アスタリスト株式会社様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

弊社は2019年10月、ISMS/ISO27001（以下、ISMS）認証新規取得のコンサルティングをLRMに依頼しました。
2019年10月中旬がキックオフの打ち合わせで、第2段階審査は2020年1月中旬でした。実質的な取り組み期間約3ヶ月でISMS認証が取得出来ました。LRMの担当者は松原さんです。

— ISMS認証を取得した理由をお話し下さい。

弊社がISMS認証を取得した目的は2つあります。（1）対外的信用の担保、（2）社内の体制整備です。

（1）対外的信用の担保
自社サービス『ActRecipe』のターゲットはエンタープライズです。商談を進める上で情報セキュリティ対策がきちんと出来ていることを示すものが必要でした。 自社サービスを大手企業に導入しようとすると、弊社の情報セキュリティマネジメントに関して調べられます。その調査項目にはISMSを持っていれば充足できる項目が沢山あります。
弊社がISMSを取得していないと、弊社だけではなくお客様の方も面倒な手続が必要となります。今後、『ActRecipe』を軸に成長していく上で、ISMS認証を取得することは最低限度の条件であると考えました。

（2）社内の体制整備
弊社は現在、事業の拡大期を迎えています。従業員数も今年度10名、来年度20名、再来年度40名と、毎年倍々で増やしていく計画です。今後、積極的に従業員を増やしていくための社内体制整備の一環として体系化された情報セキュリティルールの策定が必要でした。

— ISMS認証を取得することで生産性を低下させる危惧はございませんでしたか。

管理するということは自由がきかなくなるということなので、スピードが削がれることは覚悟していました。ISMS認証取得が最低限必要なものである以上、やむを得ません。ただ、ルールがあるから生産性が落ちるということにはならないよう、決められた土壌の上で出来ることはやるというスタンスで臨みました。

— 従来の情報セキュリティ対策をお話し下さい。

これまでは規模的に私の目が届く範囲でした。また、全員一通りの社会人経験を積んで来た人材で、なおかつITコンサルティングに従事するプロフェッショナルとして相応のリテラシーも持ち合わせています。そのため特別な対策は取ってきませんでしたが、サービスの拡大に合わせて2018年頃にプライバシーポリシーを策定し、2019年8月、『ActRecipe』のローンチに合わせて情報セキュリティルールを策定しました。情報セキュリティルールは、お客様から頂く情報セキュリティのチェック項目をベースに、普段、弊社がやっていることを文書にまとめました。

— ISMS認証取得までの期限は定めていましたか。

厳密には決めていませんでしたが、出来るだけ早期に足場を固めたい気持ちはありました。弊社の事業コンセプトが“生産性の向上”でもありますし、無駄なく、効率的に、スピード感を持って取り組みたいと考えていました。
また、弊社は事業方針として、何事においても日本一または日本初を目指しています。『SAP Concur』『BlackLine』『WalkMe』といったサービスを扱い始めたのは、その方針に合致しているという側面もありました。ISMSに関してもどうせ取り組むなら最短期間での取得を目指そうとは思っていました。もちろん、審査会社の都合もありますので、弊社やコンサルティング会社がコントロールできないことは理解しています。あくまで努力目標として日本最速を掲げて取り組みました。

— LRMにコンサルティングを依頼した経緯をお話し下さい。

LRMに依頼したきっかけは『ActRecipe』の開発を委託している開発会社からのご紹介です。その開発会社は、受託開発だけではなく、弊社同様SaaSの導入コンサルティング事業も行っていますので、大きく外れることはないだろうという期待は持てました。実際に話を聞いて、近しい業界へのサポート実績が豊富であること、コンサルティング料金が思っていたより安価だったこと、出来るだけ早期に取りたいという希望を汲んでいただけることが確認出来ましたので迷わず依頼しました。また、審査会社もご紹介いただいて、審査日程を押さえた上でISMS認証取得に向けた準備をスタートしました。

