タイムテック株式会社 様 – 顧客事例 –

タイムテック株式会社・大阪本社では、情報セキュリティマネジメントシステムの規格ISO/IEC27001（以下、ISMS）の認証取得を、約9か月という短期間で実現しました。
コンサルタントの選定から、取得に至るまでの経緯を、同社ISMS運営事務局の皆様に伺ってきました。

（タイムテック株式会社について）
ソフトウェアの開発事業をメインに情報システムの企画・開発から運用・保守まで、一貫したサービスを提供。
Android端末を活用したモバイルソリューションの提供にも力を入れる。
設立：昭和58年6月　社員数：74名

（タイムテックISMS運営事務局メンバー紹介）

— コンサルタントとしての資質とは何ですか？

中谷（仙）　私が考えるコンサルタントの資質とは、過去の事例や既成概念に捉われない柔軟性、人心掌握スキル、この2つです。

【柔軟性】

私は、初めてお会いした際に「可能な限り簡素な情報セキュリティにしたい」という要望を幸松さんにお伝えしました。
先ほども申し上げましたが、ISMS認証取得の目的は事業継続です。事業継続のためにISMSの認証を取得するのに、それをすることで業務が滞るようなことがあっては意味がありません。だから、日常の業務における手続きを簡単にして書類を少なくするなど、可能な限りの簡素化をお願いしました。この要望に対し、幸松さんはすぐに賛同されました。大抵のコンサルタントは、一般論や規格にこだわり、このような要望は退けようとします。幸松さんの反応は、他のコンサルタントとは違っていました。

【人心掌握スキル】

1つのプロジェクトを推進する際には、現場のスタッフに気持ち良く動いてもらうことが大切です。ISMSの認証取得の場合は、管理部のメンバーが主体となります。だから、コンサルタントが、いかに管理部のメンバーの気持ちを掴めるかは重要でした。幸松さんは、その能力が飛びぬけて優れていました。

以前はPマークが重荷でした。
幸松さんは弊社に合ったルールを考えてくれて、運用が楽になりました

中谷（有）　幸松さんは、他のコンサルタントの方よりも接しやすい印象がありました。

管理部からは私を含む2人が事務局に入り、コンサルタントのリスト作成時から関わっていましたが、コンサルタントの選定の際には、コミュニケーションのとりやすい方じゃないとやっていけないかな、というのが2人の一致した意見でした。
実際、幸松さんには、どんな相談でも出来ました。ISMSに関しては予め勉強していましたが、用語や表現が難解なため、わからないことがあった時に、どのような質問をして良いかすらわかりませんでした。でも幸松さんは、こちらが言葉で表現し切れないことでも、すぐに察知して応対して下さいました。

最初にお会いした際に、作業の進め方などを説明して頂きましたが、日常的な業務に事務局の業務が加わっても、残業をする必要はなさそうで、ほっとしました。事務局の2人にとっても幸松さんに依頼するのが、一番良い選択だと考えていました。

— ISMS認証取得のコンサルティングはどのように進みましたか？

中谷（有）　まず、大まかなスケジュールを決めました。このスケジュールに沿って、打ち合わせを繰り返しながら、作業を進めました。

現状調査からリスクアセスメントにかけては、管理部の2人が中心となって進めました。最も大変だったのが、この現状調査からリスクアセスメントにかけての作業です。リスクアセスメント後の基本文書作成は、幸松さんが全て行いました。
現状調査とは、社内の情報資産の洗い出しです。それらに対して、個々にリスク評価を行うのがリスクアセスメントです。情報資産とは、書類、データ、ハードウェア、ソフトウェア、通信設備、ファームウェア（媒体など）、要員などが含まれますが、何を情報資産とするかは、企業の業種や業務特性などで個別に決定する必要があります。
最初は、その選別に時間がかかっていましたが、幸松さんから、効率的に作業を進めるコツを教えていただき、スムーズに進めることが出来るようになりました。
幸松さんとの打ち合わせは、リスクアセスメントに基づいた133項目の詳細管理策の構築（規定策定）がメインでした。これだけで5回ぐらいご来社いただき、セキュリティ対策を構築していきました。

