情報セキュリティとプライバシーの保護

KDDIグループは、高度化・巧妙化が進むサイバー攻撃に対応するため、情報セキュリティに関するリスクマネジメントは非常に重要な課題と認識し、情報セキュリティガバナンスの強化に取り組んでいます。具体的には、情報セキュリティ管理体制の確立や情報セキュリティ対策の実施、社内規程の整備などを行っています。これらは、情報セキュリティに関する基本方針を定めた「セキュリティポリシー」の一環です。
また、KDDIグループ会社に対しては、「KDDIグループ情報セキュリティ共通基準」を制定し、グループ会社全社へ展開しています。これにより、KDDIグループ全体のセキュリティレベルの向上を図るとともに、定期的な監査を通じて各社のセキュリティ状況を把握し、KDDIグループ全体の情報セキュリティガバナンスの強化に継続的に取り組んでいます。

KDDIは、さまざまなサービス・商品の提供などの事業活動を通じて、お客さまの体験価値向上や社会の持続的発展に貢献するため、お客さまのパーソナルデータを取得し利用することがあります。ここでいうパーソナルデータとは、個人情報保護法で規定される個人情報に限らず、個人に関するデータを含みます。その上で、KDDIは、パーソナルデータの重要性を認識し、その保護の徹底を図るために基本理念を明確化し、自らの行動指針を定めるものとして「データ利用における基本指針」を掲げています。
また、KDDIはこの指針に基づき、パーソナルデータの取り扱いに関する方針として「プライバシーポリシー」を策定しています。適正な顧客情報の取り扱いを目指し、社内組織の整備、第三者による評価の実施、サービス導入前のプライバシー影響評価（PIA）の導入などの対応を実施しています。

KDDIは、AI（人工知能）を活用したお客さま体験価値のさらなる向上や社会の持続的発展に貢献するため、「KDDI グループAI開発・利活用原則」を策定しています。また、本原則に基づくAIサービス開発を実現するため、ガイドライン整備やアセスメントの活動を推進しています。
KDDIグループでは本原則の啓発活動を進めると同時に、生成系AIをはじめとした社内業務でのAI活用の推進と当該活動で得られた知見を踏まえ、AIの研究開発やお客さまへの安心・安全なAIサービスの提供を実現していきます。

KDDIでは、セキュリティインシデントや脆弱性、疑わしい活動を社員が発見した場合に、迅速かつ適切に対処できるよう、社員からの報告体制を整備し、運用しています。情報漏洩などのセキュリティインシデントが発生した際には、インシデントに対応するための専門組織CSIRT（Computer Security Incident Response Team）が必要に応じて経営層へエスカレーションし、対策会議を開くなど、経営層と社内関係部門が一丸となって対応できる体制を整えています。サイバー攻撃対策センター、ICT-ISAC、JPCERT／CC（JPCERTコーディネーションセンター）などの社外セキュリティ機関、FIRST（Forum of Incident Response and Security Teams）やNCA（日本シーサート協議会）といった外部組織とも連携し、原因調査や証拠保全などを行っています。これにより、事態収束に向けて社内外の統制を確保しています。
また、サービスを所掌とするSSIRT（Service Security Incident Readiness & response Team）でも、同様に監視・報告体制を整備しており、JPCERT／CCやフィッシング対策協議会、日本サイバー犯罪対策センター、各関係会社とも連携しています。

KDDIはISMS認証（ISO／IEC27001：2022）（※1）を取得しており、情報セキュリティマネジメントサイクル（PDCAサイクル）を導入しています。このサイクルでは、計画段階において情報セキュリティポリシーを策定し、以下の情報セキュリティマネジメントサイクルに従って、点検・評価チェックや見直し・改善に取り組んでいます。

• 計画（Plan）

  情報資産の洗い出しを行い、リスクや課題を整理し、組織や企業の状況に合った情報セキュリティ対策の方針を定めた情報セキュリティポリシーを策定する。

• 導入・運用（Do）

  全社員に周知し、必要に応じて、研修などの教育を行う。社員がセキュリティポリシーにのっとって行動することで、目標とする情報セキュリティレベルの維持を目指す。

• 点検・評価（Check）

  導入後の現場の状況や問題点、社会的な状況なども踏まえて、定期的に情報セキュリティポリシー目標を評価する。また、遵守されているかどうかの監査も行う。

• 見直し・改善（Act）

  点検・評価内容を参考にして、情報セキュリティポリシーの見直し・改善を行う。

KDDIでは、社内の情報セキュリティ規程に基づいて情報資産の分類を行い、その重要度に応じた情報資産の取り扱い方法を定めるとともに、セキュリティ対策を適用することで、適切な情報資産管理を実現しています。例えば、お客さまの情報については、インターネットからのアクセスが遮断された端末のみで取り扱い可とし、厳格な権限管理を施すなど、限られた人しか当該情報資産にアクセスすることはできません。また、重要な情報と分類された情報資産については、強固な暗号化を施すことで、社外の第三者による閲覧ができないように情報資産を保護しています。
KDDIではこのような適切なセキュリティ対策を、情報資産の重要度に応じて実施することにより、徹底した情報資産の管理を実現しています。

