株式会社Mealthy様 – 顧客事例 –

株式会社Mealthyは2019年8月、情報セキュリティをサービス品質における重要な要素と捉え、ISMS/ISO27001認証取得に取り組みました。サポートの依頼先として選んだのはLRMです。“選定基準は信頼と安心”と語る代表取締役・鈴木勝之氏と、プログラマー・多留見友之氏に、認証取得までの経緯を伺いました。

お客様が抱える課題とISMS構築アプローチ

• 情報セキュリティの要件を満たしていないことが原因でサービス導入を見送られた経験がある
• 社員の多くが、リモートワークで個人情報を扱っている
• 形骸化させずに維持できる仕組みを構築したい

• PCをすべて会社で用意し貸与するなど、業務環境を全社で統一
• GoogleWorkspaceに統一するなど、1か月強かけてクラウド環境も整備
• 情報資産管理台帳は約4か月かけて作成

LRMコンサルティングサービスへの感想

• LRMがいなければ、認証取得は不可能だったといえるくらい手厚いサポート
• 審査を受けるにあたり対応すべき各事項のレベル感などを教えてもらえた
• 『セキュリオ』のeラーニング機能で従業員教育に時間をかけることなく、要所を抑えて実施できた

（株式会社Mealthyについて）

スマートフォンアプリ『Mealthy』を開発。法人を対象に生活習慣病予防のための食事指導サービスを提供している。法人から委託を受け、40歳以上を対象とする特定健康診断で要指導対象者となった組合員に対し、アプリを通して栄養士が食事指導を行う。
健保向けにサービスを提供し始めたのが2018年。2020年10月現在の導入件数は約50社。健康経営への意識が高い企業を中心に、導入件数を増やしているところである。また、アプリは個人利用も可能。個人に対してはフリーミアムの形態で提供されており、同社が推奨する行動を取ることでポイントがたまり、栄養士に相談が出来る。今後は製薬会社と協業し、治療領域への参入も計画中である。
本社；東京都港区。設立；2014年11月。従業員数；約50名（2020年11月現在）。

— LRMへのご依頼内容をお話し下さい。

株式会社Mealthyは、2019年8月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。2020年3月上旬、第2段階審査を終えるまで、担当者の金子さんにサポートしていただいてISMS認証を取得しました。認証取得後は、ISMSの運用改善サポート『情報セキュリティ倶楽部』を契約しています。

— ISMS取得に取り組むにあたり、ご心配されたことや意識されたことはございましたか。

今回の取り組みでは、オンラインで個人情報を取り扱うところが最大のポイントだと考えていました。
弊社の従業員は約50名のうち約40名が管理栄養士です。管理栄養士は全員リモート環境で個々にユーザーと向き合い、食事指導を行っています。一箇所のオフィスに集まって行うカスタマーサポートではないですし、同じフルリモートでも皆で1つのプロダクトを開発するようなスタイルとも異なる新しい働き方です。既存の基準でルールを作ると、運用上、様々な齟齬が生じてしまいます。業務環境をいかにマニュアルに定めるか、研修をどうするかなど、複数拠点で業務を行う中、いかに会社としてのISMSを形骸化させずに維持するかが問題だと考えていました。

— 管理栄養士の方がリモートで個人情報を取り扱うための環境整備は出来ましたか。

ベースを作ることは出来ました。ISMSを取得してまだ1年目なので、これから少しずつパワーアップしていきたいと考えています。

— 具体的にはどのような整備をされたのですか。

具体的にはPCやクラウドツールなどの業務環境を全社で統一しました。例えばPCは個人のものを業務利用していましたが、全て会社で用意して貸与し、個人所有の端末は禁止しました。また、クラウドツールも『G Suit』や『Microsoft365』など、各自異なるサービスを使っていましたが、『Google Workspace』に統一しました。

このように端末やサービスを統一した上で、それらを安全に使うためにパスワードポリシーや権限管理などのルールを定めました。

— 管理栄養士の方々は、クラウドツールをどのようにご利用されているのですか。

管理栄養士が使うのは主に『Gmail』と『Google Drive』です。『Google Drive』には、業務マニュアルや業務で扱うデータも保管しています。

— 今回の取り組みを通してご苦労されたところはありますか。

クラウド環境の整備は時間がかかりました。選定から検証、全社への導入まで1ヶ月強かかりました。

— マニュアルや情報資産管理台帳といったドキュメント類作成はいかがでしたか。

情報資産管理台帳の洗い出しは苦労しました。最初は何が情報資産に該当するのか、どれが管理すべき情報なのかがわからなかったので大変でした。台帳の作成は我々のタスクですが、LRMと打ち合わせがある時に、金子さんに疑問点を聞いたり、確認したりしながら、約4ヶ月かけて作成しました。

