情報セキュリティ Sustainability

企業が持つ情報資産は、常にセキュリティリスクに晒されており、万一の事故発生時には多くのステークホルダーに影響を及ぼします。情報セキュリティの確保は企業の重要な社会的責任であるという認識のもと、ゴールドウインでは2008年3月に「情報セキュリティ基本方針」を策定し、取り組んでいます。加速する事業のグローバル化やEコマースの拡大など昨今の流れを受け、2021年10月には同方針を改定し、より変化に即した管理が行えるよう推進体制を整備しています。すべての役職員が多様なリスクへの意識を高め、情報セキュリティの維持・向上に取り組み、社会に一層信頼される企業を目指します。

標的型攻撃メール訓練の実施

2023年度は、従業員がサイバー攻撃をより身近なリスクとして捉えられるよう、標的型攻撃メール訓練（4回）を実施しました。

近年、標的型攻撃メールにより特定の企業や組織を狙った重要な情報が盗まれる事案や身代金を要求される事案、ビジネス詐欺メールにより、金銭が搾取される事案が頻発しており、当社においても同種のメールの受信が確認されています。その対策の一環として、不審メール多数検知時やインシデントが発生した際に全従業員対象とした注意喚起メールを送信しています。加えて、情報セキュリティ委員会事務局より、訓練として模擬の標的型攻撃メールを従業員に送付することも行っています。従業員が標的型攻撃メールに実際に触れることにより、「疑わしいメールは開封しない」「怪しいメールを受け取った場合に、メール本文中のURLをクリックしない」「添付ファイルを開封しない」など判断できるようになり、ウイルス感染、情報漏洩等のリスクを低減させる効果が期待されます。4回の訓練において2回以上開封した従業員には別途研修動画を用意し、受講する教育を行っています。

当社では、新体制のもと全社で情報資産の管理を強化していくため、管理ルールの再整備が重要と考えています。その第一歩として、2021年度より社内で管理する情報資産の実態把握に取り組んでいます。各部門がそれぞれどのような情報を持ち、現在どう管理しているかをヒアリングし、運用状況について分析を進めます。

ゴールドウインの文書取扱規程では「極秘」「秘」「社外秘」の三つの基準が定められており、2021年度はその中で最も厳格な管理を必要とする「極秘」にあたる情報、および個人情報についての調査を行いました。2023年度は機密情報の保管場所として、電子すかしや権限によりファイルダウンロード制御が可能な機密情報フォルダを全社で運用開始しました。あわせて、個人情報・機密情報ファイルやUSBメモリ機器の棚卸も実施しています。USBメモリ機器については管理対象範囲を各店舗にも広げています。

情報セキュリティインシデント発生時には、当該者から迅速な報告を受け、組織として対応していくことが極めて重要です。当社では2021年8月、万一に備えた「情報セキュリティインシデント問い合わせ窓口」を新設し、運用を開始しています。 2023年度の問い合わせ件数は35件でうち33件はスパムメールの問い合わせでした。情報漏洩につながり得るインシデントが認められた場合、自部署の上長への報告に加え、本窓口へ直ちに連絡することを、全従業員に周知徹底しています。

情報セキュリティの重要性が高まり続ける中、今後も技術面・運用面・体制面・教育面を合わせてマネジメントの高度化を目指していきます。適切な管理指標を設定し、着実な推進に努めます。

次年度以降は、事業で使用する主要なコンピュータ、ネットワーク等のそれぞれのリスクを評価し、優先度をつけた対策の検討を進めるほか、情報セキュリティのマネジメントを専属で行う人員の確保と、専管組織の立ち上げによるさらなる体制強化に取り組む計画です。