情報セキュリティ

パナソニック コネクトは、情報セキュリティを経営の重要戦略の一つと位置付け、お客様の満足と信頼の獲得、健全なる情報化社会の実現を目指しています。

近年のサイバー攻撃はますます巧妙化し、高度化しています。当社は、顧客企業の機密情報や個人情報を扱ったIoTソリューションやAI技術を提供しています。この状況を踏まえた適切なセキュリティ対策が不可欠です。そのため、当社では製品やサービスの設計初期段階から、ライフサイクル（企画・設計・実装・検証診断・運用保守）の視点でリスク評価を行い、暗号化やアクセス制御などの技術対策を導入しています。また、日々発生する新たな脅威に対応するため、定期的なセキュリティ監査や脆弱性評価を実施しています。さらに、サイバー攻撃に対する予防・検知・対応のため、サイバーセキュリティインシデント対応体制を整備しています。

このような対策により、当社は、ビジネスの持続性や成長を支える信頼性の高い製品/サービスを提供していきます。

国内外を問わず、個人情報の取り扱いやデータプライバシーに対する関心が高まっています。当社でも、従業員全員が個人情報の重要性を理解し、適切に管理することが必要だと認識しています。そのため、個人情報保護の取り組みを情報セキュリティ基本活動に組み込んでいます。当社が提供するサービスにおいて個人情報を取り扱う場合は、社内の専門職員が、個人情報取扱いスキームやコンプライアンス適合性を事前に精査し、法令に適合した対応を行っています。

当社は、お客様からお預かりした個人情報をしっかりと保護し、信頼を築くことが大切だと考えています。

当社は、情報セキュリティガバナンスの強化策として、情報セキュリティ体制の構築、ルールの制定、教育、サプライチェーン情報セキュリティ対応、内部監査・ISO/IEC 27001認証取得等包括的に取り組んでいます。これにより、情報セキュリティに関するリスクを最小限に抑えることができています。しかしながら、技術革新によりセキュリティに関するリスクは常に変化しています。当社は、新たな脅威に対応するため、今後も情報セキュリティ活動をアップデートし続けていきます。

本サイトでは、当社の情報セキュリティの取り組みをご紹介しています。是非、ご一読いただき、私たちの情報セキュリティに対する取り組みと姿勢をご理解いただけますようお願いいたします。

各組織で情報管理が適切に行われるように、年度初頭に情報セキュリティ事務局が、情報セキュリティ年間活動計画を策定、展開しています。各組織は、本活動計画に従って、リスク低減に努めます。

基礎活動として、部門単位での体制の構築、お客様からお預かり・管理している各種情報資産の特定（棚卸）や分類、導入している管理施策の実施状況確認、リスクアセスメントなど、PDCA（Plan-Do-Check-Action）サイクルに基づいて取組むように年間計画を定めています。また、これら活動は全員取り組みという観点から、どの組織でも、誰もがスムーズに進めることができるように、活動別に標準手引書を準備し、各組織へ周知徹底しています。

基礎活動以外に、委託先への情報セキュリティへの取り組み依頼や、個人情報保護活動、教育も年間活動に組み入れ、全方位で漏れの無いように取り組んでいます。特に、資産を取り扱うのは“人”であるという観点から、情報セキュリティ教育を重要視し、複数のカテゴリーの教育を提供・実施しています。チェックフェーズでの内部監査は、監査人としてパナソニックグループ社内資格認定を受け、十分に力量が備わった人材が各組織を定期的に監査しています。

これらの活動は、ISO/IEC 27001（情報セキュリティマネジメントシステム）に照らし合わせ、内部及び外部の課題、利害関係者からの要望等の結果を含めてCISOへ報告され、今後の方向性についての指示を受けています。そして翌年の情報セキュリティマネジメントをサイクルとして回すことにより、年々変化する脅威に対する継続的な改善活動につなげて、スパイラルアップを図っています。

ITを駆使するパナソニック コネクトにおいて、情報セキュリティにおけるサイバーセキュリティの位置づけはますます重要になっています。

■ 体制

パナソニック コネクトに配置されたCSIRT^※1は、サイバー攻撃や脆弱性の検出・分析・対策などを行うことで、製品やサービス、社内環境のセキュリティを向上させる役割を果たしています。
パナソニック コネクトのCSIRTは、パナソニックホールディングスのCSIRTや、事業部・各職場との縦の連携はもちろん、PSIRT^※2、FSIRT^※3とも横連携し、各種の予防・防御や各種検査の対策を通じて、サイバーセキュリティリスクを極小化する取り組みを行っています。
また、パナソニックグループとして「日本シーサート協議会（一般社団法人 日本コンピュータセキュリティインシデント対応チーム協議会）」に加盟し外部機関の組織と連携しています。

