情報セキュリティ

情報漏えいの防止

当社は、情報漏えい防止のために、デバイス暗号化、セキュリティPC、電子ドキュメントのアクセス制御・失効処理ソフト、認証基盤の構築によるID管理とアクセス制御、メールやWebサイトのフィルタリングシステムなどをIT共通施策として実施・利用しています。標的型攻撃メールなどのサイバー攻撃に対しては、多層防御などさまざまなIT対策を強化しています。
また、調達パートナー側からの情報漏えいを防止するために、機密情報を取り扱う業務を委託する際には、あらかじめ日立グループの情報セキュリティ要求基準に基づき、調達パートナーの情報セキュリティ対策状況を確認・審査しています。さらに、調達パートナーに対して、セキュリティ教材を提供し、個人所有の情報機器に対して業務情報の点検・削除を要請しています。

情報セキュリティ教育の実施

当社は、すべての役員および従業員を対象に、情報セキュリティおよび個人情報保護について、eラーニングによる教育を毎年実施しています。
そのほかにも、新入社員、新任管理職などを対象とした座学教育など、対象別・目的別に多様な教育プログラムを用意し、情報セキュリティ教育を実施しています。
また、標的型攻撃メールなどのサイバー攻撃に対する教育として、実際に攻撃メールを装った模擬メールを従業員に送付し、受信体験をとおしてセキュリティ感度を高める「標的型攻撃メール模擬訓練」を実施しています。

情報セキュリティマネジメントの評価とモニタリング

当社の全部門では、年に1回、個人情報保護および情報セキュリティの内部監査を実施しています。
当社の内部監査は、取締役社長から任命された監査責任者が独立した立場で実施しています。監査員は自らが所属する部署を監査してはならないと定め、監査の公平性・独立性を確保しています。
また、当社全部門が「個人情報保護・情報セキュリティ運用の確認」の自主点検を1年に1回実施しているほか、重要個人情報を取り扱う業務部門では「個人情報保護運用の確認」を1カ月に1回実施するなど、運用状況を定期的に確認しています。

サイバーセキュリティマネジメント

当社は、社内IT環境に関するぜい弱性対策やネットワークセキュリティなどの基準を定め、対策状況の定期的な確認を行い、各機器のぜい弱性対策状況の監視とユーザーや管理者へのフォローアップを行う取り組みを実施しています。
開発・検証環境、生産・製造環境においては、各環境のセキュリティ遵守のための環境構築や運用に関する基準やガイドラインを整備し、ガイドラインに基づいた対応を進めています。また、調達パートナーに対しては、日立グループとして定めている情報セキュリティ要求基準を共有し、連携してセキュリティを強化しています。
製品・サービスについては、製品・サービスのセキュリティを対策・維持するためのマネジメント指針を策定し、この指針に基づいた対応を進めています。また、ぜい弱性やインシデントが発生した際の有事対応を行うために、製品・サービスに関するセキュリティ技術対応を担うPSIRT^＊1を設置し、製品・サービスにおけるぜい弱性やインシデントレスポンスへの適切な対処を行っています。
さらに、3つのディフェンスライン(three lines of defense)のコンセプトに基づき、開発・検証環境、生産・製造環境、製品・サービスを対象に、セキュリティ対策を維持していくための仕組みの構築を実施しています。まず、第1のディフェンスラインとして、当社セキュリティ部門によるガイドライン・マネジメント指針に適合しているかどうかの自己点検を実施し、第2のディフェンスラインとして、日立のセキュリティ部門がこの自己点検結果をモニタリング、最後に第3のディフェンスラインとして、日立の監査部門がモニタリング実施状況を確認します。

サイバーセキュリティ監視

世の中ではサプライチェーン攻撃やゼロデイ攻撃、ランサムウェア攻撃など多岐にわたるサイバー攻撃が確認されています。その中で、当社は、EDR^＊2による機器の動作監視や、認証保護のための監視、攻撃対象領域の堅牢化のためのEASM^＊3を実装し、サイバー監視強化を図っています。
日立のセキュリティオペレーションセンター(SOC^＊4)による24時間365日のセキュリティ監視を受けています。

個人情報保護の取り組み

当社は、「個人情報保護方針」を定め、役員および従業員に周知するとともに一般に広く公表しています。
また、当該方針に基づいて構築した、個人情報保護マネジメントシステムにより、個人情報の適切な管理、全従業員を対象とする教育および定期監査などを実施し、個人情報の保護に努めています。
事前の同意を得ずに、個人情報を第三者に提供することはなく、事前の同意をいただいた場合には、データを提供する第三者に対して、当社の個人情報保護方針の遵守を求めています。

プライバシーマークの取得

当社は、個人情報保護に関する第三者認証であるプライバシーマーク^＊1を取得しています。

プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会（JIPDEC）

プライバシー保護の取り組み

当社は、プライバシー保護対策に対する社会的要請から、プライバシー保護と個人データ活用を両立することで、より適切で高品質なサービスや製品を提供し、消費者をはじめとするステークホルダーとの信頼を醸成することをめざしています。
当社では、日立プライバシー保護(PIA^＊2)制度を導入し、個人データを取り扱う業務においてプライバシー影響評価を実施することで、プライバシーに関わる問題の発生を防ぐための対策を講じています。

グローバルな個人情報保護関連法制度への対応

プライバシーリスクの高まりを受け、世界各国・地域で関連法制度の制定・改定の動きが活発になっています。当社は、法制度の遵守を徹底し、関連法制度や社会動向をモニタリングして、適切な措置を講じています。
日本国内では、改正個人情報保護法における漏えいなどの報告、本人への通知の義務化に対応し、万が一、個人の権利・利益を害するおそれがある漏えいが発生した場合には、速やかに個人情報保護委員会へ報告し、本人に通知します。
また、欧州一般データ保護規則(GDPR^＊3)をはじめとする、海外の関連法制度に配慮したグループ共通のプライバシー保護に関する行動規範を制定し、2022年4月より施行しています。