# qwen2.5-coder:14b / shisya-rules-06

## Prompt
あなたは情報セキュリティ担当です。添付の『情報セキュリティ規程』『在宅勤務規程』『CSIRT運用 連絡細則』だけを根拠に、以下のケースを審査してください。

【ケース】
2026年6月3日（水）、開発部のHさん（2026年4月1日入社、勤続2か月）が在宅勤務中に、業務で使う顧客リスト（顧客の氏名とメールアドレスの組み合わせを含む）を誤って外部の取引先に送信してしまったことに、同日午後9時に気づいた。Hさんは会社貸与のノートPCを使用し、持出申請は事前に提出済み、自宅ネットワークからVPN接続していた。

【指示】
1. Hさんが在宅勤務を行えること自体が規程上問題ないか、根拠条項を示して判定してください。
2. このインシデントの第一報を、Hさんは誰に・どの手段で・いつまでに行うべきか、根拠条項・細則を示してください（夜間である点に注意）。
3. この漏えいが情報セキュリティ規程 第10条第3項の『個人情報』に該当し、追加の報告義務が生じるか、根拠を示して判定してください。
4. 添付規程から判断できない事項があれば『情報不足』として挙げ、推測で断定しないでください。
5. 回答は必ず次のJSON形式で出力してください（前後に説明文を付けない）。

{
  "answers": [{ "q": 1, "verdict": "...", "clause": "第N条/細則N", "reason": "..." }],
  "insufficient": [{ "topic": "...", "reason": "..." }]
}
## 添付ファイル: fixtures/infosec-kitei.md

# 情報セキュリティ規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年2月1日

## 第10条（インシデント報告）

1. 情報漏えい、紛失、マルウェア感染その他のセキュリティインシデントを発見した従業員は、発見後ただちにCSIRT窓口へ第一報を行わなければならない。
2. 第一報は、発見から1時間以内に行うことを目標とする。
3. 個人情報の漏えいまたはそのおそれがある事案については、CSIRT窓口への報告に加え、情報保護責任者へも同時に報告しなければならない。

## 第12条（端末の持ち出し）

1. 業務端末を社外へ持ち出す場合は、事前に所属長の許可を得て持出申請を行うこと。
2. 持ち出した端末で機密情報を扱う場合は、ディスク暗号化が有効であることを確認しなければならない。

## 第15条（パスワード）

1. パスワードは12文字以上とし、英大文字・英小文字・数字・記号のうち3種類以上を含めること。
2. パスワードは90日ごとに変更すること。


## 添付ファイル: fixtures/zaitaku-kitei.md

# 在宅勤務規程（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年5月1日

## 第3条（在宅勤務の対象）

1. 在宅勤務は、原則として勤続6か月以上の従業員を対象とする。
2. 開発部および情報システム部については、勤続期間にかかわらず在宅勤務を認める。

## 第5条（在宅勤務時の端末）

1. 在宅勤務では会社貸与端末のみを使用する。私物端末（BYOD）の使用は禁止する。
2. 在宅勤務で会社貸与端末を自宅へ持ち帰る場合も、情報セキュリティ規程 第12条の持出申請を要する。

## 第6条（在宅勤務時のネットワーク）

1. 公衆無線LAN（カフェ・駅等）の業務利用は禁止する。
2. 自宅のネットワークを利用する場合は、VPN接続を必須とする。


## 添付ファイル: fixtures/csirt-renraku-saiko.md

# CSIRT運用 連絡細則（抜粋）— 株式会社アオイ情報サービス（架空）

最終改定: 2026年4月1日

## 細則2（夜間・休日の第一報）

情報セキュリティ規程 第10条の第一報について、夜間（午後8時〜翌午前8時）および土日祝日に発生・発見した事案は、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合は、CSIRTチャットの緊急チャンネルへ投稿し、投稿時刻をもって第一報の時刻とみなす。

## 細則4（個人情報該当の判断）

漏えいした情報に氏名と他の情報（住所・電話番号・メールアドレス等）の組み合わせが含まれる場合、または顧客IDと購買履歴が紐づく場合は、情報セキュリティ規程 第10条第3項の「個人情報」に該当するものとして扱う。判断に迷う場合は該当とみなして報告する。


## Answer
```json
{
  "answers": [
    {
      "q": 1,
      "verdict": "問題ない",
      "clause": "在宅勤務規程 第3条/第5条",
      "reason": "Hさんは開発部に所属しており、在宅勤務規程第3条によると開発部については勤続期間にかかわらず在宅勤務を認める。また、在宅勤務時にも会社貸与端末を使用し、持出申請も事前に提出済みであるため、規程上問題ない。"
    },
    {
      "q": 2,
      "verdict": "CSIRT緊急電話へ連絡",
      "clause": "CSIRT運用 連絡細則 細則2",
      "reason": "インシデントが夜間（午後8時〜翌午前8時）に発生したため、CSIRT緊急電話へ連絡する。緊急電話が応答しない場合は、CSIRTチャットの緊急チャンネルへ投稿し、投稿時刻をもって第一報の時刻とみなす。"
    },
    {
      "q": 3,
      "verdict": "該当",
      "clause": "情報セキュリティ規程 第10条第3項/CSIRT運用 連絡細則 細則4",
      "reason": "漏えいした顧客リストに氏名とメールアドレスの組み合わせが含まれているため、情報セキュリティ規程第10条第3項の「個人情報」に該当する。また、CSIRT運用連絡細則細則4によると、このような場合情報保護責任者へも同時に報告しなければならない。"
    }
  ],
  "insufficient": [
    {
      "topic": "Hさんの持出申請の詳細",
      "reason": "添付規程には持出申請が事前に提出済みであることが記載されているが、具体的な申請内容や承認状況については不明確。"
    }
  ]
}
```

## Metrics
```json
{
  "ttftMs": 5072,
  "tokens": 465,
  "tokPerSec": 69.51711765585289,
  "wallMs": 11761,
  "toolCalls": 0,
  "toolCallInvalid": 0,
  "capHit": false,
  "errored": false,
  "crashed": false
}
```