情報セキュリティとプライバシーの保護
このページを印刷するKDDIのアプローチ
近年、スマートフォンの普及やビッグデータ・AIの技術が発展したことなどにより、さまざまな個人情報を活用した新しいサービスが検討されています。しかし同時にプライバシーに関わる問題も多数存在しており、各国で規則・法律の整備が進んでいます。
KDDIは「個人のプライバシー保護」と「パーソナルデータの利活用」の両立を目指すため、プライバシーポリシーの公表や、取得する情報と利用目的を明示し、同意を取得するなど、個人情報の取り扱いについてお客さまに示すとともに、ゼロ・トレランス・ポリシーに基づき、その保護を徹底しています。加えて2020年1月に「プライバシーポータル」を開設し、KDDIのお客さまの情報利用についてわかりやすく解説することで、透明性を確保するとともに、ご理解を深めていただく取り組みを行っています。また、プライバシーポータルは2021年10月にリニューアルを行い、継続的な情報提供・内容の改善に努めています。
さらに、通信インフラの不正使用により障害を引き起こされるサイバー攻撃から自らの通信インフラを守るため、KDDIは、外部攻撃に対する専門組織による24時間365日での監視など、常に適切な防御措置を講じており、重要なライフラインを担う通信事業者として、お客さまおよび関係者の信頼を得るよう努めています。
また、更なる適正な顧客情報の取り扱いを目指し、社内組織の整備、第三者による評価の実施、サービス導入前のプライバシー影響評価（PIA）の導入などの対応を実施しています。
情報セキュリティ管理体制
情報資産に関わるグループ全体での統一的な情報セキュリティの確保を目的に、取締役を委員長とした「情報セキュリティ委員会」を設置し、経営層および営業・技術・コーポレートの各部門長を委員とする全社的な組織体制で運用にあたっています。
この体制により、情報セキュリティの管理状況を的確に把握するとともに、情報セキュリティ強化のための各種施策をグループ全体に迅速に展開できる体制を整備しています。
また、KDDIは情報に対する適切な管理を重要な経営課題として認識し、情報セキュリティを確保するために、情報セキュリティ管理体制、情報セキュリティ対策の実施、情報セキュリティに関する社内規定の整備など、情報セキュリティに関する基本方針を定めた「セキュリティポリシー」を定めています。
情報セキュリティ管理体制図
グループ全体での情報セキュリティの強化
KDDIは2009年以降、全社でISMS27001（※1）を取得しています。また、グループ会社に対しては、2011年度に「KDDIグループ情報セキュリティ共通基準」を制定し、2017年度からは、より厳しいKDDIの基準をグループ会社全社へ拡大しました。これによりKDDIグループ会社のセキュリティレベルの向上を図るとともに、グループ会社のセキュリティ状況を定期的に監査することにより、KDDIグループ全体での情報セキュリティ・ガバナンスの強化に継続的に取り組んでいます。また、2018年2月にはKDDIデジタルセキュリティ株式会社を設立し、専門的な訓練を受けたセキュリティエンジニアがサイバー攻撃への対応にあたっています。
- ※1）ISMS認証（ISO/IEC27001: 2013）。情報セキュリティに対する第三者適合性評価制度。
情報セキュリティ全体の向上に貢献するとともに、国際的にも信頼を得られる情報セキュリティレベルの達成を目的とした制度
KDDIが取得しているISMS認証
| 登録番号 | 組織名 | 初回登録日 |
|---|---|---|
| IS 95253 | KDDI株式会社（※2） | 2005年6月7日 |
- ※2）コーポレート、技術・営業、お客さまサポート部門および財団法人国際電信電話共済会（現：一般財団法人KDDIグループ共済会）、KDDI健康保険組合、KDDI企業年金基金、KDDIまとめてオフィス株式会社、日本通信エンジニアリングサービス株式会社、株式会社KDDIチャレンジドを含む
パーソナルデータの取り扱いと利活用の考え方
KDDIは、お客さまの個人情報の取り扱いおよびビッグデータの活用において、個人情報保護法その他の関連法規を遵守した社内規程を整備、運用し、各サービスの利用規約、プライバシーポリシーに則り適切に取得、管理、利用を行っています。
お客さまの大切な情報は、お客さまの体験価値向上や社会の持続的発展に役立てるべく活用させていただき、活用にあたっては、お客さまにご理解いただけるよう利用方法の詳細な説明や適切な安全管理措置を講じるなど、責任ある企業活動を行っています。
AI（人工知能）の活用について
KDDIは、AI（人工知能）を活用したお客さま体験価値のさらなる向上や社会の持続的発展に貢献するため、「KDDI Accelerate 5.0」の一環として、「KDDI グループAI開発・利活用原則」を2021年8月30日に策定しました。また、本原則に基づくAIサービス開発を実現するため、ガイドライン整備やアセスメントの活動を推進しています。KDDIグループでは本原則の啓発活動を進めると同時に、生成系AIをはじめとした社内業務でのAI活用の推進と当該活動で得られた知見を踏まえ、AIの研究開発やお客さまへの安全・安心なAIサービスの提供を実現していきます。
