株式会社ライナロジクス様 – 顧客事例 –

株式会社ライナロジクスは、クラウド型自動配車システム『LYNA CLOUD』のリリースに備え、ISMS/ISO27001およびISO27017/ISMSクラウドセキュリティ認証を取得しました。LRMのサポートを受けながら両認証取得に取り組んだ成果、そこに至る経緯について、代表取締役・朴成浩氏、顧問・松浦俊彦氏に伺いました。

（株式会社ライナロジクスについて）

組み合わせ最適化の技術をコアスキルとして、物流会社向けに自動配車システム『LYNA 2』を開発・提供している。組み合わせ最適化とは、膨大な数量に及ぶ可能性、選択肢の中から最適な組み合わせを発見する技術。特に同社は組み合わせ最適化問題を解くための最も実用的で強力なアプローチであるメタヒューリスティクスに強みを持つ。物流事業において、運行効率や輸送コストに重要な影響を及ぼすのが、輸配送計画の作成業務である。この熟練したスキルが求められる輸配送計画の作成は長らく「配車マン」と呼ばれる職業の人々が担ってきたが、近年の人手不足によってそのスキルの継承が困難になってきた。同社が開発・提供する『LYNA 2』は、そのような人材不足を解消するとともに、より最適な輸配送計画の作成を実現している。
2000年、オンプレミス型のパッケージソフトとしてリリースされて以降、クライアントサーバーモデルなど、ラインナップを拡張しながら、食品流通、家電流通を中心に順調に導入件数を増やしてきた。2018年、クラウド型完全AI自動配車システム『LYNA CLOUD』をリリース。クラウド化によって規模の大小を問わずに導入しやすくなったことで、シェア拡大に拍車をかけている。
設立；2000年5月。従業員数；約25名（2019年3月現在）。本社；千葉県市川市。

— LRMへのご依頼内容をお話し下さい。

株式会社ライナロジクスは、2018年6月、LRMにISMS/ISO27001（以下、ISMS）認証、ISO27017/ISMSクラウドセキュリティ（以下、ISMSクラウドセキュリティ）認証の新規取得コンサルティングを依頼しました。

LRMの担当者・村田さんのサポートで、2018年10月、全社を適用範囲とするISMS認証を取得し、続いて2019年3月、クラウドサービス『LYNA CLOUD』に係る業務全般を適用範囲とするISMSクラウドセキュリティ認証を、クラウドサービスプロバイダ（以下、CSP）、クラウドサービスカスタマ（以下、CSC）、両方の立場で取得しました。

— ISMS認証ならびにISMSクラウドセキュリティ認証を取得するまでの経緯を伺います。取得の準備は、認証ごとに取り組まれたのですか。

はい。ISMS認証、ISMSクラウドセキュリティ認証の順番で準備を行いました。

— 御社内の取り組み体制をお話し下さい。

朴、松浦、そしてもう1人情報セキュリティ担当者を決めて、合計3名でISMS事務局を組織しました。ISMS認証取得はこの事務局メンバーが中心となり準備に取り組みました。ISMSクラウドセキュリティ認証取得は、事務局メンバーに加え、クラウド開発のチームからエンジニアが2名参加して取り組みました。

— ISMS認証取得は展示会に間に合いましたか。

その時点では取得には至っていませんでしたが、審査機関からISMS認証授与のご推薦をいただいていました。
展示会でお客様から情報セキュリティに関する質問があった際にも、実際に導入される時には、安心してご利用いただけるという説明が出来る状態にはなっていました。

— 3ヶ月間という短期間での取り組みは、大変ではなかったですか。

そうですね。短期集中で毎週村田さんと打ち合わせをしてルール作りをしました。文書作成や内部監査、審査前のチェックなど、村田さんにお手伝いいただいたことも非常に多かったです。

ただ、短期間とはいえ、ロードマップがきちんと描かれていたことで、ISMSの要求事項はしっかり満たすことが出来ました。

— 御社内で行うべき作業もありますよね。

はい。例えば最初にやらなければいけないのが情報資産管理台帳の作成です。ただ、これもサンプルがありましたので助かりました。しかもサンプルとは言っても、一般的に情報資産と言われるようなものはほぼ網羅されて具体的に記述されており、それを参考にピックアップして記載出来ましたので、悩む必要はありませんでした。

— ルール作りや文書作成はどうされましたか。

LRMが用意しているマニュアルのひな形に沿って、村田さんが弊社の社員にヒアリングをする形式でリスクアセスメントを行い、それをもとに叩き台となるマニュアルを作成してくれました。そしてそれを一緒に読み合わせしながら修正を加え、弊社の実態を反映したマニュアルが出来上がりました。

