# codex / shisya-rules-06

## Prompt
あなたは情報セキュリティ担当です。添付の『情報セキュリティ規程』『在宅勤務規程』『CSIRT運用 連絡細則』だけを根拠に、以下のケースを審査してください。

【ケース】
2026年6月3日（水）、開発部のHさん（2026年4月1日入社、勤続2か月）が在宅勤務中に、業務で使う顧客リスト（顧客の氏名とメールアドレスの組み合わせを含む）を誤って外部の取引先に送信してしまったことに、同日午後9時に気づいた。Hさんは会社貸与のノートPCを使用し、持出申請は事前に提出済み、自宅ネットワークからVPN接続していた。

【指示】
1. Hさんが在宅勤務を行えること自体が規程上問題ないか、根拠条項を示して判定してください。
2. このインシデントの第一報を、Hさんは誰に・どの手段で・いつまでに行うべきか、根拠条項・細則を示してください（夜間である点に注意）。
3. この漏えいが情報セキュリティ規程 第10条第3項の『個人情報』に該当し、追加の報告義務が生じるか、根拠を示して判定してください。
4. 添付規程から判断できない事項があれば『情報不足』として挙げ、推測で断定しないでください。
5. 回答は必ず次のJSON形式で出力してください（前後に説明文を付けない）。

{
  "answers": [{ "q": 1, "verdict": "...", "clause": "第N条/細則N", "reason": "..." }],
  "insufficient": [{ "topic": "...", "reason": "..." }]
}
## 添付ファイル: fixtures/infosec-kitei.md

# 情報セキュリティ規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年2月1日

## 第10条（インシデント報告）

1. 情報漏えい、紛失、マルウェア感染その他のセキュリティインシデントを発見した従業員は、発見後ただちにCSIRT窓口へ第一報を行わなければならない。
2. 第一報は、発見から1時間以内に行うことを目標とする。
3. 個人情報の漏えいまたはそのおそれがある事案については、CSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。

## 第12条（端末の持ち出し）

1. 業務端末を社外へ持ち出す場合は、事前に所属長の許可を得て持出申請を行うこと。
2. 持ち出した端末で機密情報を扱う場合は、ディスク暗号化が有効であることを確認しなければならない。

## 第15条（パスワード）

1. パスワードは12文字以上とし、英大文字・英小文字・数字・記号のうち3種類以上を含めること。
2. パスワードは90日ごとに変更すること。


## 添付ファイル: fixtures/zaitaku-kitei.md

# 在宅勤務規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年5月1日

## 第3条（在宅勤務の対象）

1. 在宅勤務は、原則として勤続6か月以上の従業員を対象とする。
2. 開発部および情報システム部については、勤続期間にかかわらず在宅勤務を認める。

## 第5条（在宅勤務時の端末）

1. 在宅勤務では会社貸与端末のみを使用する。私物端末（BYOD）の使用は禁止する。
2. 在宅勤務で会社貸与端末を自宅へ持ち帰る場合も、情報セキュリティ規程 第12条の持出申請を要する。

## 第6条（在宅勤務時のネットワーク）

1. 公衆無線LAN（カフェ・駅等）の業務利用は禁止する。
2. 自宅のネットワークを利用する場合は、VPN接続を必須とする。


## 添付ファイル: fixtures/csirt-renraku-saiko.md

# CSIRT運用 連絡細則（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年4月1日

## 細則2（夜間・休日の第一報）

情報セキュリティ規程 第10条の第一報について、夜間（午後8時〜翌午前8時）および土日祝日に発生・発見した事案は、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合は、CSIRTチャットの緊急チャンネルへ投稿し、投稿時刻をもって第一報の時刻とみなす。

## 細則4（個人情報該当の判断）

漏えいした情報に氏名と他の情報（住所・電話番号・メールアドレス等）の組み合わせが含まれる場合、または顧客IDと購買履歴が紐づく場合は、情報セキュリティ規程 第10条第3項の「個人情報」に該当するものとして扱う。判断に迷う場合は該当とみなして報告する。


## Answer
{
  "answers": [
    {
      "q": 1,
      "verdict": "問題ない",
      "clause": "在宅勤務規程 第3条第2項、第5条第1項・第2項、第6条第2項、情報セキュリティ規程 第12条第1項",
      "reason": "Hさんは開発部所属であり、勤続期間にかかわらず在宅勤務が認められる。会社貸与端末を使用し、持出申請も事前提出済みで、自宅ネットワークからVPN接続しているため、提示事実上は在宅勤務の要件に反しない。"
    },
    {
      "q": 2,
      "verdict": "CSIRT緊急電話へ、発見後ただちに、遅くとも目標として2026年6月3日22時までに第一報を行うべき",
      "clause": "情報セキュリティ規程 第10条第1項・第2項、CSIRT運用 連絡細則2",
      "reason": "発見時刻は2026年6月3日21時で夜間（午後8時〜翌午前8時）に該当するため、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合はCSIRTチャットの緊急チャンネルへ投稿し、投稿時刻が第一報時刻となる。第一報は発見後ただちに行い、発見から1時間以内が目標である。"
    },
    {
      "q": 3,
      "verdict": "該当し、追加の同時報告義務が生じる",
      "clause": "情報セキュリティ規程 第10条第3項、CSIRT運用 連絡細則4",
      "reason": "漏えいした顧客リストには顧客の氏名とメールアドレスの組み合わせが含まれるため、第10条第3項の「個人情報」に該当するものとして扱う。したがってCSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。"
    }
  ],
  "insufficient": [
    {
      "topic": "ディスク暗号化の有効性",
      "reason": "情報セキュリティ規程 第12条第2項は、持ち出した端末で機密情報を扱う場合にディスク暗号化の確認を求めているが、端末の暗号化状態はケースに記載がない。"
    },
    {
      "topic": "実際の第一報の実施有無・時刻",
      "reason": "規程上の期限と手段は判断できるが、Hさんが実際にいつ誰へ連絡したかは記載がない。"
    }
  ]
}

## Metrics
```json
{
  "ttftMs": null,
  "tokens": 0,
  "tokPerSec": null,
  "wallMs": 23188,
  "toolCalls": 0,
  "toolCallInvalid": 0,
  "capHit": false,
  "errored": false,
  "crashed": false
}
```