• リスク・課題

SOMPOホールディングスは、サイバーセキュリティの取り組みに関する調査「サイバーインデックス企業調査2025」^※において、３年連続となる“１つ星”企業に認定されました。グループ全体での包括的・横断的な対策の実施やインシデント対応、さらには積極的な情報開示・発信などの取り組みが評価され、国内54社のうちの１社として選出されました。

サイバーセキュリティを早期から重要課題として捉え、可視化から意思決定、プロアクティブ（先制的）な対策の実践までを仕組みとして確立し、地道な取り組みを重ねてまいりました。

本記事では、私たちが試行錯誤を重ねながら構築してきた「グローバルCoE体制」や「内製化の取り組み」など、実践におけるリアルなステップをご紹介します。

※出典：一般社団法人 日本IT団体連盟『サイバーインデックス企業調査2025』（2026.01）
https://itrenmei.jp/topics/2026/3770/

グループ横断で推進する「グローバルCoE体制」

大規模な企業グループでは、グループ全体でサイバーセキュリティを確立することが重要です。グループ会社１社の脆弱性がサイバー攻撃の標的となり、グループ全体の被害に発展する可能性があるからです。しかし実際は、各社ごとに事業内容やIT環境、セキュリティ投資の水準等が異なることで、対策の推進状況にも格差が生じやすくなります。

そこでSOMPOグループでは、グループのサイバーセキュリティを統括する中核組織としてSOMPOホールディングス内に「サイバーCoE」を設置しています。「CoE（Center of Excellence）」とは組織横断的な専門集団のことで、当グループではサイバーCoEに30名規模の専門人材を配置しています。国内外のIT・セキュリティチームと連携し、グループ全体のガバナンスを担うだけでなく、各社のモニタリング、実践的な支援、インシデント時の対応など実務レベルでの活動を牽引。グループ全体の資産保護とセキュリティ水準の維持・向上に寄与しています。

こうした体制のもと、グループ全体の水準の底上げを図り、非金融事業を含むすべてのグループ会社において、金融事業会社と同水準のサイバーセキュリティ確立を目指しています。

「サイバーメトリックス」により可視化と意思決定を促進

グループ全体のサイバーリスク管理水準を向上していくためには、各社のサイバーセキュリティ対策の実態を正確に把握することが不可欠です。

その可視化には、「NIST CSF」や「ISO/IEC 27001」などのフレームワークに基づく定性評価が広く用いられています。しかし定性評価は、結果が回答者の主観に左右されやすいため、各社を横断的に分析するには扱いづらい一面がありました。

そこで私たちは、独自の「SOMPOフレームワーク」を開発。これに基づき、各社が準拠すべき水準を「サイバーセキュリティベースライン」として定めるとともに、達成状況を定量的に把握する「サイバーメトリックス」を構築しました。統一された基準と、主観を極力排除した可視化システムの組み合わせにより、管理状況を正確に把握できるようになり、どこに課題があり優先的に投資すべきか、という意思決定を行えるようになりました。

この「サイバーメトリックス」に加え、グループ各社の取り組みをホールディングスが第三者的にレビューし助言を行う「第三者レビュー」というプログラムも実施することで、各社におけるサイバーリスク管理水準の着実な向上が実現されています。非金融事業会社からなるセグメントでは、課題となっていた「保護対象の把握」「脅威・脆弱性管理」をはじめスコアを大幅に改善。金融事業会社に遜色のないレベルまで対策水準が向上しました。

今後、外部環境の変化を見据えて、継続的にアップデートを重ねながら、グループ主導によるプロアクティブなセキュリティ推進を目指しています。

攻撃者目線で監視する「サイバーパトロール」

サイバーセキュリティにおいて課題となりやすいのが「保護対象の把握」です。SOMPOグループでは、従前よりアタックサーフェス（攻撃対象となり得る領域）の管理を重視しており、グループの資産を攻撃者の視点で監視する、独自の取り組み「サイバーパトロール」を実施しています。

IT資産の増加や環境の複雑化により、アタックサーフェスは日々拡大しています。アタックサーフェスの拡大は、人為的なミスにより生じることもあります。それらが「攻撃を受けてから発覚する」という最悪のシナリオを回避するために、攻撃者目線に立つプロアクティブな監視活動が、非常に有効であると考えます。

サイバーパトロールでは、国内外のグループ会社を対象に「資産」「脆弱性」「脅威」の３視点からモニタリングを実施。問題を早期に検知し、各社へ対応を促します。膨大な収集データを効率よく処理するためにAIを活用するなど、業務負荷を軽減する工夫も行っています。

有事対応の要「CSIRT」を内製化

サイバーセキュリティにおいては、「平時」の取り組みの一方で重要になるのが「有事」の対応です。実際にインシデントが発生した際、迅速かつ適切に対応することが求められます。その役割を担うチームが「CSIRT（Computer Security Incident Response Team）」です。

SOMPOグループでは、「CSIRT」の機能もまた「サイバーCoE」内に設置しています。サイバーCoEは、SOC（Security Operation Center）機能も有し、グループ内のネットワークや端末のログを常時モニタリングするとともに、インシデント時の対応をコントロールしています。

SOCの機能はMSS（Managed Security Service）へ全面的に外部委託されるケースが少なくありませんが、SOMPOグループでは初期検知をMSSに委託しつつ、その後の判断や対応を内製SOCチームが担う「ハイブリッド体制」を選択しています。緊急性が求められる局面において、グループのビジネスを深く理解した内製チームが迅速に優先順位を判断し、対応にあたることこそが、最大のメリットであると考えているからです。

専門業者に委託しているフォレンジックについても、資格を持った社員が内部でも並行して行い、原因究明や対策の迅速化につなげています。

取り組みを支える拠点と人材の確保

これまで紹介してきたさまざまな取り組みの拠点となるのが、ホールディングス本社内に設置している「SOMPOサイバーラボ」です。平時のモニタリングや技術検証から教育・訓練、有事のCSIRT対応までを行う場として活用されています。

人材面では、在籍する人材や職場環境、活動を詳細に伝える募集パンフレットを作成し、積極的な人材獲得を行っています。また、ITスキル向上のため、トレンドに沿ったテクノロジー研修を実施しているほか、海外拠点との連携による最新のテクニカル情報コンテンツを開発・提供。さらに資格取得の支援も行うなど、人材の定着・キャリアアップにも注力しています。

SOMPOグループのサイバーセキュリティ体制は、当初5名からのスタートでした。経営層の理解を得ながら予算や人員枠を確保し、徐々に実績を重ねていくことで、今では30名規模まで拡充。外部機関から一定の評価を得るまでになりました。しかし、サイバーセキュリティに終わりはありません。今後もさらなる強化を目指して、グループ一丸となり取り組んでいきます。

SOMPOグループは、グループ一体のサイバーセキュリティを確立するために、グローバルCoE体制を構築。サイバーメトリックスによる可視化、サイバーパトロールによる監視、CSIRTによる有事対応などを組み合わせながら推進してきました。
こうした取り組みにおいて、「グループ横断でのガバナンス・対策推進」と「専門組織の内製化」が、推進のポイントになったと考えます。皆さまのサイバーセキュリティ強化の参考になりますと幸いです。
また損保ジャパンでは、皆さまのお役に立てる各種企業向けサイバーセキュリティサービスのご紹介が可能です。ぜひご相談ください。