情 報 セ キ ュ リ テ ィ 報 告 書
2 0 2 4

C O N T E N T S

情報セキュリティ統括管理責任者メッセージ……………………………………………… 2
情報セキュリティガバナンス…………………………………………………………………… 3
・情報セキュリティ方針
・情報セキュリティマネジメント
・情報セキュリティマネジメント体制
・情報セキュリティに関するルール
・セキュリティアセスメント
・ガイドラインに基づく情報セキュリティ対策確認

情報セキュリティ対策………………………………………………………………………………22
・人的情報セキュリティ対策
・技術的情報セキュリティ対策
・物理的情報セキュリティ対策

情報セキュリティに関するコミュニケーション………………………………………………32
・他社セキュリティ担当者との情報交換会
・インターネット利用者に向けた啓発コンテンツの提供
・技術カンファレンスでの講演

編集方針
報告書発行の目的
グリーは「インターネットを通じて、世界をより良くする。」をミッショ●報告対象期間

ンに掲げ、革新的なインターネットサービスの開発およびその事

2023年（2023年1月～12月）

業展開に注力しています。また、お客さまに安心して当社グルー

ただし、一部報告は上記以外の期間を含んでいます。

プのサービスを楽しんでいただくためには、お客さまからお預か●報告対象組織りした情報を含む情報資産全般を適切に保護することが重要で

グリー株式会社およびグループ会社を対象に、事業においあると考えています。

て取り扱う設計・技術情報、サービス提供に係るお客さま

この認識に基づき、当社グループは「情報セキュリティ方針」

およびお取引先情報など、各種重要情報の保護に関する取を定め、情報セキュリティマネジメント体制を整備するとともに、り組みを中心に記載しています。

人・技術・物理の各側面から情報セキュリティ活動を推進する●報告書の発行責任部署（連絡先）など、ステークホルダーの皆さまからの信頼の獲得・向上に取グリー株式会社

り組んでいます。

開発本部 セキュリティ部

本報告書は、こうした取り組みを体系的に整理し、可能な限り〒106-0032 東京都港区六本木6-11-1

詳細に説明するものです。本報告書を通じて、当社グループに

六本木ヒルズゲートタワー

対するご理解を深めていただければ幸いです。

TEL 03-5770-9307

1情 報 セ キュリティ統 括 管 理 責 任 者 メッセ ー ジ

グリーグループは、情報セキュリティの確保を経営上の重要課題とし、外部環境の変化や事業運営における必要事項に迅速に対応することで、お客さまが安心・安全にサービスをご利用いただけるよう努めています

情報セキュリティ統括管理責任者

藤本 真樹
グリーグループのサービスは、ゲーム・アニメ事業、メタバース事業、DX 事業、コマース事業など多岐にわたります。2023年はセグメントごとの迅速な意思決定を進めるため、事業管理体制をリファ
クタリングし、サービスの活性化に邁進する1年となりました。また、事業活動においてAI 技術やビッグデータの活用、DX を推進するにあたり、サイバー攻撃の脅威と情報セキュリティ対策の重要性の一層の高まりを認識しています。
当社グループの情報セキュリティ活動としては、従来のセキュリティ対策に加えて、生成 AIサービスの利用にともなう対策の導入や、業務委託に関連するセキュリティ対策の強化など、グループをとり
まくさまざまな環境の変化や事業運営における必要事項に迅速に対応することができました。
当社グループのサービスをご利用いただいているすべての皆さまの安心につながるよう、ここに2023
年度の情報セキュリティ活動についてご報告いたします。

2

情 報 セ キュリティガ バ ナン ス

企業の経営資源は、長らく「ヒト」「モノ」「カネ」とされてきました。しかし、現在では第4の経営資源として「情報」が重視され、情報資産の効率的・効果的な活用が企業経営の重要な基盤の一つとなっています。
当社グループでは、情報資産を適切に取り扱いながら、革新的なサービスを継続的に提供できるよう、
情報セキュリティ対策を経営上の重要課題として認識し、情報セキュリティマネジメントを推進しています。

情報セキュリティ方針  

当社グループでは、お客さまからお預かりした情報を含む各種情報資産を適切に保護し、安心して当社グループのサービスを楽しんでいただくことが重要であると考えています。
この考えに基づき、当社グループは「情報セキュリティ方針」を策定・公表するとともに、関連規程
および情報セキュリティマネジメント体制を整備し、継続的な改善に努めています。

情報セキュリティマネジメント

  当社グループは、情報セキュリティマネジメントを体系的かつ着実に実施するための手法としてPDCA（継続的改善活動）を推進し、セキュリティレベルの維持・向上に取り組んでいます。PDCA によって絶えず見直しと改善を行い、環境の変化や新たな脅威に対応しています。

スパイラルアップによりリスクの把握および対策の計画

継続的にセキュリティレベルを向上

リスクアセスメント
セキュリティポリシー・体制の整備

PLAN

評価結果に基づく改善
改善事項の明確化
マネジメントレビュー
改善の実施

ACTION

PDCA

DO

計画に基づく対策の導入・運用
セキュリティポリシーの導入・運用

CHECK実施した対策の評価・監視
モニタリング・診断
内部監査

3

社員教育・訓練

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

情報セキュリティ方針
情報セキュリティ管理体制の強化
情報セキュリティを推進するため、代表取締役およびその諮問機関である情報セキュリティ委員会を中心とした体制により、情報セキュリティに関する施策および事案を審議の上、決定・施行します。これにより、全社レベルの情報セキュリティ管理状況の把握、必要な対策を迅速に対応できる体制を維持、強化
していきます。

情報セキュリティ目的の策定
役員および従業員の本方針および情報セキュリティに関する諸施策に対する意識向上ならびに継続的改善に資する目標として、「情報セキュリティ目的」を設定し、その達成に向けて取り組んでいきます。

情報セキュリティ目的の達成を阻害する事象への対応
当社事務所または社内システムへの不正な侵入または情報資産の漏えい、改ざん、紛失、破壊、利用妨害などの情報セキュリティ目的の達成を阻害する事象が生じないように、事前にこれらのリスクアセス
メントを適切に実施し、発生を防止できるよう十分かつ適切な対策を講じます。

情報セキュリティリテラシーの向上
役員および従業員に情報資産を保護することの重要性および情報セキュリティに対する役割と責任についての認識を向上させるために、定期的に情報セキュリティに関する教育を実施します。

情報セキュリティに関する関係法令の遵守
情報セキュリティに関連する法令や規則などに準拠した情報資産の管理および運用に関する内部規程類を整備し、役員および従業員への周知徹底を行います。

外部委託先管理の徹底
外部委託を行う際には、必要なセキュリティレベルを確保するために、セキュリティ面からも適格性を十分に審査し、外部委託先からの情報漏えいの防止に努めます。

