株式会社ラクロー様 – 顧客事例 –

株式会社ラクローは3ヶ月弱という短期間でISMS/ISO27001認証取得を終えました。認証取得の準備に取り組み始めたのは、会社設立とほぼ同時、サービスの正式リリース前です。早期に取り組み始めた理由を代表取締役・岩崎奈緒己氏に伺いました。

（株式会社ラクローについて）

従業員による打刻や時刻入力に頼らない勤怠管理を実現する打刻レス勤怠管理サービス『ラクロー』の企画・開発・運営・販売を行うスタートアップ。『ラクロー』は、 導入企業の業務システムと連動し、従業員のPCログなど、システム利用のログデータを取得し、従業員が業務システムを使い始めた時刻を始業時間、使い終えた時間を終業時間として、自動的に労働時間を算出する。これによって実際の労働時間と打刻時間のズレが積み上がってしまう問題を解決し、未払い残業や36協定の残業時間上限超過といった重大な法令違反の未然防止など、勤怠管理で生じる問題を根本解決する。打刻なしの勤怠管理には法令上の問題を心配する声があるが、厚生労働省のガイドラインでは「始業・終業時刻の確認及び記録の原則的な方法」として、「使用者が、自ら現認することにより確認し、適正に記録すること」と「タイムカード、ICカード、パソコンの使用時間の記録等の客観的な記録を基礎として確認し、適正に記録すること」の2項が示されており、むしろ労働基準法の精神に則った管理方法と言える。2019年8月に正式リリースしたばかりだが、規模を問わず、IT企業やコンサルティング会社、士業事務所を中心に大きな反響を得ている。働き方改革の流れもあり、大手メディアで取り上げられる機会も多い。「従業員の健康で文化的な生活」という労働法の基本原則に則った勤怠管理のサポートを方針に掲げ、サービスの成長を目指す。
本社；東京都世田谷区。設立；2019年7月。

— LRMへのご依頼内容をお話し下さい。

弊社は、2019年7月、LRMにISMS/ISO27001（以下、ISMS）認証の新規取得コンサルティングを依頼しました。
会社設立前から営業の藤居さんと商談を進め、会社設立の翌日から担当の三崎さんのサポートを受けて、認証取得への準備をスタートしました。当初、6ヶ月を見込んでいましたが、約3ヶ月後の10月4日にISMS認証を取得しました。

— 岩崎さんご自身はISMSの運用経験や取得経験はありましたか。

いいえ、ありません。ただ、母体である関連会社が、ISMS構築のプロセスを参考にした社内ルールを運用しており、情報資産の整理やリスクアセスメントを経験していました。その経験が、今回の取り組みに役立ちました。

— そういった中でコンサルティング会社のサポートを導入された理由をお話し下さい。

私自身、運用してきた経験はありましたが、認証取得のための審査を受けた経験もありません。またルールやマニュアルがあったと言っても、外部の審査を受けることを前提にした文書類はありませんでした。審査に向けてしっかりとした準備をするには専門家の支援が必要です。自分達だけで対応するとどんどんコストが増えて行きますので、サポートを受けることにしました。

— LRMにご依頼された理由をお話し下さい。

LRMに依頼した決め手は、サポート実績とITベンチャーの働き方やカルチャーに対する理解です。選定にあたっては、以下3つの基準を設け、何社かと会って話をしましたが、これらの条件を満たすコンサルティング会社は他にありませんでした。

（1）クラウドサービスプロバイダに対するサポート実績
弊社の業態はクラウドサービスプロバイダです。LRMのホームページに掲載された事例を見て、弊社と同様のクラウドサービスプロバイダへの支援実績が豊富であることがわかりました。

（2）オンラインでのコミュニケーション
弊社が社内コミュニケーションのベースとしているオンライン会議やチャットを、認証取得までの打ち合わせや問い合わせにそのまま使えることも重要でした。打ち合わせのために行ったり来たりするような進め方だと、お互いにコストがかかります。

（3）リモートワークへの理解
弊社のワークスタイルはリモートワークが基本です。近隣に住む社員はオフィスで作業をすることもありますが、社員は全国に散らばって、自宅などで作業しています。LRMには、そういう働き方をしている会社でも大丈夫とおっしゃっていただけたので安心して依頼出来ました。

— 御社内の取り組み体制をお話し下さい。

重要な作業は私が率先して取り組みました。弊社は、関連会社のオフィスの中に拠点を置き、クラウドストレージなども同じサービスを使って仕事をしていますが、会社設立に当たっては専用の金庫や書庫を設置し、クラウド環境も関連会社とは切り離して構築することを目指しました。

— 認証取得まで約3ヶ月間というのは、非常に早い進行でしたね。

そうですね。文書作成を行ったタイミングは、創業直後で従業員をはじめ関わる人数が少ない状態だったため、ゼロからルールを構築出来ました。自分で決めて、自分で作れることが、スムーズに進行できた大きな要因でした。

