株式会社システムディ 様 – 顧客事例 –

株式会社システムディは、2011年12月、情報セキュリティマネジメントシステムの規格ISO/IEC27001の認証を新規取得しました。認証を取得した背景と、LRMのコンサルティングについて、認証取得プロジェクトの推進にあたった取締役 開発統括部長 小林正人氏、学園ソリューション事業部 営業部 テクニカルサポート課 次長 後守重敏氏に、詳しく話を伺いました。

（株式会社システムディについて）

株式会社システムディは、1984年の創業以来、パソコンのソフトウェア開発一筋で事業を展開するジャスダック上場企業である。教育機関、フィットネスクラブやスイミングスクールなどの健康増進施設、薬局、民間企業・公共団体などに向けた業務システムを、パッケージソフト、ASP・SaaSサービスとして提供している。中でも、1985年にリリースした『キャンパスプラン』シリーズは、これまで大学を中心に750校を超える導入実績を持ち、学校法人向けパッケージソフトとして国内トップクラスのシェアを誇っている。
事業拠点は、京都本社、東京支社の2拠点。社員数は150名（2012年2月現在）

— 御社がLRMに依頼した業務内容を教えてください。

弊社は、2011年3月初め、LRMに、全社で運用する情報セキュリティマネジメントシステムの規格ISO/IEC27001（以下、ISMS）の認証取得コンサルティングを依頼しました。同年12月末に認証取得を完了し、運用を開始しています。
もし取得できなければ、年明けに控えていた仕事に影響が出る可能性もありました。
会社から与えられた“年内取得”というミッションを達成することが出来てホッとしています。

— 御社が目指したのはどのような情報セキュリティマネジメントシステムでしょうか。

日常業務の中で、PDCAサイクルをきちんと回せる仕組みです。

ISMS認証取得に向けて自分なりに勉強する中で、会社自体や社会の変化に応じルール自体が能動的に変わって行く仕組み作りが必要だということを認識しました。
そのためには日常業務の中でPDCAを回す必要があり、社員一人ひとりが、なぜこのルールが必要なのか、なぜこのようなルールになったのか、といったことまで意識出来ることが大切だとわかりました。
意識することで、現実に合わないルールを改善したり、不要なルールを削除したり、より自社の実情にあったルールへと進化させることが可能となります。
現在、弊社が目指しているのは、ISMSの運用を通じて、社員一人ひとりがお客様に対し情報セキュリティの面で、アドバイス出来るレベルのスキルを身に付けて行くことです。それによって本当の意味でPDCAサイクルが回せる状況が生まれます。また、我々は、顧客が持つ問題にいち早く気付いて、改善策をシステムに反映するスキルを高めなければいけません。
情報セキュリティマネジメントのスキルは、課題発見スキルの向上に役立つと考えています。

— 拠点ごと、または部署ごとではなく、全社まとめて取得することにしたのはなぜですか。

PDCAをきちんと回せる仕組みにするためには、出来るだけシンプルなルールにすべきだと考えたからです。
同じ組織なのに、ルールが部署ごと、あるいは拠点ごとに異なるとかえって運用しづらいルールになってしまいます。
そもそもPマークが全社で1つなので、分けるつもりはありませんでしたが、統一したルールを決める中で部署ごとの事情をすり合わせる必要があり、その過程を通して議論が深まり、よりシンプルなルールを作ることが出来ると考えました。
ISMSは、そこからスタートして運用しながら直していくというプロセスが重要なのです。

— 最終的に、LRMを決定したのはどのような理由ですか。

一番大きな理由は、ISMSやITに関する最新動向に詳しいことです。
最初の面会時に、LRMのコンサルタント・幸松さんは、スマートフォンやSNSに関して今後発生すると予測されるリスクに言及していたことから、最新動向に敏感であることがわかりました。
それは選定の大きなポイントとなりました。

