本ポリシーの目的は、Pandora FMS の情報を適切に保護し、その安全性を維持することです。

機密性： 情報へのアクセスを許可された者のみがアクセスできることを保証する。

完全性： 情報とその処理方法の正確性と完全性を保証すること。

可用性：許可された利用者が、必要なときに情報とその関連資産にアクセスできることを保証する。

トレーサビリティ: データおよび情報システムに関連する活動を、ライフサイクル全体にわたり追跡・管理できることを保証します。

真正性: エンティティ（ユーザー、デバイス、システム）が主張する通りの存在であることを保証します。

これらの基本原則は、情報が電子的、印刷物、視覚的、音声的な形式を問わず、またパンドラFMSの構内で処理されるか構外で処理されるかにかかわらず、どのような形式であっても保存され、保護されなければなりません。同様に、これらの原則は以下のセキュリティ分野においても考慮されなければなりません：

物理的：依存関係、インストール、ハードウェアシステム、サポート、および情報を扱う、あるいは扱う可能性のある物理的性質のあらゆる資産のセキュリティから構成されます。
論理的：アプリケーション、ネットワーク、電子通信プロトタイプ、コンピュータシステムの保護の側面を含む。
政治的・企業的：組織そのもの、内部規則、規制、法的規範に関連するセキュリティの側面によって形成される。

Pandora FMSは、情報セキュリティ管理に対する継続的な改善アプローチを維持することを確約します。このコミットメントには、方針、手順、管理の定期的な見直しと更新、新技術とベストプラクティスの採用が含まれます。継続的な改善は、情報セキュリティマネジメントシステム（ISMS）の重要な部分であり、組織の戦略的目標を達成するために策定されるすべてのマネジメントレビューと行動計画に反映されます。

Pandora FMS は、様々な種類のデータと情報の取り扱いを基本としています。これにより、基本的なビジネスプロセスを実行することができます。組織の資産の損傷や損失は、組織の業務遂行に影響を与え、組織の継続性を危険にさらす可能性があります。このような事態を防ぐため、情報セキュリティ・ポリシーは、以下の主な目的をもって策定されている：

セキュリティ・インシデントにつながる可能性のある脅威から、統制とセキュリティ対策を通じて会社の資産を保護する。
セキュリティ・インシデントの影響を軽減する。
社内および社外の利害関係者が関心を持つ可能性のある重要な情報資産を保護するために、情報およびデータの分類システムを確立する。
対応する組織構造を構築することによって、情報セキュリティに対する責任を明確にする。
経営組織、従業員、パートナー、外部サービス・プロバイダーなどに適用される一連の規則、基準、手順を策定する。このようなセキュリティ方針とISO 27001規格への準拠は、顧客、サプライヤー、外部組織にとって特に重要であり、適時に伝達されなければならない。もちろん内部では、ISMSの機能、すべての内部方針および規制について、さらにコミュニケーションが行われる。
継続的な研修と社内コミュニケーションを通じて、職場でセキュリティ方針に違反した場合の影響を明示する。
適切なセキュリティ対策／管理を採用するために、資産に対するリスクを継続的に評価する。
独立監査人による内部セキュリティ監査を通じて、セキュリティ対策と統制が機能していることを検証する。
セキュリティ管理と情報通信技術について利用者を教育する。
通信インフラを通じて、または光、磁気、紙などのデータキャリアの送信によって、情報およびデータのトラフィックを管理する。
パンドラFMSの資産および外部の利害関係者との関係に影響を及ぼす、データ保護、知的財産、労働、情報社会サービス、刑法等に関する法律を遵守すること。
顧客および社外のステークホルダーに対し、高い品質と誠実さで効率的なサービスを提供し、信頼を維持する。
組織の知的資本を違法な開示や使用から保護する。
社外（サプライヤー、顧客、ユーザー）、社内を問わず、セキュリティインシデントと加害者の特定を裏付ける証拠を入手する。
社内外を問わず、組織の資産を適切に利用することで、利用不能になる可能性を低減する。
内部または外部からの攻撃に対して資産を防御し、セキュリティインシデントにならないようにする。
インシデントの件数、性質、影響を把握することにより、セキュリティ対策の機能を監視する。

法規制の枠組み

目的のひとつは、適用される法的要件およびその他私たちが遵守する要件、ならびに顧客との契約上の義務を満たし、それらを継続的に更新することです。そのため、私たちの活動が行われる法的・規制的枠組みは以下の通りです：

