レック・テクノロジー・コンサルティング株式会社 様 – 顧客事例 –

ITインフラに特化した総合ソリューションサービスを提供するレック・テクノロジー・コンサルティング株式会社は、情報セキュリティ意識の高いクライアントの要請に応じISMS/ISO27001認証を取得しました。
認証取得にあたって、どのようなマネジメントシステムの構築を目指したか、また、そこで果たしたLRMの役割などについて、社内の管理業務全般に携わる人事部マネージャー 松尾圭子氏にお話しをうかがいました。

（レック・テクノロジー・コンサルティング 株式会社ついて）

ITインフラ技術を活かしたシステム基盤構築に特化したソリューションサービス企業。
特定のメーカーや製品に依存せず、コンサルティングから設計、構築、既存システムの稼働診断までITインフラに関する総合的なソリューションを提供している。
外資系H/WベンダーやS/Wベンダー、コンサルティングファームなどで豊富な経験を持つエンジニアが中心となり創業し、規模を拡大し続ける成長ベンチャーである。
設立：2008年1月、本社：東京都

— 情報セキュリティの認証取得をサポートしているコンサルティング会社は多数あります。LRMを選定した経緯と理由をお話し下さい。

最初に検討したコンサルタント会社は、ある大手メーカー系が主催する集合コンサルティングでした。研修会のような形式で認証を取得しようとする企業の担当者が何回かに渡って集まり、発表したり意見を出し合ったり、またそれに対してコンサルタントがフィードバックしながら取得していくという流れのものです。その方式は他社の事例に触れることが出来るため悪くはなかったのですが、料金は高いと感じました。
そこでインターネットで調べると、LRMのホームページにたどり着き、ここなら安心して任せられそうだと感じました。比較検討のために何社かに問い合わせて話を聞きましたが、LRMのホームページを見て問い合わせた時には、ほぼ委託を決めていました。

LRMを選定した理由は、コストが比較的安かったことに加えて、以下3点がありました。

（1）必要な情報が整理されたホームページ
LRMのホームページは、他のコンサルティング会社と比べダントツに綺麗で、必要な情報が探しやすい印象でした。
情報セキュリティマネジメントシステムを構築する際に、情報を整理したり、ドキュメントを作成したりしなければならないと考えた時、自社のホームページが見づらいコンサルティング会社では安心して任せられません。
他にも沢山のサイトを見ましたが、一番わかりやすいと感じたのはLRMのホームページでした。

（2）コンサルタントが審査員としての実績も持つ
LRMの代表を務める幸松さんはコンサルタントとしてだけではなく、ISMSの審査員としても活動しています。
審査員としての観点で、認証を取得するために何をしなければいけないかが把握できるし、様々な企業の事例にも詳しいであろうと期待しました。

（3）コンサルタントがシステムインテグレーター出身である
また幸松さんはもともとシステムインテグレーターに在籍し、エンジニアとしての実務経験を持っています。
IT業界に対する知見を持った方であれば、弊社の業務フローを理解していただきやすいため、安心してお任せできると考えました。

— 御社における情報資産というとどのようなものが挙げられるのでしょうか。

弊社における情報資産は、社内の管理系の情報と営業情報、社員情報、採用関連でお預かりする情報、そしてハード機器類です。
弊社の業務はお客様の元で行うものが中心で、弊社の社員が扱う最も重要な情報は、お客様の情報システムに関する情報です。それらはお客様の元にあり、弊社の社員が持ち出すことは基本的にはありません。
従って、ISMS認証取得に向けて行ったことは、社内の情報を整理していく作業が中心でした。

— 認証取得までの過程で苦労されたことはありましたか。

認証取得までに行った作業の中で、最も比重が大きかったのが、ISMS詳細管理策133項目の検討です。
その中で特に苦労したことは社内システムに関わる項目をチェックしていく作業です。

ISMS詳細管理策133項目の検討は、幸松さんの問いに答える形で行うのですが、私は当時入社したばかりで社内の情報システムに関して把握しきれていない状況でした。
答えられないことがあった場合は、次回までに調べて把握しておくことが宿題となるのですが、中にはドキュメントが整備されておらずわからないものもありました。そのような場合は、システム管理者を中心に各自の頭の中にある情報をヒアリングによりアウトプットし、ドキュメントとして整備していきました。

