従業員数53名(2015年4月現在)。LRMへの依頼内容をお話し下さい。弊社は、LRMにISMS/ISO27001(以下、ISMS)認証の運用保守コンサルティングを依頼しています。LRMの担当者は幸松さんです。1か月に1度、弊社を訪問していただき、2時間ぐらい打ち合わせをします。弊社側は、ISMS事務局メンバーが対応しています。打ち合わせの内容は、ISMS運用のPDCAサイクルを回す際に、その時々で発生する問題や課題全てです。現在であれば、マイナンバー制度への対応が課題となっています。弊社特有の課題としては、代理店契約を結ぶ保険会社から様々なタイミングで上がってくる要望があります。その要望に応える際も、ISMSの要求事項に合わせて仕組み化する必要があります。LRMとの打ち合わせでは、このような外部環境の変化や内部環境の変化に合わせたルールの変更や追加、それに伴う文書類の改定などについて相談しています。保険会社からの要望はどれぐらいの頻度で発生するのですか。約20社の保険会社のうち、毎年何社かからは必ず、何らかの要望が発生します。保険会社には金融庁の監査が入ります。その際に何らかの指摘があると、代理店にもその都度要望が送られてきます。指摘事項は保険会社によって様々なので、代理店は保険会社ごとに対応する必要があります。LRMのコンサルティングがスタートしたのは、2012年3月です。以降、2年半の間に、我々のISMSの知識に関する理解度が非常に向上したと感じています。ISMS運用においてコンサルタントのサポートを受けようと思った経緯をお話しください。きっかけは社内のリソース不足を解消するためでした。現在の事務局メンバーは3名です。人事総務部から2名、社長室から1名という構成になっています。以前は、営業部などからもメンバーが選ばれ、5名はいました。2012年、事業拡大に伴い、営業は営業に専念する方針を取り始め、事務局の人員を削減しました。その一方で保険業界における情報セキュリティに関する意識の高まりなどもあり、対応しきれない状態となったことで、LRMにサポートを依頼することになりました。委託先としてLRMを選定した理由をお話し下さい。LRM代表の幸松さんが情報セキュリティ全般のコンサルタント、ISMSの審査員として経験が豊富であることが、LRMと契約する決め手となりました。新規取得の際に契約していたコンサルタントはいましたが、時代も大分変わってきたので、改めて委託できるコンサルティング会社を探しました。同じタイミングで審査機関も、金融機関に強いところに変えています。幸松さんは、その審査機関から審査員業務を受託しているというご縁もありました。ISMS認証を取得した時期はいつですか。弊社がISMS認証を取得したのは2005年です。一般的に取得企業が少ない中、保険代理店として国内第1号の取得でした。当時、企業の取り組み課題として情報セキュリティマネジメントが注目され始めたばかりでしたが、いずれ必要になるという認識を持ち、業界に先駆けて取り組むことになりました。保険代理店としてISMSに取り組むメリットをお話し下さい。生命保険の契約業務を通して、オーナー経営者様から大切な情報をお預かりする以上、その情報そのものや情報を取り扱うフローを適切に管理することは、サービスのクォリティを上げる意味でも非常に重要です。弊社がISMSの運用をスタートさせて10年が経過しましたが、この間、社員にはルールに沿った行動が身に着いており、それが情報セキュリティ事故を未然に防ぐ抑止力になっています。何か問題が起こればきちんと報告が上がってきますし、業務を進める上で迷うことがあれば「ISMS上はどう処理すればいいか」と事務局に問い合わせてくるようになりました。金融業界で働いているという自覚を持った社員ばかりなので、意識は高いと思いますが、より業務レベルが向上したと感じています。代理店契約を結ぶ保険会社も情報管理に厳しくなっており、代理店は保険会社各社から年に1度の点検や数年ごとの監査を受けています。情報セキュリティの重要性は益々高まっていると実感していますが、ISMSの運用には、そういった点検や監査への対応を格段にスマート化するメリットもあります。保険会社が確認したいことは、お客様からお預かりする情報の保管状態やそのためのフロー、あるいは従業員教育の実態などです。それらはISMS活動の中で行っていることであり、書類には保険会社がチェックしたいポイントが全て記録されています。従って、保険会社の点検や監査への対応はISMSの書類を見せればクリアできます。複数の保険会社から点検や監査があっても手間暇はかかりません。ISMS活動について教えて下さい。ISMS活動は、1年間のPDCAサイクルに基づいて行っています。活動内容の大枠は毎年決まっていますが、法改正や規格改定など外部環境の変化、保険会社からの要望などがあれば、それらに応じたメニューを加え、維持審査または更新審査に向けた年間スケジュールを年初に組み、そこで組まれたタスクを事務局が中心となって粛々と進めていくイメージです。毎年必ず行うことは、従業員教育や運用しているルールの有効性を測定する有効性テスト、そしてスケジュール通りに活動が進んでいるかどうかをチェックするマネジメントレビューや内部監査などです。それらの取り組みを通して徹底できていない問題が抽出されれば、管理職が集まる会議などを通じて部署ごとに現場での徹底をお願いします。過去の取り組み事例をご紹介いただけますか。2014年度は、2013年に改訂されたISMS規格への対応の他に、ISMSのクレーム対策の仕組み化に取り組みました。クレーム対応は本来、ISMSの範囲には含まれませんが、ISMSのフレームワークが活用できるために組み込みました。