有価証券報告書-第19期(2025/06/01-2026/05/31)

② 戦略
当社が提供するサービスは、名刺や請求書、契約書等の重要な情報資産を扱うことから、安全性・信頼性を高い水準で維持し続けることが事業運営上の前提条件となっています。このような考え方の下、当社グループでは、優先的に取り組むべき重要課題として「安全かつ安定的なインフラサービスの提供」及び「データプライバシーの保護と情報セキュリティの徹底」を特定しており、以下の6つの領域で取り組みを行っています。
(ⅰ) 各種規程の制定と目的
情報漏洩やサイバー攻撃等のリスクに対応するため、各種規程やガイドラインを整備し、管理体制を強化しています。「個人情報保護基本規程」では、JIS Q 15001に準拠した個人情報の取り扱いを定め、情報システムや情報資産の管理に関する規程を設けています。また、情報資産が適切かつ安全に管理され、有効に活用されることを目指し、情報システムの技術的な安全管理ルールや、サービス毎のプロダクトセキュリティガイドラインも策定しています。なお、全ての規程は年に一度見直しを行い、常に最新性を保つことで実効性を確保しています。
(ⅱ) セキュリティに関する教育
全社のセキュリティ意識向上のため、全役職員に「個人情報保護士」資格の取得を義務付けています。また、入社時と年に一度、情報セキュリティと個人情報保護に関する研修を全役職員に実施しています。さらに、取締役が毎月セキュリティに関する情報発信を行い、最新のリスクや取り組みを共有しています。情報資産は機密性に応じて区分し、それぞれのリスクに応じた管理策と取り扱い手順を定義しています。これらのルールの徹底を図るため、役職員の中からセキュリティ委員を指名し、役職員間で相互監査を行う体制を整えています。
(ⅲ) セキュリティ人材の確保と育成
主体的に高度なセキュリティ対策を講じることができる人材の採用や育成を強化しています。具体的には、セキュリティに関する専門知識やスキルを持つ人材を国内外から採用しているほか、特定分野に優れた人物を社内で選抜し、有識者による専門家育成を行っています。加えて、各サービスのエンジニアが実務を通じたセキュリティ意識と対応能力の向上を図っています。そのほか、高度なセキュリティ関連資格の取得を推奨し、自己学習を促進しています。
(ⅳ) 脅威への防衛体制
複雑化するサイバーセキュリティ、情報セキュリティ上の脅威に適切に対応し、安心安全なサービスの提供を行うため、防御、監視活動並びにこれらを支える体制を構築しています。ネットワークの通信制御を含む多層防御のアーキテクチャを採用し、各端末ではEDR(Endpoint Detection and Response)を導入しており、異常検知時には自社のSOCにて迅速な調査、対応が可能な体制を整備しています。また、プロダクトセキュリティチームは、サービスの開発段階から一貫してセキュリティ向上に取り組んでいるほか、CSIRTを組織することで、インシデント発生時には即座に対応できる体制を整えています。

名称	内容
24時間365日の監視活動	自社及び外部ベンダーと協力し、サイバー攻撃に対して24時間365日の監視活動を行い、異常検知時には速やかに調査及び対応を実施しています。また、社内の情報機器に対する不正行為を予防する監視活動を行っています。
定期的な脆弱性診断、ペネトレーションテストの実施	外部機関のハッカーを登用し、意図的にサイバー攻撃を行わせることで、各サービスやシステムのセキュリティレベルをテストし、強化につなげています。社内環境においてもペネトレーションテストを実施し、役職員に対しては標的型攻撃メールやBCP(Business Continuity Plan)訓練をしています。

(ⅴ) 技術的な取り組み
第三者機関や社内専門部署による脆弱性診断のほか、さまざまな技術的な取り組みを進めています。

名称	内容
通信の暗号化	外部からアクセスされたデータセンターへの通信は、ユーザー認証HTTPSによる高度な暗号化等を行っています。
紙書類のスキャン後、端末の画像を削除	名刺や請求書等の紙書類をスキャンした後、端末から画像データを削除しています。
サービスの高可用性	全てのサーバーは、ネットワーク機器の多重化等により負荷分散がなされており、障害発生時にはサービスを迅速に復旧させることが可能です。また、データセンターの二重化を行い、災害時のサービス停止リスクを最小化しています。
ゼロトラストセキュリティの採用	全社でゼロトラストセキュリティを採用し、守るべき情報資産へのアクセスにはゼロトラストベースの管理策を適用することで、社内ネットワークの内外を問わず、安全に業務を遂行できる環境を整備しています。

(ⅵ) リスクへの対応
情報セキュリティに関するリスクの発生に備え、以下の観点において体制を構築しています。

名称	内容
リスク評価と管理	リスクの発生可能性と技術及びビジネスにおける影響度を定量的に算出し、リスクの重大度を5段階に分類し、管理しています。
インシデント・脆弱性対応体制	インシデントや脆弱性を発見・検知した場合には、情報セキュリティ部がCSIRTとして初期対応を行い、CISOが最終的な判断と対応指示を行う体制を整備しています。重大な事案については経営会議及び取締役会への報告を速やかに行います。
報告しやすい文化の醸成	「軽重を問わず報告する」文化や、「報告者を責めない考え方」を明文化し、社員が萎縮せず報告できる環境を整えています。
サイバーレジリエンスの構築	攻撃や障害の発生時にも事業継続と迅速な回復を実現するため、情報資産の管理や監視・防御、インシデント対応ガイドラインの整備等を通じ、予防から検知・対応・回復・学習に至る一連の体制を構築しています。