そのようにして社内の情報を整理していく作業は骨が折れましたが、それで情報セキュリティ体制の骨格がまとまり、業務上のマニュアルや、システム管理上の手順書などを整備することが出来ました。
また、幸松さんに審査で必要となる主要文書などを作成してもらい、審査をスムーズに終えることが出来ました。

— 従業員の方の業務に関わる部分で、何か仕組みを変えたようなことはありましたか。

今回、明確にルール化したことは、スマートフォンの利用についてです。

情報セキュリティマネジメントシステムを構築する過程で、弊社は社内のメールをGoogle Appsに移行しました。
その目的は、ISMS上、従業員の退職時のアカウント停止および削除する時期を定めなければならず、社内で管理しやすくすることでした。これまではメールアカウントの発行・停止などの管理を外部に委託しており、リアルタイムに管理することが出来ませんでした。
Google Apps導入により、会社のメールをPCやスマートフォンのブラウザを使ってチェックできるようになったのですが、そこで問題になるのがスマートフォン利用の管理です。個人所有、会社支給に関わらず、スマートフォンを使用している社員が増えており、情報セキュリティの観点からスマートフォン利用に関するルールを明確に定める必要がありました。
具体的には、基本的なパスワード・ルールをはじめ、セキュリティソフトの導入、管理者による端末認証制などを定めました。端末認証制により、端末を万一紛失したときは管理者によってアクセス・ブロックやデータの消去等を行えます。そのため、個人の端末にそこまでの制限をかけたくないという場合は会社支給のノートPCを使用する等、別の選択肢を定めています。

— LRMのコンサルティングはどのように評価されましたか。

LRMの幸松さんのコンサルティングに対して評価するポイントは、コミュニケーション力と、情報を整理する力です。
幸松さんは、雑談のような気楽な雰囲気の中で、弊社の業務内容や情報資産の管理状況、希望などを上手に引き出し、それらの情報をまとめた上で、弊社の実情に合わせた提案をしてくれました。コンサルティングの依頼先を検討する段階で初めて面会した時から、気楽に話しが出来そうな雰囲気や、規格に縛られず弊社側の要望を受け入れていただける柔軟性は感じていました。
実際、認証取得に向けて行われたコンサルティングの中でも、その印象は崩れませんでした。

また、ISMSの規格で使用される用語は難解なものが多いのですが、わかりやすく説明していただけたこと、最初に期待した通りIT業界の事情に精通しているため細かい説明をしなくても弊社の業務内容を理解していただけたことなども、業務を楽に進められた要因でした。

おかげで弊社の業務内容に適した情報セキュリティマネジメントシステムを構築できました。

打ち合わせはいつも雑談のような雰囲気で進みました
（左；松尾氏　※右は弊社幸松）

— 認証取得を終えたご感想はいかがですか。

とりあえずはほっとしています。
今後はPDCAサイクルをいかに回していくかが課題です。9月に取得したので、毎年9月に更新の時期が来ます。
年内に次の更新に向けてやるべきことを洗い出しておいて、年が明けたら実装して教育をして、運用、内部監査をして、9月の更新を迎える、といったスケジュールを想定しています。ちょうど、四半期ごとに全社ミーティングを行っているので、その機会に社員への告知や従業員教育などを当てはめていけそうです。

— ISMS認証取得のコツなどがあれば教えてください。

どういうシステムを作りたいのか、というイメージを持つことが大事ではないでしょうか。
ISMSは自社の事業内容や規模にあわせて仕組みを構築できる軟性のある認証制度ですが、イメージを見失うと自社の実態に合わないシステムが出来る可能性もあります。すると日常業務に支障を来すことになってしまいます。
コンサルティング会社のサポートを導入する場合でも、それは重要です。
弊社の場合は、構築したいシステムのイメージを持った上で、そのイメージの実現に導いてもらえるコンサルタントとしてLRMを選んだことが、スムーズな認証取得に繋がったと考えています。

松尾様、お忙しい中、有り難うございました。

※ レック・テクノロジー・コンサルティング株式会社のWebサイト
※ 取材日時 2012年10月