日立で は 、昨 今 の 複 雑 化するグロ ー バ ルリスクに対 応

日立の事業は社会インフラに深くかかわっているため 、するため、グルー プ全体でリスクマネジメント体制の強化に事業の共同運営者であるサプライヤーが大規模地震などの取り組んでいます 。

自然災害の発生によって被災した場合、日立やサプライヤー のグル ー プ全体のリスクマネジメントを統括する管掌役員

事業活動だけではなく、社会に大きなインパクトを与える（日立グルー プリスクマネジメント責任者）のもと、各事業体

可 能 性 が ありま す 。日本 国 内 の ビジネスユニットと主 要に経営層レベルのリスクマネジメントの責任者を設置し 、グ ルー プ会社の調達部門では、災害発生時のインパクトをコンプライアンス、輸出管理、危機管理を中心に対応し、相互最 小 限にとどめるた め 、調 達 の BCP として 、① 徹 底したに連携を図る体制をとっています 。今後は、企業を取り巻く標 準 化と汎 用 部 品 の 使 いこなしによる調 達 保 全リスクのさまざまなリスクを客観的に評価する基準・システムを確立

極小化、②マルチサプライヤー化の推進、③製造拠点の複数するとともに 、包括的なリスクマネジメント体制を構築して分散化、④戦略在庫の予算化、⑤代替品の検討などを策定・いきます 。

整備しました 。また策定した調達 BCP が機能するかどうか安定的な製品・サービスの提供
日本国内外主要拠点で の BCP 策定

CEO Message

調達 BCP の策定を確認するた め 、デスクトップエクササイズ（ 震災被害を想定し、グループ単位でなすべき行動を議論する机上演習）も実施して、さらなる改善を進めました 。

社会インフラに深くかかわる日立では 、リスクの発生に2016 年度には国内外の製造ラインを有する主要な事業所のよって事業が中断し、社会に甚大な影響を及ぼすことのないが前年度までに確立した調達 BCP をすべて（約 200 サイト）

よう、基幹業務を早期に復旧し、継続して遂行するための計画

メンテナンスする形で強化を図り、グローバルに展開する日立である事業継続計画（ BCP ）の充実に取り組んでいます 。

グループの事業継続に貢献しています。

Strategic Focus

リスクマネジメント体制の強化

Our Business Model

リスクマネジメント

2006 年 12 月に「 日立グ ル ー プ BCP 策 定 の ため のガイド

大規模災害などのリスクに備えてきました 。

2013 年 1 月に発生したアルジェリア人質事件＊を受けて、2013 年 2 月、紛争やテロなどのリスクが高い地域に従業員

2011 年 3 月に発生した東日本大震災では、BCPに基づいてを派遣する場合は 、事前に社内外の専門家による現地調査初期対応や意思決定を迅速に行うことができました。一方で、を実施して、派遣する従業員の安全に万全を期すことを社長二次 、三次のサプライヤーの把握、生産情報のクラウド化・方針として再徹底しました。また、現地派遣後も半年に一度、多重化 、代替輸送手段・燃料の確保などの課題が浮かび現地調査を実施し、安全対策の有効性を確認しています 。また

上 がりました 。大 震 災 から 得 たこれらの 教 訓 を 踏 まえ 、2016 年度は世界各地に拡散するテロの脅威に対し、迅速に2011 年 10 月に「 日立グ ル ー プ BCP 策 定 の ため のガイド従業員へ注意喚起情報を提供するなど、グロー バルに活動を作成・配布し、BCP のさらライン（部門別のBCP 策定編）」を展開する従業員の安全確保に努めています 。

なる充実を図りました 。

さらに日立製作所は外務省主催の海外安全官民協力会議

日本 国 内で は 、2011 年 度 末までに そ れ ぞ れ の 事 業にへの参加や、2014 年以降 、テロ誘拐対策官民合同実地訓練

応じて大規模地震および新型インフルエンザに備えた BCPに参加するなど 、官民の連携を深めつつ 、日本企業の海外を策定しています 。

安全対策に寄与する活動を行っています 。

また日本国内の主要拠点では 、大規模地震を想定した地震対策シミュレーション訓練を 1998 年度から毎年実施しています 。2017 年 3 月には日立化成にお いて 、本社対策

