徳島県徳島市に本社を置く株式会社徳島データサービスは、ISMS/ISO27001の認証取得に向け、LRMにコンサルティング業務を委託し、2012年8月17日に認証を取得しました。赤澤正道氏に、お話をうかがいました。はじめ、公共団体および県内有力企業との取引を軸に、業務の正確性および迅速性、さらに情報セキュリティへの取り組みが評価され、安定した経営基盤を築いている。取引先は、四国エリアにとどまらず全国へと広がっている。設立:1980年10月。従業員数:約250名。御社が、LRMに依頼した業務内容を教えてください。ISMS/ISO27001(以下、ISMS)認証取得コンサルティングを依頼しました。LRMのコンサルティングによって、弊社の実情に即し、将来に渡って運用を維持・拡大していけるマネジメントシステムを構築することが出来ました。コンサルティングを依頼したのが2011年12月で、認証取得は2012年8月17日です。ISMS認証を取得した理由を教えてください。弊社は、経営理念の実践と事業継続のためにISMS/ISO27001認証を取得しました。弊社の経営理念は、「お客様第一主義で情報化社会に貢献する」ことです。操作するシステムなど、お客様の情報資産、そして弊社が保有する経営資源としての情報資産を、あらゆる脅威から保護し、適切に活用しなければいけません。近年は情報セキュリティへの関心が高まっており、弊社の取引先からの絶対評価においてもプライバシーマークやISMS認証取得が大きなウェイトを占めるようになりました。公団体では、プライバシーマークを取得していることは、入札の必須条件となる場合もあり、弊社においても2006年に取得しました。近年はさらに、案件によってはISMS認証取得が高評価につながるケースが増えており、必須ではない場合でも、認証があれば有利に働きます。このような事情があり、ISMS認証取得を決めました。ISMS認証取得にあたってコンサルタントのサポートを受けたのはなぜですか。社内にISMSの専門家が在籍していないからです。ISMS認証取得という目的にたどり着くまで、的確にリードしてもらえる専門家の存在は不可欠でした。3つの目標がありました。いずれも実現の可能性は漠然としていました。(1)自社の実態に合った可用性のあるマネジメントシステムの構築ISMSは、認証取得が最終目標ではありません。取得後、PDCAを回しながら運用を維持していかなければいけません。27001:2006)の要求事項を満たす必要がありますが、以前から取り組んでいた弊社独自の情報セキュリティルールを変えずに、要求を満たすことが出来るのか、それとも大幅に変えなければいけないのか、そして来年度以降どのように維持させていけば良いのか、ということが全く想像できませんでした。官公庁の場合、夏過ぎぐらいから次年度の事業が具体化していきますので、8月ぐらいに取得できれば良いという希望を持っていました。サル選定の期間も含めて、10か月足らずでは不可能ではないかと考えていました。客先に常駐して行う業務のため、適用範囲に含めることは不可能ではないかと考えていました。以上のような目標を実現するための課題は何か、または実現不可能であれば達成可能なゴールは何か、を明らかにし、そのゴールへ着実にたどりつくために、信頼できるコンサルタントのサポートが必要です。そこで、2011年10月、まずはコンサルタント会社の選定からスタートしました。コンサルタント会社の選定は、どのように行いましたか。情報収集から始めました。弊社の親会社であるテック情報株式会社では、弊社に先んじてISMS認証を取得した経験があり、そこでISMSの取得や運用に関わっている関係者から情報を集め、コンサルティング会社を何社かピックアップしました。実際に会って話しを聞き、見積もり、実績などを参考にしながら、LRMを選定しました。LRMを選定した決め手は何だったのでしょうか。弊社のコンサルティングを担当した幸松さんの明るい人柄と、情報セキュリティコンサルタントとしての業務実績です。人柄については、面談の際の受け答えが明快で、円滑なコミュニケーションが図れる方であると判断できました。コミュニケーション能力は、業務を進めていく上では非常に大切です。業務実績については、幸松さんはコンサルタントとしてだけではなく、審査員としても活動しており、様々な現場をご覧になられています。そのことから弊社の実情に即し、なおかつ持続的に運用していけるマネジメントシステムの構築が可能となるという期待がありました。以上が、LRMにコンサルティングを依頼した主な理由です。正式な依頼をしたのは2011年12月です。コンサルティングの成果から伺います。取得時期と適用範囲について当初抱いていた希望は実現しましたか。全社を適用範囲として、2012年8月に認証を取得することが出来ました。適用範囲については、幸松さんとの最初の打ち合わせ時に、幸松さんの言葉で全社での取得が可能である旨が確認できました。考慮すると8月中に確実に取得できる可能性は未知数でしたが、3月に文書作成が完了した時点で8月までの取得が現実味を帯びてきました。8月17日に認証を授与されました。