モニタリング体制の整備・充実
情報セキュリティが徹底されていることを検証するために、自己点検を定期的に実施します。また、マネ
ジメントレビューとして、採用した管理策および実施した改善の適切性・有効性の評価およびリスクアセ
スメントの結果を定期的に確認し、これらを基にマネジメントシステムならびに本方針の見直しを行います。

4

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

情報セキュリティマネジメント体制

  

当社グループでは、迅速かつ網羅的に情報セキュリティ対策の有効性を確認し、適切に改善を実施していくため、「グループ全体」と「グループ各社」の2段階の情報セキュリティマネジメント体制を整備しています。
また、情報セキュリティに関わる各組織・責任者は、リスクマネジメントを統括するグループリスクマ
ネジメント委員会および個人情報の管理を統括する組織とも連携し、情報セキュリティマネジメント体
制の強化を図っています。

情報セキュリティマネジメント体制と関連組織
代表取締役社長／取締役会

情報セキュリティ委員会

グループリスクマネジメント委員会
リスクマネジメント体制の維持・推進

情報セキュリティ管理体制の整備・推進

リスクマネジメント

情報セキュリティ

グループリスクマネジメント

情報セキュリティ
統括管理責任者

統括者
リスクマネジメントに関して
代表取締役社長を補佐

情報セキュリティ
管理責任者

個人情報の保護

情報セキュリティに関する全体的な責任

グループ個人情報保護管理責任者
個人情報に関する
全体的な責任

情報セキュリティを推進、
情報セキュリティ管理者を統括

インシデント対応チーム

情報システム部門、
ファシリティ部門、情報セキュリティ部門で構成

グループリスクマネジメント
統括部門

情報セキュリティリスクの「グループリスク主管部門」としてのセキュリティ部門

リスクマネジメント体制の整備・運用状況を点検、支援

情報セキュリティ部門

連携

保護事務局
個人情報の取り扱い状況の把握、
個人情報の保護に係るリスクを適切なレベルに管理事業部・グループ会社
情報セキュリティ
管理者

内部監査部門

内部監査

グループ個人情報

情報セキュリティ担当者

5

部門が保有する情報資産などの管理責任部門が保有する情報資産などの管理実務

個人情報管理者
個人情報を取り扱う業務ごとに設置
個人情報の管理実務

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

グループ全体の情報セキュリティマネジメント体制「情報セキュリティ統括管理責任者」および「情報セキュリティ「情報セキュリティ委員会」のもとに、管理責任者」を設置し、当社グループ全体の情報セキュリティマネジメントを統括しています。

情報セキュリティ委員会
情報セキュリティ委員会は、グリーの代表取締役社長を委員長とし、情報セキュリティ部門を事務局とする委員会です。委員は、コーポレート部門および開発部門の統括責任者、開発本部長、その他委員長が指名したメンバーで構成しています。また、オブザーバーとして内部監査室長が参加しています。
委員会は四半期ごとに開催しています。取締役会で決定した経営基本方針に基づき、グループ各社
へのセキュリティ担当者の配置やインシデント対応チームの整備など、情報セキュリティマネジメントの推進に関する重要な事項について、代表取締役社長の諮問を受けて審議・答申しています。

情報セキュリティ統括管理責任者
情報セキュリティ統括管理責任者は、グリーの代表取締役社長が任命し、当社グループの情報セキュリティ対策に関する責任と権限を有しています。情報セキュリティ施策の導入・改善について遅延などの問題がある場合は、代表取締役社長に対して当該組織責任者への是正指示を提言しています。

情報セキュリティ管理責任者
情報セキュリティ管理責任者は、情報セキュリティ部門長が担っています。当社グループにおける情報セキュリティ対策を推進する責任と権限を有しており、各情報セキュリティ管理者をとりまとめています。

情報セキュリティ管理者
情報セキュリティ管理者は、各事業本部の本部長が担い、保有する情報資産および関連資産を適切に管理する責務を負っています。

6

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

リスクマネジメント体制
当社グループでは、主要なリスクごとにグループリスク主管部門を設置し、各部門・グループ会社をサポートすることで、適切なリスクマネジメントを推進しています。情報セキュリティリスクについては、
情報セキュリティ部門がグループリスク主管部門の役割を担い、「グループリスクマネジメント統括部門」との連携のもとリスクの低減に努めています。

グループリスクマネジメント委員会
グループリスクマネジメント委員会は、リスクマネジメント体制を維持・推進し、情報セキュリティ委員会と利用環境向上委員会＊が所管しないリスクに関して審議・答申を行います。
＊ユーザーの保護と事業の健全な発展を図ることを目的に、当社グループの事業およびサービスの利用環境の向上に関する重要な事項について審議・答申する委員会

グループリスクマネジメント統括者
グループリスクマネジメント統括者には、コーポレート本部長を任命しています。リスクマネジメント
体制の維持・改善に関する業務全般を統括し、グループリスクマネジメント統括者補佐およびグルー
プリスクマネジメント統括部門からの報告を受け、必要な指示を行っています。

グループリスクマネジメント統括部門
リスクマネジメントが実効性をもって運用されるよう、グループリスクマネジメント統括部門を設置しています。各グループリスク主管部門が所管するリスクについてリスクマネジメントの運用状況および各部門・グループ会社におけるリスクマネジメントの整備・運用状況を点検し、その結果をグループ
リスクマネジメント委員会に報告しています。

グループリスク主管部門
リスク種別に応じて、リスクマネジメント施策を推進する主管部門を設置しています。リスク種別は、法令・規制違反、社内規程違反、企業倫理違反、契約違反、サービス品質不良、情報漏えいなどに分けられます。各部門・グループ会社におけるリスク管理を専門的な見地からサポートし、組織横断で適用されるルール・手順などの整備・運用を主導しています。

7

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

個人情報管理個人情報については、「法令遵守およびプライバシー保護」と「情報資産保護」の2つの観点から安
全管理措置を講じています。法令遵守およびプライバシー保護に関してはグループ個人情報保護事
務局が、情報資産保護に関しては情報セキュリティ部門がそれぞれ管理・監督しています。
一方で、法令遵守、情報資産の双方の保護を考慮する必要がある場合も多いため、グループ個人情報保護事務局と情報セキュリティ部門が連携し、対策の検討および情報の共有を積極的に実施しています。

グループ個人情報保護管理責任者
グループ個人情報保護管理責任者は、グリーの代表取締役社長が任命し、個人情報を安全に保存する義務および許諾を得た個人情報の利用に関して、最終的な利用可否の確認と承認を行う権限と責任を有しています。グループ個人情報保護管理責任者は、当社グループの個人情報保護に関する内部規程の整備、安全対策の実施、教育訓練などを推進するための個人情報保護マネジメントシステ
ムを策定し、それらの周知徹底を図っています。

個人情報管理者
個人情報を取り扱うアプリケーション、サービスおよびキャンペーンごとに、その業務に関わる個人情報保護に責任を持つ個人情報管理者を任命しています。個人情報管理者は、グループ個人情報保護事務局の指示に従い、担当業務において適切に個人情報が取り扱われるよう措置を講じ、個人情報を安全に管理しています。

