キリンホールディングス株式会社

情報セキュリティ報告

INFORMATION SECURITY REPORTトップメッセージ
キリングループでは、お客様・従業員・株主・社会からの長期的な信頼の獲得、そして経営目標の達成や事業の継続性に重大な影響を及ぼす不確実性をリスクと定義しています。
ネガティブリスクの低減や顕在化の未然防止を通じたリスクの許容範囲内に収めることをリスクマネジメントにおける基本方針とし、このためのマネジメント体制の構築・整備、コンプライアンスの徹底を進めています。
キリングループは、KV2027ビジョン「食から医にわたる領域で価値を創造し、世界のCSV先進企業となる」を実現すべく、2022年から開始する中期経営計画では、ポストコロナを見据え、各事業において構造改革を実行するともに新たな価値創造を進めて成長を加速させてまいります。
これらの取り組みのためには、アナログで進める業務のデジタル化、社内外のワークフローのデジタル化、グループの事業モデル並びに組織風土のデジタル基盤による変革が欠かせず、2022中期経営計画においても従前に続いて戦略的に重要度の高いテーマを掲げて各課題の解決を進めます。
これらの推進に際して、営業機密情報のみならず、個人情報等の重要な情報資産をサイバー攻撃等から確実に保護できる環境を整備し、お客様をはじめステークホルダーの皆さまが安心してキリングループとお取引いただけるようにすることが不可欠です。
従いまして、グループとして情報セキュリティを重要リスクの一つと認識し、「社内ルールの整備・充実と従業員の啓発」
といった基本課題に「グループ内のガバナンス強化」と「技術対策の推進」
を加えた三つを柱として様々な対策を計画的に進めています。

2

Information Security Report社会とともに歩み、社会課題の解決を通じた企業の成長を目指す

過去より、キリングループの情報セキュリティ対策は、営業機密情報をはじめとする情報資産の漏洩や紛失等のリスク低減に力点を置いて、また個人情報保護の高まりとあわせ、情報資産及びこれらを保管・保存する機器や建物の管理に関するルールの制定と定着、並びに漏洩リスク低減のための情報システム基盤の構築を進めてまいりました。
こうした過去のステージを当社「情報セキュリティ1.0」としますと、その後のインターネット上で提供されるサービス、通信ネットワーク及びモバイル機器等の進化と普及にあわせ、また急増する悪意ある攻撃に対する防衛力強化を狙い、「情報セキュリティ2.0」
として2021年末までのマイルストーン毎に段階的に成熟度を上げていくロードマップを策定して施策を展開してまいりました。
直近で特に傾注していたのは、プライバシーデータ保護ポリシーの制定、情報セキュリティ対策に関するチェック・統制対象のグローバルスコープで拡大、監視・検知、及びインシデント発生時態勢の強化としてのSOC及びCSIRTの設立と充実、リモートワークへの対応、等です。
攻撃者はその脆弱性を狙います。
一か所の対処の不備が全体のリスクを高めることから、個々の施策の浸透・定着の水準も上げていく必要があり、このためにサイバー攻撃や情報資産に関する私たちの理解をより深めていくことが不可欠と考えています。
2022中期経営計画でも、このような認識の下、当グループの情報セキュリティ活動を「ステージ3.0」として取り組みます。
本情報セキュリティ報告書は、キリングループの取り組みをご紹介するものです。
ぜひご一読いただければ幸いです。

キリンホールディングス株式会社
デジタルICT戦略部長
野原 永行

Information Security Report3Table of Content4

トップメッセージ

02

情報セキュリティのガバナンス

06

情報セキュリティの体制

08

情報セキュリティのリスク

10

情報セキュリティインシデントへの対応体制

12

プライバシーデータ保護ポリシー

13

エリアでの管理14

リモートワークでの対応状況について15

情報セキュリティインシデント

16

マネージメントレビュ―

18

情報セキュリティ人材

20

Information Security Report本書はキリングループ全体の情報セキュリティに関しての報告を経済産業省発行「情報セキュリティ報告書モデル」を参考にまとめたものです「企業を支える」から「事業をリードする」情報セキュリティ
グループ全体の情報システム機能（ヒト・モノ・カネ）を集約し、IT戦略策定から案件の実行までのITライフサイクル全般に関わり、情報システムのガバナンスを通じたグループ情報戦略を主導しています。

