コマツでは、情報セキュリティの脅威が年々高度化・巧妙化していることを認識し、グループ全体で管理体制の構築、情報資産の保護、システムのセキュリティ強化、ネットワークおよびシステムの監視、社員の教育・訓練等に関する方針を明確にし、情報セキュリティレベルを向上させるための活動を実施しています。
なお、2025年度においては、事業に重大な影響を与えるようなインシデントはありませんでした。
コマツはサイバー攻撃に対する対応能力を含む情報セキュリティの組織的な体制として、全世界の拠点を対象としたCSIRT（Computer Security Incident Response Team）を整備・運用しています。CSIRTは、情報収集や各種システム対策、社員教育などを通じて情報セキュリティインシデントの未然防止に平時から取り組むとともに、万が一インシデントが発生した場合にも、迅速に対応し、被害の最小化とシステムの早期復旧を図ることを目的としています。また、グローバルの各地域にSOC（Security Operation Center）を設置し、システムやネットワークを監視しています。
サイバー攻撃は初動対応が極めて重要であるため、社員通報窓口の設置や、SOCによる異常兆候の検知体制を整備しています。これらの通報窓口やSOCによる異常兆候の検知を起点として、CSIRTおよびSOCがそれぞれの役割に応じて速やかに初動対応を行い、原因調査、再発防止策の策定まで一貫して対応しています。また、重大インシデント発生時には、社長、取締役および情報セキュリティ担当役員を含むリスク管理委員会に速やかに報告し、経営判断を踏まえた適切な対応を行う体制を整えています。
さらに、サイバー攻撃による事業継続リスクに備え、対応マニュアルの整備や定期的なサイバーBCP訓練を通じて、有事に対する対応力強化に取り組んでいます。
工場では、各生産工場にFSIRT（Factory Security Incident Response Team）を設置し、工場ネットワークや生産設備へのサイバー攻撃に備えた対応体制を構築しています。万が一インシデントが発生した場合には、FSIRTとCSIRTが連携して、被害の最小化と早期の生産再開のため対応します。
加えて、お客さまに安全な製品・ソリューションを提供し続けるため、企画・開発段階からセキュリティ確保に取り組むとともに、脆弱性情報の適切な管理や脆弱性発見時の対応プロセスを整備しています。
これらの取り組みについては、リスク管理委員会への定期報告、および重要事項については取締役会にも報告することにより、経営層による監督のもと、コマツグループの情報セキュリティを適切に管理しています。
個人情報や機密情報を含む会社の情報資産を適切に保護するため、情報を重要度に応じて格付け・分類し、保管場所のアクセス制限やデータの暗号化などのセキュリティ対策を実施し、適切に管理しています。
特に、お客さま、取引先、社員等の個人情報を適切に保護することはコマツが事業を行う上で不可欠な取り組みであると認識し、「グローバルプライバシーポリシー」 を策定し、遵守しています。また、e-learningや内部監査などを通じて適切な取り扱いを徹底しています。
海外においても欧州一般データ保護規則（GDPR）の対応など、各国・地域の法令および社会的な要請に合わせた個人情報の保護に取り組んでいます。
外部からの不正侵入やコンピューターウイルス感染などのサイバー脅威による情報漏えいを防止するため、多層防御（Defense in Depth）に加え、ゼロトラストの考え方に基づいたシステム対策を実施しています。ゼロトラストでは、社内外を問わずすべてのアクセスを無条件に信頼せず、利用者、端末、アクセス先、利用状況を都度確認することで、セキュリティリスクの低減を図っています。
特に、テレワークを含む社外からのアクセスや、クラウド化が進む業務システム・クラウドサービスの利用においては、多要素認証（MFA）と端末認証（デバイス認証）を組み合わせたアクセス管理を導入しています。これにより、本人認証に加えて、業務上許可された端末からのみ接続を可能とし、不正アクセスやなりすましによる情報漏えいリスクを低減しています。また、クラウド環境においても、アクセス権限の適切な管理、最小権限の徹底、利用状況のログ監視を行うことで、安全なクラウド利用を推進しています。
さらに、サイバーリスクの早期発見と対応力の向上に向けて、継続的なセキュリティ対策を実施しています。
脆弱性診断については、公開サーバー、社内の重要システムおよびクラウド上で稼働するシステムを対象に、継続的な監視と必要に応じた診断を実施しています。加えて、セキュリティログや通信状況を監視・分析することで、不正アクセス、マルウェア感染、異常通信などのサイバー攻撃の兆候をリアルタイムに検知できる体制を整備しています。
検知された脆弱性や不審な挙動については、管理台帳により可視化および一元管理し、システム主管部門がリスクや優先度に応じて速やかに対応しています。
また、侵入テスト（ペネトレーションテスト）については、外部の専門ベンダーに委託し、年1回から2回の頻度で実施しています。テストの仕様や評価範囲についても、クラウド化の進展や新たなサイバー脅威の動向を踏まえて適宜見直しを行い、継続的な改善を図っています。
これらの取り組みにより、オンプレミス環境およびクラウド環境の双方において、サイバー攻撃の兆候をリアルタイムに検知し、適切に分析・対応できる体制の強化を進めています。
コマツでは、情報の適切な取り扱いを全社員が実施すべき行動基準として明記しており、全社員が情報の適切な保護・管理に取り組んでいます。情報セキュリティは、組織的・システム的な対策だけでなく、社員一人ひとりの主体的な取り組みも不可欠であるため、基本動作の徹底や知識レベルの向上を推進するとともに、万が一事件・事故が発生した際には、CSIRTへの迅速な報告を義務付けています。これらの知識や適切な行動については、全社員を対象とした定期的なe-learningを通じて定着を図っています。また、標的型攻撃メールを模した訓練を年数回実施しています。
これらのe-learningや訓練は日本国内だけでなく、海外現地法人に対しても実施しており、グローバル全体での情報セキュリティレベルの向上に取り組んでいます。
情報セキュリティに関する監査を実施することで、コマツグループ全体の情報セキュリティレベル向上に取り組んでいます。専門知識を有するコマツ社員が監査および助言をすることにより有効性を高め、また直接の利害関係がない第三者として実施することで独立性と公平性を確保しています。
コマツは自社およびグループ会社のみならず、当社の業務上の機密情報を共有する代理店や協力企業各社に対しても、当社の情報セキュリティ方針に沿った管理対応をお願いするとともに、継続的かつ有効な支援を講じております。代理店や協力企業各社に対し、情報機器等のシステム対策や情報の適切な管理方法について、チェックリストを用いた定期的な確認やヒアリングの実施および当社指定の情報セキュリティ教材の使用も推奨しています。これらの活動を通じて、業務上の機密情報の扱いや安定した事業継続についてすべての関係者と適切な情報システム管理の必要性を共有し、リスク低減を図っています。