# claude / shisya-rules-06

## Prompt
あなたは情報セキュリティ担当です。添付の『情報セキュリティ規程』『在宅勤務規程』『CSIRT運用 連絡細則』だけを根拠に、以下のケースを審査してください。

【ケース】
2026年6月3日（水）、開発部のHさん（2026年4月1日入社、勤続2か月）が在宅勤務中に、業務で使う顧客リスト（顧客の氏名とメールアドレスの組み合わせを含む）を誤って外部の取引先に送信してしまったことに、同日午後9時に気づいた。Hさんは会社貸与のノートPCを使用し、持出申請は事前に提出済み、自宅ネットワークからVPN接続していた。

【指示】
1. Hさんが在宅勤務を行えること自体が規程上問題ないか、根拠条項を示して判定してください。
2. このインシデントの第一報を、Hさんは誰に・どの手段で・いつまでに行うべきか、根拠条項・細則を示してください（夜間である点に注意）。
3. この漏えいが情報セキュリティ規程 第10条第3項の『個人情報』に該当し、追加の報告義務が生じるか、根拠を示して判定してください。
4. 添付規程から判断できない事項があれば『情報不足』として挙げ、推測で断定しないでください。
5. 回答は必ず次のJSON形式で出力してください（前後に説明文を付けない）。

{
  "answers": [{ "q": 1, "verdict": "...", "clause": "第N条/細則N", "reason": "..." }],
  "insufficient": [{ "topic": "...", "reason": "..." }]
}
## 添付ファイル: fixtures/infosec-kitei.md

# 情報セキュリティ規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年2月1日

## 第10条（インシデント報告）

1. 情報漏えい、紛失、マルウェア感染その他のセキュリティインシデントを発見した従業員は、発見後ただちにCSIRT窓口へ第一報を行わなければならない。
2. 第一報は、発見から1時間以内に行うことを目標とする。
3. 個人情報の漏えいまたはそのおそれがある事案については、CSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。

## 第12条（端末の持ち出し）

1. 業務端末を社外へ持ち出す場合は、事前に所属長の許可を得て持出申請を行うこと。
2. 持ち出した端末で機密情報を扱う場合は、ディスク暗号化が有効であることを確認しなければならない。

## 第15条（パスワード）

1. パスワードは12文字以上とし、英大文字・英小文字・数字・記号のうち3種類以上を含めること。
2. パスワードは90日ごとに変更すること。


## 添付ファイル: fixtures/zaitaku-kitei.md

# 在宅勤務規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年5月1日

## 第3条（在宅勤務の対象）

1. 在宅勤務は、原則として勤続6か月以上の従業員を対象とする。
2. 開発部および情報システム部については、勤続期間にかかわらず在宅勤務を認める。

## 第5条（在宅勤務時の端末）

1. 在宅勤務では会社貸与端末のみを使用する。私物端末（BYOD）の使用は禁止する。
2. 在宅勤務で会社貸与端末を自宅へ持ち帰る場合も、情報セキュリティ規程 第12条の持出申請を要する。

## 第6条（在宅勤務時のネットワーク）

1. 公衆無線LAN（カフェ・駅等）の業務利用は禁止する。
2. 自宅のネットワークを利用する場合は、VPN接続を必須とする。


## 添付ファイル: fixtures/csirt-renraku-saiko.md

# CSIRT運用 連絡細則（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年4月1日

## 細則2（夜間・休日の第一報）

情報セキュリティ規程 第10条の第一報について、夜間（午後8時〜翌午前8時）および土日祝日に発生・発見した事案は、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合は、CSIRTチャットの緊急チャンネルへ投稿し、投稿時刻をもって第一報の時刻とみなす。

## 細則4（個人情報該当の判断）

漏えいした情報に氏名と他の情報（住所・電話番号・メールアドレス等）の組み合わせが含まれる場合、または顧客IDと購買履歴が紐づく場合は、情報セキュリティ規程 第10条第3項の「個人情報」に該当するものとして扱う。判断に迷う場合は該当とみなして報告する。