情報セキュリティの規程構成•

情報セキュリティの基本方針

情報セキュリティマネジメントシステムの情報セキュリティ対策の向上を確立と実施および継続的改善

グループ共通の重点取り組みの一つと捉え、•教育の実施さまざまな対策を講じています。

•

事業継続性管理•

法令および規範並びに契約上の要求事項「社内ルールの整備・充実」や「従業員に対する教の遵守育」といった基本となる取り組みに加えて、「グループ■ 個人情報保護方針
https://www.kirinbs.co.jp/privacy.html※一部グループ会社については、個人情報保護方針を個別に制定しています。
■ ウェブサイト
https://www.kirinholdings.co.jp/■ 対象期間2021年（1月～12月）の情報セキュリティに関する活動や取組を対象にしています。
■ 対象会社
当報告書はグループ全社を対象としていますが、一部の活動や取組については実施していない内容があります。

内に対するガバナンスの強化」と「技術的対策の推進」
を柱とする情報セキュリティ対策レベル向上の取り組みを計画的に進めています。
具体的には、情報セキュリティに関するルールを定め、適切な情報管理を実施しています。
また、内外の環境変化に応じて随時ルールの見直し・追加を行い、常に高いセキュリティレベルを維持しています。

Information Security Report5情報セキュリティのガバナンス
キリングループは情報セキュリティ対策の遵守状況を定期的に確認しています。
国内外グループ各社に対して、情報システム分野における機能分担会社であるキリンビジネスシステムが遵守状況をチェックし、是正すべき点を確認した場合は速やかに改善を促しています。

キリングループの全社を対象に従来からキリングループ全体の情報セキュリティに関する基本的な考え方、対策、管理方法などを定めた「キリングループ情報セキュリティ規程」を制定しています。情報セキュリティに関する国際標準規格ISO/IEC27001:2013（日本国内ではJISQ27001：2014)に準拠する形で2021年1月に改訂しました。
同時に海外グループ会社向けの「情報セキュリティガイドライン」
を制定
し、海外グループ各社では、全従業員を対象にしたE-ラーニングなどの研修を定期的に実施することにより、従業員の情報管理意識およびスキル向上を図っています。
新たな取り組みとして、個人の認証の強化や入退室の管理の強化に順次取り組んでいます。
このような取り組みにより、キリングループにおける情報セキュリティの強化を図っています。

情報セキュリティガイドライン

各マニュアルについて

各従業員には「情報セキュリティ規程」を軸にした各種キリングループのマニュアルは、各種情報セキュリティにマニュアルを用意して、各グループ会社の実情に応じた関する規定を踏まえ、キリングループ事業独自のルール工夫をしています。に合わせ、第三者コンサルティング会社によるレビュー、およびEラーニングからの課題をフィードバックし、必要に応じて更新しています。

6

Information Security Reportキリングループ事業会社独自のルールを設定し、従業員の意識向上を目指しています

情報セキュリティの規程構成

情報セキュリティ体制図
グループリスク・コンプライアンス委員会

情報セキュリティ規程

情報セキュリティ管理責任部門
情報セキュリティルール

キリングループシステム管理細則
情報資産に関する組織体制と役割マニュアル

事業会社（国内、海外)機能分担会社

情報セキュリティ管理責任者

情報セキュリティ管理責任者

情報資産の取り扱いマニュアル【人的セキュリティ】
マニュアル 【物理的セキュリティ】
マニュアル 【システムセキュリティ】
マニュアル

事業会社（国内、海外）

キリングループ情報セキュリティガイドライン

情報セキュリティ管理責任者※事業会社は、構成会社の情報セキュリティに関する監督、指導の実施を行う。

Information Security Report7情報セキュリティの体制
キリングループでは、キリンビジネスシステムを、グループ全体の情報セキュリティ向上の統括・推進部門と位置付け、キリングループにおける情報セキュリティ向上のために、グループ各社の監督・指導を行っています。