グループ個人情報保護事務局
グループ個人情報保護事務局は、当社グループにおける個人情報の取り扱い状況を把握し、個人情報およびプライバシーの保護に関するリスクを適切なレベルに管理するための実務を担っています。

8

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

インシデント対応体制
情報セキュリティに関わるインシデントの対応組織として、情報セキュリティ委員会のもとに「インシデント対応チーム（GREE-IRT ＊）」を設置しています。同チームは、インシデントが発生した際の通知を受ける窓口となり、インシデントの発生状況を把握・分析し、他の情報セキュリティ関連組織と連携しながら解決に向け対応します。
また、具体的な行動の指針として「インシデント対応ガイドライン」を整備しています。このガイドラインは、
インシデント対応の基本的な方針、体制、ルールを規定するもので、インシデント対応訓練においても活用しており、訓練で得た学びを反映させることで対応の改善を行っています。
＊IRT：Incident Response Team の略。GREE-IRTでは、情報セキュリティ統括管理責任者、情報セキュリティ部、インフラス
トラクチャ部、情報システム部を基本チームとし、インシデントの内容に応じて必要な部門が参加

インシデント対応体制
意思決定
情報セキュリティ統括管理責任者

実行
インフラストラクチャ部門

実行

実行・指揮・調整

情報システム部門

情報セキュリティ部門
連携

法務部門

広報グループ

政策企画グループ

カスタマー
サポート部門インシデント対応 役割分担
担当

機能

情報セキュリティ統括管理責任者

意思決定

役割
• 意思決定• 情報セキュリティ統括管理責任者の意思決定支援、軽微な意思決定• インシデント対応の全体管理

情報セキュリティ部門

実行
指揮
調整

• 対応方針の検討• 他部門への対応依頼• 専門的な調査• 端末に関する現場でのインシデント対応• 法務総務、広報、CPSなど関連部門への連絡• オフィス環境におけるインシデント対応

情報システム部門

実行

インフラストラクチャ部門

実行• 商用環境におけるインシデント対応

法務部門

対応

• 法的処置が必要な場合の対応

広報グループ報告• 社外への公表

政策企画グループ報告• 関連省庁への報告

カスタマーサポート部門

対応• お客さまからのお問い合わせ対応• 端末に関するリモートでのインシデント対応

9情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

グループ各社の情報セキュリティマネジメント体制
グループ全体で情報セキュリティ対策を推進するため、各グループ会社に情報セキュリティ管理者および情報セキュリティ担当者を設置しています。
グリーの情報セキュリティ部門は、グループ会社の情報セキュリティ担当者を訪問し、環境の変化や課題事項に関するヒアリング、オフィスの物理セキュリティの確認、セキュリティアセスメントで検出された課題の改善状況の確認などを行い、連携の強化を図っています。
各情報セキュリティ担当者は、自身が属するグループ会社と情報セキュリティ部門をつなぐ窓口となる
ほか、以下の役割を担い、確実に情報セキュリティ施策が実行されるよう推進しています。
＜情報セキュリティ担当者の主な役割＞⃝ 情報セキュリティ部門から指示のあった対策の徹底（全体ミーティングでの周知・パトロールなど）⃝ セキュリティアセスメントで検出された課題のフォローアップ⃝ 情報セキュリティ関連の規程類を制定・改定する際の情報セキュリティ部門との連携⃝ インシデント発生時における情報セキュリティ部門との連携⃝ 情報セキュリティ教育の推進

グループ会社 インシデント対応体制
グループ会社グリー
意思決定
情報セキュリティ統括管理責任者
連携

実行・指揮・調整
情報セキュリティ担当者

報告

報告

実行
お客さま対応担当

実行
連携

開発担当

連携

連携

10

情報セキュリティ部門

法務部門

広報グループ

情報システム部門

インフラストラクチャ部門

カスタマーサポート部門

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

グループ会社 インシデント対応 役割分担
担当

機能

情報セキュリティ統括管理責任者

意思決定

役割
• 意思決定• 情報セキュリティ統括管理責任者の意思決定支援、軽微な意思決定• インシデント対応の全体管理• 対応方針の検討• 他部門への対応依頼

情報セキュリティ担当者

実行
指揮
調整

• 専門的な調査• 端末に関する現場でのインシデント対応• 端末に関するリモートでのインシデント対応•グリー関連部門への連絡• 関連省庁への報告、社外への公表• 法的処置が必要な場合の対応

お客さま対応担当

実行• お客さまからのお問い合わせ対応

開発担当

実行

• インシデント対応

グリー

支援

•グループ会社のインシデント対応支援

11

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

情報セキュリティに関するルール

  

当社グループは、規程および細則に情報セキュリティに関する基本的なルールを定め、ガイドラインに具体的な管理方法を定めています。ガイドラインは、情報資産の取り扱いやリモートアクセスなどに関わる全従業員向けガイドラインと、アプリケーション開発やインフラストラクチャ構築に携わるエンジニア向けガイドラインがあります。いずれも、各種教育や社内ポータルでの掲示を通じて、従業員へ周知徹底しています。

ガイドライン（一部抜粋）
カテゴリー

ガイドライン名
情報資産の取り扱い• 情報資産の機密性区分と保管• エリアのセキュリティレベル•ラベリング・文書管理• PCの保管・持ち出し

PC・セキュリティカードの管理• PCの管理者権限の利用•ストレージデバイスの利用• セキュリティカードの管理•クラウドサービス• 利用を制限するアプリケーション・Webサービス

全従業員対象• チャットツール
サービス・ネットワークの利用• 情報共有ツール•メールマガジンなど一斉メール配信• サービス利用者から個人情報を取得するフォーム• パスワードの設定•リモートアクセス• 業務委託を利用する際の注意事項
社外パートナー・ゲスト• 社外パートナーのシステム利用• 社外パートナーとの情報共有• ゲストが執務室に入室する際の注意事項•ネットワーク全般• 商用環境へのアクセス方法•アカウント管理（識別・認証・認可）• SSH 向け秘密鍵・公開鍵管理
インフラ• IPアドレス・Portアクセス制限• インフラ構成・変更管理• 特定の正社員のみアクセス許可させるサーバー

エンジニア対象• ログの保存

• SSL/TLSサーバー証明書・秘密鍵•ソフトウェアのインストール・更新• 考慮すべき脆弱性対策
アプリケーション開発• サポートツールの管理• 開発で使用するツール・サービスの管理•クローズド・チャット機能の利用

