情報セキュリティ方針

町田M&A総合センター（運営: 株式会社M&A Do）は、M&A相談で扱う会社名、財務情報、従業員情報、取引先情報、顧客情報、契約、許認可、借入、担保、経営者保証、候補先情報、個人情報を重要な秘密情報として取り扱います。

1. 管理対象

• 譲渡企業様の会社名、所在地、事業内容、財務情報、借入、担保、許認可、契約、従業員、取引先、顧客に関する情報
• 買い手企業様の社名、担当者、希望条件、投資規模、譲受方針、資金調達・運営体制に関する情報
• 候補先リスト、匿名概要資料、ネームクリア履歴、秘密保持、面談記録、交渉条件、契約書類
• 問い合わせフォーム、メール、電話、面談、オンライン会議、資料共有で取得する個人情報および法人情報
• 案件上必要性を確認したうえで限定的に扱う、従業員情報、労務情報、許認可・保証・担保に関する資料

2. 基本対策

• 担当者を必要最小限に限定し、案件ごとにアクセス権限と開示範囲を確認します。
• 社名非開示、匿名概要、ネームクリア、秘密保持後の詳細開示という段階を分けます。
• 資料送付時は宛先、添付ファイル、ファイル名、共有リンク、閲覧権限を確認し、誤送信防止に努めます。
• ID、パスワード、端末、クラウド、メール、フォーム管理について、不正アクセス、紛失、漏えいを防ぐ運用を行います。
• マイナンバー、健康情報、給与明細の個人部分など、M&A初期検討に不要な情報は提出を求めず、受領した場合はマスキング、削除または返却を検討します。
• 不要になった資料は、法令上・業務上必要な保存期間を踏まえて削除または廃棄します。

公開サイトで実装している技術的対策

• 全ページをHTTPSで提供し、HSTS、クリックジャッキング防止、同一オリジンへのフォーム送信制限、基準URL・プラグインオブジェクトの制限等をレスポンスヘッダーで適用します。
• Google Analyticsは初期表示では読み込まず、利用者が明示的に同意した場合だけ有効化します。問い合わせフォーム、WordPressログイン画面およびログイン中の管理者画面では、同意状態にかかわらず解析タグを読み込みません。
• 著者画像は当サイト内の提供画像を使用し、Gravatarへの自動通信を停止します。匿名利用者によるWordPress REST APIのユーザー一覧取得を停止し、使用していないXML-RPCを無効化します。
• 問い合わせフォームでは、第三者CAPTCHAへ追加送信せず、同一ドメイン内のハニーポットと短時間の送信回数制御を組み合わせます。回数制御のキーにはIPアドレスそのものではなくHMACダイジェストを用い、短時間だけ保持します。
• 本送信前に入力内容と同意件数を確認できる画面を表示し、最終確認ボタンを押すまでは問い合わせ内容を送信しません。

3. M&A実務における情報開示

M&Aでは、検討段階に応じて開示する情報が変わります。当社は、譲渡企業様の事業継続、従業員、取引先、金融機関、地域での信用に配慮し、候補先の関心度、秘密保持状況、競合関係、必要性を確認したうえで、開示範囲を最小限にします。従業員名簿、主要取引先名、借入・担保・経営者保証など影響が大きい情報は、候補先の真剣度と秘密保持状況を確認してから段階的に扱います。

4. 外部委託・専門家との連携

サーバー、フォーム、メール、資料作成、専門家確認、本人確認、セキュリティ対策等を外部に委託する場合があります。その場合、委託先の情報管理体制を確認し、必要かつ適切な監督を行います。弁護士、税理士、公認会計士、司法書士、社会保険労務士等の専門家と連携する場合も、案件に必要な範囲で情報を共有します。

5. インシデント対応

• 漏えい、紛失、誤送信、不正アクセス、権限設定ミスが疑われる場合は、速やかに事実確認を行います。
• 影響範囲、対象情報、関係者、発生原因、二次被害の有無を確認します。
• 必要に応じて関係者への連絡、所管機関への報告、本人通知、アクセス停止、再発防止策を実施します。
• インシデント後は、フォーム、自動返信、資料共有、権限管理、社内確認手順を見直します。

6. 従業者教育と継続改善

M&A情報は、単なる営業情報ではなく、地域の信用、従業員の雇用、金融機関対応に影響する情報です。当社は、秘密保持、個人情報保護、利益相反、買い手審査、誤送信防止について継続的に確認し、法令・ガイドライン・実務慣行の変更に応じて運用を見直します。

7. 関連方針

プライバシーポリシー、利益相反管理方針、中小M&Aガイドライン遵守方針もあわせてご確認ください。