Capy株式会社様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

Capy株式会社は2018年12月、ISMS認証取得コンサルティングを依頼しました。

LRMの担当者・三崎さんのサポートを受けながらISMS認証取得に向けた準備を進め、2019年6月末に第2段階審査を受審しました。現在は、審査会社の手続きが終わり、認証書が届くのを待っている段階です。

— 自社取得は考えられませんでしたか。

コンサルティング会社に依頼せず自社だけで取得することも考えました。しかし、弊社は少数精鋭体制を採っていることに加え、取得期限が迫っていたこともあり、専門的な知見を持ったコンサルティング会社のサポートを受けることにしました。

— コンサルティング会社は何社か比較されましたか。

インターネット検索をもとに5社選んで連絡しました。メールで連絡をして、スケジュール、費用、サポート内容を確認した上で2社に絞り込みました。選考から漏れた3社は、回答をいただくまで1週間以上かかるなど、安心して任せることが出来ないと判断しました。

— 選定にあたって重視されたポイントをお話し下さい。

既存の社内ルールをチェックして、不足している部分を補っていくにはある程度の時間がかかると考えていましたので、相応の時間を割いていただけるコンサルティング会社が良いと思っていました。また、弊社には英語を母国語とする外国人スタッフも在籍していますので、英語版の教育資料をご用意いただきたいという希望もありました。

— LRMに依頼した決め手をお話し下さい。

訪問回数が無制限であることに加え、電話やメールによる問い合わせにも対応していただけるという手厚さが大きな要因となりました。また、英語版の教育資料についても対応していただけるとご回答いただきました。ISMS認証取得の仕組みや期間、費用といった質問にも的確に丁寧にご回答いただけたので、不安を抱くことなく依頼することができました。

LRMの『Security Diet』というコーポレートスローガンは、情報セキュリティマネジメントシステムの構築に対する考え方を知る上で大変参考になりました。規格に沿ったルール作りをするにしても、業務に支障を来すようなルールは作らないという考えは共感出来ました。

— ISMS認証取得に向けた取り組み内容を教えて下さい。

情報資産管理台帳やリスク管理台帳、ISMSマニュアル、記録類など、ISMS認証取得に必要なドキュメント類の作成です。またそういったドキュメント類を作成する過程で、情報資産の洗い出し、リスクアセスメント、従業員教育、内部監査などを実施しました。初回の打ち合わせの際にLRMに年間実施計画を策定していただき、その計画に沿って進めていきました。

— 実際に既存のルールをチェックした結果、改善すべき箇所はどれぐらいありましたか。

大きく変更した点はありません。洗い出したリスクを認識した上で、無理のない範囲でのルール作りを行いました。
変更点としては外出時におけるスマートフォンの管理など、細々としたルールを追加した程度です。

— 外出時におけるスマートフォンの管理に関するルールとは具体的にはどういったことですか。

会社支給か個人所有かに関わらず、スマートフォンの使い方に多少の制限をかけました。ログイン認証や画面ロックの設定は基本ですが、『Slack』などメッセンジャー系のアプリで通知設定をオンにしていると、画面にロックをかけている状態でもメッセージが表示されてしまいますので、通知設定はオフにするルールにしました。

大手企業様から求められるチェックシートには、具体的な施策を挙げて、実施しているかどうかを問うものもあります。弊社では常に、そういったお客様から求められる具体的な施策を参照し、社内ルールに取り入れるべき施策は取り入れるといった改善は進めていました。パスワードポリシーの策定を始め、ISMSで求められる基本的な取り組みも出来ている状態でした。そのような経緯があったことで、今回のISMS認証取得に向けたルール構築は大きな負担を強いられることなく出来たものと考えています。

一方、今回の取り組みで非常に有益だったことは、リスクアセスメントを通じて隠れたリスクを認識することが出来たことです。LRMに我々が日常的に行っている業務をヒアリングしていただいた上で、リスクを洗い出していただいた中には、普段、私たちには見えていないリスクがいくつかありました。そして、そういったリスクをどのように捉え、何をすれば良いかといった考え方も教えていただけたことは非常に有意義だったと考えています。

— 見えていなかったリスクとは、例えばどのようなものですか。

例えばSNSの利用についてです。弊社はSNSをほとんど使っていませんので、そこにリスクが潜んでいるとは考えていませんでした。しかし企業としては利用していなくても、そこに所属する個人は利用している場合があります。
昨今、企業で発生しているSNSがらみのトラブルは、ほとんどが従業員の個人アカウントによるものです。企業としてSNSを利用していなくても、個人の利用実態を把握するとともに、利用者に対しては投稿に気をつけるよう継続的に注意喚起する必要があるということに気がつけたことは、大変有意義でした。

— 今回の取り組み成果をお話し下さい。

ISMS認証取得を通して、既存の社内ルールを見直すとともに、継続的に運用しつづける体制を作ることが出来ました。また、第三者機関の認証を受けたことで、自社の取り組みを外部に向けて自信を持って示すことが出来るようになりました。認証書や認証マークが届き次第、外部に向けた発信にも活用していきたいと考えています。

— 情報セキュリティに関連した課題がございましたらお話し下さい。

まずは社内への浸透です。マネジメントレビュー時に社長からも指摘されましたが、内部監査で指摘を受けたようなことがないよう、社内へのルール浸透に取り組みたいと考えています。

中長期的には業務領域の拡大や従業員の増員時の対応が課題です。現在の業務領域に対しては一通りリスクを洗い出すことが出来ましたし、PDCAを回していける体制は整備できました。しかし新しい事業に取り組む際には、その事業を行う上でのリスクを洗い出し、ルール作りを行う必要があります。そのためのノウハウや考え方はまだ獲得できていません。

また、組織を拡大する際は、どのような体制が最適か、どう浸透させていくかが問題となります。弊社は人数が少ないため、属人的な運用に陥る可能性がありますので、人が変わっても体制を維持出来るよう、先を見据えた体制作りをしていきたいと考えています。

— LRMのサポートはいかがでしたか。

ISMS認証取得までに何をしなければいけないのか、最初に筋道を立てて具体的に示していただけたことで安心して取り組むことが出来ました。

また、専門家としてのアドバイスは非常に心強かったです。特に第1段階審査でいただいた指摘事項にはどのように解釈すべきかわからないものがいくつかあり、改善する上で三崎さんのアドバイスは非常に有益でした。ISMSで用いられる専門用語は、多様な解釈が可能なものが多く、文書作成でも判断に迷うことは少なくありませんでした。そのような時もメールや電話で相談すると、考え方や落とし所を的確にアドバイスしていただきました。

さらに、文書類のひな形の提供やアドバイスに留まらず、リスクアセスメントや内部監査員代行など、実際に手を動かしていただくことも少なくありませんでした。一緒に取り組んでいただいているという想いが持てるコンサルティング会社でした。

— LRMへのご期待がございましたらお話し下さい。

弊社はISMS認証取得の取り組みが終わった後、LRMのISMS運用改善サポート『情報セキュリティ倶楽部』と『セキュリオ』を契約しました。ISMS認証新規取得のサポートでは、筋道を立てて最後まで投げ出さずにサポートしていただきました。引き続き同様のサポートを期待しています。

変化が激しいインターネット業界ですが、その中でも情報セキュリティは常に重視されているテーマですし、今後様々な規制が加えられる可能性があります。それは弊社にとっては、事業を継続していく上での大きなリスクです。
そのような変化にどう対応すれば良いか、そのための知見とアドバイスを期待しています。

Capy株式会社様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※Capy株式会社様のWEBサイト
※ 取材日時 2019年7月