12情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

情報セキュリティに関するルール体系
リスクマネジメント方針

情報セキュリティ

個人情報の保護

情報セキュリティ
方針

個人情報保護
方針

＊1

規程

細則

リスクマネジメント
規程

リスクマネジメント
細則

情報セキュリティ
規程

情報セキュリティ
委員会規程

情報セキュリティ
管理プロセス細則

情報セキュリティ
対策細則

インシデント
対応細則

機密情報の取り扱い

アカウント管理

インシデント
対応ガイドライン

PC の保管・
持ち出し

脆弱性対策

クラウドサービスの利用

通信の暗号化＊2

グループリスク
マネジメント委員会細則

ガイドライン（抜粋）

＊4

＊5

・・・

・・・

全従業員が対象＊3

個人情報保護規程

海外個人データの取扱いに関する
規程＊6

エンジニアが対象＊1：情報セキュリティ対策の方針や行動指針＊2：情報セキュリティを維持・管理するための組織体制や管理策の概要＊3：情報セキュリティ委員会の運営について定める＊4：情報セキュリティ管理プロセスの確立および継続的な運用を実施するに際して必要な事項を定めたルール＊5：「情報セキュリティ規程」で定めた各規程をより具体化したルール＊6：インシデント発生時の対応に関するルール

クラウドサービス利用に関する情報セキュリティ対策
業務効率を高めるため、当社グループにおいてもクラウドサービスの利用が増加しています。当社グルー
プでは、クラウドサービスを利用する際のリスクを軽減するために、利用者が遵守すべき事項をガイドラインとしてまとめています。
原則として、以下の利用条件をすべて満たすサービスは利用を許可していますが、条件を満たさない
場合や個人情報など機密性が高い情報を取り扱う場合は、情報セキュリティ部門への届出や利用相談、チェックリストを用いたセキュリティ対策の確認を必要としています。
また、2021年からCASB（Cloud Access Security Broker）のクラウドサービス安全性評価機
能を用いて、第三者認証の取得状況やEU 一般データ保護規則（GDPR）への対応状況なども詳細に把握し、客観的な基準に基づいたクラウドサービスの安全性評価も行っています。
＜クラウドサービスの利用条件＞⃝ 情報セキュリティに関する認証（ISMS、プライバシーマーク、TRUSTe、PCIDSS など）を取得していること⃝ 過去に事故が発生していない、もしくは発生後に改善されていること⃝ 利用規約に利用者の秘密保護が記載されていること⃝ 問い合わせ窓口などのサポートが提供されていること
13情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

パートナー企業と連携した情報セキュリティ対策
当社グループの事業活動はパートナー企業（業務の委託先）が提供するサービスに支えられています。
パートナー企業が当社グループの重要な情報を取り扱うこともあるため、情報セキュリティの観点でもパートナー企業と信頼関係を築き、緊密に連携して情報を保護することが必要です。当社グループでは、業務委託利用に関する情報セキュリティルールを整備し、施策を推進しています。
パートナー企業と連携した情報セキュリティ対策
委託元部門向けルール

業務委託利用に関するセキュリティルール
および手続き業務委託契約書にパートナー企業による安全管理措置の実施義務および機密保持の義務を記載

ガイドラインへの合意

パートナー企業から「情報セキュリティガイドライン」への合意を取得

システム・ネットワーク利用
個人情報 /マイナンバー管理
教育

●
●
●

アカウント選択基準
システム・ネットワークの利用ルールおよび手続き
情報共有に利用するツールの選択基準

パートナー 企 業

グ リ ー グル ー プ

契約管理

取引先選定ルールおよび安全管理措置の実施状況の確認手続き

情報セキュリティ教育

業務委託利用に関する情報セキュリティルールの整備
業務委託を利用する際の情報セキュリティ上の注意事項や手続きをルールとして定めています。委託
元となる部門は、ルールを理解し、手続きが完了してから業務委託の利用が可能となります。
＜主な内容＞⃝ 業務委託利用に関して情報セキュリティ対策を必要とする背景⃝ 業務委託先のアカウントの選択、端末の利用、ネットワークの利用、勤務場所などのルール⃝ 契約管理、ガイドラインへの合意依頼、個人情報に関する手続き

14

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

契約管理
パートナー企業での安全管理措置の実施義務および秘密保持義務を含む契約を締結しています。
なかでも個人情報を取り扱う業務を委託する場合は、委託元となる部門とグループ個人情報保護事
務局が連携し、個人情報管理条項を含む契約を締結しています。

「グリーグループ情報セキュリティガイドライン」の遵守
安全に作業いただくことを目的に、パートナー企業に遵守いただきたい情報セキュリティ事項を「グリーグループ情報セキュリティガイドライン」として定めています。パートナー企業に対しては、取引契約を締結する際に同ガイドラインをご確認いただき、記載事項を遵守する誓約書の提出を求めることとしています。
＜主な内容＞⃝ 勤務場所の安全性確保⃝ 利用ネットワーク⃝ 利用可能端末⃝ 端末の管理⃝ 情報共有方法⃝ インシデント発生時の対応

システムの適切な利用パートナー企業に付与するアカウントは、開発業務を目的とするタイプと情報共有に限定したタイプを用意しています。委託元となる部門は、委託する業務内容に基づき適切なアカウントを選択することで、システムの利用と情報へのアクセスを必要最低限にすることができます。また、各アカウントの利用について、利用可能な端末、ネットワーク、場所などを指定し、不適切な利用による情報漏えいなどのリスクを低減しています。

パートナー企業オフィスからのネットワークおよびシステム利用の管理
パートナー企業が、パートナー企業のオフィスから当社グループのネットワークやシステムを利用する
場合は、情報セキュリティ部門の承認が必要となります。
その際、利用目的が適切であること、アクセス元の IPアドレスがパートナー企業専有であり他社と共有していないこと、セキュリティ管理体制が十分であることなどを確認しています。また、利用者や利用期間について記録するとともに定期的に確認し、利用する必要がなくなり次第、アクセス権を削除しています。

15

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

安全な情報共有ツールの利用
パートナー企業とのファイル共有は情報セキュリティ対策が施されたツールを指定しています。PPAP＊は危険性が高い共有方法として禁止しています。社内告知やブログなどで従業員に啓発を行い、パートナー企業にも説明を通じてご理解いただいています。
＊PPAP： メールでパスワード付きの zipファイルを送った後に、別メールでパスワードを送るファイル共有方法。「パスワード（Password）付きzip」「パスワード（Password）送信」「暗号（Angou）化」「プロトコル（Protocol）」の頭文字をとった言葉

個人情報 /マイナンバーを取り扱う場合の安全性確認
個人情報またはマイナンバーを扱う業務を委託する場合は、委託開始前、および委託開始後は年次で、下記のいずれかの方法で安全性を確認しています。
⃝ プライバシーマーク認定やISMS 認証の取得、もしくはSOC2への準拠を確認⃝ グループ個人情報保護事務局が依頼する「安全管理措置チェック」⃝ 委託元組織による監査の実施および情報セキュリティ部門のレビュー