■ 技術的対策

従来の境界型防御の考え方に、ゼロトラストの考え方も加え、多層防御の仕組みを導入しています。具体的には、PC・サーバにはEPP^※4やEDR^※5、ネットワーク上のアクセスには多要素認証、WebサイトにはWAF^※6を導入するなどして、サイバー攻撃からの防御策を講じています。実装すべき防御策を定義すると同時に、定期的なセキュリティ監査や脆弱性評価を実施し、新たな脅威へも対応しています。また、拡大するクラウド等の技術の利用に応じて、事前の安全確認体制を充実させ、ビジネス部門を含めた社内の安全なIT利用環境の構築を支援しています。

■ サイバー教育・訓練

定期的にサイバー教育コンテンツを用いた従業員教育や、標的型メール攻撃を装った疑似メールを用いた訓練を実施し、サイバーセキュリティの周知・啓蒙活動に取り組んでいます。

※1 CSIRT…Computer Security Incident Response Teamの略で、コンピュータやネットワークに関するセキュリティインシデントに対応する組織のこと。
※2 PSIRT…Product Security Incident Response Teamの略で、製品に関するセキュリティインシデントに対応する組織のこと。
※3 FSIRT…Factory Security Incident Response Teamの略で、工場や生産設備に関するセキュリティインシデントに対応する組織のこと。
※4 EPP…Endpoint Protection Platformの略で、アンチウイルスソフトのような、マルウェアの感染を防ぐソフトウェアのこと。
※5 EDR…Endpoint Detection and Responseの略で、マルウェア感染後の対応を支援するソフトウェアのこと。
※6 WAF…Web Application Firewallの略で、Webアプリケーションの脆弱性を悪用した攻撃からの防御を行うツールのこと。

パナソニック コネクトでは、お客様からお預かりした情報や個人情報を適切に取り扱うための情報セキュリティ教育を推進しています。組織的に情報を取り扱うことが多いため、入社時・昇格時など組織の役割に応じた階層別研修も開催しており、日ごろから教育を受けることができる仕組みを提供しています。

BtoBソリューションビジネスにおける、個人情報の取り扱いには特に配慮が必要です。パナソニック コネクトでは、個人情報を取り扱う従業員に対し、取り扱いの開始前、ならびに定期的に、特別な教育を実施しています。お預かりした情報の取り扱いに関するリスクアセスメントとして、業務フロー分析教材などを独自開発し、使用しています。

コロナ禍において、テレワークが飛躍的に進みましたが、そうした環境においても、業務を滞りなく進めることのできるような教材も提供しています。また、定期的に役員を含む全従業員を対象とした「標的型攻撃メール訓練」も実施しており、不審メールに対する予防に努めています。

PDCAの一環として、力量確保のための専門研修を実施しています。具体的には、内部監査資格（社内認定制度）やリスクアセスメント教材を提供し、職場におけるリスク対応を図っています。

パナソニックグループの基準に則り、すべての活動拠点で物理的セキュリティ境界（ゾーン管理）を定め、執務ゾーンへの入退室管理を行っています。具体的には、顔認証/IDカード入退室管理システム、監視カメラシステム等を個別のリスク事情を勘案して設置し、不正なアクセスからの保護を図っています。

作業できるゾーンは区分けされており、ゾーン事に取り合う情報資産のランクが異なりゾーンに応じたルールを規定しています。 お客様との打ち合わせを行う際は、原則、事業場ゾーンで行います。通常業務を行う際は、事務ゾーン以上で行います。このゾーンは、原則従業員のみがアクセス可能です。特に重要な情報や個人情報を取り扱う場合は、特定者のみがアクセス可能なゾーンを使用します。

配送物の授受においても適切に行うためルール化し、また外部（社外からの派遣者、構内請負業者、訪問者等）からの情報機器などの持ち込み制限や、定められたゾーンからの持ち出しに関する制限（指定の情報資産の持ち出し不可など）を行っています。

事故が予見される事象が発生した場合は、組織責任者を通じて情報セキュリティ事務局に報告されます。情報セキュリティ事務局は、直ちに被害拡大防止・証拠保全などの初動対策を実施します。また事故の根本原因の究明および再発防止など恒久対策を実施します。業務委託する取引先で事故が発生した場合は、取引先と協議・連携しながら対応を行います。海外会社においても同様のプロセスで報告されます。

万が一お客様関連の事象が発覚した際には、対応について第一に取り組みます。法令等で定められた事象に該当する場合は、関連する省庁・機関へ報告します。事故に至らなかった事象を含めて受付結果はすべて分析し、事故抑制に努めています。必要な場合は、リスク発生の経過と原因、予防策などの事例を全従業員に教育します。

また、社内諸規則に違反をしているケースにおいては、人事懲罰の対象になります。

情報セキュリティ基本方針

個人情報保護方針

情報セキュリティ報告書