–2016年5月にプライバシーマークを取得した株式会社インフォテックは、初めての更新審査に向けLRMのコンサルティングを導入しました。新規取得の際は別のコンサルティング会社に依頼していたとのこと。課長・小林正人氏にお話を伺いました。記事indexLRMへの依頼内容:プライバシーマーク更新対応コンサルティングLRMに依頼した決め手はコミュニケーションがきちんと取れて相談出来ること新規取得時には解消できなかった数多くの疑問点を解消LRMのサポートにより妥協せずにルール作りが出来た社内体制を構築したことで社員の個人情報に対する意識がレベルアップ困ったときいつでも相談できる専門家。地域で受託開発業務を行うソフトハウス。FA系と幅広い分野において、上流工程からテスト・運用に至るまでワンストップで対応出来ることが強みだ。中でも監視制御系システム(電力、交通、道路など)や生産現場系システム(製造ライン管理、倉庫管理など)を得意分野とし、大手電機メーカー系SIerと強固な関係を築いてきた。近年は拠点を置く福島県いわき市の地元企業を対象とした直請け案件にも注力。幅広い開発業務で培ったノウハウに基づいた企画提案力を武器にさらなる発展を目指している。本社;福島県いわき市。社員数;28名(2018年4月現在)。LRMへのご依頼内容をお話しください。弊社は2017年5月、LRMにプライバシーマーク(以下、Pマーク)の更新対応コンサルティングを依頼しました。弊社は2016年5月にPマークを新規取得し、今回、初めての更新時期を迎えました。2017年8月にLRMの担当者山下さんサポートのもとで更新に向けた準備をスタートし、11月に更新審査を受け、12月、無事に更新出来ました。御社がPマークを取得した理由をお話しください。弊社がPマークを取得した理由は、お客様との取り引きを円滑に進めるためです。近年、Pマークの取得を取引条件に加えるお客様が増えています。自治体の案件では入札条件にPマーク取得が必ず含まれていますし、長年取引をしているSIer様との取引においてもPマークがなければ従来通りの業務が出来なくなりました。マイナンバー制度が始まってからは、直取引のエンドユーザー様の間でも個人情報保護意識が高まり、Pマークがなければ商談が前に進まなくなっています。このような背景のもと、お客様にご安心いただける体制を作るためにPマークを取得しました。今回、Pマークの更新審査を迎えるにあたりコンサルティング会社のサポートを受けた理由をお話しください。コンサルティング会社のサポートを受けた最大の理由は、マイナンバー制度への対応です。マイナンバー制度の導入により、Pマークの規格が一部改訂されたため、自分たちだけで更新審査の準備を進めることに不安がありました。新規取得の際はコンサルティング会社のサポートを受けなかったのですか。新規取得の際は大手セキュリティ会社のPマーク取得支援サービスを受けました。同業者の知り合いがISMS/ISO27001認証を取得した際に支援を受けたと聞いて、間違いないだろうと考え依頼しました。満足できる成果は上げられなかったので、改めてコンサルティング会社を選定しなおして更新審査に臨みました。新規取得の際はどのような点で満足出来なかったのでしょうか。コンサルタントとのコミュニケーションがうまく取れなかったことです。コンサルタントは常に忙しそうにされていて、なおかつ無愛想で、気軽に相談できる雰囲気はありませんでした。高い費用を払っているにも関わらず、どちらがお客さんかわからないくらいに気を遣う必要がありました。進め方は用意してきたひな形をもとに一方的に説明して、「今説明したことをやっておいてください」と言って帰って行くだけでした。言われるまま、わけもわからずに苦労して作成した文書をチェックしてもらう際も、時間がかかった挙げ句に要点を得ない答えが返ってくるだけですし、審査に向けて何をどのように用意すれば良いのかすら理解できぬまま、本当にこれで運用が出来るのかという疑問と不安を抱えたまま申請へと至りました。実際に審査を受けてみると、文書の抜け落ちがあり、指摘事項も沢山ありました。結果的にPマークは取得できましたが、マニュアルや様式などの文書類について、なぜこのような規程が必要なのか、どのような時にこの文書を使うのかといった説明は一切なかったため正しい運用が出来ない状態でした。御社の業務内容を把握したり、個人情報を特定したりするためのヒアリングはなかったのですか。弊社へのヒアリングは一切ありませんでした。持参したひな形を朗読して、コンサルタントが不要だと判断した箇所があれば「御社の業種ではこの規程は不要」と言って削るだけでした。それが不要なのか説明はありませんし、要望や質問を受け付ける時間は一切取ってもらえませんでした。個人情報の特定も「御社の業種の場合はこういうものも個人情報に含まれるが、ひな形にないから追加はできない」と、硬直的な対応しかしてくれませんでした。申請に向けた準備に関しても一切フォローはありませんでした。以上のような経緯から、今回はきちんとコミュニケーションが取れて、どんなことでも相談ができるコンサルタントを探そうと考えました。限られた人数で日頃の業務をこなしながらルールを見直したり、規格の改訂状況をフォローし続けたりすることは至難の業です。そのためしっかりサポートしていただけるコンサルティング会社と契約した方が良いと考えました。LRM以外にも比較はされましたか。インターネット検索で5社ピックアップし、電話で問い合わせました。その中で最も親切に対応してくれたのがLRMです。