一般社団法人 環境情報科学センター 様 – 顧客事例 –

公益法人である環境情報科学センターは、2015年1月5日、ISMS/ISO27001認証の新規取得に成功しました。
8年前にプライバシーマークを取得した際の反省を踏まえてコンサルタント探しを行い、最終的にLRMにサポートをご依頼。委託先の選定理由と認証取得に至るまでの経緯、LRMに対するご評価などを、ISMS委員会の髙松邦明氏、蓮沼英樹氏、宇於崎美子氏の3名に伺いました。

（一般社団法人 環境情報科学センターについて）

環境科学の学術団体。自然環境、社会環境の各分野における大学教員、地域計画または都市計画などのコンサルタント、環境政策に携わる行政官など約1200名の会員を擁する公益法人である。会員の研究発表論文を受け付け、専門家の査読に回すなど採択、学会発表までをサポートする学会事務局事業に加え、自治体や行政機関、企業などから受託して行う調査研究事業を行う。調査研究では会員である専門家と連携できることが大きな強みである。
発足；1972年。所在地；東京都千代田区。職員数；約20名。

— 今回、LRMに依頼した業務内容を教えて下さい。

弊所は、2014年5月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得のコンサルティングを依頼しました。
担当コンサルタント吉村さんのサポートで、当初の計画通り、繁忙期を迎える前に認証を取得することが出来ました。

— ISMS認証の新規取得にあたって、外部コンサルティング会社のサポートを導入しようと考えた理由を教えて下さい。

自社でルールを構築し、認証を取得することは困難だと考えたからです。弊所はPマークを取得した際にもコンサルティングを導入しました。それでも大変な苦労をしました。Pマークをベースにしたルール構築、年内取得という2つの目的を達成するためにも、専門家のサポートは必要でした。

— コンサルティング会社の選定基準を教えて下さい。

選定基準として考えたことは、取得まできちんとサポートしていただける、サポート力の高いコンサルティング会社です。
弊所が8年前にPマークを取得した際のコンサルタントの対応は、あまり親切ではありませんでした。申請に必要な書類のフォーマットを提供するだけ。弊所の実態に合わせてルールを構築したり文書を作成する作業は、全て所内で行いました。
その経験があるので、今回のISMS認証取得も、実際の作業は自分たちでやらなければいけないのかなと思っていました。しかし、インターネットで調べてみると、状況は変わっていて、コンサルティング会社の選定を間違わなければ、しっかりサポートしてもらえるということがわかりました。

そこで、3社をピックアップしてお会いしました。日頃からシステム関係で接点のある企業の中に、ISMS認証取得のコンサルティングを行っている企業が2社あります。その2社と、インターネット検索でピックアップしたLRMに話を聞いて、見積もりを出してもらい、最終的にLRMに決めました。

— ISMSの適用範囲を教えて下さい。

適用範囲は業務に携わる部門全てです。弊所の業務は大きく分けて2つの部署で行っています。学会事務局を担う事業推進室と調査研究を受託する調査研究室です。当初は必要以上の制限を設けたくはなかったため、クライアントの情報を扱う調査研究室のみ適用範囲とする考えでした。しかし完全に業務を分離することが困難だったので、コンサルティングがスタートする際に吉村さんに相談し、結果的に両部門とも適用範囲としました。常駐ではない理事会は適用外としました。

— 取得はスムーズに行きましたか。

非常にスムーズに取得できました。5月末から10月中旬ごろまで隔週ペースで打ち合わせをしながらリスクアセスメント、マニュアル作成、従業員教育、内部監査と進みました。
最も労力をかけた作業はリスクアセスメントの中の情報資産の洗い出しですが、Pマークで下地が出来ていたので、スムーズに行きました。またPマークの時に苦労したマニュアル作成は、吉村さんにサポートしてもらい、8月には暫定版を使って運用し始め、9月にフィックスさせることができました。

その後、審査も問題なく終わり、最初に決めたスケジュール通りに全ての作業が年内で完了し、1月5日付で認証を取得しました。

精神的に楽だった理由の一つに、コンサルティングの初回に、弊所とLRMの役割分担、スケジュールが明確に示されたことがありました。そこでは文書類の完成が9月頃となっていたので「8月いっぱいまで頑張れば良いんだな」と明確に意識することが出来ました。また、打ち合わせの最後には必ず吉村さんが、次回の打ち合わせ内容と、そのために準備すべきこと明確に示してくれました。それによって、着実に前進している実感を持つことが出来ました。

振り返ってみると準備期間全体を通して特別に頑張ったような記憶が全くありません。それだけ苦労なく取得できました。

— LRMのコンサルティングサービスはいかがでしたか。

弊所の目的を達成するためにしっかりサポートしていただきました。スケジュール通りに取得できたのも、業務に影響の出ない最低限の範囲でマネジメントルールを構築できたこともLRMのサポートのおかげです。

特に良かったと感じる要素は以下の通りです。

（1）訪問回数無制限
LRMのWebサイトで訪問回数無制限と謳っている通りです。今回は、申請を出すまで隔週ペースで訪問していただきました。吉村さんの業務に支障を来さないかと、逆にこちらが心配するぐらいでしたが、頻繁に足を運んでいただいたことで、万が一困ったことがあっても何とかしてもらえるという安心感がありました。

（2）豊富な事例と専門知識
訪問時、単に作業としてマネジメントルールを構築するだけではなく、毎回、情報セキュリティに関する幅広い話をしていただきました。特にご紹介いただいた他社の事例は、ルールを構築する上で大変参考になりました。

（3）臨機応変な対応
今回の依頼内容はISMS認証の新規取得でしたが、Pマークの運用に関する質問にも快く対応していただきました。
細かいことを言わない臨機応変な対応に懐の深さを感じ、気持ち良く打ち合わせ出来ました。

（4）理解力
弊所の業務内容は、外部の方にとっては馴染みがないもので、理解し難い業務だと思います。実際、弊所に出入する業者の方にも、何回説明してもわからない方はいます。吉村さんの場合は理解力が高いため、理解していただくための説明で苦労することはありませんでした。

LRMのコンサルティングは、全体的に窓が開いている感じがしました。Pマークを取得した際のコンサルティング会社は3回ぐらいしか来てくれなかった。それと比べると雲泥の差があります。LRMのおかげで、クライアントから情報セキュリティ上の対策を、いつ求められても良い準備が整いました。競合相手には出来るだけ隠しておきたい存在です。

— 今後のビジョンとLRMへのご期待をお話し下さい。

今後は、情報システム系の管理をさらに徹底しなければいけないと考えています。これまではハードウェアを揃えるための予算やそれをメンテナンスできる知識がないので踏みとどまって来ました。しかしいつかはきちんと整備していかなければいけません。それも含めて、PDCAサイクルを回しながらISMSを常に最適化していきたいと考えています。

そのためには今後もLRMのサポートが必要です。そこで、月々の保守サービス「情報セキュリティ倶楽部」の契約を検討しています。ISMSは認証を取得して終わりではありません。PDCAを回しながら、年に1回の審査を受ける必要があります。そのためには所内の変化に気を配るだけではなく、他社の事例や法令または規格の更新情報なども把握しておかなければいけません。LRMには、これからも良き相談相手として、的確なアドバイスを期待しています。

環境情報科学センター様、お忙しい中、有り難うございました。 （※左端は弊社吉村）

一般社団法人 環境情報科学センター様のWebサイト
※ 取材日時 2015年2月