情報セキュリティに関する基本方針

情報セキュリティの位置づけ及び考え

当社は、事業の継続性及び当社を取り巻くステークホルダーの皆さまをはじめとした社会からの信頼の構築及び向上を最重要課題と捉え、情報セキュリティ対策を経営の根幹として位置づけています。

近年、サイバー攻撃は高度化・巧妙化の一途をたどっており、企業を取り巻くセキュリティリスクは増大しています。当社は、これらのリスクに対応するため、セキュリティポリシーに基づいたリスクアセスメントを行い、従来の「境界型防御^※1」に代わり、「ゼロトラストセキュリティ^※2」の考え方を取り入れ、多層防御によるセキュリティ体制の強化に取り組んでいます。

万が一のセキュリティインシデント発生時にも、事業を継続し、社会及びステークホルダーの皆さまからの信頼を損なうことのないよう、セキュリティ対策を継続的に改善してまいります。

• 境界型防御：社内ネットワークと社外ネットワークの間に明確な「境界」を設定し、その境界線上にファイアウォールなどの装置を設置して、外部からの脅威の侵入を防ぐことに重点を置く考え方です。
• ゼロトラストセキュリティ：全てのアクセスを検証するセキュリティの考え方です。従来の「境界型防御」のように、社内ネットワークを安全とみなすのではなく、社内外の通信を全て信頼せず、アクセスするたびに認証・認可を行うことで、セキュリティを確保します。

具体的な対策

ゼロトラストセキュリティの取り組み

当社では、ゼロトラストセキュリティの考え方に基づき、社内ネットワーク、クラウドサービス、社員の端末など、あらゆる場所に存在する情報資産を保護しています。

具体的には、社員等のアクセスを厳格に管理し、許可されたユーザーのみが適切な情報にアクセスできるように適切に管理及び制御を行っております。また、最新のセキュリティ技術を導入し、不正アクセスや情報漏えいを防ぐための対策を講じています。

外部からのサイバー攻撃に対する対策

当社は、高度化・巧妙化する外部からのサイバー攻撃に対し、多層防御による強固なセキュリティ体制を構築しています。

具体的には、以下の通りです。

EDR（Endpoint Detection and Response）	エンドポイントにおける不審な挙動をリアルタイムに検知・分析し、迅速な対応を可能にします。
EASM（External Attack Surface Management）	インターネット上に公開されているシステムやサービスを継続的に監視し、潜在的な脆弱性を特定・管理します。
脆弱性管理	システムやソフトウェアの脆弱性を定期的に診断し、適切な対策を講じることで、攻撃のリスクを低減します。

これらの対策に加え、最新のサイバー攻撃に関する情報を収集・分析することで、不審な通信の遮断や、攻撃に悪用される可能性のあるソフトウェアの利用制限など、予防的な対策を実現しています。

教育

一般社員及び管理監督者向け研修

新卒・中途入社社員に対しては、新入社員向け研修の中で、情報セキュリティに関する基礎知識や社内ルールなどを教育・指導することで周知徹底・啓蒙を行っております。

また、管理監督職を対象として、セキュリティリスク管理、セキュリティインシデント対応、部下への指導・教育に取り組んでおります。このように、管理監督職としての責任と役割を理解するための研修を実施しています。

さらに、全社員を対象に、最新の脅威情報やセキュリティ対策を学ぶeラーニング、標的型攻撃メール訓練などを実施し、常に最新のセキュリティ知識を習得できる機会及び環境を提供しています。

セキュリティ人材の育成

当社では、効果的なセキュリティ対策を講じるために、日頃よりセキュリティ人材の育成に力を入れています。
社外のセキュリティセミナーへの参加、一般社団法人日本シーサート協議会（以下、NCA）^※1の会合への参加を通して、専門知識・スキルの向上を支援しています。
また、「NISC/NCA連携全分野一斉演習^※3」への参加を通じて、実践的なセキュリティインシデントへの対応能力の向上を図っております。

• 一般社団法人日本シーサート協議会（NCA）：日本国内のシーサート（CSIRT）^※2間の緊密な連携を図り、シーサートにおける課題解決に貢献するための組織。
• CSIRT（Computer Security Incident Response Team）：コンピュータセキュリティの事故やセキュリティインシデントに対応するチーム。当社グループでは社内にセキュリティ監視・対応チームとして「Ateam-CSIRT」を設置し、NCAに加盟しております。
• NISC/NCA連携全分野一斉演習：NISC（内閣サイバーセキュリティセンター）とNCAが連携して実施する、大規模なサイバー攻撃を想定した演習。

セキュリティインシデント対応

セキュリティインシデント対応フロー

当社では、セキュリティインシデント（情報セキュリティ事故や事象）発生時の対応を適切に行うため、専門チーム「Ateam-CSIRT^※1」を中心とした体制を構築し、対応フローを整備しております。セキュリティ製品の運用やネットワーク監視などの技術的な対策を講じることで、セキュリティインシデントの発生を未然に防ぐよう努めています。

重大なセキュリティインシデント発生時には Ateam-CSIRTが、取締役に事象の報告を行い、必要に応じて取締役やAteam-SOC^※2および外部専門機関と連携し、専門的な知見や技術を活用して対応にあたります。過去のセキュリティインシデント対応の経験を活かし、対応フローや体制を継続的に改善することで、より強固なセキュリティ体制を構築し、大切な情報資産を保護してまいります。

• Ateam-CSIRT：セキュリティインシデント発生時に、統一性、一貫性を持った対応ができるように当社グループ全体を所管とする組織として、法務担当、広報担当およびAteam-SOCで構成されます。セキュリティインシデント対応時に取締役、コーポレート部門、セキュリティインシデント対象のグループ会社および外部組織と適宜連携を行うことで被害を最小化し、迅速な復旧を支援します。
• Ateam-SOC：セキュリティインシデントの監視、検知、および技術的な対応を行う、高度なセキュリティ知識を有するセキュリティ管理者で構成される組織です。

体制図