トラブルが発生しやすいのは、新しいルールが出来た時です。
既存の部分は、気を付けるポイントを把握していれば、心配はいりません。事例も沢山ありますし、その事例を見ながら対応出来ます。社会の変化などに応じて新しいルールを作らなければならない時は、まだ誰も経験していない領域のためリスクが高いように感じました。だから、最新動向に詳しい方を選ぶべきだろうと考えたのです。
例えば、現段階でISMSの中には、SNSやスマートフォンの取扱いに関する直接規定はありません。
しかし、SNSのユーザー数やスマートフォンの販売台数が急増している現在、それらを無視して機密情報を防ぐことは不可能です。
幸松さんは、そのような考え方に基づいて、SNS、スマートフォンの取扱いに関する規定を検討することを提案されました。

さらに、幸松さんは専門知識と実績が豊富で、人柄が良く、安心感がありました。
実は面会した順では、LRMが一番最後でした。会えるタイミングがなかなかなく、幸松さんと面会した時点では別のコンサル会社にほぼ確定していました。しかし、最後に幸松さんと話をすると、最新動向を含めた知識が豊富な上に、気負ったところがないざっくばらんな性格で柔軟性があり、私たちにとっては話しやすい方だと感じました。
コンサルティングの回数制限はなく、東京出張にも柔軟に対応していただけるということは、他社にはない要素でした。
また、幸松さんはLRMの社長でもあり、社長自身がコンサルティングを担当するということは安心感が持てました。
加えて、ISMSの審査員を年間30社以上受け持っているということも安心してお任せ出来る材料になりました。

後から比較すると、決まりかけていたコンサルタントは、コンサルティング会社の社員ではなく、契約コンサルタントという立場でしたし、お話を伺う限りは、最新動向に詳しいのかはわかりませんでした。
対応は丁寧でしたが、逆に真面目すぎて理想を優先する傾向がありました。

–　LRMに対する評価を教えてください。

一番良かったことは、情報セキュリティマネジメントシステムの確立に向けた着地点を明確にしていただいたことです。

我々としては、スタート段階では同業他社と比較されても問題のないレベルを目指していました。
最低限のレベルを満たす必要はありますが、100点満点である必要はありません。
また、他社と比較してレベルが低いとみなされたとしても、問題にならないレベルであれば良いと考えていました。
しかし、その基準が具体的にはわかりませんでした。幸松さんのコンサルティングを通して、その最低限のラインが見えてきました。133項目の管理策に盛り込む内容も、出来ないことを無理して書かないとか、頑張れば出来ることであっても、現段階では書かないでおいて要求された時にやれるように準備しておくといったテクニックがあることもわかりました。
Pマークは書きすぎたことが可用性を損なう理由になったということに気が付きました。
最低限のレベルからスタートして、運用して1年に1回の審査を受けながら、ルールを厳しくすべきところは厳しくして、逆に厳しすぎるところは緩くして、というようにメリハリをつけて徐々に進めて行くことで確実にステップアップしていることが実感出来るようになります。
それがPDCAサイクルの形骸化を防ぐことにも繋がります。

以上は、幸松さんのコンサルティングを通して得た一番大きな気づきです。

また、ルールを決める際に感じたことは、LRMの幸松さんは、IT系をよく理解されているということです。
豊富な事例を持っているため、アドバイスが的確です。話しやすいキャラクターも良かった。
社外の方ですが、垣根なく何でも相談することが出来ました。プロジェクトを推進する立場としては、
とても安心してお任せ出来ました。

— 最後に、認証取得後2か月が経過しましたが、今、どのような状況でしょうか。

ISMS認証取得プロジェクトのメンバーを一部入れ替えて情報セキュリティ委員会を組織して、1ケ月に1回委員会を開催しています。規定では四半期に1回となっていますが、発足したばかりなので、今は頻繁にやっているところです。

2か月ではまだ何とも言えませんが、ルールが現実と食い違っているという報告もありますので、その都度ルールを見直しています。全社の最大公約数的なルールになっているため、あいまいに感じるルールもありますが、運用しながら直していくつもりです。
また、将来的にはPマークとの統合も視野に入れていきたいと考えています。

小林様、後守様、お忙しい中、有り難うございました。
※右端は当社代表・幸松

株式会社システムディ様のWebサイト
※ 取材日時 2012年2月