今回、LRMに依頼した業務内容を教えて下さい。弊所は、2014年5月、LRMにISMS/ISO27001(以下、ISMS)認証新規取得のコンサルティングを依頼しました。担当コンサルタント吉村さんのサポートで、当初の計画通り、繁忙期を迎える前に認証を取得することが出来ました。「ISMSだけではなく、Pマークの相談にも乗ってくれた。ISMS認証を取得した理由を教えて下さい。クライアントの情報セキュリティ意識の高まりに対応するためです。行政機関から調査研究業務を受託するにあたっては、受託者として要求される条件を満たす必要があります。その条件の中にISMS認証取得が入る可能性が出てきたため、先んじて取得することにしました。近年、弊所のクライアントである環境省を含む行政機関全体が、情報セキュリティの向上に取り組んでおり、その一環として発注先にもセキュリティレベルの向上を要求しています。実際、弊所も8年前、環境省からプライバシーマーク(以下、Pマーク)の取得を求められて取得しました。それに留まらず、2013年末頃からは、より一層セキュリティを強化する動きが見られましたので、いずれISMS認証取得が条件に織り込まれることはほぼ間違いないと考えられました。ISMS認証取得にあたって目指していたことはありますか。(1)Pマークをベースにしたルール構築、(2)約半年間での取得完了です。取得しているPマークをベースにマネジメント・ルールを構築していくことは最初から決めていました。運用が煩雑にならないように、今あるルールを最大限に活かして、ISMS規格の要件に満たない部分だけ付け加える、または変更するなど、可能な限りシンプルなルールを構築したいと考えました。(2)約半年間での取得完了2014年12月までに取得したいと考えていました。年が明けると繁忙期のピークを迎えるため、残ったとしても事務処理だけで、所内の作業は残らないという状況を作りたいと考えていました。新年度の入札も1月から始まります。それまでにベストな状態を整えておきたいと考えました。ISMS認証の新規取得にあたって、外部コンサルティング会社のサポートを導入しようと考えた理由を教えて下さい。自社でルールを構築し、認証を取得することは困難だと考えたからです。弊所はPマークを取得した際にもコンサルティングを導入しました。それでも大変な苦労をしました。Pマークをベースにしたルール構築、年内取得という2つの目的を達成するためにも、専門家のサポートは必要でした。コンサルティング会社の選定基準を教えて下さい。選定基準として考えたことは、取得まできちんとサポートしていただける、サポート力の高いコンサルティング会社です。弊所が8年前にPマークを取得した際のコンサルタントの対応は、あまり親切ではありませんでした。申請に必要な書類のフォーマットを提供するだけ。弊所の実態に合わせてルールを構築したり文書を作成する作業は、全て所内で行いました。その経験があるので、今回のISMS認証取得も、実際の作業は自分たちでやらなければいけないのかなと思っていました。インターネットで調べてみると、状況は変わっていて、コンサルティング会社の選定を間違わなければ、しっかりサポートしてもらえるということがわかりました。そこで、3社をピックアップしてお会いしました。日頃からシステム関係で接点のある企業の中に、ISMS認証取得のコンサルティングを行っている企業が2社あります。その2社と、インターネット検索でピックアップしたLRMに話を聞いて、見積もりを出してもらい、最終的にLRMに決めました。インターネット検索で、LRMをピックアップした理由を教えて下さい。Web検索をすると沢山のコンサルティング会社が表示されました。その中からLRMを選んだ理由は、主に2つあります。LRMには、ISMS認証の審査員としても実績を積んでいるコンサルタントが複数在籍していることです。LRMのWebサイトには、実際にLRMのサポートを受けて認証を取得した会社のインタビューが何件も載っていたことも大きな理由です。インタビューからは、きちんと面倒を見てもらえるという印象が伝わってきました。選定の決め手を教えて下さい。他社との最大の違いは、面倒見が良さそうということです。(1)サポートの手厚さ、(2)スピード感、の2点が決め手となりました。(1)サポートの手厚さ最大の決め手となったのは「認証を取得するまで責任を持ちます」という姿勢です。サイトにも、「取得保証」ということが書いてありますし、営業の方もそう言っていました。文書作成をサポートしてもらえることは重要なポイントでした。わからないこと、不慣れなことを沢山しなければいけないわけです。それに付き合ってもらえることは心強いと思いました。(2)スピード感LRMは他社と比べ、営業の段階からスピード感が違いました。スケジュール感や手順を含めてフットワークが軽いという印象がありました。他の2社はいずれも大手企業のためか動きが鈍く、このペースでやっていたら間に合わないそうにないと感じました。期限内に取得できそうだと感じたのはLRMだけです。実際、営業の方は、12月までに取得できると明言していました。以上、2点の理由からLRMに依頼することを決めました。ISMSの適用範囲を教えて下さい。適用範囲は業務に携わる部門全てです。弊所の業務は大きく分けて2つの部署で行っています。学会事務局を担う事業推進室と調査研究を受託する調査研究室です。当初は必要以上の制限を設けたくはなかったため、クライアントの情報を扱う調査研究室のみ適用範囲とする考えでした。完全に業務を分離することが困難だったので、コンサルティングがスタートする際に吉村さんに相談し、結果的に両部門とも適用範囲としました。常駐ではない理事会は適用外としました。取得はスムーズに行きましたか。非常にスムーズに取得できました。労力をかけた作業はリスクアセスメントの中の情報資産の洗い出しですが、Pマークで下地が出来ていたので、スムーズに行きました。Pマークの時に苦労したマニュアル作成は、吉村さんにサポートしてもらい、8月には暫定版を使って運用し始め、9月にフィックスさせることができました。