ガバナンス
当社の顧客には世界有数の企業が含まれます。当社のデータセンターに設置された装置の物理的セキュリティ環境ならびにデータセキュリティ環境に関する、顧客の信頼は当社にとって大変に重要なものです。当社は対障害性の向上、能力育成、そして迅速な対応・スピード・顧客とエンドユーザーの体験を重視する企業文化の醸成に尽力しています。
エクイニクスのグローバル情報セキュリティ最高責任者は、当社の個人情報保護最高責任者と連携し、当社システムとアプリケーションのグローバル基盤における高度なセキュリティレベルを維持するポリシー・手順の適用を推進する継続的な取り組みを主導しており、そしてその一環として、当社が事業を展開する各国において適用され進展するプライバシー保護法への遵守を確実にします。プライバシー保護に関する限り、当社が責任を有する個人データは他の多くの企業と同様のものです。社員と顧客の信頼を獲得し風評リスクを管理することを目的とし、当社は当社が管理する個人データについての包括的なプライバシー保護遵守プログラムを実施しています。当社IBX内のサーバに保管されているまたはサーバーから送信されている当社顧客のデータについては、エクイニクスが所有または管理するものではありませんが、当社は顧客のデータ管理ならびにセキュリティ施策を積極的に支援することで、本分野に対する顧客の遵守を促進します。
2021年、当社のプライバシーオフィスは、プライバシー保護を考慮したデザインの概念を事業全体における新システム展開ならびに業務プロセス改善に完全に組み込むことを目標とし、プライバシー保護遵守プログラムの進歩を継続させています。
法規制・規格
エクイニクスは、欧州連合（EU）の一般データ保護規則（GDPR）の要件を満たすように設計されたデータプライバシー・コンプライアンス・プログラムを導入し、維持しています。 グローバルなデータプライバシー規制の進展を見据え、既存市場ではデータプライバシー対策の強化を継続し、新規市場ではGDPRに準じたコンプライアンスモデルを積極的に導入しています。 データ保護コンプライアンスへの積極的な取り組みにより、現地の要件が発生してもシームレスに対応することができます。 ブラジルでは、当社の堅牢なデータプライバシープラクティスにより、GDPRに相当するブラジル一般データ保護法（LGPD）が2021年8月に完全施行された際、当社はすぐにその要件を満たしました。
グローバル企業として、エクイニクスはデータのローカライゼーションと主権に関する要求の動向を注視しています。 私たちは、責任ある行動をとり、新たな議論や規制を先取りするよう努めます。 欧州から世界各地への個人データの安全な移転に関するSCHREMS IIの最新要件に、EUが定める期間に合わせて積極的に対応しています。
当社のデータセキュリティ方針、プログラム、プロトコルは、米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（NIST 800-53）に準拠しており、ISO 27001およびISO 27002情報セキュリティ管理フレームワークに対する認定を取得しています。 米国連邦政府およびその機関と契約する際のサイバーセキュリティ成熟度モデル認証（CMCC）にいち早く対応し、政府の権限を解除した際の認証取得に向けた準備を進めています。
情報セキュリティプログラムは、エグゼクティブ・リーダーシップ・チームによって承認され、四半期ごとに取締役会の監査委員会に報告されます。また、エクイニクスのセキュリティと回復力の強化に焦点を当てた12のサイバーセキュリティプログラム、ゴールデンフォートレスとして管理されています。 SOX法にも完全に準拠しています。
信頼と透明性の向上
信頼とセキュリティに関するサイト
「Golden Fortress」信頼と透明性プログラムの一環として、当社は信頼とセキュリティに関するサイトを構築し、取得認証、開示すべき事項、ならびに当社のグローバルプライバシーポリシーやその他のプライバシー保護に関するコンテンツを顧客に共有しています。当社のセキュアなポータルサイトにて認証後は、顧客は公式なフィードバックを共有することができ、情報セキュリティに関する追加情報を受け取ることができます。
当社の情報セキュリティポリシーは、信頼とセキュリティに関するサイトにてすべての顧客に公開しています。当社の情報セキュリティマネジメントシステムはすべての業務要件に完全に統合され支援できるよう、情報セキュリティ最高責任者は、NISTフレームワークに従ったセキュリティ関連ポリシーを定義し実装しています。これらのポリシーは、情報セキュリティプログラムを管理する上級・執行役員からなる情報セキュリティガバナンス委員会により、年次でレビュー・承認されています。全エクイニクスの管理者、従業員、ならびに契約業者はこれらのポリシーについての教育を受け、遵守する責任を有しています。
監査・レビュー