KDDIでは、お客さまのデータや提供しているサービスをサイバー攻撃から守るために、セキュリティ人財育成プログラムを整備し、体系的なセキュリティ人財育成に取り組んでいます。本プログラムにおいて、社員の成長とキャリアの発展を重視しIPA（独立行政法人情報処理推進機構）が運営する国家資格「情報処理安全確保支援士（登録セキスペ）」の取得を積極的に促しており、専門的なトレーニングや学習支援を提供するなどの資格取得に向けた準備をサポートしています。2025年4月時点でのKDDIグループにおける資格登録者数は約300人と、国内有数の人数となっています。
人財育成は、社員の意識が向上するとともに、社員自体の成長を促進するための重要な取組みです。資格取得者が増えることでKDDIの専門性と技術力が飛躍的に向上していくことを目的としています。

情報処理安全確保支援士 資格登録者数 318名

そのほか、社員1万1千人を対象に階層別Eラーニングおよび集合型の情報セキュリティ研修を実施し、社員のセキュリティ意識およびスキル向上に継続的に取り組んでいます。

KDDIでは、事業を担うシステムが守るべきセキュリティ対策の基準をセキュリティ規程として定め、規程への準拠状況を審査しています。
本セキュリティ規程には、サーバやネットワーク機器の物理的な設置場所や、外部ネットワークとの接続、ソフトウエアのバージョン、認証・アクセス制御方式、ログの取得および保管など、KDDIグループが企画、開発、運用するシステムに必要なセキュリティ要件の細目、解釈について、具体的に記載しています。
本監査を、システムの企画から開発への移行フェーズにおいて厳格に実施することで、セキュリティの確保に繋げています。
また、システムの運用フェーズにおいては、サーバやネットワークに存在する問題点を診断する「ネットワーク脆弱性診断」を実施しています。
ネットワーク脆弱性診断では、さまざまなソフトウエアの脆弱性情報をシグネチャデータベースとして蓄積した専用の診断装置を用い、対象サーバやネットワーク機器に存在しているセキュリティ上の問題点を確認しています。
確認された問題点は、リスクに基づきレベル分けを行い、セキュリティパッチの適用や設定の見直しなどの是正を図っています。
このように企画、開発、運用の各段階においてシステムのセキュリティを確保する取り組みを通じて、安心・安全なサービスの提供に努めています。

KDDIでは全国の電気通信設備を統合監視しており、大規模障害発生時には各拠点と連携し、全体統制、復旧対応の指示および情報展開を行います。万が一、サイバー攻撃を受けた場合は、この統合監視体制とセキュリティ監視を連携することで迅速に対処できる体制を構築しています。
セキュリティ監視では、不正アクセスや改ざん、標的型攻撃などのサイバー攻撃の脅威に対して専門的な訓練を受けたセキュリティエンジニアが24時間365日の体制で監視しています。セキュリティ監視機器から出力されるログを監視・分析し、膨大なログの中から攻撃の兆候を見つけ出します。また、不正アクセスや改ざんなどの危険なインシデントが発生した場合、リアルタイムにこれを検知するとともに、必要に応じてCSIRTおよび社内の関係部門へ迅速に連絡を行い、対処を指示します。
KDDIでは、万が一の有事においてもセキュリティ監視が継続できるよう、事業継続計画（BCP）として体制や手順を整備しています。また、体制の検証や手順の習熟、改善を目的とし、さまざまな想定シナリオに基づく事業継続のための訓練を定期的に実施しています。

CSIRTでは外部公開機器を悪用する攻撃者の攻撃リスクを低減するため、インターネット上に一般公開されている情報であるOSINT（Open Source Intelligence）などを利用して、設備に対する攻撃リスクや管理状況を調査し、攻撃者が外部公開機器を悪用できないように対処を行っています。
また、セキュリティ情報サイトなどから入手した脆弱性情報を全社に展開し、システムへの影響有無の確認やその対処を行っています。

近年、企業を装うEメールやSMSを送ることで、URLリンク先の偽サイトへ誘導し、お客さまの認証情報を詐取した上でお客さまの情報を不正に利用するなど、いわゆるフィッシング詐欺が増加の一途をたどっています。また、偽サイトからマルウェア（危害を及ぼす偽アプリ）をインストールさせる高度な手口も常態化しています。KDDIでは、このような企業を装ってサービスを悪用しお客さまに危害を及ぼすサービスの不正利用に対応する専門組織としてSSIRTを設置して対策強化に取り組んでいます。
SSIRTでは、こうしたフィッシング詐欺などに対抗するため、従来からの迷惑メール対策に加え、お客さまへの情報発信や偽サイトの発生を能動検知し関連機関と連携して対処するなど、偽サイトによる被害抑止に取り組んでいます。
また、正規利用者のアカウントを乗っ取る不正なログインを24時間365日監視する体制を整備し、不正ログイン対策にも取り組んでいます。
これらに加えたKDDI独自の運用として、新たなサービスの検討プロセスに不正利用対策の観点での専門家による監査を導入し、サービスにおける認証などの不備を発生させないチェック体制も整備し、一層の対策強化を図っています。
フィッシング詐欺の手口は日々巧妙化しているため、悪意者の動向に注視しつつ、継続的にKDDIサービスのセキュリティ強化を進めると共に、新たな脅威への対策にも取り組んでいきます。