サイバーセキュリティ経営宣言

経営者自らが最新情勢への理解を深めることを怠らず、サイバーセキュリティを投資と位置づけて積極的な経営に取り組みます。また、経営者自らが現実を直視してリスクと向き合い、経営の重要課題として認識し、経営者としてのリーダーシップを発揮しつつ、自らの責任で対策に取り組みます。

具体的には、サイバーリスクをＳＭＦＧのトップリスクの１つとして定義し、経営会議・取締役会での定期的な議論・検証のもと、必要なリスク対策には、適切なリソースを配分し、推進します。

特定・防御だけでなく、検知・対応・復旧も重視した上で、経営方針やインシデントからの早期回復に向けたBCP(事業継続計画)の策定を行います。経営者が率先して社内外のステークホルダーに意思表明を行うとともに、認識するリスクとそれに応じた取り組みを各種報告書に自主的に記載するなど開示に努めます。

具体的には、サイバーインシデント発生時も踏まえた専担部署（ＣＳＩＲＴ）を設け、平時の対策のみならず、有事の際の手続・マニュアルを整備すると共に、年次のリスク管理方針の策定、定期的な演習・訓練の実施、コンティンジェンシープランの見直しを実施します。また、ディスクロージャー誌等を通じてセキュリティ強化の取組みについて開示します。

予算・人員等のリソースを十分に確保するとともに、社内体制を整え、人的・技術的・物理的等の必要な対策を講じ、経営・企画管理・技術者・従業員の各層における人材育成や教育を行います。また、取引先や委託先、海外も含めたサプライチェーン対策に努めます。

具体的には、サイバーセキュリティに係る専担部署に必要な人員を配置し、セキュリティ教育プログラム等を活用した継続的な人材育成、並びに、最新技術を活用したセキュリティ対策の実施に努めます。また、取引先、委託先でのサイバーセキュリティ対策状況のモニタリング、購入製品のセキュリティに係る脆弱性の管理態勢構築を通じてサプライチェーン対策を実施します。

システムやサービスの開発・設計・製造・提供をはじめとするさまざまな事業活動において、サイバーセキュリティ対策に努めます。

特に、インターネットバンキング等のサービスを安心・安全にご利用いただくために、パスワードカード及びスマホアプリを配布するなど、お客さまにおいてご利用可能なセキュリティ対策を充実させるとともに、不正な取引のモニタリングを実施します。

関係官庁・組織・団体等との連携のもと、各自の積極的な情報提供による情報共有や国内外における対話、人的ネットワーク構築を図ります。また、各種情報を踏まえた対策に関して注意喚起することによって、社会全体のサイバーセキュリティ強化に貢献します。

具体的には、金融庁、内閣サイバーセキュリティセンター、情報処理推進機構等の官庁に適時適切な報告を行うと共に、金融ＩＳＡＣ、ＦＳ－ＩＳＡＣ、ＪＰＣＥＲＴ等のセキュリティに関する情報機関には、積極的に情報提供を行い、グローバルベースで業界を超えた社会全体のセキュリティ対策の向上に努めます。

• （注1）本宣言の対象となるグループ会社：
  三井住友銀行、ＳＭＢＣ信託銀行、三井住友ファイナンス＆リース、ＳＭＢＣ日興証券、三井住友カード、セディナ、ＳＭＢＣコンシューマーファイナンス、日本総合研究所、三井住友アセットマネジメント