Value Creationと中国語に翻訳して日本国内外のグル ー プ各社に提供し、危険地域へ の従業員派遣時の安全対策強化

Management & Governance

ライン（導入編）」を作成し、2010 年度にはガイドラインを英語＊ アルジェリア人質事件：2013 年 1 月にアルジェリアの天然ガス精製プラントが武装テロ集団に襲撃され、日本人 10 人を含む 30 人以上が犠牲となった事件

本部長の指揮の もと 、本社および名張事業所を連動させ各部署の責任者・担当者が BCP に基づ いて緊急時の危機管理スキル向上とBCP の改善課題の把握に取り組みました 。
主要海外拠点では、2013 年度にリスク対策担当責任者を配置し、約 300 社が BCP の策定に取り組みました 。これにの 事 業リスクへ の 対 応 力 は 強 化 されています 。今 後 も 、BCP の策定を拡大していきます 。

Hitachi, Ltd. Integrated Report 2017

39Performanceより大規模災害や新型インフルエンザ、政変・騒乱・テロなど

情報セキュリティの推進

情報資産保護の基本的な考え方

情報セキュリティの徹底

日立では、執行役社長がISMS＊1 の実施および運用に関する責任および権限をもつ情報セキュリティ統括責任者として守るべき資産の明確化
情報資産の洗い出しおよびリスク分析

CIO＊2 を任命しており、2016 年度は執行役専務が務めています。情報セキュリティ統括責任者を委員長とする「情報セキュリティ委員会」
が、情報セキュリティと個人情報保護に関する取り組み方針、各種施策を決定しています。決定事項

利用者リテラシー の向上
セキュリティ教材の整備
管理者・従業員に対する教育

守るべき情報資産施策の整備
管理的施策の徹底
技術的施策の導入

は「情報セキュリティ推進会議」などを通じて各事業所およびグル ー プ会社に伝達し、情報セキュリティ責任者が職場に徹底しています。
日立では、情報セキュリティと個人情報保護の取り組みにおいて、特に次の 2 点を重視しています 。

情報セキュリティ体制の確立
規則体系（セキュリティポリシー ）の整備
管理体制の整備
監査・フォロー体制の確立
予防プロセスと事故対応プロセスにおける PDCA
サイクル拡充によるフィードバックの徹底

1. 予防体制の整備と事故発生時の迅速な対応
守るべき情報資産を明確にし、脆弱性評価とリスク分析に基づいて情報漏えい防止施策を実施しています。事故は「起きるかもしれない」という考え方を一歩進めて、「必ず起きるものだ」という前提に立って、緊急時のマニュアルを作成し、対応しています。

2. 従業員の倫理観とセキュリティ意識の向上
担当者向け 、管理者向けなど階層別にカリキュラムを用意し、e ラーニングによる全員教育などを通じて倫理観とセキュリティ意識の向上を図っています。また 、監査を通じて問題点の早期発見と改善にも取り組んでいます。

情報セキュリティ教育の実施
情報セキュリティを維持していくためには、一人ひとりが日々 の情報を取り扱う際に必要とされる知識を身につけ 、高い意識をもつことが重要です 。日立では、すべての役員 、従業員 、派遣社員などを対象に 、情報セキュリティおよび個人情報保護について、e ラーニングによる教育を毎年実施しています。日立製作所では約 4 万人が受講し、受講率はほぼ100%に達しています。そのほかにも、新入社員、新任管理職や 情 報システム管 理 者 などを対 象とした座 学 教 育 など 、情報セキュリティの担当役員からのメッセー ジ 、第三者
評 価・認 証など の 、より詳 細な内 容は「 情 報セキュリティに記載して います 。
報告書 2016 」＊1 ISMS（ Information Security Management System ）：情報セキュリティマネジメントシステム＊2 CIO（ Chief Information Officer ）：情報セキュリティ統括責任者

情報セキュリティ報告書 2016
http://www.hitachi.co.jp/csr/download/pdf/securityreport.pdf

40

Hitachi, Ltd. Integrated Report 2017

対 象 別 、目 的 別に多 様 な 教 育 プログラムを用 意し 、情 報
セキュリティ教育を実施しています。また、最近増加している標的型攻撃メールなどのサイバー攻撃への教育として、実際に攻撃メー ルを装った模擬メー ルを従業員に送付し、受信体験を通してセキュリティ感度を高める「標的型攻撃メー ル模擬訓練」
を 2012 年より実施しています 。
日立製作所の教育コンテンツは日本国内外の グル ー プ
会社に公開しており、日立全体として情報セキュリティ・個人情報保護教育に積極的に取り組んでいます 。