— 今回の取り組みでは物理的な環境整備はありませんでしたか。

特に新しく整備したことはありません。オフィスの出入り口やサーバールームの施錠、全ロッカーへの鍵の装備といったことは以前から行っていました。

ハードだけではなく開発手順などに関しても、システム開発会社として必要な対策は取っていました。
パスワードポリシーなど、個人任せになっていたことを統一するといった細かいルールは設けましたが、大きく変えなければいけないことはありませんでした。

— 従業員教育はどうされましたか。

従業員教育は、最初にLRMが開発・提供するセキュリティ教育クラウド『セキュリオ』のeラーニング機能を活用して実施しました。
それによって全社員の情報セキュリティに対する意識を揃え、さらに7月に入ってマニュアルが出来上がった段階で全員を集め、構築したルールを周知しました。

『セキュリオ』を使うことで従業員教育に関しても負担を軽減することが出来ました。各自のタイミングで受講出来ますので、リスクアセスメントと並行して実施することが出来ましたし、管理も楽でした。

— 内部監査はいかがでしたか。

内部監査はLRMに内部監査員を代行していただいて実施しました。そこで文書のチェックや現場への浸透状況をチェックしていただき、改善点を洗い出していただいたことで、第1段階審査、第2段階審査ともに、大きなトラブルもなくスムーズに終えることが出来ました。審査員の方にも、しっかり取り組んでいるという安心感を持っていただけたのではないかと思っています。

— 先ほど、「パッケージ開発の会社は、ISMS認証を取得する必要はない」という認識が変わったとおっしゃいました。もう少し詳しくご説明いただいてよろしいですか。

今回の取り組みを通じて、例えば次のようなことに気がつきました。

弊社のこれまでのパッケージビジネスにおいても、ご導入いただいたお客様に対してはサポート業務が発生します。
サポート業務は継続的なお取引になりますので、様々な形でお客様の情報をお預かりすることがあります。
そういった場合、事実上、我々自身がお客様にとっての情報資産となります。しかしお客様の方は、大切な情報を我々に預けたことは忘れてしまい、時間が経ってから「あれはどうなった？」と問われるということもありますので、我々自身がしっかりと整理し管理しておく必要があります。そういったことを含め、パッケージビジネスにおいても沢山のリスクがありますので、暗黙知で扱うのではなく、ISMSに即した情報セキュリティマネジメントを構築して情報を取り扱う方が、我々にとってもお客様にとっても安心・安全であるという認識に至りました。

— そういった認識はどのような取り組みによって得ることが出来たのでしょうか。

例えばリスクアセスメントですね。リスクアセスメントは、LRMのヒアリングに我々が答えていくという方法で行いました。その際、LRMは単にテンプレートを埋めれば良いという進め方ではなく、ISMS事務局のメンバーや、現場の社員に綿密なヒアリングをして下さいました。その中で、「そういうことがあるなら、こういったリスクもありませんか」といった質問を投げかけていただいたことで、様々な気付きを得ることが出来ました。

我々もソフトウェア開発会社ですので、これまで何も対策をしていなかったわけではありません。情報セキュリティマネジメントに対する意識や知識も持っていた自負はあります。ただ、第三者の視点が入らないと、独善的になりがちです。村田さんにご指摘いただいて気付いたことは沢山ありました。

それはISMSだけではなく、ISMSクラウドセキュリティにおいても同様です。例えば、なぜユーザーの管理画面に最終ログインの日時を表示させる必要があるのか。それは、クラウドサービスのセキュリティは、サービス提供者の取り組みだけでは成り立たないからです。サービス提供者がいくら万全な対策を取ったとしても、ユーザーがパスワードを漏らしてしまえば、簡単にセキュリティは破られてしまいます。ユーザーにもセキュリティに対する意識を持っていただくために、なりすまし等の被害に遭っていないか確認できるよう、管理画面に最終ログイン日時をわかりやすく表示させる必要がある。そういった認識も、LRMと会話する中から得ることができました。

— その結果今までになかった細かいルールが出来て、それが業務の負担になるということはございませんか。

管理体制を整備するということは、これまでやってこなかったことをやらなければいけない、ということが、どうしても発生します。ただし我々は、それがデメリットになるという意識は持っていません。それはルールを構築する時に、我々自身がきちんと腹落ちした上で決めているからです。それはLRMのリードによるものです。