2016年4月27日の欧州議会および理事会の規則 (EU) 2016/679 ― 個人データの処理およびその自由な移転に関する自然人の保護。
2018年12月5日付有機法第3/2018号 ― 個人データ保護およびデジタル権利の保証。
1996年4月12日付王立立法令第1/1996号 ― 知的財産法。
2019年3月1日付法律第2/2019号 ― 1996年4月12日付王立立法令第1/1996号で承認された知的財産法の改正、ならびに2014年2月26日の欧州議会および理事会指令2014/26/EUおよび2017年9月13日の欧州議会および理事会指令(UE) 2017/1564をスペイン法に組み込むもの。
2022年5月3日付王令第311/2022号 ― 国家セキュリティフレームワークの策定（2015年10月23日付王令第951/2015号による改正）。
2002年7月11日付法律第34/2002号 ― 情報社会サービスおよび電子商取引（LSSI）。
2015年10月1日付法律第40/2015号 ― 公的部門の法的制度。
2015年10月1日付法律第39/2015号 ― 公共行政の共通行政手続法。

セキュリティ委員会

セキュリティ委員会は、ISMSにおける最高責任機関であり、セキュリティに関連するすべての重要な決定はこの委員会によって合意されます。

セキュリティ委員会のメンバーは次の通りです：

情報責任者
サービス責任者
セキュリティ責任者
システム責任者

このセキュリティポリシーで定義された役割間に、割り当てられた機能や任務の遂行に関して対立が生じた場合、共通の上位責任者が解決を決定し、個人データ保護のレベルがより高い決定を優先します。共通の上位責任者がいない場合は、セキュリティ委員会がその解決を担います。

リスク管理

このポリシーの対象となるすべてのシステムは、直面する脅威やリスクを評価するリスク分析を実施しなければなりません。この分析は定期的に見直されます：

少なくとも年に1回;
取り扱う情報が変更されたとき;
提供するサービスが変更されたとき;
重大なセキュリティインシデントが発生したとき;
重大な脆弱性が報告されたとき。

リスク分析の調和を図るため、セキュリティ委員会は取り扱う情報や提供されるサービスの種類ごとに基準となる評価を定めます。さらにセキュリティ委員会は、各システムのセキュリティニーズに対応するためのリソースの確保を推進し、横断的なセキュリティ投資を促進します。

リスク分析の実施にあたっては、「リスク分析手順」で策定されたリスク分析手法を考慮します。

デフォルトによるセキュリティ

情報セキュリティは包括的かつ横断的なプロセスであり、情報システムおよびサービスのライフサイクルのすべての段階、すなわち作成から廃止までに統合される必要があります。

PANDORA FMSは、システムの物理的または論理的要素の変更を、セキュリティへの影響評価を伴う事前承認プロセスを通じて管理します。システムの状態を評価し、リスクを管理するために定期的なセキュリティレビューを実施します。

PANDORA FMSは、保存中および転送中の情報を、信頼できない環境で保護するためのセキュリティ対策を実施します。これらの環境には、ノートPC、PDA、周辺機器、情報媒体、およびオープンネットワークや弱い暗号化を使用する通信が含まれます。

PANDORA FMSは、特に公共ネットワークへの接続時に、情報を保護するためのセキュリティ対策を定めています。システムの相互接続リスクを分析し、接続ポイントを制御します。これには、一般に利用可能な電子接続も含まれます。

PANDORA FMSはユーザー活動を記録し、不正または未承認の活動を監視、分析、調査、文書化するために必要な情報を保持し、常に行為を行った人物を特定できるようにします。

PANDORA FMSはインシデント管理を通じて、検出・対応・復旧の仕組みを確立し、事業継続を保証し、影響を軽減し、管理・分析・コミュニケーション・記録手順を通じてセキュリティを向上させます。

通常の作業手段を失った場合に業務を継続するため、PANDORA FMSはシステムがバックアップおよび復旧メカニズムを備えるように対策を実施しています。

個人情報の保護

Pandora FMSは、関係者（データ主体）に事前に通知し、必要であればデータ収集時またはその後にデータ主体が事前に同意した目的のために個人情報を取り扱います。

データ保護の観点から、データ主体はアクセス、修正、処理の制限、ポータビリティ、異議申し立て、消去などの権利（いわゆるARCO/ARLtPOSの権利）を有します。つまり、いかなる自然人も、Pandora FMSに対し、自分に関するどのようなデータが保有されているか、そのデータはどこから入手されたか、そのデータは何に使用されているか、その使用目的は何かについての情報を要求し、その使用の変更を要求することができます。影響を受ける人のARCO/ARLtPOSの権利を行使する場合、Pandora FMSの従業員は、[email protected] 宛てに電子メールを送信することにより、データ保護代表者に直ちに通知する義務があります。回答には厳格な法的期限があるため、直ちにこれを行うことが極めて重要です。

Pandora FMSの情報資源あるいは情報資産にアクセスできる者（自社あるいは下請けの従業員）は、Pandora FMSとの労働関係あるいは商取引関係の開始時に、情報セキュリティポリシーおよび情報システム利用ポリシーを読み、理解し、承知し、その後毎年修正する必要があります。