16

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

生成 AIサービスの活用と安全な利用
生成 AI が急速に普及し、さまざまな組織で試行的導入が始まっています。当社グループでも、業務の効率化やアイデアの創出などの効果を期待し、積極的かつ適切に利用することが重要だと考えています。
生成 AI は「学習」する特性上、入力するデータの内容や出力される生成物の利用方法によっては、著作権侵害、情報漏えいなどの問題が発生するおそれもあります。
そこで当社グループでは、情報セキュリティ部門、情報システム部門、知的財産部門、グループリス
クマネジメント統括部門、グループ個人情報保護事務局が管理部門となり、生成 AIを利用する組織と連携し、安全な利用を進める体制を構築しています。
情報セキュリティの観点では対策の一つとして、業務利用する際の注意事項および手続きをガイドラインとして策定しました。このガイドラインは今後の技術の進展などに合わせてアップデートしていきます。
生成 AI 利用に関するリスクと管理体制● 部門内生成 AI ガイドラインの策定● 部門内での周知・啓発

利用相談・サポート
管理部門間の連携

利用部門

主要リスク

利用規約違反
著作権侵害

情報漏えい

マルウェア感染
虚偽情報の利用

管理部門
知的財産部門グループリスク
マネジメント統括部門

著作権関連の注意点の周知

リスク全般の管理

著作権に関する相談対応

利用部門作成ガイドライン
レビュー

情報セキュリティ部門

利用部門作成ガイドライン
レビュー

情報セキュリティガイドラインの策定
従業員教育などでの周知

情報セキュリティに関する相談対応

グループ個人情報
保護事務局

利用部門作成ガイドラインレビュー
DLP による機密情報漏えい防止

個人情報に関する相談対応

情報システム部門
主要サービス利用時のガイドライン策定
技術相談

利用部門作成ガイドライン
レビュー

17

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

生成 AI 利用に関する情報セキュリティガイドライン（抜粋）ガイドラインの目的
情報漏洩などのセキュリティリスクを回避するために、生成 AIを利用する際のセキュリティルールおよび手続きを定める

対象とする生成 AI
人間による指示（文章・画像・音声・動画他）を解釈し、学習データを元に新たなコンテンツ（文章・画像・音声・動画他）を生成するシステム、もしくは、それらのシステムをバックエンドに持つシステム

遵守事項● 入力を禁止する情報● コード生成に使用する場合の責任範囲、社内コード管理● 自社サービスに組み込む場合のAPIキーや管理画面のアカウントの管理

情報セキュリティ以外のリスクおよびルール・手続きの案内● 著作権侵害● 誤情報の利用● 個人情報の不適切な利用● 利用規約違反

利用可否判断および手続きフロー
入力情報の
機密性区分

一般情報

・取扱注意
・機密情報

利用可

①生成AI
サービス
利用条件

利用を
記録するための
届出を提出

満たす

低リスク
満たさない

極秘/個人情報②セキュリティ部門による確認
高リスク

利用不可

利用可

①生成 AIサービス利用条件の例● 情報セキュリティに関する認証を取得している● 過去に事故が報じられていない● 利用規約等に利用者の秘密を保護することが記載されている● 問い合わせ窓口等のサポートが提供されている● 入力データの保護を確保できる②セキュリティ部門による確認内容● 生成 AIサービスの安全性を調査● 用途、入力情報、利用人数などの利用

環境を把握

18

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

セキュリティアセスメント

  当社グループでは、定期的に情報資産におけるリスクの存在を調査し、そのインパクトを評価して対応策を決定するセキュリティアセスメントを実施しています。
セキュリティアセスメントは、情報セキュリティ部門が中心となり、主に①情報資産が適切に保護されているか（情報資産台帳による）、②情報資産を保護するための管理策が適切に実施されているか（チェックリストやヒアリングによる）の2点を確認しています。
情報セキュリティ部門は、検出したリスクを対象組織に報告するとともに、リスク低減に向けた改善策を提案しています。それを受け、対象組織は、情報セキュリティ部門と連携し、当該リスクへの対応
方針（軽減、回避、受容など）を決定してリスク管理計画を策定し、計画に沿ったリスク管理策を実施しています。情報セキュリティ部門ではそのリスク管理策の実施状況をモニタリングして、情報資産の管理の強化を図っています。

セキュリティアセスメント

リスクへの対応
リスクの評価リスクの調査対象組織は対応策を決め、情報資産の洗い出し対応計画を策定します。

情 報セキュリティ部 門 は、
情 報セキュリティ部 門 は、事業部やサービス単位で、所有する情報資産およびその保護状況などを記載した「情報資産台帳」を作成します。

情報資産台帳のレビューで保護状況を確認します。

また、チェックリストやヒア

情報セキュリティ部門は対応

発生可能性および重大性を状況をモニタリングします。

もとにリスクの大きさを評価

し、受容の可否や対応の優先度を検討します。

リングによりルールの遵守
状況を確認します。

発生可能性
5

4

3

5

内容

保管場所

ソースコードXXXXXXXXXXXXXX

2

メールアドレス

XXXXXXX

XXXXXX3

取引先の情報XXXXXXXXXXXXXXX

4

取引先との契約書

XXXXXXX

XXXXXX5XXXXXXXXXXXXXXXX

XXXXX

重大性

名称
1

4
3

カテゴリ

想定されるリスク

事実・課

1

個人情報保護管理

情報漏洩

XXXXX

2

C: 秘密情報の保護

情報漏洩

XXXXX

3

D: 人的セキュリティ対策

情報漏洩

XXXXX

4

XXXXXXXXX

XXXX

XXXXX

5

XXXXXXX

XXXX

XXXXX

2
1

Point

他組織と比較してPoint

事業やサービスの内容を盛り込んでカスタマイズしたチェックリストを使って確認します。

情報セキュリティ統制

どれくらいセキュリ

事業承継対応（BCP)

いるかについても、

インシデント対応

ティ対策ができて対象部門に伝え刺激を与えています。

S

点検・監査

秘密情報の保護DE

人的セキュリティ対策

外部委託先管理

物理的セキュリティ対策
ITセキュリティ対策

当組織

19

個人情報保護管理A
B
C

FY19 実施組織平均

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

ガイドラインに基づく情報セキュリティ対策確認  

情報セキュリティの対策状況を確認するプラットフォームサービスを用いて、ISMS、NIST ＊1、CIS ＊2などの主要な公的情報セキュリティガイドラインで定められたベストプラクティスをベースに、実施状
況をスコア化しています。他社のスコアと比較することで、当社の対策レベルを客観的かつ俯瞰的に評価しています。
また、ベストプラクティスと差異がある対策を課題とし、リスクの重要度（リスクスコア）が高いもの
から優先的に対策の改善を進めています。この取り組みによって、短期的な課題解決だけでなく、リスク状況の変化を常に把握し、将来を見据えた情報セキュリティ戦略を講じることが可能となっています。
＊1 NIST：National Institute of Standards and Technology の略称であり、科学技術の標準について研究を行うアメリカ合衆国の連邦政府機関＊2 CIS ：Center for Internet Securityの略称であり、インターネットセキュリティの標準化について研究を行うアメリカ合衆国の非営利団体ガイドラインに基づくセキュリティ対策
NRIセキュアテクノロジーズ（株）「Secure SketCH（PREMIUMプラン）」を用いた評価結果