— 今回、ISMSを構築したことで仕事がしづらくなったことはありませんか。

ルールはLRMと相談しながら、業務負担をかけないように作ることが出来ました。ただ、管理者側の事務的作業は増えました。貸与するPCやクラウドツールの管理、ヒヤリハット事例の原因分析や対策など、ISMSを運用するための細かいタスクは少なくありません。今回、ISMSを取得する過程で何をやってはいけないかが理解出来ました。それによって目に付くことも増えており、その都度、運用を整え続けることは楽な道のりではありません。もちろん、結果としてそれが大きな事故を防ぐことになりますので、投資としてやるべきだと考えています。

— ISMSの構築や認証取得において、LRMはどんなサポートをしてくれましたか。

LRMがいなければISMS認証取得は不可能だったといえるくらい、手厚いサポートをしていただいたと考えています。どのような段取りで、どのような作業を行う必要があるのか、どのぐらいの細かさでドキュメント類を作る必要があるのかなどの判断は、自分たちだけでは出来ません。審査を受けるために必要なものは、ISOの認証機関が一通り公開しています。しかし、実際に取り組むにあたっては、公開されているものを全て満たさなければいけないのか、それとも満たせるものだけで良いのかといったレベル感がわかりません。関連書籍も複数あったため、LRMに依頼する前に目を通しましたが、そこに書いてあることを通常業務の中で実行するのは膨大な時間がかかると思いました。自分たちだけでやっていたら多分2～3年は費やしていたと思います。

— ISMSマニュアルの作成は御社側で取り組まれたのですよね。

ISMSマニュアルはLRMにひな形をご提供いただき、一緒に読み合わせしながら作っていきました。ひな形上は抽象化された表現になっていますので、弊社に合わせてカスタマイズしていくという作業が必要です。我々だけでやっていたら、ものすごく細かいレベルで具体的に記述しようとしていたのではないかと思います。そうなると何年かかるかわかりません。そこで、100%やるべきなのか、自社の実態に合わせて50%でやっておけば良い物なのかという感覚を教えていただきながら作成しました。情報資産管理台帳やリスク管理台帳などの台帳作成においてもわからないところは頻繁に聞きました。

— 従業員教育には、セキュリティ教育クラウド『セキュリオ』のeラーニング機能をご利用されたのですか。

はい、『セキュリオ』は助かりました。テキストやテストなどのコンテンツ、配信機能、実施記録など、ISMS認証取得に必要な機能が一通り揃っています。従業員教育にそれほど時間をかけることなく、要所を押さえて確実に実施出来ますので、従業員に意識付けを行うツールとして良いと感じました。

— 管理栄養士の方々も全員受けられたのですか。

全員受講しました。今も入社時のタイミングで基礎研修を受けてもらっています。

— 内部監査に関してはいかがですか。

内部監査はLRMに内部監査員を代行していただきました。内部でやると視点が甘くなりがちです。第三者からの視点で指摘を受けることで、改めて気付くこともありました。そこで指摘されたことや、そもそも出来ていなかった部分を改善して、審査に臨み、ISMS認証を取得しました。

— ISMS認証取得の取り組みを振り返っていかがですか。改めて気付いたことなどはございますか。

改めて痛感したことは、情報漏洩が起きる原因は、基本的には人だということです。人がオペレーションミスをすることで、漏洩や紛失が起きます。システムやプログラムが要因で起こる漏洩は微々たるものです。ヒヤリハット報告からも要因に人が絡むことだとわかります。今後、ミスが起きやすいところは、システムやプログラムに置き換えることで未然に防ぐという検討もしていく必要があると考えています。

— その他、情報セキュリティに関して、今後の展望はございましたらお話し下さい。

今後、Pマークを取得すべきかどうかで悩んでいます。クライアントによって求めるレベルは一律ではありません。
クライアントによってはISMSの規格にはないような要求をされることがあります。それがPマークの範囲の話をしているのか、更に厳しい金融庁か何かのセキュリティ基準を求めているのか、まだ明確に把握出来ていません。第三者認証よりも厳しい社内基準を制定している会社は、世の中に無数にあります。その基準に応えることが間口を広げていく要因になるだろうと思っています。また、今後は新規事業に取り組む計画がありますので、ISMS認証の適用範囲を広げる必要も生まれます。引き続き、LRMに相談しながらしっかり対応していきたいと考えています。

— 『情報セキュリティ倶楽部』を契約されているとのことですが、LRMへの御期待がございましたらお話し下さい。

新規取得時に構築したマネジメントシステムは、最低限に近いところもあります。今後、日々運用する中でPDCAを回しながら改善していく必要があります。その中で我々だけでは判断出来ないこともありますので、相談に乗っていただきたいと考えてサポートを契約しました。

株式会社Mealthyの皆様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。

※ 株式会社Mealthy様のWEBサイト
※ 取材日時 2020年11月