弁護士ドットコム株式会社 様 – 顧客事例 –

日本初、WEB完結型クラウド契約サービス『クラウドサイン』。月間10通までは無料で利用可能。個人事業主から大手企業まで幅広く導入が進んでいる。

— ISMS認証取得の理由をお話し下さい。

弊社がISMS認証を取得した理由は2つです。

（1）組織規模拡大に伴う環境整備
まず、背景としては組織規模の拡大があります。弊社では、主軸サービスである『弁護士ドットコム』の成長に伴い急激に社員が増えました。2013年春には20名程度でしたが、現在では約100名です。
人が増えれば増えるほどセキュリティリスクは高まります。20名程度なら目が行き届きますが、100名ぐらいになると、徐々に誰がどこで何をしているか把握できなくなくなってきます。そこで、今後の規模拡大に伴いセキュリティルールを継続的に見直す仕組みが必要となっていました。

（2）ユーザー企業の要望に応えるため
ISMS認証を取得する直接のきっかけとなったのは、『クラウドサイン』を導入されたお客様の声です。『クラウドサイン』の顧客は法人です。機密性の非常に高い契約を取り扱う金融機関の導入検討も進んでいました。そういった顧客から、ISMS認証取得のご要望をいただいておりました。
ISMSを取る取らないに拘わらず、従来から弊社には厳格なセキュリティルールがありました。どうせ今後もセキュリティルールの運用は必要不可欠なものであるから、顧客からご要望いただいていることもあり、対外的にアピールできるISMS認証を取得しようと考えるに至りました。

ガチガチのルールにしても意味がないので、実効性があり業務効率に影響しないルールを作りたいと考えていました
（執行役員 管理部長・松浦啓太氏）

— 自主取得ではなくコンサルティング会社にサポートを求めた理由をお話し下さい。

認証取得を決めた際に、管理部が担当することになりましたが、管理部のメンバーは5名しかおらず、日常業務を抱えながら認証取得を全部自分たちでやるには負担が大きすぎると考えました。

ISMSに関する本を読むなど自分なりにリサーチしましたが、具体的に何をすれば良いのか、明確に把握することが出来ませんでした。知っている方のアドバイスを受けながらやった方が良いと考えました。
また、管理部側の都合のみで融通の利かない厳格なルールを一方的に押し付けると、全社の業務効率の悪化や社員のストレス増加等の悪影響を引き起こすうえ、本質的でないルールは誰も従わないため、せっかく作ったルールが形骸化してしまいます。
認証取得のための上っ面の建前だけのルールをつくるのではなく、実効性があり、かつ業務効率に影響を与えないセキュリティルールを作りたいと考えました。
ただ、認証取得の審査基準を満たしているかの判断ができないため、ノウハウをしっかり持っている方に相談しながら進めたいと考えました。

— コンサルティング会社選定はどのような視点で行いましたか。

「実効性があり効率に影響を与えないセキュリティルールの構築」という弊社の要望に柔軟に対応していただけることを条件として選定しました。紋切り型で押し付けてくるコンサルティング会社や、料金は安くても認証を取得することだけに主眼を置いたコンサルティング会社では、関与してもらう意味がありません。ちょうど良いバランスでアドバイスをしてくださる会社を探しました。

— LRM以外のコンサルティング会社も比較検討されたのですか。

はい。ISMS認証取得を検討している際に、弊社役員の知人の紹介でLRMを紹介してもらいました。LRMの提案は非常に良いものでしたが、比較検討したうえで決定したいと考え、そこでインターネット検索でピックアップした数社から、それぞれ提案を受けました。

ISMS認証を取得したことで社内への周知がしやすくなりました
（管理部マネージャー・辻井忠志氏）

— ルールの構築はスムーズに進みましたか。

ルールの構築はスムーズに進みました。弊社が選んだメニューはシンプルコースで、当初のスケジュールでは3か月ぐらいで終える計画でしたが、決算や株主総会、本社の引っ越しがあったため、業務が落ち着く秋ごろの認証取得にスケジュールをずらしました。
ルールの大枠が固まったのが半年後です。その後、運用フェーズに入ってPDCAを回し、審査前に細かい点を調整しました。

— 「実効性があり業務効率に影響を与えないセキュリティルールの構築」というご要望は実現できましたか。

実現できました。ISMSの運用を始めたことで業務効率への影響もありませんでした。
以下の通り、プラスアルファの成果もありました。

（1）セキュリティルールを体系立てて整理できた
独自に構築してきたセキュリティルールを体系立てて見直すことができました。自分たちはできているつもりでも、抜け穴はありました。そこに気づけたことは良かったと考えています。

（2）社内の意識向上
ISMS認証取得をする、とアナウンスしたことで、今後セキュリティについてより積極的に会社が取り組んでいくというメッセージが社員に伝わり、セキュリティルールを周知した際の社員のリアクションが良くなりました。認証取得する、と宣言するだけでセキュリティ意識が上がるものなのだ、と効果を感じました。

（3）社員へのアナウンスがしやすくなった
社員のセキュリティ意識が向上したことにより、現場の業務に関わるセキュリティルールを周知した際の社員のルール認知の速度や理解の深さが改善し、運用徹底させる役割である管理部の負担が軽くなったと感じました。

eラーニングシステム『LIXIS』は従業員教育の管理がしやすく非常に便利でした
（管理部・若月竜也氏）

— ISMS認証取得を通して、LRMが果たした役割をお話し下さい。

LRMには主にドキュメントを固める作業を担っていただきました。今回ISMS認証取得では、LRMが用意している雛形をベースにドキュメントを作成しました。LRMと一緒に雛形の読み合わせ行い、自社にもともとあったルールと照らし合わせ、適宜変更を加えて構築していきました。こちらが必要ないと思ったことでも「しっかりやっておいた方が良い」と具体的な事例をもとにリスクを丁寧に説明していただき、納得できたことについてはきちんと取り入れました。
また、LRMが用意した雛形と自社のルールを照らし合わせて精査したことで、自社のルールの抜け穴を発見することができました。

— LRMのコンサルティングでご評価いただけるポイントをお話し下さい。

最も良かった点は、我々が抱く疑問などに対して、理路整然と明確に回答していただけたことです。他社の事例も交えた判断材料を提示していただけたことで、スピーディな判断が出来ました。

このようなコンサルティングを導入する時に最も困るのは「御社判断ですね」と、判断材料も提示しないままで判断をこちらに丸投げされることです。「じゃああなたは何のためにいるのか」と思ってしまいますよね。LRMのコンサルティングではそのようなことはなく、明確に回答していただきました。

またコンサルティングそのものではありませんが、助かったのは従業員教育で使用したeラーニングシステム『LIXIS』です。特に管理画面で受講の進捗状況や履歴が一目瞭然でした。審査時に従業員教育に関してチェックする際も管理画面を見てもらうだけなので手短に済みました。