総合評価

得点（2023年11月時点）

S

グリー

A

B

C

D

他社平均

785

高レベル
高レベルのセキュリティ対策を実施できています。

607

1,000

高度化する脅威に対応するため、継続的に対策の高度化を図りましょう。

他社平均（絞り込み）＊

628

1,000

1,000

＊他社平均
（絞り込み）：情報処理業界に所属する会社の平均値

分野別評価

対策必須

改善検討

対策充足

他社平均

87.0％

戦略

80.2％

組織

75.6％

技術

82.6％

有事対応
0

10

20

30

40

50

60

本報告書への掲載にあたり、
Secure SketCHの評価結果の表記の一部（社名、分野別評価など）に編集を加えています。

20

70

80

90

100

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

課題（ベストプラクティスとギャップがある対策）の対応状況（2023年11月現在）
リスクスコア

未実施

実施中

対応見送り

完了

計

高

0

0

0

0

0

中

7

2

16

1

26

低

2

2

6

0

10

計

9

4

22

1

36

〔参考〕リスクスコア算出基準
発生可能性
発生可能性
スコア

影響度
発生した時の タイプ① ミッション
影響スコア（サービスへの影響度）

発生する
可能性

タイプ② 目的（組織目標への影響度）

タイプ③（安全性の確保への影響度）

1

皆無

1

安全にいつも利用できる営業利益・信頼性に
損害なし

情報が安全に保護されている

2

現実的
ではない

2

遅延するが支障がない

営業利益または信頼性に損害を与える（回復までにかかる時間は半年未満）

取り扱い注意情報が漏洩する、
もしくは不正アクセスされる

3

起こり得る

3

時々利用できない

営業利益または信頼性に損害を与える（回復までにかかる時間は半年以上）機密情報が漏洩する、もしくは不正アクセスされる

4

いつ起きてもおかしくない4

継続的に利用できない

営業利益または信頼性に損害を与える（回復までにかかる時間は1年以上）

20,000 件未満の個人情報が漏洩する、もしくは不正アクセスされる

5

今起ころうとしている

5

利用できる見込みがないビジネスの継続危機

機密情報や 20,000 件以上の個人情報が漏洩する、もしくは不正アクセスされる

発生した時の影響スコア＊

発生可能性スコア

1

2

3

4

5

5

5

10

15

20

25

4

4

8

12

16

20

3

3

6

9

12

15

2

2

4

6

8

10

1

1

2

3

4

5

■ Critical ■ High ■ Medium＊タイプ①～③のうち、一番大きいスコアを採用
CIS RAM（Center for Internet Security® Risk Assessment Method）に基づき策定

21情 報 セ キュリティ対 策

日々、複雑化・高度化が進むサイバー攻撃など、増大する情報セキュリティの脅威に対応するため、当社グループでは、「人」「技術」「物理」の3つの側面から、情報セキュリティ対策を推進しています。

人的情報セキュリティ対策

  

従業員の知識・スキル不足によるインシデントを減らすため、継続的に従業員向けの教育・訓練を実施し、知識・スキルの習得・向上のための啓発に取り組んでいます。

情報セキュリティ教育
従業員が情報セキュリティ対策のルールや、インシデント
発生時の通報・初動対応の手順について正しく認識し行動できるよう、集合研修や eラーニングを実施しています。
各研修の実施後にテストを行い、理解度の低い項目は教材へ反映することで、理解度の向上を図っています。
また、受講状況をトラッキングして未受講の従業員に向けてリマインドし、受講の徹底に取り組んでいます。課題や受講率を含めた研修の結果を情報セキュリティ委員会に報全従業員対象の定期研修

告しています。
主な教育コンテンツ
対象

実施内容

全従業員

情報セキュリティ対策の必要性や基本的な情報セキュリティルールの説明、社外の主なインシデント事例の周知、リモートアクセスの利用に関するルールや注意事項の説明

新入社員（新卒・キャリア採用）

情報セキュリティ対策の必要性や基本的な情報セキュリティルールの説明

グループ会社や特定の業務に関わる従業員

業務・要望を配慮したコンテンツ（営業担当者向け研修、開発担当者向け研修）

eラーニングの受講状況（全社員向け年次教育、2023年11月末時点）

88.2％

eラーニング受講完了者
全社員＊

×100

＊任意受講の従業員も母数に含まれています22

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

標的型攻撃メール訓練
IPA（情報処理推進機構）が発表している組織に対する情報セキュリティ10大脅威では、標的型攻撃メールを含む、メールを利用した脅威が常に上位を占めています。
当社グループでは、教育により標的型攻撃メールの特徴を学び、不審なメールが届いてもメールや添付されたファイルを開封したり、リンクをクリックしたりしないよう従業員への意識付けを行っています。
また、標的型攻撃メールを疑似体験する訓練を行い、メールの開封率や通報率＊を算出することで、標的型攻撃メール対策の理解度を確認しています。訓練の結果は情報セキュリティ委員会へ報告し、教材に組み込むことで、標的型攻撃メールへの対策のさらなる強化に努めています。
＊通報率＝従業員からの通報件数 ÷ 訓練メール送付数 ×100

レッドチーム演習
実環境でレッドチーム（攻撃側）とブルーチーム（防御側）に分かれて実施するペネトレーションテ
スト＊を行い、情報セキュリティ対策の実効性を検証する演習です。
検出された課題については、関係部門に伝達し連携して解決策を講じています。また、ブルーチーム（情報セキュリティ部門）としても、より強固な対策、早期対応ができるように体制・手順などを見直しています。ペネトレーションテストを繰り返すことで、サイバー攻撃に関する知識と対応熟練度の向上に取り組んでいます。
＊ペネトレーションテスト：攻撃者視点を取り入れて実施する情報セキュリティの専門家によるテスト手法

インシデント対応訓練
インシデントが発生した際に、情報セキュリティ部門と関係部門がスムーズに連携して対応できるよう訓練しています。
この訓練では、情報セキュリティ部門が作成したインシデントのシナリオを使用し、被害を最小限に抑えながら、収束に導くためのシミュレーションを行っています。具体的には、情報セキュリティ部門および関係部門の担当者が、各自の役割を認識し、インシデント対応ガイドラインに基づいて対応できているかを確認しています。また、実施後に参加者からのフィードバックに基づき、インシデント対応
チーム（GREE-IRT）の体制の見直し、マニュアルの整備といった改善につなげています。

23

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

情報セキュリティコラム
社内ポータルに情報セキュリティコラム「防衛本能」を掲載しています。従業員の意識向上を目的とした記事に加え、情報セキュリ
ティ部門の活動の紹介や、情報セキュリティ
に関するさまざまな話題を提供し、関心を高めるとともに、情報セキュリティ部門へ気軽に相談できる雰囲気づくりを進めています。

コラム「防衛本能」イメージ

技術的情報セキュリティ対策

  

