クラウドサービス利用基準

1. 目的・位置づけ

この基準は、情報セキュリティ管理規程第12条の定めに基づき、社外のクラウドサービス（SaaS等）を業務に利用する際の審査および管理について定める。

（備考）情報セキュリティ管理規程は本ポータルの規程集に掲載されている（2026年8月電子化）。

新規のクラウドサービスは、次の5観点により審査する。

観点	確認すること
データの保存場所	保存先の国・リージョンはどこか。国外保存の場合、移転に問題がないか
契約形態	利用規約への同意のみで足りるサービスか。会社として契約書を交わす必要がないか
認証・アクセス管理	SSO（シングルサインオン）に対応しているか。退職者のアカウントを確実に止められるか
解約時の扱い	解約時にデータの返還・削除が保証されているか。エクスポート手段があるか
入力データの二次利用	入力・保存したデータを、サービス提供者が自社の目的（学習・分析等）に利用しないか

AI機能を含むクラウドサービスは、本基準の審査に加え、AIサービス利用基準の確認（入力が学習に利用されない契約か等）を経なければならない。

（備考）AIサービスも本質はクラウドサービスである。別の生き物として扱わない。審査の入口は本基準の一本とし、AI固有の確認だけをAIサービス利用基準に委ねる。

2022年10月1日　制定。
2026年8月10日　AIサービスの特則（第4項）を追加。AI独自の審査フローを新設せず、既存の本基準に接続した。

💡 「AIは既存の仕組みに乗っかる」という考え方は「押さえるのは3点だけ」と「情シスに聞かれる質問」（公開準備中）で解説されています。