第一三共が挑む グローバル創薬企業を支えるセキュリティガバナンスの高度化

「2030 DXビジョン」を支える情報セキュリティ

河合：
最初に第一三共グループの事業概要と、野村さんのご経歴を教えてください。

野村：
第一三共グループは、世界中の人々の健康で豊かな生活に貢献することをパーパスとする製薬企業です。サイエンス・アンド・テクノロジーを強みに、革新的医薬品を継続的に創出し、多様な医療ニーズに応えることを目指しています。32カ国・地域に48社を展開し、グループ全体で約2万人が働いています。研究開発は10カ国・地域22拠点、製造は6カ国・地域13拠点で行っています。

私自身は現在、コーポレートIT・DXの企画推進組織であるグローバルDXのDX企画部に属し、情報セキュリティグループ長を務めています。2003年の入社以来、ITインフラやビジネスアプリケーションの企画管理、監査部門でのJ-SOX・IT統制評価を経て、2014年からセキュリティ領域に携わってきました。2023年に現在の情報セキュリティグループが新設され、グループ長に就任しています。

河合：
情報セキュリティをどのように位置付け、どのような体制で取り組んでいるのでしょうか。

野村：
第一三共グループでは、製薬バリューチェーン全体をDXで革新する「2030 DXビジョン」を掲げ、その基盤の一つに情報セキュリティを位置付けています。事業や組織のグローバル化、取引先・パートナー企業の拡大に伴い、サイバー脅威やリスク管理のあり方も変化しており、セキュリティを重要リスクと捉えています。

現在は、2030年度に目指すグローバルサイバーセキュリティの姿を定め、マイルストーンとロードマップに基づいて施策を進めています。直近では、グローバルセキュリティガバナンスの基礎整備を優先しながら、データ活用や自動化も取り入れ、セキュリティ機能の高度化を図っています。

2024年からは、地域別の組織をグローバル共通の機能軸で再編しました。CDXO（最高DX責任者）が任命したヘッド・オブ・グローバルサイバーセキュリティの下、エンタープライズセキュリティとOTセキュリティを対象に、戦略・施策の立案から実装・運用までを、ITインフラなどの関係者と連携して推進しています。現在は日本、米国、欧州のメンバーで構成されるグローバルサイバーセキュリティ機能として、グループ全体のセキュリティを支えています。

共通スタンダードとアセスメントでグループの実態を可視化

河合：
グローバル企業では、セキュリティガバナンスの体制を整えても、実効性の確保に課題が残るケースがあります。例えば、各組織の環境や運用状況が分からず実際のリスクを統制できない、ビジネス特性や法規制の違いから共通化と最適化の線引きができない、成熟度・リソース・言語や文化の違いから意図が正しく伝わらない、といった課題をよく耳にします。

図表1：企業がセキュリティガバナンスを推進するうえでの各フェーズの難しさ

また最近は、企業のセキュリティガバナンスが、相互牽制を重視する従来の「3ライン・ディフェンスモデル」から、第1線と第2線の連携・協力を重視する「3ラインモデル」へと変化しています。さらに、1線の中に2線との懸け橋となる「1.5線」やBISO（Business Information Security Officer）を置き、ビジネスにセキュリティを組み込む企業も出始めています。

図表2：企業のセキュリティガバナンスにおいて重視するものの変化

こうした中、第一三共はどのようにグローバルセキュリティに取り組んでいるのでしょうか。

野村：
私たちのグローバルセキュリティ強化活動には、大きく2つの特徴があります。1つ目は、グローバルでのセキュリティ標準化と、ビジネス上重要な戦略事業の個別対応を両輪で進めている点です。2つ目は、他のコーポレート組織と協力し、各組織が担うリスク統制業務にセキュリティを組み込んでもらうアプローチを取っている点です。

河合：
では、まず標準化と個別対応の両立について伺います。グローバルガバナンスでは標準化が重視されがちですが、どのように両立を進めているのでしょうか。

野村：
グローバルセキュリティガバナンスの強化は、2022～2023年度に本格化しました。まずはISO 27001やNIST サイバーセキュリティフレームワークを踏まえ、グローバル共通のセキュリティスタンダードを策定しました。その上で、グループ全体のセキュリティアセスメントを実施し、各社の状況を客観的に把握しました。その結果を基に、目指す姿とマイルストーン、ロードマップを定めています。

特に重視したのは、戦略上力を入れているアジア・中南米地域の実態把握です。セキュリティガバナンスの観点から、現地の状況を詳細に確認しました。

河合：
海外各社のアセスメントでは、成熟度の違いによる回答のばらつきや、担当者との関係性によるコミュニケーションの難しさが課題になります。どのような工夫をされたのでしょうか。

