有価証券報告書-第18期(2024/06/01-2025/05/31)

(4)情報セキュリティ関連の取り組み
①ガバナンス
当社グループでは、事業活動を通じて取り扱う全ての情報資産を厳格に管理し、プライバシーを尊重することが企業の社会的責務であり、当社グループの持続的な成長や企業価値の向上のために不可欠な経営基盤であると考えています。このような考え方の下、「安全かつ安定的なインフラサービスの提供」「データプライバシーの保護と情報セキュリティの徹底」を優先的に取り組むべき重要課題に位置付けており、当社取締役をCISO(最高情報セキュリティ責任者)、DPO(データ保護責任者)及び個人情報保護管理者として任命しています。同取締役が全社的なリスク対応を統括した上で、経営会議に定期的に状況を報告し、経営レベルでの迅速な意思決定を促します。また、専門部署として情報セキュリティ部を設置し、CSIRT(Computer Security Incident Response Team)機能や内製SOC(Security Operation Center)による24時間365日の監視及び分析体制を構築しています。加えて、隔週で情報セキュリティ・プライバシー委員会を開催し、リスク分析や対策、ルール整備を継続的に行っています。これらの体制の下で検討されたデータプライバシーと情報セキュリティに関する取り組みについては、定期的に取締役会に報告されており、重要事項については、取締役会が審議し、決定しています。これにより、プライバシーとセキュリティ双方のリスクに対し、迅速かつ全方位的に対処できる体制を整えています。
②戦略
当社グループでは、データプライバシーと情報セキュリティに関して、主に次の取り組みを行っています。
(ⅰ)各種規程の制定と目的
情報漏洩やサイバー攻撃等のリスクに対応するため、各種規程やガイドラインを整備し、管理体制を強化しています。「個人情報保護基本規程」では、JIS Q 15001に準拠した個人情報の取り扱いを定め、情報システムや情報資産の管理に関する規程を設けています。また、情報資産が適切かつ安全に管理され、有効に活用されることを目指し、情報システムの技術的な安全管理ルールや、サービス毎のプロダクトセキュリティガイドラインも策定しています。なお、全ての規程は年に一度見直しを行い、常に最新性を保つことで実効性を確保しています。
(ⅱ)セキュリティに関する教育
全社のセキュリティ意識向上のため、全役職員に「個人情報保護士」資格の取得を義務付けています。また、入社時と年に一度、情報セキュリティと個人情報保護に関する研修を全役職員に実施しています。さらに、取締役が毎月セキュリティに関する情報発信を行い、最新のリスクや取り組みを共有しています。情報資産は機密性に応じて区分し、それぞれのリスクに応じた管理策と取り扱い手順を定義しています。これらのルールの徹底を図るため、役職員の中からセキュリティ委員を指名し、役職員間で相互監査を行う体制を整えています。
(ⅲ)セキュリティ人材の確保と育成
主体的に高度なセキュリティ対策を講じることができる人材の採用や育成を強化しています。具体的には、セキュリティに関する専門知識やスキルを持つ人材を国内外から採用しているほか、特定分野に優れた人物を社内で選抜し、有識者による専門家育成を行っています。加えて、各サービスのエンジニアがCSIRTを兼務することで、実務を通じたセキュリティ意識と対応能力の向上を図っています。そのほか、高度なセキュリティ関連資格の取得を推奨し、自己学習を促進しています。
(ⅳ)脅威への防衛体制
複雑化するサイバーセキュリティ、情報セキュリティ上の脅威に適切に対応し、安心安全なサービスの提供を行うため、防御、監視活動並びにこれらを支える体制を構築しています。ネットワークの通信制御を含む多層防御のアーキテクチャを採用し、各端末ではEDR(Endpoint Detection and Response)を導入しており、異常検知時には自社のSOCにて迅速な調査、対応が可能な体制を整備しています。また、プロダクトセキュリティチームは、サービスの開発段階から一貫してセキュリティ向上に取り組んでいるほか、CSIRTを組織することで、インシデント発生時には即座に対応できる体制を整えています。

名称	内容
24時間365日の監視活動	自社及び外部ベンダーと協力し、サイバー攻撃に対して24時間365日の監視活動を行い、異常検知時には速やかに調査及び対応を実施しています。また、社内の情報機器に対する不正行為を予防する監視活動を行っています。
定期的な脆弱性診断、ペネトレーションテストの実施	外部機関のハッカーを登用し、意図的にサイバー攻撃を行わせることで、各サービスやシステムのセキュリティレベルをテストし、強化につなげています。社内環境においてもペネトレーションテストを実施し、役職員に対しては標的型攻撃メールやBCP(Business Continuity Plan)訓練をしています。

(ⅴ)技術的な取り組み
第三者機関や社内専門部署による脆弱性診断のほか、さまざまな技術的な取り組みを進めています。

名称	内容
通信の暗号化	外部からアクセスされたデータセンターへの通信は、ユーザー認証HTTPSによる高度な暗号化等を行っています。
紙書類のスキャン後、端末の画像を削除	名刺や請求書等の紙書類をスキャンした後、端末から画像データを削除しています。
サービスの高可用性	全てのサーバーは、ネットワーク機器の多重化等により負荷分散がなされており、障害発生時にはサービスを迅速に復旧させることが可能です。また、データセンターの二重化を行い、災害時のサービス停止リスクを最小化しています。
ゼロトラストセキュリティの採用	全社でゼロトラストセキュリティを採用し、守るべき情報資産へのアクセスにはゼロトラストベースの管理策を適用することで、社内ネットワークの内外を問わず、安全に業務を遂行できる環境を整備しています。

③リスク管理
当社グループでは、プライバシーや情報セキュリティに関するリスクは、経営や事業に重大な影響を及ぼす可能性があるものと認識し、全社的なリスク管理の一環として、その把握と分析に努めています。全社的なリスクの内容については、「第2 事業の状況 3 事業等のリスク」に記載しています。
情報セキュリティリスクについては、評価基準を定めた上で、体系的なリスク評価と管理を実施しています。まず、脅威と脆弱性の観点からリスクの発生可能性と影響度を定量的に評価し、その結果に基づきリスクの重大度を分類します。その後、分類されたリスク毎に受容可否を判断し、必要に応じた適切な管理をしています。
④指標及び目標
当社グループでは、データプライバシーや情報セキュリティに関する取り組みについて、主には以下の評価指標を定め、進捗をモニタリングしています。また、一部の指標については、2030年5月期における目標を設定しています。

重要課題	評価指標及び2030年5月期目標	当連結会計年度
安全かつ安定的なインフラサービスの提供	重大なインシデント発生件数:0件	0件
データプライバシーの保護と情報セキュリ ティの徹底	個人情報保護士取得率:80%以上の維持	90.6%
	情報セキュリティ関連研修の総参加時間	約5,600時間