情報セキュリティ
考え方/体制

基本的な考え方

キヤノンは、情報セキュリティを重要な経営課題ととらえ、情報セキュリティ規程の基本理念をもとに、グループ全体で取り組みを行っています。また、情報セキュリティリスクを業務遂行に際して直面し得る重大なリスクの一つとして考えており、リスクマネジメントの一環として情報セキュリティ推進体制を確立しています。

情報セキュリティ推進体制

キヤノンでは取締役会決議にもとづきリスクマネジメント委員会を設置し、情報セキュリティに関する事件・事故情報を速やかに集約・報告する体制を構築しています。

万が一、事件・事故が発生した場合は、情報通信システム本部に報告され、状況に応じリスクマネジメント委員会を経て、代表取締役CEOおよび取締役会に報告する体制となっています。また、キヤノンは、キヤノン（株）情報セキュリティ担当役員である情報通信システム本部長を情報セキュリティの意思決定責任者と位置づけ、キヤノン（株）の情報通信システム本部が実務組織として、グループ全体の情報セキュリティマネジメントにおける責任を担っています。

情報セキュリティに関する中期計画については、情報通信システム本部が策定の上、代表取締役CEOの承認を得ています。

さらに、情報セキュリティに関する事件・事故に対処するための専門チームCSIRT^※（シーサート）を情報通信システム本部内に設置するとともに、日本シーサート協議会（NCA）にも加盟し、他社CSIRT組織との連携強化を図っています。

情報通信システム本部は情報セキュリティをグループ全体で同じレベル、同じ考え方で維持することを目的として、「グループ情報セキュリティルール」を策定し、国内外のグループ会社に適用しています。

グループ会社では同ルールをもとに、各社の実情にあわせた規程やガイドラインを策定するとともに、教育啓発活動を実施しています。

• ※ Computer Security Incident Response Teamの略。コンピューターセキュリティにかかる事件・事故に対処するための組織の総称

情報セキュリティマネジメント体制

情報セキュリティ教育

キヤノンは、情報セキュリティの維持・向上のため、情報システムの利用者である従業員の意識向上にも注力しています。

毎年、役員と全従業員を対象として、eラーニングによる情報セキュリティ研修を実施しています。2024年はキヤノン（株）の約2万3,000人が受講しました。研修内容は、脆弱性リスクとその対応方法、Web会議における注意点など、従業員の情報セキュリティリテラシーを向上させるものとなっています。

また、キヤノン（株）、グループ会社の約6万人の従業員に対し、不審メールを受け取った際に適切に対処し被害を拡大させないための実践教育として標的型攻撃メール対応訓練も実施しました。特に、メールでの業務に慣れていない新入社員については、別途訓練を実施し、教育を強化しています。

情報セキュリティ監査

各グループ会社の取り組み状況については、「グループ情報セキュリティルール」にもとづいた各グループ会社による内部点検および情報通信システム本部による定期的な監査によって確認し、必要に応じて施策の改善や見直しを行っています。

2024年は国内グループ会社23社、海外グループ会社27社を対象に、情報セキュリティ監査を実施しました。その結果、事業影響につながるような重大なリスクは発見されませんでした。

外部認証

キヤノン（株）の情報セキュリティ部門を登録範囲として、情報セキュリティマネジメントシステムを構築・運用するための国際規格であるISO27001の外部認証を取得しています。