大本：情報セキュリティ委員会は、取締役会で決定された経営基本方針に基づき、情報セキュリティ管理体制の整備・推進に関する重要事項について、代表取締役社長の諮問を受けて審議・答申を行う会議体として位置づけられています。情報セキュリティ領域における専門的な判断を通じて、代表取締役社長の意思決定を補佐する役割を担っています。
また、委員会メンバーとして各事業の責任者が参加するとともに情報システム部・法務部門・個人情報管理チームなど関係部門の責任者、さらに内部監査部門も陪席する体制をとっています。セキュリティ部だけで完結したり、ルールを一方的に共有するのではなく、事前に論点や判断案を整理したうえで、関係部門が同じテーブルにつき、最終的な意思決定を行う会議体として位置づけています。インシデント対応状況や再発防止策、統制の運用状況については、監査の観点からも確認を行っています。
こうした体制により、インシデントや新たなリスクについて、「後からまとめて報告する」のではなく、状況を早い段階で共有し、必要な判断をスピード感を持って行えるようになっています。情報セキュリティはルールを守ること自体が目的ではなく、事業を継続し、安心して成長させていくための基盤です。事業責任者が判断の場に加わることで、机上の理論ではなく現場を踏まえた実効性のある意思決定が可能となっています。

山村：情報セキュリティ委員会では、重大度の高いインシデントが発生した場合、事業責任者自身が状況や背景を説明し、対応方針や進捗について共有し、事業の視点も含めながら、対応の妥当性や再発防止策について議論し、合意形成を行っています。事業責任者が委員会に参加することで、会社全体でどのようなインシデントが発生しているか、ビジネスに対するインパクトがどのくらいあるか、そして対応が適切かつタイムリーに実施されているかを把握できるようになりました。結果として適切な再発防止策を議論し、実施の意思決定ができていると感じています。

山邉：インシデント対応の状況については、KPIなどを用いて数値化し、継続的に可視化しています。情報セキュリティ委員会を通じてそれらの数値や傾向を定期的に共有することで、個別事案だけでなく、グループ全体としての課題や変化にも目を向けやすくなっています。また、事業責任者を含むメンバー構成となっていることで、インシデント対応や再発防止に対する考え方を、部門を超えて共有できる点も大きな特徴です。委員会での対話を重ねることで、各組織が自らの業務に置き換えて考えやすくなり、結果として必要な改善を継続していける環境が整っていると感じています。

奥野： はい。生成AIは技術的な進化が非常に速く、関連するサービスも次々と登場しています。加えて、業務での使い方も多様化しており、効率化やアイデア創出といった効果を期待する声が、現場から以前にも増して上がってきています。その一方で、情報の取り扱いや責任の所在など、注意すべき点も多いため、「このケースはどう考えるべきか」「どこまで利用してよいのか」といった相談が増えている状況です。当社グループでは、生成AI利用に関する情報セキュリティガイドラインを定めていますが、基本的な考え方は、リスクを十分に把握したうえで、業務上の必要性が高い場合には、安全性に配慮しながら活用を進めることです。
今年は特に、より安全かつスピーディな活用を後押しすることを目的に、
・判断や承認の責任の所在
・利用を許可する基準
・利用開始後のモニタリング方法
といった点をより明確化し、委員会で合意したうえで運用を始めました。事業責任者も参加しているからこそ、利便性と安全性のバランスについて、実務に即した議論をその場で行える点が、この体制の強みだと感じています。

大本： 今後も体制やルール、システムの整備は継続して強化していきますが、最終的に会社を守るのは「一人ひとりの行動」だと考えています。最近の攻撃は非常に巧妙で、メールやカレンダーの通知など、日常業務の延長線上で仕掛けてきます。そのため、「不審なメールは開かない」といった一般論だけでは十分ではなく、少しでも違和感を持った時に立ち止まれるか、そして早めに相談できるかが重要になります。今後は、標的型攻撃メール訓練の結果なども踏まえながら、入社年次や職種に応じた、より分かりやすい啓発にも取り組んでいきます。仕組みの整備と、一人ひとりの意識。この両方を大切にしながら、安心して挑戦できる環境づくりを続けていきたいと考えています。