情報セキュリティ方針
コード、顧客・従業員情報、契約、財務、クラウド権限等を、M&Aの進行段階と必要性に応じて管理します。
株式会社M&A Do（以下「当社」といいます。）は、アプリ開発M&A総合センターの運営およびM&A支援で取り扱う情報を重要な経営資産と認識し、機密性・完全性・可用性の確保に向けて、情報の性質とリスクに応じた安全管理を行います。
対象：当社の役員・従業者、業務委託先および本サイト・メール・面談・資料共有・M&A支援を通じて取り扱う情報
1. 基本原則
- 必要最小限：目的達成に必要な情報だけを取得・利用・共有します。
- 権限最小化：案件・役割ごとにアクセスできる人と範囲を限定します。
- 段階開示：ノンネーム、NDA後、ネームクリア後等の段階に応じて開示項目を分けます。
- 記録・追跡性：重要情報の受領・提供・削除について、必要な記録を残します。
- 継続改善：法令、ガイドライン、脅威、事故・ヒヤリハットを踏まえて対策を見直します。
2. 安全管理措置の考え方
組織的措置
取扱責任・権限、情報の取得・利用・保存・提供・削除の手順、事故時の報告経路を定め、取扱状況を確認します。
人的措置
秘密保持義務を明確にし、M&A情報、個人情報、認証情報、ソーシャルエンジニアリング等に関する教育・注意喚起を行います。
物理的措置
端末、媒体、紙資料の保管・持出し・複製・廃棄を管理し、第三者による閲覧・紛失・盗難のリスクを低減します。
技術的措置
適切な認証、アクセス制御、通信経路の保護、マルウェア・不正アクセス対策、更新管理、ログ、バックアップ等を、システムと情報のリスクに応じて実施します。
3. 初回相談で受け取らない情報
初回フォームでは、会社名・アプリ名を伏せた相談も受け付けます。次の情報は入力せず、担当者と必要性・開示範囲・送付方法を確認してください。
- 顧客名簿、従業員の詳細な個人情報、要配慮個人情報
- ソースコード、未公開の設計資料、秘密鍵、証明書
- パスワード、APIキー、アクセストークン、MFA復旧情報
- AWS root、GitHub Organization、App Store Connect、Google Play Console等の管理者権限
- 未公開の詳細財務資料、契約書原本、顧客別の単価・障害記録等
権限移管では、既存パスワードや秘密鍵をそのまま渡すのではなく、可能な限り新しい管理者の追加、権限の再設定、シークレットのローテーション、不要アカウントの無効化を行います。
4. M&A候補先への段階的な開示
- 初期段階では、会社・顧客・担当者を特定しにくいノンネーム情報に限定します。
- 候補先の検討目的、体制、資金計画等を確認します。
- 必要な秘密保持手続を行い、譲渡企業側へ候補先・目的・開示範囲を説明します。
- 候補先ごとの同意後、必要最小限の詳細情報を開示します。
- コード、顧客・従業員情報、認証情報等は、デューデリジェンスや移行の必要性に応じて、閲覧のみ、マスキング、集計化、アクセス期限等を検討します。
5. 委託先・外部サービスの管理
ホスティング、メール、フォーム、クラウド保管、システム保守、専門家業務等を委託する場合は、取り扱う情報とリスクに応じて委託先を選定し、秘密保持・安全管理・再委託・事故報告等を契約または規約で確認し、必要な監督を行います。国外で取り扱う場合は、所在国の制度と提供先の保護措置も確認します。
6. 保存・バックアップ・削除
情報は、相談・契約への対応、法令上の義務、紛争・監査への備えに必要な期間に限って保存し、必要性を見直します。バックアップを含め、保存先とアクセス権限を管理し、不要になった情報・媒体は復元困難な方法で削除・廃棄します。配信停止記録等、再送防止・法令遵守に必要な最小限の記録は必要期間保持します。
7. インシデント対応
情報の漏えい、滅失、毀損、不正アクセスまたはそのおそれを把握した場合、事実確認、影響範囲の特定、被害拡大防止、原因分析、再発防止を行います。法令上必要な場合は、個人情報保護委員会その他の関係機関への報告および本人への通知を行います。
不審なメール、当社を装う連絡、誤送信、脆弱性その他の懸念にお気づきの場合は、苦情・相談窓口へお知らせください。脆弱性を確認する目的でも、無断のアクセス・試験は行わないでください。
8. 見直し・お問い合わせ
当社は、本方針と関連手順を継続的に見直します。安全上の理由から、システム構成、具体的な認証方式、検知ルール等の詳細を公開しない場合があります。個人情報の取扱いはプライバシーポリシーをご確認ください。
制定・最終改定日：2026年7月17日