- 2021年8月30日ニュースリリース
「KDDI グループAI開発・利活用原則」を策定 - KDDI グループAI開発・利活用原則
- 2023年5月25日ニュースリリース
社員1万人が「KDDI AI-Chat」の利用を開始
情報セキュリティリスクの低減に向けた取り組み
重要度に応じた情報資産の管理
KDDIでは、社内の情報セキュリティ規程に基づいて情報資産の分類を行い、その重要度に応じた情報資産の取り扱い方法を定めるとともに、セキュリティ対策を適用することで、適切な情報資産管理を実現しています。例えば、お客さまの情報については、インターネットからのアクセスが遮断された端末のみで取り扱い可とし、厳格な権限管理を施すなど、限られた人しか当該情報資産にアクセスすることはできません。また、重要な情報と分類された情報資産については、強固な暗号化を施すことで、社外の第三者による閲覧ができないように情報資産を保護しています。
KDDIではこのような適切なセキュリティ対策を、情報資産の重要度に応じて実施することにより、徹底した情報資産の管理を実現しています。
情報セキュリティ管理・対策
セキュリティ監査および脆弱性診断
KDDIでは、事業を担うシステムが守るべきセキュリティ対策の基準をセキュリティ規程として定め、規程への準拠状況を審査しています。
本セキュリティ規程には、サーバやネットワーク機器の物理的な設置場所や、外部ネットワークとの接続、ソフトウエアのバージョン、認証・アクセス制御方式、ログの取得および保管など、KDDIグループが企画、開発、運用するシステムに必要なセキュリティ要件の細目、解釈について、具体的に記載しています。
本監査を、システムの企画から開発への移行フェーズにおいて厳格に実施することで、セキュリティの確保に繋げています。
また、システムの運用フェーズにおいては、サーバやネットワークに存在する問題点を診断する「ネットワーク脆弱性診断」を実施しています。
ネットワーク脆弱性診断では、さまざまなソフトウエアの脆弱性情報をシグネチャデータベースとして蓄積した専用の診断装置を用い、対象サーバやネットワーク機器に存在しているセキュリティ上の問題点を確認しています。
確認された問題点は、リスクに基づきレベル分けを行い、セキュリティパッチの適用や設定の見直しなどの是正を図っています。
このように企画、開発、運用の各段階においてシステムのセキュリティを確保する取り組みを通じて、安心・安全なサービスの提供に努めています。
セキュリティ監査および脆弱性診断の流れ
セキュリティ監視
KDDIでは全国の電気通信設備を統合監視しており、大規模障害発生時には各拠点と連携し、全体統制、復旧対応の指示および情報展開を行います。万が一、サイバー攻撃を受けた場合は、この統合監視体制とセキュリティ監視を連携することで迅速に対処できる体制を構築しています。
セキュリティ監視では、不正アクセスや改ざん、標的型攻撃などのサイバー攻撃の脅威に対して専門的な訓練を受けたセキュリティエンジニアが24時間365日の体制で監視にあたっています。セキュリティ監視機器から出力されるログを監視・分析し、膨大なログの中から攻撃の兆候を見つけ出します。また、不正アクセスや改ざんなどの危険なインシデントが発生した場合、リアルタイムにこれを検知するとともに、必要に応じてCSIRTおよび社内の関係部門へ迅速に連絡を行い、対処を指示します。
セキュリティ監視の様子
CSIRTの取り組み
KDDIは、セキュリティインシデントに対応する専門組織としてCSIRT（Computer Security Incident Response Team）を設置しています。
CSIRTは、グループ会社のKDDIデジタルセキュリティ株式会社と連携し、インシデント情報の受付、インシデント対応のハンドリング、対応支援、再発防止策の検討などに取り組んでいます。また、一般社団法人日本シーサート協議会へ加盟しており、国内外のCSIRT組織と連携し、動向や対策方法などの情報共有を図っています。
なお、万が一、情報流出などの情報セキュリティ事故が発生した際は、情報セキュリティ委員会の下に設置される事故対策会議のメンバーとして、社内関係部門などと連携し対応にあたります。
サイバー攻撃は日々高度化しているため、脆弱性や攻撃情報などの収集を強化し、情報分析の強化、サイバー攻撃対応のさらなる自動化・高度化などを進める事で、新たな脅威への対応を図っていきます。
情報共有機関・社外報告先との連携体制図
SSIRTの取り組み
ここ数年、EメールやSMSを使って偽サイトへ誘導し、お客さまの認証情報を窃取することで不正行為を働くフィッシング詐欺が急増しています。KDDIでは、このような不正利用に対応する専門組織としてKDDI-SSIRT（Service Security Incident Readiness & response Team）を設置して対策強化に取り組んでいます。