問い合わせた際に対応してくれた営業の方が親切かつ的確に対応してくれたので、迷わずLRMに依頼しました。担当者の山下さんも話がしやすい方だったのでLRMに依頼して正解でした。Pマークの更新審査に向けた準備はどのように進みましたか。LRMと対面で打ち合わせを行い、その打ち合わせの際に洗い出したタスクに基づいた作業を行いました。LRMとの打ち合わせは何回行いましたか。LRMとの打ち合わせは2017年8月から10月まで月に1回ずつ、合計3回行いました。1回目は、Pマークの運用状況の確認とタスクの洗い出しを行いました。リスク管理表、法令・ガイドラインといった各種記録の見直し状況などを確認し、十分に実施出来ていない点があればタスクとしてリストアップしました。2回目は、申請に必要な文書類の作成とチェックを行いました。事前に山下さんに作成していただいた申請書類を一緒に読み合わせ、必要があれば加筆修正して完成させた他、内部規定や個人情報管理台帳などPマーク運用で使う書類をチェックして行きました。3回目の打ち合わせでは、更新審査で何を聞かれるか、どのような準備をしておけば良いかなどのアドバイスをしていただきました。LRMとの打ち合わせ以外に御社内で行った作業はどのようなものがありましたか。従業員教育用の資料、内部監査用のチェックリストなどPマーク運用に必要な文書類の不足部分を補っていきました。新規に作成したものとしてはPマーク推進体制の組織図があります。各現場のチームリーダーを中心に役割分担を決めて体制を構築し、組織図にまとめました。この他、契約書の保管用に鍵付きのロッカーを用意し、机のサイドキャビネットを鍵付きに変えるなどの環境整備も行いました。更新審査はいかがでしたか。審査ではほとんど指摘を受けず、無事に更新することが出来ました。Pマーク更新までの経緯は以上ですが、この中で弊社にとって最も重要だったことは、なぜこの規程があるのか、この文書はどのような時に使うのかなど、新規取得以来抱え続けてきた沢山の疑問を解消できたことです。LRMのコンサルティングは、どのような点が良かったですか。LRMは「日本で一番身近な情報セキュリティ会社」のスローガン通りで、弊社にとっては理想的なコンサルティング会社でした。LRMの山下さんは第一印象と変わらず、きちんとしたコミュニケーションが出来る方でした。あったマニュアルを基にチェックをした上で、何が必要か、何が不足しているかをはっきりおっしゃってくださいますし、我々の質問に対しても丁寧に答えてくれました。説明もわかりやすかったし、こちらが理解するまできちんと教えてくれました。規程や文書の目的・理由が明確に把握できたため、社内での作業は非常にやりやすかったです。打ち合わせの時以外に担当の山下と連絡を取ることはありましたか。Officeの『Word』や『Excel』のコメント機能を使って質問をしました。緊急の場合は電話も使いました。山下さんの返信は常に迅速で、翌日にはご返信いただけたので、作業をやり直す必要があった際にも記憶が新しいうちに対応することが出来ました。以前のコンサルタントは、返答が来るまで早くても3日、遅ければ1週間はかかっていました。100%答えてもらえないので、1つのことで3回も4回も質問をし、それでも解決できなくて、最終的には埒が明かずに諦めるしかない状況でした。LRMのサポートではそういったことは一切なく、妥協せずしっかりルール作りが出来ました。今回の取り組みによって、何か社内に変化はありましたか。Pマーク運用の社内体制が構築出来たことで、個人情報に対する社員の意識が従来以上にレベルアップしました。役割を割り振り、年間スケジュールに基づいた活動をスタートさせたことで、「やらなければいけない」という自覚と責任感が芽生えました。ルールに対する理解も促進され、現場での判断がスムーズになり、チームメンバーに対する教育も行き届くようになりました。これらは、当初想定はしていませんでしたが、今回の取り組みで得られた大きな成果だと考えています。組織的な取り組みは始まったばかりで、マニュアルやスケジュールを見ながら活動をしている状況であり、文化として定着したとは言えません。今後はさらなるレベルアップを図り、各責任者がスケジュールを見なくても日常的にチェックできるようにするなど、情報セキュリティ意識を社内の隅々にまで浸透させたいと考えています。)困ったときいつでも相談できる専門家。今後のLRMへのご期待をお話し下さい。Pマーク更新が終わった後、弊社はLRMの運用保守サポート『情報セキュリティ倶楽部』を契約しました。Pマークの運用を維持していく中で、今後も社内外の様々な変化に対応していく必要があります。実際、今年に入りPマークの審査基準が変わりました。このような審査基準や関連法令の変更などは、通常業務に集中していると、なかなか情報をキャッチアップできません。このような点をLRMに補っていただきたいと考えています。わからないことや困ったことがあった際にすぐ質問できる専門家がいれば、今後もPマークの運用・更新はスムーズに出来ることでしょう。株式会社インフォテック様、お忙しい中、有り難うございました。今後ともよろしくお願いいたします。他のコンサル導入事例を見るプライバシーマークコンサルティングに関するお問い合わせプライバシーマークを取得できるのか?いつまでに取れそうか?どれくらいの費用がかかるのか?取得される企業様の状況によって変わりますので、まずはお気軽にご相談ください。(24時間受付)全社で、情報セキュリティマネジメントシステムの国際規格であるISO27001/ISMSの認証を取得しています。らせ屋」コンサルに注意してください。