重要リスク確定体制
グループ各社では、キリングループのリスクマネジメント方針に基づき、定量・定性の両面から事業固有のリスクを抽出・検討しています。
これらリスクをグループリスク・コンプライアンス委員会事務局（キリンホールディングス経営企画部）で集約・精査し、影響度が大きく発生確率が高いリスクやグループ全体に共通するリスクについては、グループリスク・コンプライアンス委員会で審議の上、グループの重要リスクとして確定しています。

リスク確定フロー
リスクマネジメント方針
グループ各社固有のリスクを抽出・検討（各社）

グループ全体のリスクを抽出・検討（キリンホールディングス）グループ各社で抽出したリスクに加え、グループ視点を加味して、定義・定性を総合的に判断し、グループの重要リスクをキリンホールディングスで検討
グループリスク・コンプライアンス委員会でグループの重要リスクを確定
主要国内グループ会社
キリンビール株式会社
キリンビバレッジ株式会社
メルシャン株式会社
キリンシティ株式会社
協和キリン株式会社
協和発酵バイオ株式会社
小岩井乳業株式会社
キリンアンドコミュニケーションズ株式会社
キリンエンジニアリング株式会社
キリングループロジスティクス株式会社
キリンテクノシステム株式会社
キリンビジネスエキスパート株式会社
キリンビジネスシステム株式会社
キリンエコー株式会社

8

Information Security Report

主要国外グループ会社
Lion Pty Ltd（オーストラリア）
Interfood Shareholding Company（ベトナム）
Kirin Holdings Singapore Pte, Limited（シンガポール）Kirin Europe GmbH（ドイツ）
Coca-Cola Beverages Northeast, Inc.（アメリカ）
Four Roses Distillery, LLC（アメリカ）
各国固有の法律、制度に従いセキュリティ施策を行っています。

情報セキュリティガバナンス体制
情報セキュリティ対策に関する取組体制を明確化し、情報資産の漏えいのリスクを低減させるとともに、外部からの情報セキュリティに対する脅威に対応し、情報セキュリティ対策の実効性を高めます。

ガバナンス体制
情報戦略担当役員
リスクマネジメント方針

承認

計画策定・モニタリング••••

施策の計画策定と実行（教育・規定等の整備など）
場所判断で導入するシステムや機器の確認
各場所への利用停止・状況報告などの対応指示
対応状況のモニタリング

報告

教育
指示

各場所（責任者担当者）
本社、営業拠点、工場、研究所、国内グループ各社など

施策計画の承認
情報セキュリティリスクの把握

報告

指示

情報部門
キリンホールディングスデジタルICT戦
略部、キリンビジネスシステム••

施策・維持管理の実行•••

施策の実施、場所内での実施状況の集約
維持管理の実施、場所内での維持管理状況の取りまとめ
利用状況の確認、結果の報告情報セキュリティ推進体制
情報セキュリティ管理責任者を中心に情報セキュリティを推進する。

情報セキュリティ管理責任者の指名•

社長より権限の委譲を受けた情報セキュリティ管理責任者が各社の体制構築・維持および情報資産の適正な取扱いと管理を実行し、その責任を負います。

•情報セキュリティ管理者／主管担当長／取扱担当者の選定•

工場・事業所・本社部門毎に情報セキュリティ管理者等の各役職を任命します。
（ただし、事業規模に応じ各役職の兼任も可能）

全従業員を対象とした情報セキュリティ組織体制【本社】
情報セキュリティ管理責任者【各工場】
情報セキュリティ管理者
情報セキュリティ主管担当長
情報セキュリティ取扱担当者【本社部門】
情報セキュリティ管理者
情報セキュリティ主管担当長
情報セキュリティ取扱担当者【事業所】
情報セキュリティ管理者
情報セキュリティ主管担当長
情報セキュリティ取扱担当者

Information Security Report9情報セキュリティのリスクグループ内のセキュリティ対応体制を整え、人的・物理的・技術的対策を実施することで、ウィルス感染や外部からの不正アクセスといったサイバー攻撃の脅威への対策強化に努めています。

