クレハグループは、セキュリティ事故や重要なシステム停止、およびIT資産の不適切な利用などIT利用におけるリスクの管理を経営上の重要課題として位置付け、方針・体制・運用を通じたITリスク管理の強化に取り組んでいます。経営の持続可能性に影響を及ぼす情報セキュリティ事故やシステム停止などのリスクを防止するため、情報セキュリティ基本方針を定め、その方針に基づき、当社グループが保有する情報資産の可用性、完全性、機密性を維持する情報セキュリティ管理システムを運用しています。

クレハグループは、事業活動に関わるすべての情報を対象に、適切に共有・活用するための安全・確実な管理の確立を経営の重要課題のひとつと認識し、以下の項目を情報セキュリティの基本方針とします。

当社は、個人のプライバシーを尊重するとともに、個人情報を適切に取り扱い、適正に保護することが、当社の重要な社会的責務であると認識し、個人情報・特定個人情報の取り扱いを定めています。

当社のコーポレート・ガバナンス体制に則し、取締役会はIT利用における各種リスクの監督および、基本方針などの重要事項の決定を行っています。リスクマネジメント委員会は執行機能として、ITリスクを含む重要リスクについて、グループ全体の具体的な計画を策定し、その進捗管理を行っています。リスクマネジメント委員会の下部組織としてITリスク管理部会を設置し、JIS Q 27001:2025に準ずる情報セキュリティ管理システム（ISMS：Information Security Management System）を構築・運用し、情報セキュリティの継続的改善を推進しています。
また、万が一の情報セキュリティ事故発生時に、被害の最小化を図る体制として CSIRT（Computer Security Incident Response Team）を整え、CSIRTが即時に機能するよう、重大脅威に対するフローや体制の見直しも図っています。

クレハグループが使用するIT機器やソフトウェア、IT関連サービスなどの「IT資産」について、関連法令や契約を踏まえた適切な利用を遵守するために、利用申請の管理、定期的な棚卸し、ライセンス情報の確認などのIT資産管理体制を構築しています。

外部からのサイバー攻撃を検知・遮断するシステムおよび外部からの侵入を検知した場合は被害を最小化するシステムを導入しています。セキュリティベンダーによる24時間365日の監視サービスにより、システムの安定稼働を維持しています。また万が一情報セキュリティ上の事故が発生した際に備え、セキュリティベンダーによる「セキュリティインシデント対応サービス」を活用し、早期復旧および法的責任の履行を確実に実施する体制を整えています。

情報セキュリティリスクアセスメントを計画的に実施し、保有する情報資産の情報セキュリティ上のリスク評価と対策実施により、リスク低減を図っています。

定期的なセキュリティベンダーによる診断を実施するとともに、日々高度化、巧妙化するサイバー攻撃に対応するセキュリティ強化策を講じることで、常に高レベルのセキュリティ体制を維持しています。

全経営層・全従業員に対して継続的に情報セキュリティ教育を実施しています。2025年度は国内のグループ会社を含め約3,800名を受講対象として、100%の受講率を達成しました。また、不審メールを受信した場合の正しい行動を定着させるため、メール利用者を対象に標的型攻撃メール模擬訓練を継続実施しています。前年度に引き続き2025年度も危険性の高いメールを受信した際の「速やかな通報」に重点を置いた訓練を実施しました。
また、サイバー攻撃やシステム障害により基幹システムが利用できない場合でも基幹システムを使用せずに業務を継続する訓練を適宜実施しています。

在宅勤務制度において、在宅で業務を遂行する場合の情報セキュリティの考え方や各種ルール事項を詳細にまとめた「利用ガイド」を制定し、その遵守を在宅勤務適用時の条件のひとつとして定めています。

当社のネットワークシステム、基幹業務システム、社内メールシステムおよび電子ファイルシステムには、災害対策の環境を有するクラウドサービスを導入しています。また、災害発生を想定した復旧訓練や手順の見直しを定期的に実施しています。