野村：
最初にグループ共通のセキュリティスタンダードを基準にアセスメントを行い、各社の成熟度を比較しやすくしました。また、回答のばらつきを抑えるため、担当者の自己申告だけでなく、業務の実態を示す規程やマニュアルなどのドキュメントも確認し、客観性を確保しました。

インタビューでは、回答にブレがないかを確認しながら、双方向のコミュニケーションを重視しました。海外各社のセキュリティ担当者とは以前から定期的に対話しており、ITインフラの関係者も交えた対面ミーティングを通じて関係を築いてきました。相手側の業務負荷にも配慮しています。

進め方としては、比較的コミュニケーションを取りやすい会社から着手し、ノウハウを蓄積しながら展開しました。アセスメント結果の共有や計画策定も、日本、米国、欧州のグローバルサイバーセキュリティメンバーと議論しながら進めました。

当社では、各地域のメンバーの専門性をグループ全体のセキュリティ戦略に反映することを重視しています。こうした組織文化も、良好な関係性の維持につながっています。

河合：
アセスメントと計画策定を通じて、どのような成果がありましたか。

野村：
特にアジア・中南米地域は、ビジネス戦略上の重要性が高まる一方、これまでセキュリティの状況を十分に把握できていませんでした。今回の取り組みにより、グループ全体のセキュリティ水準を客観的に可視化し、戦略事業の課題も明確にできました。

大きな成果は、経営層やアジア・中南米のビジネス統括組織と、セキュリティ強化を推進する必要性について合意できたことです。セキュリティはコストと捉えられがちですが、共通認識ができたことで、具体的な進め方を前向きに議論できるようになりました。

アセスメントの結果、地域によってリソース面の課題があることが分かりました。そのため、グローバル共通サービス化や本社からの支援を進めています。直近では、グローバル共通のセキュリティ・オペレーション・センター（SOC）サービスの導入・展開により、監視対象やオペレーションレベルの標準化、各地域の負担軽減を図っています。

コーポレート部門の業務にセキュリティを組み込む重要性

河合：
次に2つ目の特徴であるコーポレート・事業部門の業務にセキュリティを組み込む取り組みについて伺います。第一三共では、コーポレート組織のグローバル化も進んでいます。個社内、グローバル組織間、セキュリティ部門とコーポレート部門の連携を、どのように進めているのでしょうか。

野村：
セキュリティは、ルールを整えるだけでは機能しません。特に、ガバナンスの中核を担うコーポレート機能との連携が重要です。各地域内では以前から協力体制がありましたが、グローバル機能としての連携は現在もチャレンジの途上です。

例えばBCP（事業継続計画）では、各社単位でサイバーセキュリティとの連携が進んでいる一方、グループ全体に影響するサイバーインシデントが発生した際の意思決定やコミュニケーションには、まだ議論を深める余地があります。

調達領域にも課題があります。ビジネスパートナーリスク管理をグローバルに展開する中で、人権や環境などのリスクと合わせて、セキュリティリスクをどう評価するかを整理する必要があります。医薬品の品質や開発業務など重要な委託先のプロセスについても、より適切にセキュリティ評価を行えるよう、品質管理機能とともに実施方法や確認ポイントを見直しています。

重要なのは、関係部門が「セキュリティはセキュリティ部門に任せればよい」と考えるのではなく、自部門の業務にセキュリティを取り込み、自ら主導することです。

その理解を促すため、トップマネジメント向けのセキュリティワークショップも定期的に実施しています。従来は日本の経営層が対象でしたが、今年度から日米欧の3地域で開催しました。参加者からは、インシデント対応時の意思決定の難しさに関する気づきが得られた他、自部門の対策状況を担当者に確認する動きも生まれており、有意義な取り組みだと考えています。

河合：
経営層向けワークショップを日米欧の3地域に広げた背景を教えてください。

野村：
背景には、第一三共のトップマネジメント自体がグローバル化していることがあります。また、日本で実施したワークショップでは、サイバーインシデント発生時の判断や、社内外の関係者をグローバルに巻き込む対応について議論しました。その中で、国や地域によって価値観や判断基準が異なる可能性が指摘され、3地域での開催につながりました。

各地域で実施したことで、経営層がセキュリティをどう捉えているのか、インシデント発生時のビジネスインパクトとして何を重視するのかを直接聞くことができました。これはセキュリティチームにとって大きな収穫でした。

例えば、ワークショップでは、「最も重要なのは患者さんへの医薬品供給を止めないことであり、そのための対応手段を幅広く検討すべきだ」といった意見が出ました。セキュリティチームだけでは出にくい視点であり、今後の活動に生かすためにも、この取り組みは継続していきたいと考えています。