機密性区分に応じた情報管理•

社内の極めて限られた者だけが知りえる特に重要な情報資産•

社内の限られた関係者であれば知ることができる情報資産•

社内の者（状況によりグループ内の限られた会社）であれば誰でも知ることができる情報資産•

社内外の誰でも知ることができる公開情報破棄
各媒体に合わせ廃棄ルールを設定し管理しています。
廃棄・削除

手段

印刷物[紙]• 印刷物[紙]はシュレッダー、溶解処理等により廃棄します。
• 溶解処理実施までの管理に注意します。
• セキュリティBOX・保存箱等の管理・保管に留意しています。

外部記憶媒体• USBメモリ、大容量ディスク等の外部媒体は、物理的に破壊します。

電子データ• バックアップを含めて対象となる全ての電子データを削除します。

パソコン• 専用データ消去ソフトを利用し、電子データを削除します。

雇用時、退職時および雇用変更時の管理秘密保持に関して誓約書または雇用契約書に含めています。
•従業員の退職または解雇時に、その在職中に知り得た重要情報を特定し、秘密保持等の義務の内容を確認させる。

•在職中に知り得た情報を、競合企業のために提供または開示しない。

•過去に就業していた企業または組織で知り得た情報を、当該企業または当該組織の承諾無しに、自社内で開示あるいは利用しない。

10

Information Security Report情報管理の戦略
グループ内のセキュリティ対応体制を整え、人的・物理的・技術的対策を実施することで、ウィルス感染や外部からの不正アクセスといったサイバー攻撃の脅威への対策強化に努めています。

Information Security Report11情報セキュリティインシデントへの対応体制
キリングループでは、深刻化しているサイバー攻撃の脅威に対応するため「KIRIN-CSIRT」を構築し、キリングループにおける重要リスクの一つである情報セキュリティに取り組んでいます。

KIRIN-CSIRT
グループ内のセキュリティ対応体制を整え、人的・物理的・技術的対策を実施することで、ウィルス感染や外部からの不正アクセスといったサイバー攻撃の脅威への対策強化に努めています。

目的

関連部署と連携

セキュリティインシデント発生時におけるスピーディで組織

CSIRTはキリンホールディングスリスク委員会事務局、IR的な対応をするため、体制を整備しています。

室、CSV戦略部、法務部、人事総務部（人事系・総務系共に）、コーポレートコミュニケーション部と連携し、設立しています。

KIRIN-CSIRT体制
キリンビジネスシステム
社長
連携

キリンホールディングス
デジタルICT戦略部

KIRIN-CSIRT

連携

グループスリスク・コンプライアンス委員会事務局
経営企画部

法務部

人事総務部

委託

連携

コーポレートコミュニケーション部

CSIRT（Computer Security Incident Response Team)とは？

各グループ会社
外部専門会社
フォレンジック
情報収集
脆弱性診断

CSIRTとは、コンピュータやネットワーク（特にインターネット）上で何らかの問題（主にセキュリティ上の問題）が発生した場合にその対応を行う組織の総称。

12

Information Security Reportプライバシーデータ保護ポリシー

キリングループでは、国連の「ビジネスと人権に関する指導原則」に準拠し、事業活動における人権尊重への取り組みにかかわるすべての文書・規範として位置付けた「キリングループ人権方針」
を2018年に策定し実践しています。
人権尊重の実践を進めていく上で「個人情報保護」は重要な取り組みテーマの一つとして捉え、「キリングループ プライバシーデータ保護ポリシー」を新たに策定しました。
キリングループの全役員および従業員に適用され、個人情報保護への取り組みに関するすべての文書・規範の上位文書としています。

