Governance ガバナンス情報セキュリティ

TOPPANグループは、グローバルな社会課題を解決するリーディングカンパニーを目指し、事業に必要な情報やシステムを適切かつ安全に管理することが経営上の重要課題であることを認識し、TOPPANグループを挙げて情報セキュリティ管理およびサイバーセキュリティ対策に取り組んでいます。
IoTの高度化やデジタル化の急速な進展を背景に、サイバー攻撃の脅威が高まっており、機密情報や個人情報を含む情報資産の漏えいだけでなく、事業そのものの継続までが脅かされるようになっています。
こうした中で、DXの利活用を通じて企業価値を創造し、お客さまや社会の信頼に応えるため、TOPPANグループは「TOPPANグループ情報セキュリティ方針」や「個人情報保護方針」を掲げ、グループ一丸となり、技術面・運用面での対応を徹底しています。全国に展開するセキュリティエリアでの個人情報取り扱いの徹底やサイバー攻撃に対するツールや仕組みの導入を積極的に進めています。

セキュリティエリアの設置

セキュリティエリアの安全管理策

個人情報取り扱い業務および機密情報取り扱い業務については、セキュリティエリアの運用管理ルールに則った現場での日常的なチェックと、定期的な内部監査によって、セキュリティレベルの維持向上を図っています。

＜内部監査での運用管理のチェック＞
専門の監査員により、セキュリティエリアの設置・管理・運用の状況を定期的に監査し、結果を評価認定することで、運用管理レベルの維持と強化を図っています。

＜入退室管理＞
セキュリティエリアには、許可された人間のみが入退室可能な技術的対応（本人認証、共連れ防止策等）を施しています。
また、画像、映像、音声などを記録・通信する装置( カメラ、携帯電話、スマートフォン等)の持ち込みは禁止し、エリアの外に私物入れロッカー等を設置しています。

＜エリア内管理＞
セキュリティエリア内では、監視カメラを死角ができないように設置し、不正なデータ持ち出しに対するモニタリングが可能な対応をしています。

サプライチェーンに対するセキュリティ管理

TOPPANグループでは、個人情報や機密情報の取り扱いを含む一部の業務をグループ会社や協力会社に委託したり、他社のクラウドサービスを活用したりして業務を行うことがあります。
その場合、これらの委託先が当社のセキュリティ基準を満たしていることを確実にするため、委託する業務内容や情報の種類に応じて、適切なセキュリティ対応を実施している外部委託先を認定する制度の導入やクラウドサービスの安全性確認を行い、サプライチェーンリスクの低減を図っています。

社内業務における情報資産の取り扱い対応

TOPPANグループでは、社内業務で取り扱う情報資産の機密性に応じて区分をつけ、情報資産の区分に応じた、保管、持ち出し、開示等に関するルールを規定し安全な情報資産の取り扱い対応を実施しています。

サイバー攻撃は特に重大なリスクであると認識しており、セキュリティリスクの低減に向け様々な対応策を実施しています。

PC内での不審な挙動を検知するためのツール（EDR：Endpoint Detection and Response）によるPC・サーバーへの対策

2019年度より導入を開始したEDRの展開を進め、社内の事務端末をはじめ、製造現場の端末やMac、サーバーへのEDR導入を完了しました。また、ネットワークログなどを組み合わせ、高度なウイルスを早期に検出・対処する体制を継続的に強化しています。

パブリッククラウドのセキュリティ設定ミスを検出するサービス
CSPM（Cloud Security Posture Management）の活用

メガクラウドの活用が拡大する中で、クラウド特有の不適切な公開権限の設定などによるセキュリティリスクを可視化し、問題のある設定を早期検出・是正につなげるためにCSPMを活用して、パブリッククラウド利用時のリスクを低減する活動を開始しております。

脅威インテリジェンスの活用と外部攻撃対象領域の管理 (ASM:Attack Surface Management)

TOPPANグループに対するサイバー攻撃の兆候や外部から見つけられる可能性のある脆弱性を早期に発見するため、脅威インテリジェンスや第三者評価の活用とOSINTの活動を継続しています。攻撃を受ける前に発見された問題に対処することで、サイバー攻撃リスクの低減を図っています。
2022年度からは個人情報・機密情報の委託先にも対象を広げ、サプライチェーンのセキュリティ強化にも努めています。

Webサイトの脆弱性診断対応強化

Webサイトの脆弱性を狙ったサイバー攻撃の対策として、これまで脆弱性診断の運用を行ってきましたが、日々発生する新たな脆弱性に対応するために、定期的かつ自動的にネットワーク診断を行う脆弱性監視の運用や外部サービスによる脆弱性の検出を行っています。これにより、自社サービスの安全性向上に加え、より安全なサービスのお客さまへの提供につなげています。
また、コーディングに関するセキュリティガイドラインを策定しており、開発者の教育に活用することで、設計段階から脆弱性を含みにくい開発を心掛けています。

情報セキュリティにおける重大インシデント対応ガイドラインの制定

サイバー攻撃の脅威は世界的規模に拡大し、その悪質さ、巧妙さが想定外なだけでなく、瞬時にして甚大な被害に拡大することから、従来の事故対応の手法では対応し得ないものとなっています。
TOPPANグループでは、サイバー攻撃等による重大インシデントに対応するためのベースとなる「考え方」、「態勢」、「対応フロー」をガイドラインとしてまとめ、想定外の事象が発生し得るとの前提に立った対応力強化を図っています。

