ISMSやプライバシーマークの認証取得を行っていると、多くの会社様から次のような質問を頂きます。
「うちの会社の場合、ISMSとプライバシーマーク、どちらを取得すればいいの？」
何らかの取引条件や入札条件に指定されている場合を除き、ISMSとプライバシーマークの違いは見えにくいところなのかもしれません。

私たちLRM株式会社は、情報セキュリティの第三者認証として、ISMSを取得しています。
なぜISMSなのか、なぜプライバシーマークではないのか、今回はその理由についてお話します。

理由(1) 取り扱う個人情報の量

皆さんの会社には、どれくらいの「個人情報」が存在していますか？
当然、弊社内にも、例えば自社従業員の履歴書や、取引先企業担当者様の名刺など、様々な個人情報が当たり前のように存在します。
しかしながら、弊社の主要サービスは法人向けのコンサルティング業務であり、コンシューマー向け企業に比べると個人情報の量は多くありません。
また、最終消費者向けの事業展開を行う予定も今のところ存在せず、プライバシーマーク取得の必要性はそこまで高くありませんでした。

理由(2) 取り扱う他社情報の量

弊社はコンサルティング業務の性質上、お客様の機密情報をお預かりする、教えて頂く機会が多く存在します。
それらの大切な情報を守り、運用することを目的として考えると、情報資産全般を管理の対象とするISMSは適していると言えます。
また、プライバシーマークに比べ、より「現場」を重視した審査を行っているのがISMSの特徴であり、そういった外部からの審査を受けることそのものが、情報セキュリティレベルの向上と維持に繋がると考えました。

理由(3) お客様へのアピール

また、少しだけ下心をのぞかせると、弊社の営業活動にも役立てるためです。
ISMSやプライバシーマークの認証取得コンサルティングをお手伝いさせて頂くと、やはりどうしても、そのお客様の機密情報に触れる機会が多く出てきます。
その時に、ただ口だけで「御社の情報は万全に取り扱っています！」と宣言するか、「ISMS認証を取得しており、定められたセキュリティの運用下において、御社の情報は万全に取り扱っています！」と宣言するかで、お客様に与える印象は大きく変わってくると考えています。
弊社の競合他社においても、ISMSを取得している企業が多くない、という現状もあります。

今後の見通しは…？

ISMS認証を取得し、情報セキュリティを管理する体制は十二分に整っていますが、単にそのままでは「守り」の状態です。
今後は、ISMS認証を取得していることを効果的にアピールして営業活動への貢献度合いを深める、内部監査や審査の機会を活用して社内の情報セキュリティ体制を整える、そんな「攻め」の運用を心がけていく予定です。
そうやってISMSを「有効活用」していくことで、情報セキュリティへの費用投下を単なる「コスト」として捉えるのではなく、企業経営に役立てるための「投資」であるという風潮を広めていきます。