本来クレームはない方が良いものです。弊社のメンバーもゼロにすべく取り組んでいますが、従来はクレームを回収して会社にフィードバックする仕組みがありませんでした。案件ごとに担当者ベースで対応し、担当者では対応しきれない案件は役職者や経営層が対応してきました。社員にクレームを隠す意図はなくても、明確なルールがなかったため個人で抱え込んでしまって、問題が大きくなる可能性はあります。近年は保険会社がクレームに敏感になっていることもあり、弊社ではクレーム対応と会社へのフィードバックに関するルールを決めることになりました。その際、ISMSのPDCAサイクルが、クレーム対策にも適用できるということで、ISMSのフレームワークに組み込むことになったのです。現在では、クレームが発生したら基本的に担当者とその担当者が所属するチームで対応し、再発防止をISMS事務局が考えるという仕組みになっています。これは情報セキュリティに関わる事故を回収する仕組みと同じです。このようにISMSのフレームワークは、情報セキュリティマネジメントに限らない広範囲で活用することが出来ます。クレーム処理の他、預り証の運用なども行っています。現在、2016年の保険業法の改正に向けてマニュアルを作っているのですが、これもISMSのマニュアルに落とし込む作業を行っています。そのような取り組みの中で、LRMはどのような役割を果たしているのでしょうか。最初にLRMと一緒に取り組んだことは、ISMSのスリム化です。ISMSを業務の中できちんと活用できるようブラッシュアップしました。その後も、その状態を維持するためのサポートをしてもらっています。ISMSのスリム化とは、書類や様式類の簡素化、合理化です。不要なものは割愛して、まとめられるものはひとまとめにしました。以前はマニュアル(手順書)が24種類ありました。それを主要文書2種類(一般社員用のマニュアルと管理者用マニュアル)と、付随する文書4種類(事業継続、情報システムなど)の6種類に減らしました。様式類は約50種類あったものを約30種類に減らしました。スリム化したことで弊社の業務に即したマネジメントシステムが出来上がったと感じています。ISMS活動が仕事の一貫として回るようになりました。初期構築の段階では、認証を取得・維持するためのマネジメントシステムであり、ISMSと実際の業務が全くリンクしていませんでした。ISMSと業務がリンクしていないことでどのような問題がありましたか。保険代理店の本来の業務には不要な書類を作る必要があるなど、一般社員の現場の業務も、事務局の管理業務も煩雑になっていました。業務量も非常に多くなり、大変苦労をしていました。このような状況だったため、LRMのサポートを受ける前のISMS活動は毎年「今年もISMSを維持するのかどうか」を検討することからスタートしていました。LRMのサポートを受け始めてからは、今後も維持する前提で前向きな話からスタート出来るようになりました。その他、LRMが関わり始めてからの変化があれば教えてください。(1)ISMSに関するリテラシーの向上LRMのサポートを受け始める以前は、ISMSの規格要求事項に出てくる専門用語が理解できておらず、用語をインターネットで検索するところからスタートするような状態でした。以前は、ISMSを企業主体に考えて業務が円滑に進むような仕組みにアレンジして良いという概念がありませんでした。そのため、ISMSの規格にある要求事項に忠実なだけで、弊社の業務とはかけ離れたマネジメントシステムとなってしまったのです。LRMのサポートを受け始めてから、ISMSの専門知識や正しい概念が身に付いたことでやっと運用できる状態にたどり着いたと感じています。(2)社内の協力姿勢の変化ISMSのスリム化によって、ISMS活動に対する一般社員の姿勢にも変化が表れています。不要な作業がなくなったことで、従来以上に協力を得やすくなりました。LRMのサポートは今後も必要ですか。今後もLRMのサポートは必要です。LRMのサポートがなければ、弊社のISMS活動は混乱してしまいます。前提として、弊社の事業は拡大の一途を辿っており、そちらにリソースを集中していくことになります。そのためこれ以上、事務局の人数が増える見込みはありません。その一方で事業環境は常に変わり続けるため、情報セキュリティの重要性は今後も増すでしょう。ISMSの規格は5年~8年間ごとに改訂されることもあり、いつでも相談できて的確にサポートしていただける存在は不可欠です。指摘事項への対応に関しても、合理的な対策を提示してくれるので非常に助かっています。今後のビジョンをお話ください。ISMS事務局としては、業務マニュアルや就業規則なども最終的にはISMSのフレームワークに落とし込んで一本化できれば良いのではないかと考えています。業務そのものや事業継続に必要なルールが一元化できれば、いざとなった時に混乱することなく対応できるなど、メリットは大きいでしょう。それは今後、会社全体で検討すべき事案ですが、実際に進める際には、LRMのサポートが必要です。豊富な知識と経験を持ったLRMなら、弊社のニーズや実情に沿って、うまくまとめていただけるものと期待しています。ヒューマンネットワーク株式会社様、お忙しい中、有り難うございました。情報セキュリティ倶楽部に関するお問い合わせ・無料相談ISMSやPマークの運用サポートについて、何でもお気軽にご相談ください。各サポートコースの月額費用は訪問回数によって変わってきますが、カスタマイズした個別のサポート内容のご提案も可能です。コンサルタントが直接、現状の課題・お悩みをヒアリングさせていただきます。全社で、情報セキュリティマネジメントシステムの国際規格であるISO27001/ISMSの認証を取得しています。