- アシュアランスの一環として技術的リスクを優先して改善するため、当社は定期的な内部監査、共通制御システムにおける侵入テスト、ならびに企業の脅威と脆弱性管理プログラムを実施しています。2021年において、当社は約3,000件の顧客による情報セキュリティ監査が行われましたが、高リスクとなる発見事項はありませんでした
- 2021年NIST 800-82への準拠のため、当社産業制御システム全体にわたる集中的なセキュリティシステムを導入しました。
ゼロトラスト基盤
ゼロトラストの原則は最小権限によるアクセスと機械学習により提供される継続的な認証に基づいています。エクイニクスの哲学においては、セキュリティ境界の内部・外部からのアクセスに対し自動的に信用すべきではなく、アクセスを試みる人・物を継続的に確認すべきです。ゼロトラスト原則と当社のセキュリティ基盤における統制を有効化することで、当社のセキュリティ体制と当社のセキュリティコミットメントに対する顧客の信頼は強化されました。世界における脅威の状況は絶えず進化しており、脅威の担い手の戦術は成熟し続けていることを当社は認識しています。当社の情報セキュリティ基盤における集団的知性により、脅威と脆弱性の継続的評価と必要に応じた当社の統制の迅速な適応が可能となっています。エクイニクスは2020年、情報セキュリティポリシー管理と共通的制御システムの自己証明のためGRC基盤を導入しました。
従業員のプライバシー保護に関する通知
従業員からの信頼は当社の成功に不可欠であり、当社は従業員の個人データならびにその取扱いについて、従業員への透明性を持ちたいと考えています。2021年には当社は、各地域の法的要件を満たすだけでなく、全世界で一貫したメッセージである新たなプライバシー保護に関する通知を作成し、全世界の従業員に対して公表しました。このプライバシー保護に関する通知においては、エクイニクスが従業員の個人データを処理する方法、目的、安全に保管する方法、従業員が質問する機会を持つこと、該当する場合には法規制により定められた権利の行使について述べられています。このプライバシー保護に関する通知は、定期的に更新される計画です。
信頼とセキュリティの企業文化の醸成
チーム形成
2021年、当社はセキュリティオペレーション、セキュリティトレーニング、インシデント対応チームといった中心的なセキュリティ能力を本国に集約することに焦点を当てました。エクイニクスは顧客やIT専門家により選ばれるセキュリティ拠点としての地位を確立しており、今後も人材とセキュリティ能力の向上に努めます。セキュリティガバナンス、統制、社内人材への投資を拡大する一方、当社は組織内の多様性と包括性の重要性を強調してきました。当社のチームはNISTのトップコントロールに準拠した高い能力を持つと同時に、帰属意識と信頼という当社の文化に合致しています。
教育と能力開発
不審な活動を発見する方法ならびに従業員に潜在的なプライバシー保護ならびにセキュリティに関するリスクに関する知識を与えるため、当社は定期的な従業員教育を実施しています。
2021年、従業員の約30%に相当する、個人データの取扱いを行う業務責任を有する従業員・管理者を対象に、GDPRの要件に焦点をあてプライバシー保護に特化したオンライントレーニングを開始しました。このトレーニングは、全従業員が受講する倫理規範トレーニングに含まれるプライバシー保護の要素と、プライバシー保護への準拠に関し特定の側面にのみ焦点をあてた特定部門のためのトレーニング（たとえばマーケティングにおける合意の管理、プライバシー保護違反の通知、管理など）との間に位置するものです。
情報セキュリティチームは定期的にインシデント対応トレーニングを行っています。トレーニングには内部リスク、外部からの不正アクセスといった様々な情報漏洩対応のシナリオが含まれています。このシナリオは当社が実際に効果的に対応を行った実際のインシデントと脅威の担い手が使用する戦術に基づいています。この強力なシナリオにより、当社はインシデントへの対応ならびに、情報漏洩時に通知すべき外部当局、ベンダー、社内部署を特定することで開示要件への対応が迅速化されています。
情報セキュリティナイツ・アンバサダー・プログラム
2021年に開始した「情報セキュリティナイツ・アンバサダー・プログラム」は、セキュリティに関する企業文化の醸成のため、従業員が情報セキュリティに関するベストプラクティスを共有できるよう支援するための、体系的な能力開発の機会を提供する情報セキュリティに関するアンバサダープログラムです。2021年には、全世界175名の情報セキュリティナイツが月次講演、Q&A、3レベルのトレーニングに参加しました。このプログラムはセキュリティ業界の発展に貢献するという当社の大望に沿ったものであり、その革新性と影響力が認められ「Women in Tech」賞を受賞しました。
当社が企業として成長し提供サービスを拡大し続ける一方、セキュリティと信頼に関する文化の維持に焦点を当て続けています。当社は、社内ソーシャルメディアポータルYammerなどさまざまなプラットフォームにおいて従業員との信頼関係を把握することで、この企業文化の成熟を確かめています。