最新の技術やシステムを取り入れながら、さまざまな技術的対策を講じることで、情報セキュリティに対するリスクの軽減に取り組んでいます。

商用環境・開発環境へのアクセス制限
商用環境および開発環境へのアクセスには、ゲートウェイサーバーを経由することとし、不要な通信を阻止することでセキュリティを確保しています。ゲートウェイサーバーへのログインは二要素認証を導入しています。また、商用環境から社内環境および開発環境へのアクセスは原則として許可していません。
商用環境および開発環境

×・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

社内環境およびリモートアクセス環境

×

商用環境

ゲートウェイサーバー
二要素認証

×

×

アクセス可

開発環境

×

アクセス不可×24

インターネット情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

各サービスのネットワークセグメント管理
商用環境についてはサービスごとに専有の論理ネットワークセグメントを割り当て、ネットワーク間での通信を禁じています。また、アクセス権管理を徹底し、各サービスのネットワークへアクセスできる
アカウントを限定しています。

リモートアクセスの情報セキュリティ対策
以前からリモートアクセスを導入していましたが、働き方改革の推進にともない利用が拡大しています。
この状況を踏まえ、オフィス外で勤務することによる情報セキュリティインシデントの発生を防止するために、ゼロトラストセキュリティモデル＊を想定し、以下の対策を実施しています。
＊ゼロトラストセキュリティモデル：2010年にForrest Research 社の John Kindervag 氏によって提唱された「全てのアクセスを信頼しない」を前提に対策を行うセキュリティの考え方＜主なリモートアクセス対策＞⃝ システムの重要度に応じた認証設定など技術面での対策を強化⃝ 利用者が遵守する事項を定めたガイドラインを策定⃝ PCをオフィスから持ち出す際に上長に申請し承認を得る手続きを実施⃝ 利用者および利用を承認する管理者の責任を明確化するとともに、責任を認識させるための誓約への合意を要請⃝ 全従業員を対象とした教育を実施⃝ ID ベースのリスク管理を導入。通常とは異なる場所からのサインインや、専門家が分析した脅威インテリジェンスをもとにリスクを判定し、リスクレベルが高いID はパスワード変更などの対応を実施

シャドーIT 対策
情報漏えいなどのリスクを削減するため、シャドーIT 対策に取り組んでいます。
ストレージサービスを含むクラウドサービスについて、利用を認めていないサービスの利用を検知し、利用者に対してクラウドサービス利用ガイドラインの遵守を促しています。

アカウント管理
社内環境および開発環境にアクセスできるアカウントは、ディレクトリサービスで人事情報と連携させているため、退職した従業員、休職・長期休暇している従業員のアカウントは即時に無効となり、各環境へのアクセスは不可となります。また、商用環境にアクセスできるアカウントは、各サービスでアクセス権限を管理し、定期的に権限の削除漏れがないかを確認しています。
システムの維持・管理のために発行される特権アカウントについては、システムに与える影響や外部からの攻撃、内部不正に利用されるリスクを踏まえ、特に重要なアカウントと認識し、特権アカウントの定義、アカウント付与を含めた管理方法、ログの取得ルールなどをガイドラインに定めています。
25

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

エンドポイント対策
エンドポイントに対しては、以下の対策を実施しています。
＜主なエンドポイント対策＞⃝ OSなどのセキュリティパッチをIT 資産管理システムから定期的に配信
一定期間パッチが適用されないPCには強制的に適用⃝ 定期的にセキュリティパッチの適用率を集計⃝ ドメイン参加やMDM（Mobile Device Management）によるポリシーの一括適用⃝ 各 Windows PCのローカル管理者パスワードをユニークなものに自動で変更⃝ HDD・SSDを暗号化⃝ EDR（Endpoint Detection and Response）製品を導入し、ウイルス対策の実施およびプロセスの挙動などを監視・検知⃝ 定期的にエンドポイントに導入したセキュリティ製品のインストール状況や脅威の検知状
況を分析

電子メール対策
スパムメールフィルターを導入しています。また、添付ファイルはアンチウイルス機能を利用して疑わしいファイルはブロックしています。

クラウドストレージ対策
情報の保管およびデータの共有には、情報セキュリティ部門が安全性を確認したストレージサービス
を利用しています。さらに、情報漏えい対策として、利用者がアクセス権を適切に設定するようルールを設け、周知しています。また、CASB（Cloud Access Security Broker）を導入し、アクセス権が適切に設定されているかを確認しています。

26

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

ネットワーク境界対策・社内 LAN 情報セキュリティ対策
インターネットと社内 LANの境界対策、および社内 LANの情報セキュリティ対策として以下を実施しています。
＜主なネットワーク境界・社内 LAN 対策＞⃝ ファイアウォールを設置し、境界防御を実施⃝ WebからダウンロードしたファイルはSandboxを利用して挙動解析を行い、疑わしいファ
イルをブロック⃝ 社内 LAN へのアクセスは802.1x 認証＊を必要とし、開発用・ゲスト用 LAN は、用途やデバイスに応じて接続可能なシステムなどを適切に管理＊802.1x 認証：有線 LANや無線 LANにおけるユーザ認証の規格

セキュリティログ監視マネージドセキュリティサービス（MSS）を導入し、各種セキュリティログの監視、相関分析を実施
しています。MSSから発報されたアラートに対しては、情報セキュリティ部門で対応しています。

社内環境セキュリティ対策の概要
MSS による監視
クラウド
サービス

社内環境
Active Directory

IT 資産管理システムAPI

社内システムCASB

インターネット

ファイアウォール

Sandbox
Email spam ﬁlter

EDR、AV を各端末に導入／グループポリシーを適用

27

リモートアクセス
二要素認証必須情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

脆弱性診断
当社グループでは、お客さまが安全かつ安心して利用できるサービスを提供するため、ゲームやアプ
リケーションのリリース前後に「脆弱性診断」を実施しています。
サービスの脆弱性を利用してゲームデータやプログラムを改ざんし、ゲームを有利に進めることは「チート行為」と呼ばれています。このチート行為によってユーザー間で不公平が生まれないようにするため、サービスの「機密性」「完全性」「可用性」に対する脆弱性診断は重要です。
当社グループでは、情報セキュリティ部門に脆弱性診断を行う専門チームを設置し、ツールを用いた診断とソースコード診断、検知した脆弱性への対処方法の検討・提案、対処結果の確認を実施しています。脆弱性診断チームのメンバーは、日々技術力の向上に努め、診断で得た知見に基づくチート対策を整理して開発部門に提供しているほか、診断結果の報告や脆弱性対策をテーマにした意見交換も実施しています。