要旨

人権を尊重する経営をより一層推進していく取り組みとして当基本方針に従い実践していきます。
•

経済協力開発機構（OECD）が採択したガイドライン基本8原則の実践
原則

実践

収集制限

個人データを収集する際には。法律にのっとり、また公正な手段によって、個人データの主体（本人）に通知または同意を得て収集します。

データ内容

個人データの内容は、利用の目的に沿ったものであり、かつ正確、完全、最新に保ちます。

目的明確化

個人データを収集する目的を明確にし、データを利用する際は収集したときの目的に合致させます。

利用制限

個人データの主体（本人）の同意がある場合、もしくは法律の規定がある場合を除いては、収集したデータをその目的以外に利用しません。

安全保護

合理的な安全保護の措置によって、紛失や破壊、使用、改ざん、漏えいなどから保護します。

公開

個人データの収集を実施する方針などを公開し、データの存在やその利用目的、管理者等を明確に示します。

個人参加

個人データの主体（本人）が、自分に関するデータの所在やその内容を確認できるとともに、異議を申し立てることを保証します。

責任

個人データの管理者は、これらの諸原則を実施する上での責任を持ちます。

•

社会規範の変化に応じた継続的改善に取り組む実践と従業員教育
継続的な活動実践

社会規範を踏まえた改善

世の中の意識や動向を踏まえ、道義的な側面も考慮しながら個人データ保護のための仕組みを見直し、改善事項を明確にします。

従業員への教育

個人データ保護のための従業員教育を実施します。

• 改善・進捗状況の定期的な公表
キリングループの取り組み進捗状況をキリンホールディングスのホームページで開示します。

「キリン流」の個人情報保護方針•

プライバシーデータ保護ポリシーのグローバルスタンダードであるOECD 8原則に加えて、キリングループが持つステークホルダーとの信頼を重視する考え方を反映することで、「キリン流」の個人情報保護に関する方針を打ち出しています。

•GDPRを筆頭に世界各国でプライバシー関連法令が続々と誕生している状況を踏まえ、本ポリシーとキリングループ各社が所在する現地法令を踏まえ、社内規程整備を推進しています。

•一般消費者の皆様はじめ数多くのステークホルダーの個人情報を預かり事業を展開することに対する説明責任を果たすため、個人情報保護に関する取り組み状況の発信を盛り込んでいます。

個人情報等の重要情報に対し、適切に管理し運用しています。
Information Security Report

13エリアでの管理
事業所施設内外を重要度に応じてエリアに区分しない場合、グループ各社の施設・設備への物理的な不正侵入を防ぐ取り組みを実施しています。
事業所の物理的な環境にも情報セキュリティは大きく左右されることから、制御が難しい場合は、運用ルール等での対応としています。

会話・行動について「不用意な会話」「覗かれる状況での資料の閲覧」「会議終了後の忘れ物」「外部からの問合せ（なりすましを含む）への対応」などの観点から外部での情報資産に対するルールを策定しています。

持ち出しについて持出時の不注意により、紛失・盗難に遭う可能性があります。
また、配送方法によっては受渡しの確認が取れず、荷出し・荷受け時の紛失の可能性が高い場合があることも考慮に入委託先の管理前提として委託先が情報漏えいなどの事故を発生させた場合は、委託元であるキリングループの責任が問われます。
委託先は委託元が行うべき業務を代行しているものであり、委託元であるキリングループは委託先においても事故が発生しないように管理・監督を行う義務があります。

リモートワーク時の標語
不安に思った時は、自身で抱え込まずにリーダーやセキュリテ
ィチームへご相談ください。

インターネットの利用
社用情報機器において業務外の目的で使用することを禁止しています。
また、セキュリティ機器による通信制御も実装しています。

インターネットの閲覧
インターネットは業務目的以外での使用を禁止しています。
Webページからファイルをダウンロードする場合、業務で利用するもののみに限定としています。

SNS利用
個人によるインターネット上の情報発信においては、コンプラ
イアンス・モラルに触れる事項に配慮した内容とすることを義務としています。

14

Information Security Report情報システムの利用

スマートデバイスの利用システム利用者の活動、例外処理および情報セキュリティ事

社内システムへのアクセスやメール等を介した業務情報の保象を記録したログを取得します。

存が可能な場合、適切なセキュリティ機能が施されていない

また、将来の調査およびアクセス制御の監視を補うために、一と情報の漏えい等につながるおそれがあります。

定期間保持します。

会社貸与のスマートデバイスに関して必要となるセキュリティ機能は利用ルールやセキュリティ対策の内容に応じて異なるため、適切な機能を決定し実装します。

リモートワークへの対応状況について
リモートワークは場所や時間に縛られることなく業務ができるため、とても利便性の高い働き方ですが、一方で使い方を誤ると大きな事故を起こしてしまう危険性もあります。