IT資産管理情報を活用した不正な端末の接続排除

データベース上で管理しているIT資産情報と実際の社内ネットワーク通信の整合性チェックを行うシステム、および社内LAN上にネットワークセンサーを導入し、不正な端末の持ち込みによるウイルス感染や情報漏洩のリスクを低減する活動を展開しています。

電子メール攻撃への対策

マルウェア「Emotet」や、取引先を装い金銭や特定情報をだまし取るビジネスメール詐欺などの電子メールを悪用した脅威に対し、AI 分析や機械学習を活用して電子メールを検疫するサービスを2022年度に導入し、運用を開始しました。これにより、標的型攻撃による金銭や情報搾取、ウイルス感染のリスクを低減しています。
2023年度以降も、グループ各社に同様の対策の展開を進め、TOPPANグループのメール攻撃耐性強化を図っております。

サイバー対応専門チームの対応力強化

TOPPANグループにおける組織横断的なサイバー対応の専門チームであるTOPPAN-CERTは、2023年12月に内閣サイバーセキュリティセンター（NISC)と日本シーサート協議会（NCA)が主催する連携分野横断的演習に参加し、実際にサイバー攻撃を受けた場面を想定した演習を行いました。CERTメンバーが中心となって対応を行い、演習後には振り返りを実施することで、対応手順や課題を検証し、サイバー攻撃を受けた際の対応手順の改善に役立てています。
また2024年2月には、国内だけではなく海外グループ会社で発生したインシデントに早期対応するインシデントレスポンスの体制も整えました。

サイバーセキュリティ状況の共有

社内外のサイバーセキュリティ環境の状況の理解を深めるため、情報セキュリティ関係者向けに四半期ごとのサイバーセキュリティ情報共有会を実施しています。

工場のセキュリティ強化

スマートファクトリー化に伴い様々なモノがネットワークとつながることになり、これまで以上にサイバー攻撃の可能性が上がります。
TOPPANグループでは、2023年6月に工場セキュリティガイドラインを発行し、工場関係者に周知、教育を行いセキュリティ強化を図っています。

ISMS認証取得「ISO/IEC 27001」とプライバシーマーク付与認定（JIS Q 15001:2017）などをTOPPANグループ各社で取得しています。（2024年6月30日現在）

TOPPANグループでは、情報セキュリティ管理体制の強化=人財の強化、であるという認識のもと、様々な視点からの教育や自己点検を実施しております。

全従業員向け教育の実施

TOPPANグループでは、年1回、全従業員のセキュリティレベル向上のために定期教育を実施しています。
2023年度は、「～変化に挑み、未来を切り拓くために～情報セキュリティの脅威に、グループの総力結集で防衛を」をテーマに、サイバー攻撃への備え、日常業務におけるセキュリティ上の留意点、改正個人情報保護法施行への対応のみならず、各事業（本）部固有のリスクも加味した幅広い視点からの教育を実施しました。

工場技術者に対するセキュリティ教育の実施

TOPPANグループでは、2021年度より「技術防人養成所」と銘打った教育を開始しました。これは、工場の技術員に対し、製造設備の導入企画から廃棄までの過程における、必要なセキュリティの要件を教育することで、製造現場におけるセキュリティが強化された製造DXを実現する取り組みです。
2023年度は20名が「技術防人養成所」を修了しています。

経営層向けサイバーセキュリティ演習の実施

TOPPANグループにおける経営層、上位管理職層におけるサイバーインシデントに対する危機対応、リスク管理の能力向上のため、サイバー攻撃による重大インシデント発生を想定したサイバーセキュリティ演習を年2回実施しています。
また、演習終了後にはその結果を評価することで、サイバーインシデント対応上の課題を把握し、改善を実施しています。

全社自己点検の実施

TOPPANグループでは、情報セキュリティ管理の実態について、従業員一人ひとりが把握し、その気付きからもセキュリティ意識の向上を図るために、全社的な自己点検にも取り組んでいます。
この結果については、部門ごとに提供することで職場単位での改善対応を自ら行動できるようにしています。
2023年度は、サポートが終了したソフトウェアの更新対応が適切に行われたかを確認するための設問を追加し、常に最新の勤務環境に応じた意識が醸成されるよう考慮しています。

TSAT(TOPPAN Security Awareness Training)によるセキュリティ意識向上の実施

TOPPANグループでは、TSATを活用した訓練→評価→教育のプロセスを繰り返し実施することで、ヒト強化によるサイバー攻撃耐性強化に取り組んでいます。
全従業員向けの教育だけではなく、特定の部門や職種を対象とした教育を随時実施しています。

ウイルスメール対応訓練の実施

不審なメールは開封せず、開封してしまったとしても速やかに通報できるよう、2023年度は、子会社、関連会社に加え、海外子会社含む約41,000名に対してウイルスメール対応訓練を2回実施し、開封者に対するフォロー教育を行いました。
訓練では、訓練メールのリンクをクリックしても訓練対象者には訓練と気付かせないWebページを表示させることで、より本物のメール攻撃に近い難易度の高い内容で実施しました。

サイバーセキュリティ人材育成会社「Armoris」によるトレーニングの継続的な実施