日立製作所では情報漏えいを防止するために「 機密情報日本国外のグル ー プ会社については 、国際規格であるを定め、機密情報の取り扱いに細心の注意
漏えい防止 3 原則」

ISO ／ IEC 27001 に則った「グロー バル情報セキュリティを払い、事故防止に努めています。また万が一、事故が発生管理規程」
を定め、情報セキュリティ管理の強化に努めていした場合は、迅速にお客様に連絡し、監督官庁に届け出るとます 。日本の親会社から日本国外のグルー プ会社に対してともに、事故の原因究明と再発防止対策に取り組み 、被害をビジネスチャネルによる展開を行うとともに 、米州 、欧州、最小限にとどめるよう努めています 。

東南アジア、中国、インドなどの地域統括会社によるサポート

アなパソコン、電子ドキュメントのアクセス制御／失効処理とセキュリティシェアドサービスの利用を積極的に推進することで、セキュリティ対策の徹底を図っています 。

CEO Message

情報漏えい防止の具体的施策として、暗号化ソフト、セキュOur Business Model

情報セキュリティ管理をグロー バルに展開

ソフト、認証基盤の構築によるID 管理とアクセス制御、メール情報セキュリティ監査・点検の徹底して実施しています。昨今多発している標的型メールなどの日立 の 情 報セキュリティは 、日立 製 作 所 が 定め た情 報

サイバ ー攻撃に対しては 、官民連携による情報共有の取りセキュリティマネジメントシステムの PDCA サイクルにより組みに加え、IT 施策においても防御策を多層化（入口・出口推進しています 。日立では、すべてのグルー プ会社および対策）して対策を強化しています。

部門で 1 年に 1 回情報セキュリティおよび個人情報保護の監 査を実 施して い ます 。

ため、機密情報を取り扱う業務を委託する際には、あらかじめ日立製作所における監査は 、執行役社長から任命された日立が定めた情報セキュリティ要求基準に基づき、調達取引監査責任者が独立した立場で実施。監査員は自らが所属する先の情報セキュリティ対策状況を確認・審査して います 。

部署を監査してはならないと定め 、監査の公平性・独立性

さらに、サプライヤーからの情報漏えいを防止するために、を確保するようにしています 。

サプライヤーに対して、情報機器内の業務情報点検ツー ルについては、日立製作所
日本国内のグループ会社（222 社）とセキュリティ教材を提供し、個人所有の情報機器に対してと同等の監査を実施し、そ の結果を日立製作所が確認して業務情報の点検・削除を要請しています。なお、2017 年 5 月、

います 。日本国外の グルー プ会社につ い てはグロー バル

ワーム型ランサムウェアにより一部の社内システムに不具合共通のセルフチェックを実施し、日立全体として監査・点検が生じ、メー ル送受信などに一時影響が出ました が 、情報に取り組んでいます 。また、職場での自主点検として、全部漏えいは確認されず、お客様や社外への被害拡大はありません

門が「個人情報保護・情報セキュリティ運用の確認」
を1 年にでした 。

1 回実施しています 。併せて重要な個人情報を取り扱う業務

Strategic Focus

また、サプライヤーと連携して情報セキュリティを確保する

Value Creation

や Web サイトのフィルタリングシステムなどを IT 共通施策とについては「個人情報保護運用の確認」
を 1 カ月（654 業務＊）
機密情報漏えい防止 3 原則に1 回実施し、安全管理措置や運用の状況を定期的に確認して

原則 1 機密情報については、原則、社外へ持ち出してはならない。

います 。

必ず情報資産管理者の承認を得なければならない。

＊ 2017 年 3 月時点の登録業務数

Management & Governance

原則 2 業務の必要性により、機密情報を社外へ持ち出す場合は 、原則 3 業務の必要性により、機密情報を社外へ持ち出す場合は 、必要かつ適切な情報漏えい対策を施さなければならない。

ランサムウェアによる被害および復旧状況について
http://www.hitachi.co.jp/New/cnews/month/2017/05/0517a.html

Hitachi, Ltd. Integrated Report 2017

41Performance

情報漏えい の防止