リモートワーク時の従業員への注意

注意喚起の周知

リモートワークにおいてセキュリティの観点から注意すべきリモートワーク時の注意もリモートワークの手引きと同時に周事項をチェックリストの形式でまとめて各従業員に情報セキ知しています。

ュリティを意識させています。
•ウィルス感染対策•

紛失・盗難対策•

盗聴・不正アクセス対策

Information Security Report15

情報セキュリティインシデン

情報セキュリティ事故または事故に繋がりかねない事象が適切に報告されず対処が行われなかった場合、事故が発生してしまったり、被害がより深刻化してしまうおそれがあります。
セキュリティインシデントまたはその疑いを発見した場合には、速やかに定められた連絡先に連絡するようルールを定めています。

技術的対策
DX（デジタル トランスフォーメーション）を推進するためには、新たな技術・サービスの導入と同時に、それらを正しく効果的に活用するための情報セキュリティ対策も極めて重要です。
深刻化しているサイバー攻撃への対策を強化しており、キリンホールディングス、キリンビールなどの主要会社において機械学習機能を備えた先進的なセキュリティ対策ツール導入などを講じています。
情報セキュリティインシデントは「SOC（セキュリティー オペレーシ
ョン センター）」で機械的に検知し、「KIRIN-CSIRT」と連携して、影響範囲の特定・最小化、原因分析を進めています。

海外拠点強化サイバー攻撃などでの経済的な影響を低減するためグローバルで付保を行うなどリスクの移転も含めて対応を行っています。
これらにリモートワーク時の従業員への注意より、一定レベル以下にリスクは低減できていると考えていますが、未知のサイバー脅威などには幅広く情報収集などを行いながら対策を講じています。
•

国内キリングループ各社に導入・蓄積したセキュリティ対策のノウハウを基に、共同利用型のセキュリティサービスを提供しています。

•

セキュリティ有識者が存在せず、自社での対策が難しい海外キリングループ会社に対して、本サービスの導入および運用に関する技術的支援を実施しています。

•国内キリングループ各社に導入している機能との共通化を図る
ことにより、スケールメリットを活かした低廉なサービス提供を実現しました。

16

Information Security Reportアクティブ・プロアクティブな検知
機密性区分に応じた情報管理
人的もしくは機械的にセキュリティインシデントが発生していることを発見した場合、またはその疑いのある事象を発見した場合には、速やかにセキュリティインシデントの報告窓口に連絡します。
セキュリティインシデントの報告窓口が不明な場合には、セキュリティ管理者に確認し、セキュリティ管理者がモニタリングをします。

対応時の標語
セキュリティインシデントまたはその疑いを発見した場合には、速やかに定められた連絡先に連絡する

従業員端末の個別通信遮断
従業員個人が二次災害を防ぐ
従業員がインターネット通信、メール、もしくは従業員個人が不審を感じた時点で、直感的に通信を遮断し、情報システム担当へ連絡されるシステムを実装しています。
この行動を周知することにより、被疑機器からの二次災害を防ぎ、健全な事業活動を支えています。

インシデント対応方針とフロー
インシデントレベル
インシデントレベルを影響の大きさに応じ5段階に定義しています。
インシデント対応レベルにより情報セキュリティ管理責任者が停止判断を行います。

対応フロー
事前準備
インシデント
発生関連部署が参加し、意思決定をします。
さらに、状況により担当役員またはグループリスク・コンプライアン

対応時の基本方針
1. 人命（健康と安全）確保
2. 法令遵守優
先 3. お客様の個人情報の漏洩防止、被害の最小化
順 4. ウイルス感染によってキリンが攻撃用の環境を提供してし位