— その後、基本文書の作成があって、いよいよ運用ですね？

はい。運用にあたって、まずは社員教育を行いました。テキストを配布して読んでもらい、20問ぐらいのテストを行い、正答率の低い箇所は、全体に浸透するようにグループウェア等を通じて周知していきました。そして、1か月後の内部監査へと進みました。
内部監査では、メモや書類の廃棄処理はシュレッダーでしなければならないのに、手でちぎってごみ箱に捨てる、とか、パソコンのスクリーンセーバーを5分以内に設定しなければいけないのに、酷い場合は設定していない、など、いくつかの問題が見つかりました。そのため、なかなか身につかない社員には、徹底的な指導を行いました。
その後、マネジメントレビュー、幸松さんによる模擬審査などを通じて、ブラッシュアップして審査に臨みました。
審査の時は夜も眠れないほど不安でしたが、致命的な指摘は全くなく、無事に認証取得にこぎつけました。

中谷（仙）　取得できた時は、本当に嬉しかったです。当初の予定より2か月も早い取得が出来たことに、社長も大変驚いていました。審査機関からは、事務局の体制に対しても高い評価をいただき、感激しました。

— ISMS認証取得に向けたスムーズに進めるためのコツは何だと思いますか？

中谷（有）　関係者とのコミュニケーションです。
例えば、事務局のメンバー同士のコミュニケーションでは、作業を依頼する際、期限を明確に区切って伝えることが重要です。事務局のメンバーは、本来の業務も兼ねています。その合間を縫って行なうISMS関連の作業は、ともすれば後回しにされがちです。依頼する際に、こちらから期限を区切って伝えれば、予めスケジュールに組み込めて、作業がしやすくなります。
また、社員教育では、ダメなものはダメと徹底することが大切です。相手によって基準をゆるめたりしてしまうと、統制がとれません。規定したルールが1人1人に定着するまでは、しつこいぐらいに指摘を繰り返して、身につけていってもらいました。

中谷（仙）　社内の推進体制が上手く機能した背景には、初期段階で、幸松さんが作業指示と役割分担を明確に示したことがありました。その段階で、私はISMSの認証取得は上手くいくと確信しました。
社員の業務に支障をきたす無駄な会議や講習は、最初からスケジュールに含まれていなかったし、事務局内の打ち合わせも毎回、予定の時間内で終わりました。そういったことが、事務局のメンバーのモチベーションに繋がり、社員からの理解を得る助けにもなりました。
それがプロジェクト成功の大きなの要因だと評価しています。

— ISMSの認証取得を通して得た成果は何でしょうか？

中谷（仙）　最大の成果は、認証取得に成功したこと、そのものですが、付随する成果としては、次の3つが挙げられます。

1. ISO/IEC27001とPマークの統合による運用ルールの軽量化
2. 社内ネットワークインフラの整備・セキュリティ強化
3. 事業継続計画の立案

それぞれについて説明します。

1. ISO/IEC27001とPマークの統合による運用ルールの軽量化

中谷（仙）　ISMSの認証取得の準備を進める中で、幸松さんから、PマークとISMSを統合しましょうという提案がありました。
当時、Pマーク関連の資料が膨大な量に及んでいました。保管のための場所もとるし、管理するだけでも大変でした。
社員は1つのことを申請するのに、いくつもの書類を出す必要があり、承認が下りるまで必要以上に待たされ、日常業務が煩雑化する原因にもなっていました。私も管理のための管理になってしまっている実情に疑問を持っていました。
そのためISMSに関しては可能な限り簡素化してほしいと、幸松さんに要望を出していました。
それに対して幸松さんから、統合の提案があったため、資料一式をお渡しして情報の棚卸をしてもらったら、不要なものがいっぱい出てきた。それを削ったことで、社員の負担が軽くなり、運用が楽になりました。
Pマークの3回目の更新が2011年6月にありましたが、その準備作業も、殆ど必要がありませんでした。審査対応も拍子抜けするほど軽微で済みました。