構築したマネジメントシステムはどのようなものですか。従来の業務フローを踏襲したマネジメントシステムが出来ました。ISMS認証を取得するために新たに作り直したのではなく、これまでのルールをより具体的に明文化・システム化したマネジメントシステムなので、ある日突然、大幅に業務フローが変わって従業員に負担を強いるようなことはありませんでした。3月にルールが決まって5か月間運用してきましたが、弊社にとって適正なシステムになったと実感しています。ISMS認証取得のコンサルティングはどのように進みましたか。12月にコンサルティングをLRMに依頼して、本格的にスタートしたのが1月です。そこから2か月かけて情報資産の洗い出しと詳細管理策133項目の検討(ベースラインリスク分析)を行いました。重要だったのは、詳細管理策133項目の検討です。幸松さんのヒアリングに回答する形で、一つ一つ検討していきました。そのために幸松さんには5回ご来社いただきました。12月のスタート時点では、どんな情報セキュリティ体制が出来るかは未知数でしたが、この段階で骨子が出来上がりました。この工程にじっくり時間をかけたことで、要求事項に無理して合わせるのではなく、弊社の業務フローに沿ったマネジメントシステムを構築することが出来ました。その後、リスク分析などを経て、幸松さんに内部規定・様式など、審査や日々の運用で必要となる文書類を作成してもらいました。御社では、どのようなものが情報資産としてリスト化されたのでしょうか。出向先で業務を行うため、社内に情報を持ち込みませんので、同業務に従事している従業員に対する教育が中心です。御社の社内で行った作業にはどのようなものがありましたか。文書作成後、ルールを実施計画書に基づいて現場に落とし込んでいく作業です。前述した通り、今回構築したマネジメントシステムは、普段の業務フローとかけ離れたルールにはなってはいません。そこで弊社内で行った作業は、主に社内の整理と、システム管理上の対策です。社内の整理に関しては、オフィスの中の業務資料やメディアなどだけではなく、倉庫の整理整頓を行いました。捨てたゴミは2~3tぐらいありました。ISMS認証の取得は社内を整理する良い機会にもなりました。Directory導入です。Directory導入です。これによって、社内のLANにつながったパソコンを一元管理できるようになりました。スクリーンセーバーの設定、パスワードの変更など、管理者側で一括して操作できるようになり、システム管理業務が非常に楽になりました。Directoryそのものは知っていましたが、そんなに簡単に出来ると考えていませんでした。幸松さんから導入方法を教えていただき、さらに弊社と同じ規模の企業でISMSに取り組んでいる企業の大半はやっているというご指摘をいただき、導入しました。構築作業は、一部苦労する部分はありましたが、それも良い経験になりました。マネジメントレビューに関しては、これまでプライバシーマークで経験しているため、弊社で行うことが出来ました。審査に向けては、模擬審査を幸松さんに行ってもらいました。本番よりも厳し目の対応をしていただいたため、本番の審査が大変楽に感じました。LRMのコンサルティングには絶対的な安心感があった「これは良いこれはダメとはっきりと物を言う方なので、こちらも迷うことがなかった。LRMのコンサルティングに対するご評価をお聞かせ下さい。LRMの幸松さんのコンサルティングには、絶対的な安心感がありました。ISMSに関しての深い知識、明るい人柄、そしてポイントを絞った的確なアドバイス。言葉を濁したりせずに、こちらにとって耳が痛いようなこともはっきりとおっしゃいますので、我々自身、何をしなければいけないか理解しやすく、大変動きやすかったです。一般的なコンサルタントのイメージとは大きな違いがありました。対応の迅速さも印象的でした。どこにいても、連絡したらすぐに返事が返ってきました。審査間近の時期に夜中の時間帯でも対応してもらうことがありました。幸松さんのコンサルティングによって、回り道することなく目的にたどり着くまで的確に導いていただきました。情報セキュリティに関する今後のビジョンを教えてください。今回、現時点の弊社にとって最適なマネジメントシステムを構築することが出来ましたが、今回はリスク対応を見送った点もあります。今後は、日々の運用の中でしっかりとPDCAのサイクルを回し、より詳細なリスク分析、リスク対策を立てながらISMSの運用を維持し、業務改善を続けていきたいと考えています。プライバシーマークとISMSの統合も今後の課題の1つです。統合する際には、幸松さんにサポートしていただくことになるでしょう。お忙しい中、有り難うございました。2012年9月ISMS/ISO27001新規取得に関する無料相談・お見積りISMS取得できるのか?いつまでに取れそうか?どれくらいの費用がかかるのか?取得される企業様の状況によって変わりますので、まずはお気軽にご相談ください。(24時間受付)全社で、情報セキュリティマネジメントシステムの国際規格であるISO27001/ISMSの認証を取得しています。