— ISMS認証取得の準備はお一人で対応されたのですか。

基本的には1人で取り組みました。社員には教育を受けてもらったぐらいです。

— ご苦労されたことはございますか。

ドキュメント作成は苦労しました。認証を取得するだけではなく、今後の運用を見据えて、自分達が理解出来る実態に合ったマニュアルを作らなければいけません。やってもいないことを文書には残せませんので、1文1文吟味する作業は骨が折れました。

結果的に今読み返してみても理解出来るマニュアルにはなっています。読んで理解出来るということは、自分達の業務を体現出来ているということです。今在籍している社員たちにとっても、納得出来るものにはなっていると思います。ただ、今後従業員が増えてくると全員同じレベルで浸透させることは難しくなりますので、教育には力を入れたいと考えています。

— LRMからはどのようなサポートがありましたか。

ドキュメント類のひな形をご用意いただき、ヒアリングしながら弊社の実態に合わせてカスタマイズしていただきました。LRMのひな形とガイドがなければ、取り組み期間3ヶ月というスケジュールでISMS認証を取得することは不可能でした。

— 情報資産やリスクの洗い出しはご自身で行われたのですよね。

はい。しかし、それらに対するサポートもありました。一旦こちらで書き出したものを、ご確認いただき、アドバイスに沿って修正していきました。

— 従業員教育は、LRMのセキュリティ教育クラウド『セキュリオ』のeラーニング機能をご利用になられたのですか。

従業員教育は『セキュリオ』がないと困ります。社員全員に実施してもらうだけではなく、実施記録を管理する上でも非常に便利です。特に今後、従業員が増えれば、管理が難しくなってきます。一斉に実施する分には管理しやすいですが、ランダムに発生する新入社員研修まで全て管理するのは大変です。『セキュリオ』があれば逐一確認する必要がありません。

— 内部監査員代行サービスはいかがでしたか。

内部監査員代行サービスも助かりました。内部監査が審査を受けるための事前対策にもなりました。専門家の客観的な視点を持って実施出来たことで、安心して審査に臨むことが出来ました。

— 審査はいかがでしたか。

不適合はなく、指摘事項がいくつかあったぐらいです。いただいた指摘事項も特段課題とも言えない些細なものばかりでした。

— 今後の課題をお話し下さい。

今後はISMS認証を維持した上で、ISO27017/ISMSクラウドセキュリティ（以下、ISMSクラウドセキュリティ）認証を取得したいと考えています。また、財務会計領域のデータ連携をしているためSOC2 Type2やPCIDSSなども求められるケースが出てくると思われますので、指摘される前に動きたいと考えています。

弊社の取引先の多くは一部上場企業です。社内に疑義を唱える方が一人でも存在すると取引に支障が生じかねません。これまで1例ではありますが、小規模であることがネックとなり商談が途絶えたケースがありました。今後、そのようなケースに遭遇することだけは避けなければいけません。仮に企業規模について指摘を受けたとしても、反証できる体制は整える必要があります。そのための道具としてISMSなどの国際認証は有効であると考えています。

— LRMにサポートを受けたご感想をお話し下さい。

LRMに依頼して良かったと思っています。他社を知りませんので比較は出来ませんが、松原さんとのコミュニケーションで違和感を抱くことはありませんでした。物事を進める際にコミュニケーション上の違和感があると進めづらくなります。取引をしていてそりの合わない会社はありますが、LRMにはそのような要素は一切ありませんでしたし、周りにISMS認証を取得したい会社があればご紹介したいコンサルティング会社だと思っています。既に「3ヶ月ぐらいで取得できるならうちもやりたい」という会社がありますので、いずれご紹介させていただきたいと考えています。

— 今後のISMS運用においては、LRMのサポートは受けられるのですか。

その予定です。ISMSクラウドセキュリティ認証取得もご支援いただきたいと考えていますので、ISMSの運用支援サポート『情報セキュリティ倶楽部』を契約する予定です。同時に『セキュリオ』も契約します。これからの時代、属人的な文書管理はなくしていくべきです。プラットフォーム上で情報を管理出来れば、管理の負担は低減出来ますので、さらに力を入れて強化していただけると有り難いです。

アスタリスト株式会社様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ アスタリスト株式会社様のWEBサイト
※ 取材日時 2020年3月