取り組み

ヨコオグループは、情報セキュリティポリシーを基盤に、ISMS・認証、NISTフレームワーク、教育・啓発、脆弱性確認、インシデント対応、事業継続、監査・審査を一体的に推進し、情報資産の保護と継続的な改善に取り組んでいます。

ISMS・認証を基盤とした情報セキュリティ管理

ヨコオグループは、情報セキュリティポリシーのもと、情報セキュリティマネジメントシステム（ISMS）を構築し、グループ全体で情報セキュリティ活動を推進しています。ISMSでは、情報資産の特定、リスク評価、運用ルールの整備、教育、内部監査、是正・改善活動を通じて、情報の機密性・完全性・可用性を確保することを目指しています。 2014年12月には、ヨコオ本社と国内グループ会社においてISO27001を取得し、主要拠点においても、順次、認証取得・維持に向けた取り組みを進めています。また、プライバシー情報の管理についても、ISO27701の考え方を踏まえた運用を進め、個人情報を含む重要情報の適切な取り扱いと保護に取り組んでいます。 今後は、認証の維持だけでなく、内部監査や外部審査で確認された改善の機会を活かし、国内外の拠点における管理水準の向上と、管理負荷の効率化の両立を図ります。

NISTフレームワークを活用したリスク管理

ヨコオグループは、情報資産の不適正な開示、漏えい、破壊、改ざん、目的外使用を防ぎ、適切に保護するため、NISTサイバーセキュリティフレームワークを参考に、リスク管理と対策の強化を進めています。NISTの考え方を活用することで、情報資産やリスクを把握する「特定」、攻撃を防ぐ「防御」、脅威を早期に把握する「検知」、インシデント発生時の「対応」、事業継続を支える「復旧」を一連の活動として捉えています。 情報セキュリティ委員会を中心に、国内外拠点のリスク把握、内部監査、教育、技術対策、インシデント対応の改善を継続し、リスクの変化に応じて管理体制を見直しています。これにより、情報セキュリティを一部門の専門業務にとどめず、事業継続、顧客・取引先からの信頼、サプライチェーンの安全性を支える全社的な活動として推進しています。

教育・啓発とフィッシングメール訓練

ヨコオグループでは、メールアドレスを保有するグループスタッフや協力企業スタッフを対象に、eラーニングやフィッシングメール訓練を実施し、注意喚起ニュースや情報セキュリティハンドブックを通じて、継続的な啓発を行っています。 セキュリティトレーニングでは、セキュリティ意識向上、データ保護、AI利用時のリスク、インターネット利用時の注意、フィッシングメールへの対応など、実務に即したテーマを取り上げています。また、不審メールや生成AI、外部サービス、サプライチェーン攻撃など、リスクの変化に応じた注意喚起を行い、被害防止と事故予防につなげています。 今後も、年間計画に基づく教育・訓練と、タイムリーな注意喚起を組み合わせ、グループ全体で安全な情報利用の定着を図ります。

脆弱性確認と技術的対策

サイバー攻撃が高度化する中、外部公開サイトや重要な情報システムの脆弱性を把握し、優先度に応じて対応することが重要です。当社グループでは、外部公開サイトや社内システムに関するリスクを確認し、脆弱性への対応、技術的リスクの洗い出し、対策の改善を進めています。 技術的対策としては、脅威検知、アクセス管理、ネットワーク防御、インシデント管理などの強化に取り組み、攻撃の早期検知、被害拡大の防止、迅速な対応につなげています。また、情報セキュリティ委員会では、外部公開サイトの定期的な脆弱性確認、優先度の高い脆弱性への対応、サプライチェーンを含む予防型のリスク管理を今後の重点テーマとして整理しています。

インシデント報告とCSIRTによる対応

情報セキュリティインシデントまたはその疑いを検知した場合には、速やかに関係部門へ共有し、被害の拡大防止と早期対応につなげることが重要です。当社グループでは、情報セキュリティ委員会、各部門の情報セキュリティ管理責任者・管理者、CSIRT、情報システム部門などが連携し、インシデントへの初動対応、原因や影響範囲の確認、再発防止策の検討を行う体制を整えています。 不審なメールや情報セキュリティ上の懸念を確認した場合には、所定の報告ルートを通じて速やかに共有し、内容に応じて関係部門が連携して対応します。重大な事案では、事業継続、外部報告、法的対応、顧客・取引先対応を含めた対応方針を検討し、執行経営会議およびサステナビリティ委員会で対応状況を確認するとともに、必要に応じて取締役会へ報告します。

生成AIの安全な活用に向けたガバナンス

ヨコオグループは、生成AIを業務の高度化や生産性向上に活用する一方、情報漏えい、権利侵害、誤情報の利用などのリスクを適切に管理するため、AIセキュリティガバナンス方針に基づく「生成AIの利用ガイドライン」を定めています。業務で利用できる生成AIサービスは、会社が法人契約し、情報セキュリティ委員会の審議を経て承認したものに限定し、新たなサービスを導入する場合は、利用目的、対象データ、利用者の範囲を明確にしたうえで、部門長による判断と情報セキュリティ委員会によるリスク評価を行います。 ガイドラインでは、取り扱う情報の種類や利用サービスのリスクに応じたデータ入力ルールを定めるとともに、生成物の正確性、著作権・商標権などの権利侵害、商用利用の可否を利用者自身が確認し、最終的な判断を人が行うことを求めています。また、情報セキュリティ委員会、IT本部、事業部長・本部長、利用者の役割を明確にし、技術的対策、人的対策、組織的対策を組み合わせて運用しています。今後も、法令や社会環境、生成AIサービスの変化を踏まえてガイドラインを継続的に見直し、セキュリティと積極的な活用を両立していきます。

事業継続と復旧への備え

重大なセキュリティインシデントは、情報システムだけでなく、事業継続、顧客・取引先対応、社会的信頼にも影響を及ぼす可能性があります。当社グループでは、重大な事案に備え、対応フローの明確化、緊急対策本部の位置づけ、初期対応、証拠保全、BCP施策、従業員向け情報共有、顧客・取引先への通知、適時開示などの整理を進めています。 また、速やかな復旧を実現するため、重要システムの復旧手順や復旧訓練の整備を進め、インシデント発生時に事業への影響を最小化できるよう、対応力の向上に取り組んでいます。

内部監査・外部審査と継続的改善

ヨコオグループでは、ISO27001およびISO27701の枠組みに基づき、情報セキュリティマネジメントシステムとプライバシー情報マネジメントシステムの維持・改善に取り組んでいます。内部監査では、ISO27001:2022およびISO27701:2019の要求事項、ISMSマニュアル、適用宣言書、関連社内標準に基づき、対象組織・部門の運用状況を確認しています。 2025年度の内部監査では、国内外の複数拠点を対象に、管理状況、教育・訓練の定着度、関連社内標準に基づく運用状況などを確認しています。外部審査や内部監査で確認された改善指摘事項および改善の機会については、関係部門が対応状況を確認し、継続的な改善につなげています。

活動事例／サステナブルストーリーズ

このテーマに関連する具体的な取り組みについて、その背景や挑戦、そこから生まれる価値をサステナブルストーリーズでご紹介します。

KPI・実績

関連情報

情報セキュリティを支える全社的な管理の考え方や関連する取り組み、実績データについて、目的に応じて以下の関連情報からご確認いただけます。