個人情報保護
基本的な考え方
JALグループでは、航空輸送をはじめとするさまざまなサービスをお客さまにご利用いただいており、日々多くのお客さまの個人情報をお取り扱いしています。そのため、個人情報・プライバシーの保護を最重要課題と位置付けて全グループ社員に対して個人情報・情報セキュリティに関する研修を定期的に実施し意識の啓発に努めるとともに、ますます高度化・複雑化する外部からの攻撃に対して十分な検知・監視体制を整え、システム面での防御にも万全の対策を講じています。
今後も安心してJALグループをご利用いただけるよう、ソフト・ハードの両面から予防策を常に進化させ、全社員が大切なお客さまの情報をお預かりしているという意識を常に忘れず、個人情報・プライバシーの保護に取り組んでまいります。
JALグループにおける情報セキュリティ・個人情報保護に関する基本方針
JALグループは、旅客・貨物の航空輸送サービスなどの提供を確かなものとするために、高度情報通信社会における情報セキュリティと個人情報保護の重要性、ならびに情報セキュリティが安全運航に影響を与えるリスクの増大に鑑み、以下のグループ方針にもとづき、会社が保有する情報の適正な管理と保護に努めます。
1. 法令等の遵守
- 法令および行政機関が定めた方針・ガイドライン等を遵守します。
2. 管理体制の確立
- 社内における情報セキュリティおよび個人情報保護の責任者を任命し、管理体制を確立させ、責任分担を明確にします。
3. 社内方針・規程・ガイドライン等の遵守
- 社内方針・社内規程・ガイドライン等を策定し、それを遵守します。
4. 情報セキュリティ対策（情報資産の保護）の実施
- 情報セキュリティ対策（情報資産の保護）を実施します。
- 情報への不正アクセス、情報の紛失・破壊・改ざんおよび漏洩等に対する予防措置を講じます。
- 情報の機密性・完全性・可用性を保護します。
5. 社員の役割・責任の明確化と教育・啓発活動の実施
- 情報セキュリティ・個人情報保護を確保するために社員が果たすべき役割と責任を明確にします。
- 社員に対する教育・啓発活動を推進し、情報管理に対する知識習得と意識向上を目指します。
- 公正な情報セキュリティ文化を醸成し、情報が適正に管理されるよう周知徹底を図ります。
6. 業務委託先およびサプライヤーとの連携
- 情報管理に関する業務を他社に委託する場合や情報を取り扱うサプライヤーとの取引については、十分な経験・能力を有する者を選定します。
- 契約にあたって守秘義務に関する事項とJALグループの情報セキュリティ・個人情報保護の水準を維持するために必要な事項等を規定するとともに本方針への準拠を求め、情報が適正に管理されることを担保します。
7. 業務改善への取り組み
- 情報が適正に管理されているか定期的にチェックします。
- 情報セキュリティシステムへの継続的な投資を含む業務改善の取り組みを実施します。
8. 脅威の監視と事故発生時の対策
- 情報セキュリティの脅威を監視し、万一、事故が発生した場合には、被害を最小限に留めるともに、速やかに必要な情報を公開し、再発防止策を含む適切な対策を講じます。
9. 相談窓口の明確化
- お客さまからの問い合わせ、苦情や要望に対応するための相談窓口を定め、誠意をもって迅速に対応します。
10. 方針の見直しと公開
- 本方針は定期的な間隔で見直しするとともに、情報セキュリティおよび個人情報保護に関する方針をホームページ等に掲載することにより、広く社会に公開します。
個人情報保護の管理体制
JALグループ全体の個人情報保護の管理体制は、鳥取三津子代表取締役社長を議長とするグループリスクマネジメント会議と、その下部組織である情報セキュリティ・個人情報保護委員会において、JALグループ全体の個人情報のリスクを管理・推進しています。
また、JALグループの個人情報保護業務を統括する個人情報保護統括責任者は、常務執行役員総務本部長が務めています。
個人情報の運営統括部門としてリスク管理部がグループ全体を統括するとともに、個人情報を取り扱う各部門において個人情報管理者を定めてそれぞれの個人情報の責任者を明確にし、個人情報保護強化に必要な対策を推進しています。
主な取り組み
（1）個人情報の安全確保
JALグループでは、お客さまからお預かりした大切な個人情報の安全を確保するために、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置などさまざまな安全管理措置を講じています。
特に外部からのサイバー攻撃に備えて、複数の社外専門機関と連携し、24時間365日体制で不正アクセスやウイルス感染などの脅威を監視するとともに、個人情報を取り扱うシステムにアクセス可能な端末はインターネットへの接続を制限するなどの措置を講じています。
なお、個人情報の多くがシステムによって取り扱われていることから、JALグループ全体のシステム基盤を担う部門、および業務システムを担う部門においてISO27001の認証を取得し、個人情報の安全確保に努めています。
※本認証書の無断転用・無断転載をお断りいたします。
（2）インシデント対応
個人情報漏えいなどのインシデント発生時にはリスクマネジメントマニュアルに則り、事案のレベルに応じて対策本部の設置を速やかに行うなどの体制を構築しています。また、サイバー攻撃をはじめとするサイバーインシデントに備えて情報セキュリティ部門の専門組織を事務局とするJALグループCSIRT体制（サイバーインシデントへの対応体制）を構築し、迅速な対応と再発防止を行っています。さらにサイバーインシデント発生に備え、年間2回以上のJALグループCSIRT訓練を計画・実施しています。
（3）教育・訓練の実施
個人情報保護に対する社員の意識を高め、個人情報流出などのインシデント発生を防止するため、全役員・社員を対象にコンプライアンス研修と情報セキュリティ研修をそれぞれ年間2回以上実施しています。（研修には個人情報保護についての内容が含まれまています。）また、ウイルスメールやビジネスメール詐欺による被害を防止するため、標的型メール訓練を毎年複数回実施しています。
（4）個人情報保護に関する社員の評価
個人情報保護に関しては、社員が遵守すべき事項を定めた個人情報保護規程に違反した場合に、懲戒を含む処分の対象としており、個人情報保護は社員の評価の一部となっています。
（5）監査の実施
専門組織による個人情報資産の管理状況の対面検査や個人情報保護規程への適合チェックをグループ会社も含め実施するとともに、公平・客観的な立場から監査部による内部監査も実施しています。
