丸紅280據點IT安全不玩虛的 採務實手法確保全球治理

日本綜合商社丸紅（Marubeni）為確保其全球280個集團公司及據點的IT安全與治理，歷經十年發展出一套「務實深入」的IT檢查策略。這套作法強調親力親為、深入現場，以避免單純的報告流於形式，無法有效提升實際安全水準。

丸紅集團的營運範圍極其廣泛，從貿易、B2C零售、礦業到金融科技等多元領域皆有涉足。其遍布全球的子公司及據點在IT專業知識和人員配置上存在巨大差異，有些大型IT部門擁有數千名員工，但小型辦公室卻可能完全沒有專職IT人員，加上各國通訊基礎設施品質不一，導致中央統一規則難以有效落實。

丸紅資訊規劃部部長橘高弘一郎指出，總部若強行推動一套制式化規則，現場必然會出現落差，最終恐導致資安措施形同虛設。為此，丸紅在過去十年來逐步建立了三根支柱：規則、機制與檢查。規則層面訂定「丸紅集團IT治理規則（Marubeni Group IT Governance Rule）」作為最低標準；機制層面則透過「丸紅集團共通IT服務（Marubeni Group Common IT Service，簡稱 M-IGS）」協助各據點符合規範；最後，透過實地評估來驗證規則的遵守情況。

這套「務實深入」的檢查方法，首先將 M-IGS 推廣至缺乏專職IT部門的子公司，隨後再擴及那些難以自行管理的據點。透過這種由下而上、逐步推進的方式，丸紅能夠根據各地實際情況調整策略，而非一味施加總部指令。此策略的關鍵在於透過不斷的計畫、執行、檢查、改善（PDCA）循環，持續強化評估能力，擴大措施與檢查的範圍，確保IT安全標準能真正深入到每個營運角落。

丸紅的經驗顯示，面對跨國企業複雜的IT環境，單純的書面報告或僵化的規範不足以應對潛在風險。唯有透過長期投入、因地制宜的務實檢查，才能有效提升集團整體的資安防護韌性。