インフラ構築に関しても、幸松さん同席のもとで1つずつ課題を潰していきました

2. 社内ネットワークインフラの整備・セキュリティ強化

奥松　社内ネットワークインフラの整備・セキュリティ強化は、社内のネットワーク管理者である私が担当しました。
ISMSを機に、従来から気になっていたセキュリティの強化が実現して安心しました。
具体的には、UPS（無停電装置）、ルーター、サーバーなどネットワーク機器の買い換えを行いました。リスクアセスメントの中で、幸松さんからインフラに関する指摘をいくつか受け、それに対応する形で整備して行きました。
インフラ整備のための経費は大きいため、普段は、稟議が通しにくいのが実情です。
数万円のルーターだけならまだしも、定価で30万円～40万円のUPSまでとなると、壊れてから買い換えようという判断になりがちです。ISMSの認証取得が、インフラを見直して再構築する良い機会になりました。

他に、ネットワーク構成図の最新化、機器類の管理方法の改善も行ないました。その際に、機器類の棚卸を行い、不要な機器と必要な機器を整理し、不要なものは捨て、不足しているものを買い足しました。
どこに何があるのか把握できない状態が改善できて、社内のネットワークインフラの管理がしやすくなりました。

3. 事業継続計画の立案

中谷（有）　事業継続計画の作成は、ISMSの要求事項に含まれています。それを意識出来るようになったことも、特筆すべき成果の1つです。
事業継続計画の例としては、大きな災害が起こった時の避難ルートの作成があります。会社で被災した際の避難場所、携帯電話の災害掲示板の使い方などを、文書化して全社員に配っています。大災害が起こった際に、いかにして社員の安全を確保するのか、事業体制を維持していくのかを改めて考える機会になりました。

奥松　それに付随しネットワーク関係では、災害によってサーバーなどのが停止した際の対応に関する方針も明確にしています。何時間以内に復旧させることが出来るか、何が何時間ぐらい止まって良いかなどといったことを洗い出し、損失した機器類の調達ルート、要員、セットアップにかかる時間などの復旧シミュレーションを行いました。
このようなことが予め予測出来ていれば、いざという時に安心です。

— LRMに対するご評価をお聞かせ下さい。

中谷（仙）　LRMの幸松さんは的確なコンサルが出来る方だなと思います。私は色んなコンサルタントを知っていますが、殆どの方が教科書に書いてあるようなありきたりのことしか言いません。会社や業種が違えば、言うことも変わるはずです。幸松さんには、机上の論理ではなく、現実的な指導をしていただけました。
また、指示内容がポイントを得ているため、作業がしやすかった。いつまでに誰が何をするのかが明確でした。
だから、着実に前進し、後戻りの工程というのがありませんでした。

中谷（有）　そのとおりですね。常に前に進んでいる感じがしました。だから、いつ終わるんだろうという不安や焦燥感がなくて、前向きに取り組むことが出来ました。

— 今後の情報セキュリティについては、どのような展開をお考えですか？

中谷（仙）　直近の課題としては、今年10月の継続審査があります。また、現在、東京事務所のISMSを検討中です。
それから、モバイルとクラウドなど、環境の変化にいかに対応するかが重要です。3年もすれば、規格が変わるし、お客様の質も変わります。毎年、足元を見つめながら、情報セキュリティに取り組まなければなりません。
しかし、情報セキュリティの規格は、素人には難しいことが多い。継続していくためには専門家の力が必要です。
弊社は、今後も、幸松さんのご指導のもと、情報セキュリティの取り組みを継続していきたいと考えています。

タイムテックの皆様、お忙しい中、有り難うございました。
（中央は、LRM代表取締役・幸松）

タイムテック株式会社様のWebサイト
※ 取材日時 2011年6月