まい、結果としてサイバー攻撃に関与・加担することの防止

5. 業務継続

初動対応
データ保全
調査・解析
報告・情報開示
復旧・対策

Information Security Report17

マネージメントレビュ―
情報戦略を所管するトップマネージメントへ問題発生時の連絡はもちろんとして、年複数回定期的な報告会を設けています。
この報告はセキュリティ推進に当たり、推進者側の意識の統制と、今なにが起こっているか、何をしようとしているかを、トップマネージメントと推進者の情報交流を行い全員の行動を相互牽制することを目的としています。

個人情報の取り扱いマニュアル

改正個人情報対応

国内外事業会社を対象にキリングループの情報セキュ

改正個人情報保護法は2022年法改正を踏まえて対応

リティロードマップ、「利用基準・管理基準の整備」に従しています。

い継続的に状況を調査しています。
本報告期間では国内外の複数の拠点を対象に調査をしました。
あわせて指摘点のある拠点にはモニタリングを継続しています。

ICT
グループ全体のDX推進に必要なデジタル時代に即したICT（インフォメーション アンド コミュニケーション
テクノロジー）・データ基盤の整備も強力に進めています。
従業員のフルリモート勤務を実現するシステムやネットワークインフラは新型コロナウイルス感染症の拡大以前から整備してきましたが、2020年度にはマーケティングなどのさらなる強化に向けてDXP（デジタルエクスペリ

エンス プラットフォーム）を構築しました。
また、現在も社内会議のオンライン化、押印の廃止など業務の効率化を進めるとともに、より柔軟なクラウドベースの基幹システム導入を進めています。
これからも、あらゆる領域でDXの取り組みを加速していくために、グループ全体でICT基盤の構築に取り組んでいきます。

18

Information Security Report

情報戦略を所管するトップマネージメントへ問題発生時の連絡はもちろんとして、年複数回定期的な報告会を設けています。

Information Security Report19情報セキュリティ人材
eラーニングや体験型の研修を実施することによって、従業員が情報セキュリティに関する知識を蓄え行動・実践できるように取り組んでいます。

業務に応じた到達点
各業務内容により目指すべき人材像が異なります。業務や職責ごとに設定し到達を目指します。

キリングループ全社が学ぶ
キリングループでは各種カリキュラムで各会社の情報セキュリティの意識を高めています。
キリンオリジナルの教育コンテンツは毎年必要に合わせ更改し、実績から傾向を分析、対策をしています。

情報セキュリティコンテンツの更新

教育計画

試験

情報セキュリティ担当

PLAN

DO

CHECK

ACTION

評価

集合研修

対策

情報セキュリティ人材定義
定義
認知者
複数の段階あり理解者
セキュリティ
習熟者

能力••

情報セキュリティの知識を持つ人材。
キリングループの情報セキュリティの規程の必要性について知っている。

••

認知者の知識を持ったうえで行動できる人材。
情報セキュリティの目的、方針、必要な行動を具体的に理解している。
情報セキュリティインシデントの有事の際の窓口として行動できる。
知識を持ち、実務として発揮できる。

••

人材の知識と行動人材

20

知識面

行動面

一般
知識

キリン
固有

本人

本人＋他人

認知者

〇

〇

△－

理解者

〇

〇

〇

△（担当場所）

Information Security Report

約400人の情報セキュリティ担当を対象とした研修を実施
全グループ会社の「情報セキュリティ」を向上させるための方策として、「理解者研修」を実施し約400人の情報セキュリティ人材を育成しました。
育成した情報セキュリティ人材は各場所で全社施策を推進、管理していきます。

理解者研修
キリングループ独自で研修コンテンツを作成、セキュリティ知識を理解しその知識を元に行動・実践出来る人材「理解者」になる以下の力量を持つように身近な違反例を複数使用し研修を実施しました。
•周りを巻き込み、プロセスを定着させる力•

すぐに自場所で実施可能な行動例•

キリンのマニュアルに対する理解

理解者研修の反響
研修にあたり、評価とは別の自由記載のフリーコメント
アンケ―トを用意したところ、参加者の80%の記載がありました。
担当者は前向きに取り込んでおり、情報セキュリティについて興味を強く持っていることが確認できました。

