# gemini / shisya-rules-06

## Prompt
あなたは情報セキュリティ担当です。添付の『情報セキュリティ規程』『在宅勤務規程』『CSIRT運用 連絡細則』だけを根拠に、以下のケースを審査してください。

【ケース】
2026年6月3日（水）、開発部のHさん（2026年4月1日入社、勤続2か月）が在宅勤務中に、業務で使う顧客リスト（顧客の氏名とメールアドレスの組み合わせを含む）を誤って外部の取引先に送信してしまったことに、同日午後9時に気づいた。Hさんは会社貸与のノートPCを使用し、持出申請は事前に提出済み、自宅ネットワークからVPN接続していた。

【指示】
1. Hさんが在宅勤務を行えること自体が規程上問題ないか、根拠条項を示して判定してください。
2. このインシデントの第一報を、Hさんは誰に・どの手段で・いつまでに行うべきか、根拠条項・細則を示してください（夜間である点に注意）。
3. この漏えいが情報セキュリティ規程 第10条第3項の『個人情報』に該当し、追加の報告義務が生じるか、根拠を示して判定してください。
4. 添付規程から判断できない事項があれば『情報不足』として挙げ、推測で断定しないでください。
5. 回答は必ず次のJSON形式で出力してください（前後に説明文を付けない）。

{
  "answers": [{ "q": 1, "verdict": "...", "clause": "第N条/細則N", "reason": "..." }],
  "insufficient": [{ "topic": "...", "reason": "..." }]
}
## 添付ファイル: fixtures/infosec-kitei.md

# 情報セキュリティ規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年2月1日

## 第10条（インシデント報告）

1. 情報漏えい、紛失、マルウェア感染その他のセキュリティインシデントを発見した従業員は、発見後ただちにCSIRT窓口へ第一報を行わなければならない。
2. 第一報は、発見から1時間以内に行うことを目標とする。
3. 個人情報の漏えいまたはそのおそれがある事案については、CSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。

## 第12条（端末の持ち出し）

1. 業務端末を社外へ持ち出す場合は、事前に所属長の許可を得て持出申請を行うこと。
2. 持ち出した端末で機密情報を扱う場合は、ディスク暗号化が有効であることを確認しなければならない。

## 第15条（パスワード）

1. パスワードは12文字以上とし、英大文字・英小文字・数字・記号のうち3種類以上を含めること。
2. パスワードは90日ごとに変更すること。


## 添付ファイル: fixtures/zaitaku-kitei.md

# 在宅勤務規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年5月1日

## 第3条（在宅勤務の対象）

1. 在宅勤務は、原則として勤続6か月以上の従業員を対象とする。
2. 開発部および情報システム部については、勤続期間にかかわらず在宅勤務を認める。

## 第5条（在宅勤務時の端末）

1. 在宅勤務では会社貸与端末のみを使用する。私物端末（BYOD）の使用は禁止する。
2. 在宅勤務で会社貸与端末を自宅へ持ち帰る場合も、情報セキュリティ規程 第12条の持出申請を要する。

## 第6条（在宅勤務時のネットワーク）

1. 公衆無線LAN（カフェ・駅等）の業務利用は禁止する。
2. 自宅のネットワークを利用する場合は、VPN接続を必須とする。


## 添付ファイル: fixtures/csirt-renraku-saiko.md

# CSIRT運用 連絡細則（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年4月1日

## 細則2（夜間・休日の第一報）

情報セキュリティ規程 第10条の第一報について、夜間（午後8時〜翌午前8時）および土日祝日に発生・発見した事案は、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合は、CSIRTチャットの緊急チャンネルへ投稿し、投稿時刻をもって第一報の時刻とみなす。

## 細則4（個人情報該当の判断）

漏えいした情報に氏名と他の情報（住所・電話番号・メールアドレス等）の組み合わせが含まれる場合、または顧客IDと購買履歴が紐づく場合は、情報セキュリティ規程 第10条第3項の「個人情報」に該当するものとして扱う。判断に迷う場合は該当とみなして報告する。


## Answer
提供された規程および細則に基づき、審査結果を回答いたします。

```json
{
  "answers": [
    {
      "q": 1,
      "verdict": "問題なし",
      "clause": "在宅勤務規程 第3条第2項",
      "reason": "在宅勤務は原則として勤続6か月以上の従業員が対象ですが、開発部については勤続期間にかかわらず認められているため。"
    },
    {
      "q": 2,
      "verdict": "CSIRT緊急電話へ、午後10時までに行うべき",
      "clause": "情報セキュリティ規程 第10条第1項・第2項 / CSIRT運用 連絡細則 細則2",
      "reason": "発見後ただちに（目標1時間以内）第一報を行う必要があり、発見時刻が午後9時（夜間）であるため、連絡手段はCSIRT緊急電話となるため（応答しない場合はチャット）。"
    },
    {
      "q": 3,
      "verdict": "該当する（追加の報告義務が生じる）",
      "clause": "情報セキュリティ規程 第10条第3項 / CSIRT運用 連絡細則 細則4",
      "reason": "氏名とメールアドレスの組み合わせは細則により「個人情報」として扱われるため。これによりCSIRT窓口だけでなく、情報保護責任者への同時報告義務が生じる。"
    }
  ],
  "insufficient": [
    {
      "topic": "ディスク暗号化の状況",
      "reason": "機密情報を扱う端末の持ち出し時に、ディスク暗号化が有効であることを確認していたかどうかが不明であるため（情報セキュリティ規程 第12条第2項）。"
    },
    {
      "topic": "情報保護責任者への夜間連絡手段",
      "reason": "個人情報漏えい時の報告先である情報保護責任者に対し、夜間（午後9時）にどのような手段で報告すべきかについて、提供された規程・細則に記載がないため。"
    }
  ]
}
```

## Metrics
```json
{
  "ttftMs": null,
  "tokens": 0,
  "tokPerSec": null,
  "wallMs": 18568,
  "toolCalls": 0,
  "toolCallInvalid": 0,
  "capHit": false,
  "errored": false,
  "crashed": false
}
```