フィッシング詐欺に関するお客さまへの情報発信や従来からの迷惑メール対策に加え、偽サイトの発生を検知し関連機関と連携することで、偽サイトによる被害抑止に努めています。
また、正規利用者のアカウントを乗っ取る不正なログイン行為に対して、24時間365日監視する体制を整備し、対策強化を進めています。
更に新たなサービスの検討プロセスに不正利用対策の観点で専門家が監査するプロセスを導入し、サービスにおける認証などの不備を発生させないチェック体制も構築しています。
フィッシング詐欺の手口は日々巧妙化しているため、継続的に各サービスのプロアクティブなセキュリティ強化を進めると共に、新たな脅威への対策にも取り組んでいきます。
セキュリティ人財育成
KDDIでは、お客さまのデータや提供しているサービスをサイバー攻撃から守るために、セキュリティ人財育成プログラムを整備し、体系的なセキュリティ人財育成に取り組んでいます。本プログラムにおいて、社員の成長とキャリアの発展を重視しIPA（独立行政法人情報処理推進機構）が運営する国家資格「情報処理安全確保支援士（登録セキスペ）」の取得を積極的に促しており、専門的なトレーニングや学習支援を提供などの資格取得に向けた準備をサポートしています。2023年4月時点でのKDDIグループにおける資格登録者数は約270人と、国内有数の人数となっています。
人財育成は、社員の意識を向上するとともに、社員自体の成長を促進するための重要な取組みです。資格取得者が増えることでKDDIの専門性と技術力が飛躍的に向上していくことを目的としています。
情報処理安全確保支援士 資格登録者数 274名
- ※IPA公開名簿を元に、勤務先名称「KDDI株式会社」と登録のあるものを抽出
- ※2023年4月集計
そのほか、社員1万1千人を対象に階層別Eラーニングおよび集合型の情報セキュリティ研修を実施し、社員のセキュリティ意識およびスキル向上に継続的に取り組んでいます。
情報セキュリティ研修例
| 内容 | 対象者 | 実施方法 |
|---|---|---|
| 新入社員向けセキュリティ研修 | 新入社員 | 集合研修 |
| セキュリティ基礎研修 | 全従業員 | Eラーニング |
| ライン長向けセキュリティ研修 | ライン長 | Eラーニング／集合研修 |
セキュリティ監視の高度化
お客さまからお預かりしている情報、サービスで取り扱う情報を守るため、サイバー攻撃を常時監視しています。インターネット上に公開されているサイバー攻撃者やその手法と手口を情報収集し、それらの情報からプロファイルへ自動生成するプラットフォームを2023年3月に構築完了しました。自動生成したプロファイルとKDDIネットワークへアクセスする多種多様なログを照合させ、サイバー攻撃の可視化を実現しています。
今後、様々なログを析し攻撃を予測する機能、不審なアクセスを早期検知する機能を監視システムへ搭載し、攻撃の兆候がみられた際に即時対応するため、DX・AIを用いたさらなるセキュリティ監視の高度化へ取り組んでいきます。
サイバー攻撃情報の可視化
デジタルツインにおけるセキュリティ技術の研究開発
KDDIグループでは、安心・安全なデジタル社会の実現に向けて様々な研究開発に取り組んでいます。特に、KDDI総合研究所では、Beyond 5G時代の特徴であるサイバー／フィジカルが融合した社会における安全性・信頼性の確保に貢献していきます。
Beyond 5Gにおいてサイバー空間とフィジカル空間の融合が進展すると、サイバー攻撃による影響範囲が拡がることで、実際のフィジカル空間への被害が甚大となる恐れがあります。特に、IoTが重要なインフラの一部として社会に溶け込む世界では、IoTへのサイバー攻撃が我々の社会生活に大きな影響を及ぼすことが懸念されます。
サイバー空間とフィジカル空間の双方の影響範囲を正確に把握するためには、サイバー攻撃を受けている対象のIPアドレスなどのサイバー空間上の情報とフィジカル空間そのものの情報を紐づけた形で管理することが重要となります。さらに、その管理単位を横断的に、かつ広範囲に把握・分析していくことが必要となります。
フィジカル空間にも多大な影響を及ぼす脅威情報を収集・分析した上で、デジタルツインへ広く脅威情報の共有を図ります。これにより、様々なデジタルツインが効果的にセキュリティ対策を行っていくための基盤を構築し、今後、実際のサイバー・フィジカルシステムにおける実証実験を行っていきます。
■研究開発項目
- 1デジタルツインにおけるセキュリティ広域連携技術
- 2デジタルツインにおけるサイバー攻撃の影響範囲分析技術
- 3フィジカル空間への影響を考慮したセキュリティ対策技術
デジタルツインによるサイバー・フィジカル連携型セキュリティ基盤のイメージ
情報セキュリティに関する重大事故の件数
KDDIは、グループ全体で情報セキュリティの強化に努め、情報セキュリティリスクの低減に取り組んできました。
- おすすめコンテンツ
-
