青葉工業株式会社様 – 顧客事例 –

— LRMへのご依頼内容をお話しください。

弊社はLRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。

LRMの担当者は吉村さんです。2017年7月、吉村さんのサポートを受けながらISMS認証取得に向けた準備を始め、2018年2月、ISMS認証を取得しました。吉村さんは行政書士の資格保有者で、土木建設業の業務知識があったため安心してお任せすることが出来ました。

— 御社がISMS認証を取得した理由をお話しください。

弊社がISMS認証取得を検討し始めた直接のきっかけは、あるご新規のお客様と取引を始める際にご要望をいただいたことでした。絶対条件ではありませんでしたが、いずれは情報セキュリティに関する第三者機関の認証を取得して欲しいとのご要望をいただきました。既存のお客様からも、認証取得こそ要求されたことはありませんが、案件ごとに機密保持契約の締結を要求されていたこともあり、ISMS認証かプライバシーマーク（以下、Pマーク）のいずれかを取得することを検討し始めました。

— PマークではなくISMS認証にした理由をお話しください。

弊社が扱う機密情報は、契約書、施工現場の図面、指示書などが主です。お客様から個人情報を預かることはありません。そのため取得するならISMS認証だと考えました。

ただ私自身は前職時代にISO9001認証取得に関わったことがあり、ISO認証取得は文書作成や審査対応などで大変な労力がかかることを認識していました。また自治体や行政の仕事をメインにやっているわけではないので、そこまで手間やコストをかけて取り組む必要があるのかという疑問もありました。実際、同規模の同業者でISMS認証を取得しているという事例は聞いたことがありません。電気工事に特化した土木建築という特殊な分野で事業を行う弊社が、本当にISMS認証取得が出来るのか不安がありました。

— 具体的にはどのような点がご心配でしたか。

電力会社のグループ会社との取引がメインです。同じグループでも会社によって契約形態や仕事の進め方は統一されておらず、書類の数も膨大な量に及びます。非常に複雑な構造の中で業務を行っていることが心配の種でした。

しかし、たまたま弊社が契約しているOA機器のリース会社に相談してみると、コンサルティング会社がサポートしてくれるから大丈夫と言われ、一度会ってみることにしました。その時に紹介していただいたのがLRMです。

— LRMの印象はいかがでしたか。

最初にお会いしたのは、営業担当の間野さんです。対応もきちんとされていて、ご来社いただいてお話しを伺った際も会社としての体制がしっかりしているという印象を持ちました。その上で吉村さんが来られて詳しい話を伺ったことで、さらに背中を押していただけたように感じました。

— それは何故でしょうか。

吉村さんが建設業の業務知識をお持ちだったことが理由です。行政書士の資格保有者である吉村さんは、建設業の行政手続に関しても経験と知識をお持ちでした。また建設業界そのものがISMS認証を取得している会社が少ないので、取得すれば強みにもなるとおっしゃっていました。このようなお話しを通して、前向きな姿勢でISMS認証取得に取り組めるようになりました。結果としてもISMS認証取得に取り組んで非常に良かったと思っています。

— それぞれの課題を解決するために、どのような対策を取られましたか。

上記3つの課題について、以下のような対策を取りました。

【対策1】 従業員教育の強化
【課題1】と【課題3】の対策として、LRMに施工スタッフ向けと事務系のスタッフ向けの教育資料を作成していただき、それに基づいて朝礼だけではなく、従業員教育のための時間を別途取って話をしました。

オフィスに勤務する社員に対しては、PCがストップすることで業務が停止してしまうリスクを伝え、その上で『SKYSEA Client View』によるログ管理をしていることを公表するとともに、オフィスのレイアウト変更や意識改革に着手していくことを伝えました。ISMS認証取得という目的があったため、従業員の理解を得ることが出来ました。

施工スタッフに対しては、社外で資料を紛失することでどのようなリスクがあるのか、具体例を示して話をしました。元請けさんがテレビで謝っているところが流されることになるし、会社としての信用問題につながるから気をつけようという話をしました。

ISMS認証取得の取り組みは、労使間の軋轢を避けてルール作りを進め、社内の意識統一を図る良いきっかけとなりました。

【対策2】 PCの個人利用の制限

【課題1】に対する対策として、アクセス可能な領域を決め、会社のPCを使ったインターネット閲覧を規制しました。人為的なアクセスを禁止するだけではなく『SKYSEA Client View』に加え、新たにファイアウォール専用機器『FortiGate』を導入し、さらにインターネットプロバイダのアクセス制限を設定し、資材の注文などどうしても必要なWebサイト以外へのアクセスは出来ないようにしました。