— LRMとの打ち合わせは何回ぐらい行いましたか。

Web会議は全部で3回実施しました。1回目にスケジュールとタスクを決め、2回目に文書の読み合わせをして、3回目に事務局側の内部監査を実施しました。

— 審査日程が決まったのはいつ頃だったのですか。

2回目の打ち合わせの時には決まっていました。第1段階審査は8月中旬、第2段階審査は9月中旬に受審しています。
最初に審査会社からいただいた日程をさらに1ヶ月前倒ししていただきました。

— 当初6ヶ月かかると言われていたものが、その半分で出来るということに対し、不安や不信はございませんでしたか。

ありません。通常6ヶ月かかると言われる理由は、構築したルールの運用期間を確保するためです。
それはある程度の規模の企業が社内に運用を浸透させたり、浸透度合いをチェックしたりする時間がかかるからです。
しかし弊社の場合は、まだ設立したばかりで小規模なので、ルールを変えても周知・浸透に時間はかかりません。
重要なことは、構築したルールが、実態として運用が出来ているかどうかです。出来ていれば期間にこだわる必要はないと思っていました。そのため特に不安や不信はありませんでした。

— ISMS認証取得の取り組み全体を振り返ったご感想をお話し下さい。

思っていた以上にスピーディに取得できましたし、作業負担もかかりませんでした。本業のビジネスと同時進行だったためISMS認証取得だけに時間を割くことは困難でした。本業を妨げることなく取得出来て良かったと思います。

— 創業間もない時期にISMS認証を取得することで得られるメリットとして、改めて感じることはありますか。

先ほど、少人数のうちに決裁権を持った人間がやることが重要だと言いましたが、代表者が率先して取り組んでいると、従業員は、嫌々やらされているという気持ちや、面倒だという認識を抱きづらくなると思います。私が率先してやることで、マニュアルも放置せずに、きちんと読まなければいけないという認識が生まれるはずです。それは会社のカルチャーを作って行く上でも重要であると考えています。

また、代表者が主体的に取り組むことで、今後、他の従業員に担当を引き継ぐ際も楽に引き継ぐことが出来ます。
引き継ぐ人もやりがいを持てるでしょう。代表者が面倒くさいと思っていることは、従業員も軽視しますし誇りを持って取り組めません。そうなればせっかく構築したルールも形骸化してしまいます。やはり最初に代表者自ら取り組めたことが大変良かったと考えています。

— ISMSを構築したことで業務負担が増えるなどの非合理性を感じることはありましたか。

今のところはありません。今後運用する中でそういうことも出てくるかもしれませんが、システム化やツールの導入で回避することは可能です。

前提として私は、ISMSという枠組みが生まれ、それが多くの企業に浸透してきたことは、情報セキュリティへの要請が高まってきた昨今のビジネス環境を考えると必然であると考えます。ISMSは、過去の様々なインシデントを踏まえ必要性が認められて出来たものです。ただ、それを現場に落とし込もうとした時に、あまりにも負担がかかってしまい、それが形骸化に繋がることもあるのでしょう。しかし、負担がかかることがあれば、システム化やツールの導入で軽減することは私達の得意分野ですし、それが今後の課題にもなってくるものと認識しています。

注意しなければいけないのは、本質を忘れないことです。ルールに違反するための合理化には意味がありません。
ルールに則った上で、必要に応じた合理化を進めて行きたいと考えています。

— そのほか、今後はどういった取り組みをおこなわれるご予定ですか。

まずは現状に合わせてルールを作り、第一版が出来た状態です。これから人が増えると、利用するクラウドサービスやお客様が増えて来ますので、その変化に合わせてルールを適切にカスタマイズし、形骸化しないよう運営していくことが課題です。そのチューニングがうまく出来るようになった時に、また次の目標が見えてくるだろうと考えています。

— LRMのサポートはいかがでしたか。

無駄のない進行が出来て良かったと感じています。本当に必要なことに集中し、チャットで済むことはチャットのみで済ませ、対面で打ち合わせをする必要がある時だけ対面でやるという風に無駄なやりとりが一切なかったところが非常に良かったです。また、当初立てた計画から前倒ししていただくなど、臨機応変に対応していただきました。

— リモートワークに対する理解については、ご期待通りでしたか。

期待通りでした。リモートワークが原則の弊社では社内ネットワークがありません。全てクラウドサービスでアプリ型なので、アカウントやログイン周りの対策が重要になってきます。しかしリモートワークに慣れていない人とセキュリティの話をすると、「なぜ社内ネットワークがないのか」といった議論から始めることになり、本題に入るまでに時間がかかってしまいます。しかし、LRMとのコミュニケーションではそれがありませんでした。

— LRMへの今後のご期待がございましたらお話し下さい。

今後、弊社は自分達でISMSのルールを進化させていくことになります。ある程度のことは自分達で決められるとは思いますが、中には自信を持てないこともあります。そんな時に気軽に相談し、第三者の立場から客観的なアドバイスをいただける相手が必要です。そこで、LRMのISMS運用・改善サポート『情報セキュリティ倶楽部』を契約しました。
運用し続ける中で、進化の方向がずれないようサポートをしていただけることを期待しています。

株式会社ラクロー様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ 株式会社ラクローのWEBサイト
※ 取材日時 2019年10月