1. 概要：サービスに潜む脆弱性を発見し、被害に遭うリスクを低減
サービスに潜む脆弱性
プログラム／メモリ改ざん

リクエスト／レスポンス改ざん
インターネット

ファイアウォール

プロキシ• 不正操作• 不正強化 • 無敵化• 不正強化• ワンパン • 海賊版など活動の歴史

2012 年• 情報漏えい• アイテム無限増殖

脆弱性をついた不正が横行（探検ドリランドのカード複製やリアル・マネー・トレードなど）
アプリケーションセキュリティチームを発足

2013 年

外部の会社を利用した外注脆弱性診断を開始

2015 年〜現在

セキュリティ診断チームを新設し、内製と外注の診断を統合管理する体制へ。
リリース後の定期的な診断、新規サービスの診断を継続して実施

28

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

2. 診断のライフサイクル
システムライフサイクルにおけるセキュリティ診断のあり方
リリース前診断・機能追加時の診断

運用

脆弱性診断
計画・設計

開発・構築

QA*

リリース
運用

ナレッジシェア

脆弱性診断

対策機能の開発

当社グループの基準に基づき選定したサービスについて、年1回の定期的な診断＊Quality Assurance：品質保証

4. 診断からの波及3. 診断実績
外注脆弱性診断

内製脆弱性診断

不正タイプ（不正アカウント数）（脆弱性検知数）

A

B

C

D

12

13（日）

300,000

250
200

200,000

150
100

100,000

50
0

0

1
2
対策導入

2015 2016 2017 2018 2019 2020 2021 2022 2023

3

4

5

6

7

8

9

10

11

（対策導入後の経過日数）

内製化に注力することで、対応を迅速化するとともに、開発部門へ詳細な対策を展開＜脆弱性診断に基づくチート行為対策の実施例＞⃝ 海賊版ゲームの解析結果をもとにチート行為対策を立案。50万件の不正アカウントを廃止⃝ チート対策機能を内製で開発し、サービス部門に提供。一般的な対策を使用せず、独自開発の機能を組み込むことで、チート行為による解析がより困難となるよう機能を強化

29

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

クラウド診断商用環境で利用するクラウドサービスプラットフォーム上に構築されたアプリケーションを対象としたクラウド診断を実施しました。この診断は、クラウド上で発生しうる重大脅威が引き起こす、不正アクセスや情報漏えいなどのセキュリティリスクの低減を主目的としています。診断対象とするクラウドの特性に応じて、設定上の不備、安全でないインターフェース、秘密情報の管理不足などの、対処すべき脆弱性の有無を診断し、対策状況を確認しました。

クラウド診断クラウド上で起こりうる重大脅威「文献：(ISC)², 2022 Cloud Security Report, 2022/9/1 アクセス」より引用

クラウドの設定不備

許可されていないアクセス

アカウントやサービスのハイジャック

機微情報の漏えい

海外からのサイバー攻撃

安全でないインターフェース

クラウドサービス
プラットフォーム
課題を検出し対策を講じることでリスクを低減クラウド診断主な診断項目ID管理

物理アクセス管理

データ保護

アセット管理ロギング

モニタリングネットワーク

イベント監視バックアップ

脆弱性、パッチ適応、機微情報の確認

脆弱性情報の収集システムやアプリケーションの脆弱性を検出し、迅速に対応するために、有識者による情報収集および社内構築の情報集約機能を活用し、脆弱性情報やセキュリティニュースなどの情報を収集しています。また、緊急度の高い脆弱性情報に関しては、コミュニケーションツールを利用して社内に展開し、対処を促しています。

30

情報セキュリティガバナンス
情報セキュリティ対策
情報セキュリティに関するコミュニケーション

物理的情報セキュリティ対策

  

情報資産の管理・保管施設および情報処理施設を保護するために、さまざまな物理的対策を実施しています。

物理エリアのレベル分け
従業員が入退場するエリアについて、安全性のレベルに応じた管理を行っています。さらに、それぞれのエリアで取り扱い可能な情報の種類や保管方法の条件を定めています。
エリアのレベル分け
高
安全性
低

レベル

エリア名

エリアの説明情報の取り扱いルール

該当エリアの例

2

制限エリア

従業員のなかでも特定の者のみがアクセス可能ほとんどの情報の取り扱いが可能です。
ただし、極秘情報や機密情報は掲示
してはいけません

サーバー室、金庫、
外部倉庫

1

一般エリア

従業員のみがアクセス可能

極秘情報や機密情報の掲示および保存は行ってはいけません。その他、取り扱いの多くに条件があります

執務室、
リフレッシュルーム

0.5

共用エリア

従業員に加え、入居しているビルへ入館できる者がア
クセス可能

原則、極秘情報、機密情報、取扱注意の掲示および保存は不可です

来客スペース、
セミナールーム

0

公開エリア

すべての者が自由にアクセス可能原則、極秘情報、機密情報、取扱注意の掲示および保存は不可です

自宅、通勤経路、お取引先、
飲食店

入室管理
執務室への入室にはセキュリティカードによる認証が必要です。一部オフィスでは、ビルの出入口にセキュ
リティゲートを設置し、許可された従業員のみ入退場できるようにしています。
また、サーバールームなど重要な情報を扱うエリアでは、権限を絞り込んだセキュリティカードや監視カメラによってセキュリティを強化しています。

クリアデスク・クリアスクリーン
離席する場合は、情報関連資産の施錠保管、および PCの画面ロックまたはログオフを行い、認可されていない者によるアクセスや情報の消失などを防止しています。

機密文書などの廃棄機密情報が含まれるデータおよびライセンスが供与されたソフトウェアは、データ消去や記憶媒体の物理破壊などによって確実に消去しています。また、機密情報の記載がある書類は、機密処理サー
ビス会社を利用して廃棄しています。
31

情 報 セ キュリティに 関 す るコミュニ ケ ー ション

他社セキュリティ担当者との情報交換会

  

BtoCビジネスを主とした企業の情報セキュリティ担当者が参加する情報交換会に、グリーグループの情報セキュリティ部門メンバーが参画しています。
参加したメンバーは、当社グループの情報セキュリティ施策についての発表やワーキンググループの企画などを通して、業界全体の情報セキュリティ向上に意欲的に取り組んでいます。

インターネット利用者に向けた啓発コンテンツの提供  

インターネットを利用する上での情報セキュリティリスクや利用者ができる対策を、楽しみながら学べ
るコンテンツを当社グループのコーポレートサイトで公開しています。オリジナルキャラクターによる4コマ漫画で、パスワードの安全な管理や、海賊版アプリをダウンロードしないための注意点について解説しています。

啓発マンガ「リティと仲間たちと学ぼう」

技術カンファレンスでの講演

  

当社グループは2020年から、さまざまなサービスを開発・運営するなかで得られた技術的な知見や、これから取り組んでいくチャレンジを社内外に紹介する「GREE Tech
Conference」を毎年開催しています。2023年10月に開催したカンファレンスでは、情報セキュリティ部門のメンバーもスピーカーとして登壇し、サーバーの管理・運用を従来の SSH による運用からTeleport へ移行した経
緯やその効果についてプレゼンテーションしました。

32

GREE Tech Conference 2023

グリー株式会社（GREE, Inc.）https://corp.gree.net/