Information Security Report21

KISeP
キリングループの情報セキュリティポータルサイト
情報セキュリティポータルを設置しています。
自己学習、報告・相談・連絡を容易にし、反復学習が可能です。
また、情報セキュリティの文書類の集約や相談、問い合わせ窓口を設置しています。
キリングループン従業員は、アクセスする事で情報セキュリティが実践できます。

キリングループの情報セキュリティ人材育成
これまでの人材育成

これからの人材育成

キリングループでは情報セキュリティを末端まで張り配置された情報セキュリティの中心となる人材がより巡らせるために、各会拠点に対し、情報セキュリティ人行動しやすく、ひいては各場所の情報セキュリティ意材を配置しました。

識と対策を高められるように人材育成も強化していき配置された情報セキュリティの中心となる人材は周ります。

を巻き込み、より強固な情報セキュリティの維持に取周囲を巻き込む力を強くし、各拠点の全体の情報セキり組んでいます。

ュリティ意識を底上げしていきます。

情報機能専門会社の情報セキュリティ技術
情報機能専門会社の人材育成

これからの情報機能専門会社キリングループの情報機能は、専門の機能会社がグ情報機能に対する経営からの高まる期待を受けて、ループ各社に最適なITサービスの提供を行っていま専門の機能会社は次のステージへと向かうためにす。

新経営ビジョン、行動指針を見直しました。

その過程では、業務知識、システム知識、ITスキルに22加え、先端技術の探索、活用面でもアライアンスを組

新ビジョン「キリン×ITで社会・お客様・働く仲間のんでいる（株)NTTデータの資産を利用して、事業課題よろこびを創造する企業になります」
を宣言し、活動の解決、IT部門の人材育成を行っています。

しています。

Information Security Report

2021年は情報セキュリティ人材へ情報セキュリティリモート教育を本格的にスタートさせた一年でした。
この教育では各アンケートで、社内のいろいろな声をいただいています。

現場からの声維持したいご意見（抜粋）•

セキュリティ担当者として何をすれば良いのか（一人で抱え込む必要はないという点も含め）を整理できた点が非常に良かったです。

•

昨年、異動により担当となったが、このような研修機会を設けていただき、大変ありがたいです。

•

システム部門に所属していますが、ユーザー部門の意識は高く、対策も考えていることが聞けてよかったです。改めて情報セキュリティに関して意識付けするいい機会になりました。
ありがとうございました。

•(理解者研修の) グループワークが楽しかったです。

•

有難うございました、定期的に開催頂けますと、スキル維持と実践に役立て易いと感じました。

•

明日から自場所で活用できるものもあり、提案していこうと思います。

•

対策抽出のフレームワークなど、他業務でも参考になる情報を得ることができた。

•

グループワークで皆さんのアイデアを聞けたのが良かったです。

•

一般社員にもeラーニングだけではなく、こうした対話の機会が設定できるとよいのかなと思いました。

次回に向けてのご意見（抜粋）•

あまり難しい内容ではないので、もう少し実務的な対応を要求される内容にしても良いのではないかと感じました。

•

実際にインシデントが起きたあとの対応などの内容があってもよいかと思いました。

•

定期的に実施するのが良いと思います。

•

担当者が認知しているところから、どう自場所に浸透したらいいのかというところはまさに共通の課題と感じているので、この機会は貴重なものと感じた。

•

簡潔な研修メニューで良かったと思います。研修を続けていくにつれ難易度を上げても良いかと思いました。
その方が身に染みるので。
ただ今回は非常にとっつきやすかったです。
ありがとうございました。

•

見せていただいた資料を使って、例えば協力会社の人と研修したりしたいですが、可能でしょうか？

•

他の事例もワークする機会があれば良いと思いました。

社員が気づいた問題点や反省点、改善のアイディア

Feedback
Information Security Report23注：本報告書に掲載されているサービス名および商品名などは、キリンホールディングスあるいは各社の登録商標または商標です。

キリンホールディングス株式会社(Kirin Holdings Company, Limited)
キリンビジネスシステム株式会社（KIRIN BUSINESS SYSTEM COMPANY, LIMITED）〒164-0001
東京都中野区中野四丁目10番2号
中野セントラルパークサウス