## Answer
```json
{
  "answers": [
    {
      "q": 1,
      "verdict": "問題なし（在宅勤務は規程上可能）",
      "clause": "在宅勤務規程 第3条第2項（補強として第5条第1項・第6条第2項、情報セキュリティ規程 第12条第1項）",
      "reason": "Hさんは開発部所属。在宅勤務規程第3条第1項は原則として勤続6か月以上を対象とするが、第3条第2項により開発部および情報システム部は勤続期間にかかわらず在宅勤務が認められるため、勤続2か月でも対象となる。あわせて会社貸与ノートPCを使用（第5条第1項）、自宅ネットワークからVPN接続（第6条第2項）、持出申請を事前提出済み（第5条第2項・情報セキュリティ規程第12条第1項）であり、いずれの在宅勤務要件も満たしている。"
    },
    {
      "q": 2,
      "verdict": "報告先=CSIRT窓口（夜間のためCSIRT緊急電話）／手段=CSIRT緊急電話、応答しない場合はCSIRTチャットの緊急チャンネルへ投稿し投稿時刻を第一報時刻とする／期限=発見後ただちに（目標は発見から1時間以内、6/3 21:00発見のため22:00までを目標）",
      "clause": "情報セキュリティ規程 第10条第1項・第2項／CSIRT運用連絡細則 細則2",
      "reason": "第10条第1項により発見後ただちにCSIRT窓口へ第一報、第2項により発見から1時間以内が目標。発見は6/3（水）21:00で、細則2の定める夜間（午後8時〜翌午前8時）に該当するため、第一報の手段はCSIRT緊急電話となる。緊急電話が応答しない場合はCSIRTチャットの緊急チャンネルへ投稿し、その投稿時刻をもって第一報時刻とみなす。"
    },
    {
      "q": 3,
      "verdict": "該当する（情報保護責任者への同時報告義務が追加で生じる）",
      "clause": "情報セキュリティ規程 第10条第3項／CSIRT運用連絡細則 細則4",
      "reason": "漏えいした顧客リストは顧客の氏名とメールアドレスの組み合わせを含む。細則4により、氏名と他の情報（住所・電話番号・メールアドレス等）の組み合わせが含まれる場合は第10条第3項の『個人情報』に該当するものとして扱う。したがって第10条第3項により、CSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。"
    }
  ],
  "insufficient": [
    {
      "topic": "情報保護責任者への夜間の報告手段・連絡先・期限",
      "reason": "第10条第3項は情報保護責任者への『同時報告』を求めるが、夜間における具体的な連絡手段・連絡先・期限は規程・細則に記載がない。細則2はCSIRT窓口への第一報の夜間手段（緊急電話・緊急チャンネル）のみを定めており、情報保護責任者への夜間連絡をカバーするかは明示されていない。"
    },
    {
      "topic": "CSIRT緊急電話・緊急チャンネルの具体的な連絡先",
      "reason": "細則2はCSIRT緊急電話およびCSIRTチャット緊急チャンネルへの連絡を定めるが、添付規程には具体的な電話番号やチャンネルの所在が記載されておらず、実際の連絡先は確認できない。"
    },
    {
      "topic": "持出申請に対する所属長の許可の有無",
      "reason": "情報セキュリティ規程第12条第1項は『事前に所属長の許可を得て持出申請を行う』ことを要求するが、ケースには『持出申請は事前に提出済み』とあるのみで、所属長の許可が下りていたかは明示されておらず断定できない。"
    },
    {
      "topic": "持ち出し端末のディスク暗号化の有効性",
      "reason": "顧客リスト（機密情報）を扱う端末については第12条第2項でディスク暗号化が有効であることの確認が必要だが、本件で暗号化が有効だったかは記載がなく確認できない。"
    },
    {
      "topic": "取引先への誤送信が規程上の『情報漏えい』として扱われるか・取消可能性",
      "reason": "外部取引先への送信が秘密保持契約下にある等で漏えい扱いを免れるか、または送信取消・削除依頼で被害を限定できるかは、添付規程の範囲外であり判断できない（本審査では第10条のインシデントとして報告すべき前提で扱った）。"
    }
  ]
}
```

## Metrics
```json
{
  "ttftMs": null,
  "tokens": 0,
  "tokPerSec": null,
  "wallMs": 92198,
  "toolCalls": 0,
  "toolCallInvalid": 0,
  "capHit": false,
  "errored": false,
  "crashed": false
}
```