LRMへのご依頼内容をお話し下さい。弊社は、2015年2月、LRMにISMS/ISO27001(以下、ISMS)認証の新規取得コンサルティングを依頼しました。コンサルティングを担当した幸松さんのサポートで、同年10月に認証取得が完了し、引き続き、運用改善サポート『情報セキュリティ倶楽部』、eラーニングサービス『LIXIS』を契約しました。『職人とテクノロジーの融合』をテーマとする同社が開発した純国産マーケティングツール『MIERUCA』。大手企業への導入も進む。ISMS認証を取得した理由をお話し下さい。弊社がISMS認証を取得した最大の理由は、社内体制の確立です。認証取得を検討し始めた当時は、社員数の増加に伴い、社内を一枚岩にすることが困難な状況になりつつありました。弊社の事業では、現状、個人情報はお預かりしませんが、取引先のマーケティングデータには触れるので、その際の取扱いには注意が必要です。現在は人材の採用は新卒採用が中心ですが、以前は中途採用が中心だったため、仕事の進め方やセキュリティ意識は統一されていませんでした。コンプライアンスの徹底、事故の事前防衛のためにも、それらを統一する必要があると考えました。副次的には、営業上の機会損失を防ぐ目的もありました。過去に1度だけ、受託案件の受注にISMS認証取得が関係したことがありました。ある業界の最大手企業の案件で、順調に商談は進んだものの、認証がないことを理由に失注してしまったのです。実は、この時に「こういうこともあるのか」と実感したことがISMS認証に関心を持つきっかけとなりました。当時、大手企業との取引、サイト制作やSI案件の受託など、業容を拡大させつつあったため、今後はISMSやプライバシーマーク(以下、Pマーク)のような認証取得は必要になるのだろうと考えました。Pマークも検討したのですか。当時はそもそもISMSがどういうものか、Pマークと何が違うのかも把握していませんでした。そこで旧知のLRMが開催するセミナーに出席し、基礎的な知識を得て、ISMS認証に絞って検討し始めました。LRM以外のコンサルティング会社は検討しませんでしたか。LRMのセミナーが非常にわかりやすかったので、他の選択肢は考えませんでした。約90分間のセミナーで素人の私たちにでも分かりやすい話をしていただきました。セミナーはどのような内容でしたか。ISMSの認証制度がどういったものか、なぜやらなければいけないのか、企業が最低限知るべき、ISMS認証取得を検討し判断するための指針となる情報をご提供いただきました。対外的な信用を得るには信頼性の高い第三者機関の認証を受けることが一番であること、ISMSの規格を活かしてマネジメントシステムを構築することで社内の体制整備、情報セキュリティ事故の事前防衛が出来るということを学びました。セミナーで得た情報を社内に持ち帰り、役員会議にかけて承認を取り、約1年後、正式にLRMにコンサルティングを依頼しました。「情報セキュリティ関連のキーワードで検索するとLRMのブログが上位に。ISMS認証新規取得の準備はどのように進みましたか。時間をかけたのは、ISMSの詳細管理策114項目の検討です。現在、弊社が行っている業務の状態を洗い出して、規格を当てはめ、ISMSのルールを決める作業です。3月から6月の4か月間、集中的に行いました。そこで決めたルールをもとにマニュアルを作成し、決めたルールを現場に落とし込むという流れで進みました。この過程で弊社が行ったことは、詳細管理策114項目の検討の中で、幸松さんの質問に答えながらルールを決めることと、決めたルールを現場に落とし込んでいく作業です。マニュアル作成はLRMが行いました。このような役割分担が出来たので、認証取得の準備における負担は、非常に軽かったという印象を持っています。そこで決めたルールとはどのようなものですか。一般社員に関わるものには各自のデスクの施錠があります。上の引き出しは必ず施錠し、名刺などは机の上に置かずに、その中に入れるようにしました。合鍵を経営管理部に預けセントラルコントロールし、個人の所有物で重要なものはロッカーにしまうことにしました。これには誰が休んでも良い体制を整える目的もあります。「ソーシャルメディア基本方針」を立てました。弊社のスタッフはSNSなどネットサービスの利用頻度が高いため、ユーザー同士のトラブルに巻き込まれるリスクがあります。そこでソーシャルメディアの利用に関するガイドラインを定めました。管理系の施策としては、オフィスの整理整頓、紙のまま保管していた契約書の整理、サーバーのアクセス権限などの見直しも行いました。ルールを決める上でのご苦労はありませんでしたか。ルールを決める際に「どこで折り合いをつけるか」という判断に迷うことはありました。認証を取得するにはISMSの規格が求める要件を満たす必要があります。その要件と弊社の実情にはギャップがあります。そのギャップを完全に埋めるには膨大な時間と労力が必要です。その結果、業務に携わる社員にとっては窮屈な状況が生まれ、事業の障害に繋がるのではないかと考えました。弊社の実態と規格の折り合いをどこでつければいいか、具体的にはどのようなルールにすればいいのかと迷うことは多々ありました。その迷いはどのように解消されたのですか。基本的にはそのルールが存在する理由や目的を理解することから始めました。迷うことがあれば、なぜこの規格が存在しているのかを幸松さんに質問し、その上で、他社の事例や幸松さん自身の意見を聞いて参考にしました。情報セキュリティのeラーニングサービス『LIXIS』のトップ画面。従業員教育ではLRMが提供する情報セキュリティに特化したeラーニングサービス『LIXIS』を使われたのですね。『LIXIS』とはどのようなサービスですか。『LIXIS』は、クラウド上で情報セキュリティ関連の従業員教育が出来るサービスです。