【対策3】 事務所のレイアウト変更
【課題1】と【課題2】の対策として、事務所の机のレイアウトを変更しました。経理業務や人事情報を管理するPCのモニターは一般の社員から見えないように、逆に従業員が使用するPCの画面は人の視線に触れるような向きになるようオフィスのレイアウトを変えました。これまで従業員が使用するPCの画面は本人しか見えないようにオフィスの壁側を向いていたため、たとえ仕事中にインターネットを閲覧したり、個人的な作業をしたりしていてもわからない状態でした。それをオフィスの動線に向けて配置することで、誰かに見られているかもしれないという意識が生まれる状態にしました。

— 他に新しく定めたルールなどはありましたか。

これまで個人に任せていたPCのログインパスワードの作成ルールやスクリーンセーバーの設定ルールを決めました。
ログインパスワードは数字とアルファベットの組み合わせで8桁以上に、スクリーンセーバーはPCを操作しない状態が
5分続くとかかるよう設定を統一しました。またレイアウト変更に伴い、契約書や施工現場の図面、指示書などの文書類を保管するための鍵付きキャビネットを購入・設置しました。

— ISMS認証取得に取り組まれたご感想をお話しください。

ISOの認証取得は大変だと思っていましたが、今回は思っていたより負担は軽かったと感じています。大きな要因はLRMの文書作成サポートです。ISMSの文書作成は未経験者が取り組むには非常にハードルが高い作業だと思います。
今回は最初にLRMのひな形をベースに弊社用のマニュアルをたたき台として作ってもらい、それをもとに吉村さんと一緒に読み合わせしながらブラッシュアップしていくことでスムーズに作成することが出来ました。

また、情報資産台帳や入退室記録様式などの作成やリスクの洗い出しといった作業を社内で進めるにあたっても、あらかじめ進め方をアドバイスしてもらいましたし、わからないことがあればメールや電話で気軽に問い合わせることが出来ました。問い合わせに対しては迅速かつ的確にフィードバックしていただけたため、日常業務に支障を来したり、
残業しなければならないほど時間を取られたりするようなことはありませんでした。

— 内部監査はどうされましたか。

LRMに内部監査員を代行していただいて、模擬審査を兼ねる形で2回実施しました。1回目は第1段階審査の前に実施し、資料をチェックしてもらいました。2回目は第2段階審査の前に実施しました。私たち経営陣に対するヒアリングや内勤スタッフのPCのチェックなどをしてもらい、ルールをきちんと遵守できているかどうかを確認してもらいました。

— 審査はいかがでしたか。

最終的には無事に終えることが出来ましたが、課題は残りました。社内のファイルサーバーやクラウド上のバックアップサーバーへの社外からのアクセスについて、吉村さんを含めた我々と審査員との間で考え方が分かれ、今回は審査員の指摘に合わせましたが、仕事はやりづらくなっているので次の維持審査に向け、別の対策を検討したいと考えています。

— ISMS認証の取得後、外部からの反応はありましたか。

今のところはありません。ただ今後情報セキュリティに関するアンケートに応える必要などが生じた場合には「ISMS認証を取得した」という一言でご理解いただけるようにはなりました。

業界ではまだISMS認証を取得している企業は少ない状況ですが、何か重大なインシデントがあれば業界全体がISMS認証を取得する方向へ動いていくはずです。社会全体が情報セキュリティに敏感になっている状況でもあり、先んじて取得していれば有利な点は多いはずです。今後、ISMS認証を維持していくのは大変だと思いますが、審査員の方にも吉村さんにも取ることがゴールではないと言われていますので、これからしっかり運用していきたいと考えています。

— LRMのコンサルティングはいかがでしたか。

非常にやりやすかったです。取り組みがスタートする前は本当に不安でしたが、吉村さんは弊社の業務内容をよく理解し、文書作成も出来るところは全て代行して下さいました。

また、弊社の都合に合わせて打ち合わせの方法やスケジュールを組んでいただいたため、我々のペースでISMS認証取得に向けた準備を進めることが出来ました。私は現場や営業に出ていることが多く、平日のオンタイムに定期的に時間を取ることが困難です。そこで打ち合わせは毎月1回、土曜日にしていただきました。LRMにとっても営業時間外でしたが柔軟に対応していただけたので助かりました。

またメールや電話でかなりこまめに連絡を取り、円滑にコミュニケーションが取れたので、本来の業務に支障を来すことなくスムーズに作業を進めることが出来ました。

— 最後にLRMへのご期待があればお話しください。

今回、LRMのサポートを受けてISMS認証を取得したことで、弊社が情報セキュリティに取り組むベースが出来ました。しかしこの取り組みを発展させていくには、外部の視点でしっかりチェックしていただける存在が必要です。
そこで弊社はISMS認証取得後、LRMのISMS運用支援サポート『情報セキュリティ倶楽部』を契約しました。

弊社は将来的にISO9001認証も取得する予定です。LRMには業務内容など弊社の実情をご理解いただいているので、
その際もサポートを依頼することになるでしょう。今後ともよろしくお願いいたします。

青葉工業株式会社様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ 取材日時 2018年4月