もしルールを決める時に「ISMS認証を取得するには、これをやらなければダメ」と、そういう論法で押しつけられたものであるなら、「余計な手間が増えた」という意識になるかもしれません。しかしそうではなく、LRMには何かのルールを策定する際には、こういう業務が発生するなら、こういうリスクが考えられて、そのリスクを回避するための対策が必要になる、という根拠を明確に示していただきました。それを受けて我々自身が対策を取る必要性を理解し、自発的に議論した結果、自分達のルールを策定することが出来ました。従って、今回策定したルールによって、手間が増えたという意識は全くありません。

— 各認証の取得が終わり、お客様にご安心いただけていると実感されることはおありですか。

お客様からセキュリティに関するご質問をいただいた時に、きちんとしたルールに則って業務を行っているという根拠を示すことは出来るようになりました。今後、サービスの認知が広まっていくと、セキュリティチェックシートを含めて問われる機会は増えてきますので、そういった時に実感することになるのかも知れませんね。

— 今後の課題がございましたらお話し下さい。

課題は色々ありますが、まずはISMS認証、ISMSクラウドセキュリティ認証、いずれの審査においても改善の機会をいただいておりますので、今後どのように対応していくかを考え、改善に向けて計画を立てて取り組んでいく必要があります。

その他、自分達なりに取り組みたいと思っていることもいくつかあります。例えば今回の取り組みで弊社は、『LYNA CLOUD』のセキュリティ対策実施状況を明記したホワイトペーパーを公開しました。そこで今後は、それをご覧になるお客様から「この部分はこうして欲しい」といったご要望をいただくことも想定しています。そういったお客様のニーズに応えるとともに、その都度ホワイトペーパー自体も改定していくということは継続して取り組んで行きたいと考えています。

また、クラウドサービスを提供するには、可用性も確保しなければいけません。お客様が使いたい時は、いついかなる時にでも使えることが理想です。しかし弊社の現状としては、まだそこまで至っていません。例えば、「メンテナンスの時間を設けることがあります」とか、「これぐらいのダウンタイムであれば許容されるものとします」といった宣言をしているわけです。それは理想とかけ離れているという認識がありますので、お客様からのニーズが顕在化しなくても、改善しなければいけないと考えています。

今回の取り組みを通じて我々は、ISMSとはプロセスに対する評価であるという認識を持つに至りました。
ルール構築が出来て審査が通ったからそれで良いということではなく、次々と新しいテクノロジーが生まれる業界の中、何が起きてもしっかり対応できるプロセスを維持していきたいと考えています。

— LRMのコンサルティングはご期待通りでしたでしょうか。

はい。期待通りです。しかも短期間の取り組みにもかかわらず、単に認証を取るためだけのサポートではなく、情報セキュリティマネジメントシステムの本質を理解することが出来ました。担当して下さった村田さんは開発の知識をお持ちで、こちらの話も正確に把握していただけたので、コミュニケーションも楽でした。

— 対面の打ち合わせ以外に、メールや電話を使ってLRMにご相談される機会はございましたか。

ルール構築などの作業を社内で行う中、成果物をチェックしていただくために、頻繁にメールのやりとりをしていました。それに対する回答も迅速に対応していただきました。そういったスピーディな対応も、遅延なく目的を達成できた要因だったと考えています。

— 今後に向けてご期待がございましたらお話し下さい。

弊社は、ISMSクラウドセキュリティ認証取得後、LRMとISMSの運用改善サポート『情報セキュリティ倶楽部』を契約しました。また『セキュリオ』も継続契約しています。

『情報セキュリティ倶楽部』は、主に内部監査員代行をお願いしたいと考えて契約しました。内部監査とは言え、第三者の方にチェックしていただかなければ、お手盛りになってしまうこともあり得ます。内部監査が十分に出来なかった結果、審査で不具合が出るということが起きてしまうと、それこそ余計な手間がかかってしまいます。

一方、『セキュリオ』は、従業員教育の管理が楽なので継続契約しました。今後事業を拡張していきますと、従業員が増えて行きます。そうなった時に従業員教育の管理はより煩雑なものになることが予測されますので、きちんと管理するには必要なツールだと考えています。

また『セキュリオ』には法令管理機能もついています。数百種類以上ある法令の中から、自社がISMSを運用するにあたって必要な法令をピックアップし、変更がないか定期的にチェックするのはなかなか出来ることではありません。
それがパッケージ化されている点も便利だと思いました。

LRMのコンサルティングの方法論は、我々システム開発会社の業務と共通する点が非常に多いと感じました。
それがどのようにして確立されたかも大変興味深いです。共有させていただく機会があれば嬉しいです。
今後ともぜひよろしくお願いいたします。

株式会社ライナロジクス様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※株式会社ライナロジクス様のWEBサイト
※『LYNA CLOUD』のサービスサイト
※ 取材日時 2019年3月