クラウド上で出来るため、新規取得に向けた準備における従業員教育は『LIXIS』を使い、LRMが用意したPDFのテキストを読んでテストに回答する、という形で実施しました。時間を合わせて集まってもらう必要がなく従業員教育という工程を効率化できたというだけではなく、テストの結果を可視化して証跡が残せることが非常に便利だと感じました。認証取得以降も契約を継続し、新入社員の教育に活用しています。今後に向けては、管理者向け、監査役向け、部署ごとなど、様々なバージョンの教材を展開して欲しいという要望を出しています。テストの結果を可視化して証跡が残せるとどのようなメリットがありますか。回答の集計結果から間違える傾向が明らかとなるため、潜在リスクを把握することが出来ます。今回のテストでは「何が個人情報で何が個人情報じゃないか」を間違えている社員が多いことがわかりました。このようなデータは、今後のISMSの改善に活かすことが出来ます。社員1人1人のウィークポイントを把握できることもメリットの1つです。各自、自分のウィークポイントを自覚して、意識しながら業務に取り組むことが出来ますし、会社としても人事を考える際の参考にすることが出来ます。実際、テスト結果には社員の性格が見事に表れていて面白いと感じました。情報の取り扱い方がわかると、慎重な性格かどうか、自分が関わる仕事に対して最低限のアンテナが立っているかどうか、常識性など客観的な判断が出来ます。情報と技術を扱う会社にとっては大きなメリットです。ランニングコストは、負担になりませんか。『LIXIS』は、負担にならない程度の料金体系が設定されています。入社時研修など、月に1度の頻度で使う他、LRMが提供する教材の他に自社で作成したコンテンツをアップすることも可能なので、お得なサービスだと考えています。情報セキュリティ分野の教育だけではなく、業務マニュアルの周知や採用時のテストなどでの活用を検討しています。従業員教育以降はスムーズに進みましたか。審査も幸松さんからアドバイスをいただいて臨んだため対応に困ることもなく、無事に取得を完了することができました。グッドポイントも2点いただきました。1点目は「教育の結果管理」です。何が出来て何が出来ていないかを明確にすることでどこにリスクが潜んでいるかが把握できるという評価でした。2点目は「最新法令の共有」です。LRMが作成した資料が非常にわかりやすいという評価を得ました。SEO/SEM分野でISMS認証を取得している企業は多くはないようですが、SEO/SEMの企業としてISMS認証を取得することの意義をどのようにお考えですか。SEO/SEM業界自体が若いということもあり、現状ではまだ情報セキュリティに取り組むような成熟した会社が少ないのかも知れません。これまで情報セキュリティ関連のトラブルに巻き込まれた企業は、我々のようなSEO/SEM企業にとっても顧客となりうる企業です。そのような視点に立てば、今後はSEO/SEM業務の委託先に対して、ISMS認証やPマークの取得を求めることがトレンドになる可能性は十分あります。取引先を安心させるためにも取り組む意義はあると考えています。ISMS認証新規取得の目的に対する成果はいかがでしょうか。社内体制の整備に関しては、ルールを構築し、ISMS認証を取得して初めてスタート地点に立ったと感じています。現在、ISMS担当者を立て、月に1度ミーティングを行って進捗管理をしながら、次の審査に向けた準備を進めているところです。その後も継続して改善していきたいと考えています。ISMS認証を取得して良かったことの1つには、社員に「整理整頓」を徹底させる理由が出来たことがあります。従来は「整理整頓」と言ってもただの小言にしか聞こえなかったと思いますが、認証取得によって、オフィス環境を常に仕事をしやすい状態に整理しておくということに説得力が生まれました。先ほど「ソーシャルメディア基本方針」についてお話しましたが、ソーシャルメディア上におけるトラブルは、社内だけではなく取引先にもその危険が潜んでいます。どんなタイプの人がトラブルに巻き込まれやすいか、どのようなところに危険が潜んでいるかを弊社のスタッフが認識しておくことで、弊社のお客様のトラブルを予防する効果を期待しています。LRMへのご評価をお話ください。LRMに依頼して一番良かったことは、杓子定規な対応ではなかったことです。弊社の内部の実情を把握し、ISMSの規格と弊社の実情を踏まえた上で柔軟なアドバイスをしていただきました。それが「どこまで折り合いをつけるか」という悩みを解消する大きな要因となりました。今、ISMSについて具体的なことを調べようとすると、大抵のキーワードでLRMのブログが上位に表示されます。情報セキュリティのコンサルティング会社で、これだけしっかりと情報を発信している会社は他に知りません。その姿勢から情報セキュリティに関して真剣に考えていることが伝わってきます。LRMは国内の企業におけるセキュリティ意識の向上に貢献している会社だと感じています。運用改善サポート『情報セキュリティ倶楽部』をご契約された目的をお話ください。1年後に控えるサーベイランス、そして2年後の更新審査に向けた継続的なサポートです。審査でグッドポイントと評価された最新法令の共有も含め、何かあった時にご相談できる状態を保っておきたいと考えて『情報セキュリティ倶楽部』を契約しました。LRMの継続的なサポートを受けて、PDCAサイクルをしっかり回し、よりセキュアな体制を築いていきたいと考えています。Company様、お忙しい中、有り難うございました。他のコンサル導入事例を見るISMS/ISO27001新規取得に関する無料相談・お見積りISMS取得できるのか?いつまでに取れそうか?どれくらいの費用がかかるのか?取得される企業様の状況によって変わりますので、まずはお気軽にご相談ください。(24時間受付)全社で、情報セキュリティマネジメントシステムの国際規格であるISO27001/ISMSの認証を取得しています。