情報セキュリティ

SUSTAINABILITY

情報セキュリティに関する考え方情報セキュリティの推進体制情報セキュリティへの取り組み教育・啓発インシデント対応フロー関連リンク

情報セキュリティに関する考え方

三越伊勢丹グループは、お客さま、お取組先をはじめとするステークホルダーの情報を重要な資産と認識しています。DXの推進に伴い、情報の活用機会が拡大する中、情報セキュリティを事業継続と価値創造を支える重要な経営基盤と位置付けています。適切な情報管理とサイバーセキュリティ対策を通じて、情報の活用と安全性を両立し、安心と信頼に基づく事業活動の継続に努めます。

情報セキュリティの推進体制

情報セキュリティ対策を継続的かつ実効的に推進するため、平時および有事それぞれの体制を整備しています。平時は各組織が連携してリスクの未然防止と対策強化に取り組み、有事には速やかな情報共有と意思決定のもと、影響の最小化と早期復旧を図ります。

平時の体制

三越伊勢丹グループのセキュリティ体制図。図の右側は上から「サイバーセキュリティ推進会議 議長：CRO」があり、方針策定を経て「サイバーセキュリティ対策部会」に繋がります。そこから「対策推進」の矢印が下へ伸び、「各技術的対策、セキュリティ教育、各種訓練」の枠に繋がり、具体的には「HDS各部門、百貨店事業各社、」「国内グループ関係各社」「セキュリティ担当者が部門内、社内へ推進活動」などが挙げられます。また「サイバーセキュリティ対策部会」から左下の「システムセキュリティ対策計画立案・実行」にも繋がり、具体的には「HDSグループ情報システム部」「(株)三越伊勢丹システム・ソリューションズ」などが挙げられます。この「システムセキュリティ対策計画立案・実行」から上部の「サイバーセキュリティ推進会議」へ向けて「セキュリティ対策報告」「脅威・脆弱性報告」「監視情報報告」を行います。グループの枠外左上には「セキュリティ関連外部組織」があり、グループ側との間で「情報共有」「情報交換」の双方向矢印があります。枠外下部には「外部の監視パートナー」があり、左下の枠へ「監視情報」の矢印が向かっています。
拡大する

有事の体制

三越伊勢丹グループのインシデント発生時の体制図。中央の「三越伊勢丹グループ」の枠内上部に「サイバーセキュリティ推進会議」があり、その中に「緊急対策会議 議長：CRO」が配置されています。そこから「方針策定」の矢印が下へ伸び「セキュリティインシデント対応方針」に繋がります。そこから下部へ4つの矢印が伸びています。1つ目は「①情報システム対応依頼」として「情報システム対応」の枠へ向かいます。枠内には「CSIRT (HDSグループ情報システム部 (株)三越伊勢丹システム・ソリューションズ)」があり。ここから上部の「緊急対策会議」へインシデント報告連絡 技術的対策の助言を行います。枠外左上の「情報システム関連外部関係者」へ状況報告・連絡を行います。2つ目は「②顧客対応依頼」として「顧客対応」の枠へ向かいます。枠内には「顧客対応支援各部門」があります。3つ目は「③クレジットカード会社対応依頼」として「クレジットカード対応」の枠へ向かいます。枠内には「HDS経営戦略室、 (株)エムアイカード」と記載されています。ここから枠外右上の「外部関係者」（内部に「各関係協会」「各関係省庁」「顧問弁護士」「マスコミ」を配置）へ向けて、状況報告 ・連絡 ・相談を行なっています。4つ目は「④法務・行政・被害者対応相談依頼」として「法務・行政対応」の枠へ向かいます。枠内には「HDSグループ総務部」と記載されています。ここから枠外右上の「外部関係者」へ向けて状況報告 ・連絡 ・相談 ・公表を行なっています。最下部には枠外に「WEB顧客」「店頭顧客」「エムアイカード会員、各カード会社」が並んでいます。「三越伊勢丹グループ」の枠からは「WEB顧客」と「店頭顧客」、「エムアイカード会員、各カード会社」へも双方向の矢印があります。
拡大する

当社グループのリスク推進体制については、「リスクマネジメント」をご覧ください。

情報セキュリティへの取り組み

情報セキュリティリスクに適切に対応するため、サイバーセキュリティ対策部会を中心に、人的・組織的対策および物理的・技術的対策を推進しています。

人的・組織的対策 物理的・技術的対策
  • 標的型メール訓練
  • 全社情報セキュリティ教育
  • サイバーインシデント訓練
  • 社内利用システムの定期的なアセスメント
  • 情報セキュリティに関する規程・ガイドラインの定期的な整備
  • 定期的なシステム脆弱性検査の実施
  • WEBサイトへの不正ログイン、不正購買対策
  • 日常監視の実施と不正アクセスログの情報収集と対策
  • 社内PC、サーバー等のエンドポイント防御対策
  • インターネット出入口の防御対策
  • Cookie許諾バナーの導入

教育・啓発

主な取り組み

当社グループでは、情報セキュリティ対策を実効性のあるものとするため、サイバーセキュリティ推進会議事務局を中心に、全従業員およびサイバーセキュリティ推進会議メンバーを対象とした教育・啓発活動を継続的に実施しています。情報セキュリティに関する知識の向上とリスクへの対応力強化を通じて、組織全体のセキュリティ意識醸成に取り組んでいます。

全従業員向け

  • 情報セキュリティeラーニングの実施 （年1回）
  • 標的型メール訓練、および振り返り教育の実施 （年複数回）
  • 「情報セキュリティGUIDE」の発行 （年1回）
  • 社内報等を活用した継続的な啓発活動 （年複数回）

サイバーセキュリティ推進会議メンバー向け

  • サイバーセキュリティ対策部会による内外のサイバーリスク動向の共有 （年10回程度）
  • 業務特性に応じた専門教育・eラーニングの実施 （年複数回）など

情報セキュリティ教育・訓練の実施状況

次の表は左右にスワイプしてご覧ください

対象 教育・訓練内容   2024年3月期 2025年3月期 2026年3月期
全従業員向け 情報セキュリティ教育eラーニング 受講者数 14,504 15,484 14,249
標的型メール訓練 のべ実施人数 19,566 19,681 20,294
サイバーセキュリティ推進会議メンバー向け サイバーセキュリティ対策部会 実施回数 10 10 10
専門教育・eラーニング 実施回数   1 2

インシデント対応フロー

インシデント対応フローの6つのステップ。STEP1 発見・報告：システム監視や従業員・お取組先からの報告により、情報セキュリティ上の異常や疑いを把握します。STEP2 初動対応：関係部門と連携し、影響範囲の確認や緊急対策を実施します。STEP3 調査・封じ込め：被害範囲や原因を調査し、封じ込め措置により影響拡大を防止します。STEP4 復旧：原因を除去し、安全性を確認したうえで、システムやサービスの復旧を進めます。STEP5 報告・開示：関係機関への報告や、お客さま・お取組先などへ、必要な情報提供を行います。STEP6 再発防止：発生原因と対応を検証し、対策や教育の見直しを通じて再発防止につなげます。

関連リンク

FTSE JPX Blossom Japan Index
CDP DISCLOSURE INSIGHT ACTION A LIST 2025 CLIMATE
2026 健康経営優良法人 Health and productivity