その後、審査も問題なく終わり、最初に決めたスケジュール通りに全ての作業が年内で完了し、1月5日付で認証を取得しました。精神的に楽だった理由の一つに、コンサルティングの初回に、弊所とLRMの役割分担、スケジュールが明確に示されたことがありました。そこでは文書類の完成が9月頃となっていたので「8月いっぱいまで頑張れば良いんだな」と明確に意識することが出来ました。打ち合わせの最後には必ず吉村さんが、次回の打ち合わせ内容と、そのために準備すべきこと明確に示してくれました。それによって、着実に前進している実感を持つことが出来ました。振り返ってみると準備期間全体を通して特別に頑張ったような記憶が全くありません。それだけ苦労なく取得できました。Pマークをベースにしたマネジメント・ルールの構築、という計画は実現しましたか。計画通りにいきました。ISMS認証取得のために新たに設けたルールはありません。マニュアルに追加したものは、従来不文律として行っていたことを整理して、統一ルールとして明文化したものばかりです。このためにわざわざ導入したハードウェアやシステムもありません。文書類も既存のものをベースに、ISMSの規格に照らし合わせて書き換えたり、不足する要素を書き足したりしたので重複するものは最小限にとどめることができました。情報を整理して合理化できた部分もあります。調査研究室では、様々な委員会の参加者名簿を管理しています。Pマークではこれらを、種類ごとに台帳に記載して管理していましたが、扱い方は同一なので細分化する意味はないのではないかという吉村さんのアドバイスに沿ってひとくくりにまとめました。ISMSの認証取得準備や運用を通じて、所内に何らかの変化はありましたか。全職員の情報セキュリティに対する意識が高まったと感じます。ルールを明文化したことが、それまで自分が何となくやっていたことが実はリスクを伴っていると気づいたり、疑問を持ったりすることに繋がっています。これまで疑問を感じながら曖昧にしていたことも「ISMSの規格ではどうなのか?」と確認に来る職員も増えています。Pマーク取得から8年が経過して慣れてきたところに、新たな基準が加わったことが刺激となり、全体を見直すきっかけになりました。弊所が扱う情報には、積極的に公開したい情報と、絶対に公開したくない情報の2種類があり、その2つは完全に切り分けて管理しています。研究発表論文は会員のキャリアアップにつながるので、採択された後は広めたい情報となります。広めることに寄与することが弊所の仕事です。従って機密情報とは切り分けて管理しているのですが、審査員にはなかなか理解してもらえませんでした。そこで理解してもらうために、説明の仕方を工夫したことが、改めて業務を見直すことにも繋がったと感じています。臨機応変な対応に懐の深さ。LRMのコンサルティングサービスはいかがでしたか。弊所の目的を達成するためにしっかりサポートしていただきました。スケジュール通りに取得できたのも、業務に影響の出ない最低限の範囲でマネジメントルールを構築できたこともLRMのサポートのおかげです。良かったと感じる要素は以下の通りです。(1)訪問回数無制限LRMのWebサイトで訪問回数無制限と謳っている通りです。今回は、申請を出すまで隔週ペースで訪問していただきました。吉村さんの業務に支障を来さないかと、逆にこちらが心配するぐらいでしたが、頻繁に足を運んでいただいたことで、万が一困ったことがあっても何とかしてもらえるという安心感がありました。作業としてマネジメントルールを構築するだけではなく、毎回、情報セキュリティに関する幅広い話をしていただきました。ご紹介いただいた他社の事例は、ルールを構築する上で大変参考になりました。今回の依頼内容はISMS認証の新規取得でしたが、Pマークの運用に関する質問にも快く対応していただきました。細かいことを言わない臨機応変な対応に懐の深さを感じ、気持ち良く打ち合わせ出来ました。弊所の業務内容は、外部の方にとっては馴染みがないもので、理解し難い業務だと思います。実際、弊所に出入する業者の方にも、何回説明してもわからない方はいます。吉村さんの場合は理解力が高いため、理解していただくための説明で苦労することはありませんでした。LRMのコンサルティングは、全体的に窓が開いている感じがしました。Pマークを取得した際のコンサルティング会社は3回ぐらいしか来てくれなかった。それと比べると雲泥の差があります。LRMのおかげで、クライアントから情報セキュリティ上の対策を、いつ求められても良い準備が整いました。競合相手には出来るだけ隠しておきたい存在です。セキュリティ倶楽部』契約へ。今後のビジョンとLRMへのご期待をお話し下さい。今後は、情報システム系の管理をさらに徹底しなければいけないと考えています。これまではハードウェアを揃えるための予算やそれをメンテナンスできる知識がないので踏みとどまって来ました。いつかはきちんと整備していかなければいけません。それも含めて、PDCAサイクルを回しながらISMSを常に最適化していきたいと考えています。そのためには今後もLRMのサポートが必要です。そこで、月々の保守サービス「情報セキュリティ倶楽部」の契約を検討しています。ISMSは認証を取得して終わりではありません。PDCAを回しながら、年に1回の審査を受ける必要があります。そのためには所内の変化に気を配るだけではなく、他社の事例や法令または規格の更新情報なども把握しておかなければいけません。LRMには、これからも良き相談相手として、的確なアドバイスを期待しています。環境情報科学センター様、お忙しい中、有り難うございました。他のコンサル導入事例を見るISMS/ISO27001新規取得に関する無料相談・お見積りISMS取得できるのか?いつまでに取れそうか?どれくらいの費用がかかるのか?取得される企業様の状況によって変わりますので、まずはお気軽にご相談ください。(24時間受付)全社で、情報セキュリティマネジメントシステムの国際規格であるISO27001/ISMSの認証を取得しています。