情報セキュリティ対策の強化

ITリスクの認識と対策

当社グループは、6つのITリスクを認識しています。（図1）そのなかでも特に「情報セキュリティリスク」について、このリスクが引き起こす被害の深刻性を認識するとともに、最優先に防止すべきリスクと捉え、経営層・現場・情報システム部門が三位一体となって情報セキュリティ対策に取り組んでいます。

（*1）QCD（Quality, Cost, Delivery）：品質、費用、納期
（*2）CCPM（Critical Chain Project Management）：制約条件の理論に基づき全体最適化の観点から開発されたプロジェクト管理手法

対策状況

昨今の社会環境において、当社グループ会社も含めて企業内の情報をいかに統制するかは、重要な経営課題のひとつとなっています。2021年度、2022年度には既存の「情報セキュリティ宣言」（基本方針）を大幅に改定し、併せて「リスクマネジメント規程」、「情報管理規程」、「情報取り扱いマニュアル」、「グループ情報管理基本規程」などの関連規程も制定・改定を行い、情報セキュリティ基準に沿った具体的施策（IT統制規程類の運用、入口・出口対策、情報保護対策など）を実施しています。

具体的には「第6次IT中期計画」（2019～2021年度）にて強化した内部不正対策、IT資産管理、エンドポイント（接続された端末）の監視・対応（EDR（*3））、クラウド利用のセキュリティ対策、従業員のITリテラシー向上策（eラーニングコンテンツの拡充、標的型メール訓練の定期実施等）などの施策を継続して行っており、「第7次IT中期計画」（2022～2026年度）ではグループ会社への適用範囲を拡張して施策を実施しています。2022年度には、IT利用のルールの見直しを実施し「情報システム利用規定」に統合されています。また、セキュリティ対策要員のスキル向上のための継続的な専門教育にも取り組んでいます。（図2）

（*3）EDR（Endpoint Detection and Response）：エンドポイントにおいて脅威を継続的に監視して対応する技術

グループITセキュリティ向上

情報システム部門を中心にCSIRT（*4）／SOC（*5）を稼働しています。2022年度には国内主要グループ会社を対象に24時間365日のセキュリティ監視体制を構築しました。また、グループ会社のメディアテックおよびパートナー企業と共に情報セキュリティ支援体制を整え、各グループ会社のIT担当者とのコミュニケーションを通じてセキュリティトピックの提供やセキュリティレベルの実態把握、問題解決の指導なども行っています。

さらに、当社グループ共通のインフラと経営基盤を整備しており、業務プロセスの共通化や情報資産の適切な利活用を推進しています。以上の取り組みにより、当社グループ全体のITリスクを極小化し、ガバナンスの向上を図ります。（図3）

（*4）CSIRT（Computer Security Incident Response Team）：サイバーセキュリティ関連のインシデントが起こった場合に対応する専門組織

• 専門組織による早期の問題解決
• サイバー攻撃による被害の範囲や深刻度の判断
• セキュリティトピックの提供

（*5）SOC（Security Operation Center）：情報システムへの脅威の監視や分析などを行う役割や専門組織

• 社内IT機器のログ情報の24時間監視
• ログ分析に基づく攻撃の有無の判断
• ウイルス解析