株式会社ARLYS（以下「当社」）は、医療ITスタートアップとして、患者情報をはじめとする高度にセンシティブな情報資産を取り扱う立場から、情報セキュリティを経営上の最重要課題の一つと位置付けます。本方針は、クラウド・生成AIネイティブな開発・運用環境において実践的かつ継続的に適用されます。
情報資産の保護
当社が保有・管理する患者データ、システムログ、個人情報、技術情報等のあらゆる情報資産を、機密性・完全性・可用性（CIA）の観点から適切に保護します。不正アクセス、漏洩、改ざん、滅失を防止するための技術的・組織的対策を継続的に講じます。
法令・規範の遵守
個人情報保護法、医療法、医療情報システムの安全管理に関するガイドライン（3省2ガイドライン等）、ならびに国内外の関連法令・規制・業界標準に準拠した情報管理体制を整備・維持します。法改正・ガイドライン改訂への迅速な対応を徹底します。
教育・訓練の実施
全役員・従業員に対し、情報セキュリティに関する定期的な教育・訓練を実施します。フィッシング対策、インシデント対応手順、安全なコーディングプラクティスを含む実践的なトレーニングを通じ、組織全体のセキュリティ文化を醸成します。
継続的な改善
情報セキュリティリスクを定期的に評価・見直し、インシデント対応体制を整備します。セキュリティインシデントや脆弱性情報を迅速に収集・分析し、方針・ルール・技術的統制の継続的な改善を推進します。
医療情報ガイドライン準拠のクラウドインフラ利用
厚生労働省・総務省・経済産業省の定める医療情報ガイドライン（3省2ガイドライン等）に準拠したクラウドインフラ（AWS・Azure等）を選定・構成します。医療情報の安全な保管・処理・転送に必要な暗号化・アクセス制御・監査ログを標準実装し、責任共有モデルに基づくセキュリティ管理を徹底します。
生成AI利用時のデータ非学習環境の徹底
開発・運用における生成AI活用においては、患者データ・個人情報がAIモデルの学習データとして利用されないよう、API経由（非学習環境）での利用を徹底します。生成AIサービスの導入・利用前に、データ保護契約（DPA）の締結・確認を必須とし、プロンプトへの個人情報入力を組織的に禁止します。
患者データとシステムログの分離管理
患者データとシステムログを論理的・物理的に分離し、役割ベースのアクセス制御（RBAC）および最小権限の原則（Least Privilege）に基づく厳格なアクセス管理を実施します。全アクセスログを改ざん不可能な形式で保全し、定期的な監査を通じて不正アクセスの早期発見・対応を実現します。
当社は、本方針を組織全体に周知し、代表者のリーダーシップのもとで継続的に実践・改善します。