株式会社クロスシー様 – 顧客事例 –

LRMの話を聞いてISMSに取り組むことが社内の仕組み化の入口になると考えました
（代表取締役 社長・渡辺大介氏）

— ISMS認証を取得した理由をお話し下さい。

弊社がISMS認証取得に取り組んだ直接のきっかけは、お客様の取引条件を満たすためでした。2017年4月、あるお客様の新規案件を受託する条件として、同年の9月までに取得するよう要請があり、その要請にお応えするためにISMS認証を取得することになりました。

ただ、要請されたお客様から紹介されたLRMの幸松さんと話をした際に、ISMSに対する認識と認証取得に取り組む目的が大きく変わりました。

— それまでは、ISMSをどのようにご認識されていましたか。

ISMSに限らず、情報セキュリティ系の認証は、取得によって手間が増えるだけだと考えていました。要請を受けてLRMに相談した時点では、どちらかというと消極的な気持ちでした。

そのイメージは私が以前勤めていた会社での体験に基づいています。以前勤めていた会社は、プライバシーマーク（以下、Pマーク）を取得していました。取得したタイミングが私の在職中だったため、私は取得前と取得後の両方の状況を知っています。取得前と比べて取得後はセキュリティレベルの向上よりも、ルールが増えて業務の手順が煩雑になっただけという印象がありました。

ISMSも第三者機関が定めた規格をベースとした認証であることから、Pマークと似たようなものだと考えていました。しかし、幸松さんの話を聞き、事業規模が拡大する前に社内のルールをしっかり整備するには有効な手段であると認識を改めました。そして、それ以降は、業務や管理の手順一切に関する社内統一ルールの整備という目的を掲げ、ISMS認証取得に取り組み始めました。

— LRMのどのような話がご認識を変えましたか。

LRMが取り入れている社内管理の仕組みに関する話です。LRMでは、発生し得るミスを想定した上で、ミスが発生し得ないワークフローを組み、業務手順を全てマニュアル化していました。例えば情報セキュリティに関する従業員教育は、まず入社時点で研修を行い、さらに禁止事項をスライドにして共有しています。そのスライドを見ればスキルや経験を問わず、誰でもできるようになっています。その上で問題が起きた場合の対処の仕方が決められており、その都度、改善されていく仕組みになっていました。弊社とLRMの業種は異なりますが、PCと机があれば業務ができることや規模感など、共通点は多く、参考になりました。

面倒な業務フローを組むとミスが生じ、それが情報漏えいなどに繋がります。手順がシンプルなら、ミスは起きません。LRMを参考にすれば仕組みが整うと考え、ISMS認証取得に取り組む姿勢が変わりました。

弊社の社内にあるものは、PCと机の他に、契約書や顧客のパンフレットといったものがメインです。従って勤怠管理から備品の管理まで、社員の行動の全てが情報資産と関わっています。ISMSの構築・運用に取り組むことで社内の仕組み化の9割は完成すると考えました。

LRMのメソッドを取り入れたことで管理業務の効率化が進みました
（マーケティンググループ・土持みずき氏）

— 今回、ISMS認証取得を通した仕組み作りにおいて、具体的にはどのような取り組みをされましたか。

振り返ってみると取り組んだことの多くは環境整備です。具体例を以下に挙げます。

（1）管理体制、人員名簿、ネットワーク構成図、資産台帳の整備
管理体制を決め、人員名簿、ネットワーク構成図を作成しました。
また、会社で購入した備品などの資産状況を台帳化して管理できるようにしました。これまではPCも信頼ベースで担当者ごとに判断して購入しており、社内に何台あるかということを把握している者がいませんでした。現在は、台帳化して現物にナンバリングして管理しています。

（2）オフィス内の整理整頓
見積書や契約書・提案書のコピー、クライアントの会社案内やパンフレットなどの保管ルールがなく、オフィスの至るところに散乱していたものを処分しました。契約書の原本など、保管すべきもの以外は、一部を電子化して残し、他は破棄しました。

（3）クリアデスク・クリアスクリーンの徹底
離席時の机上に書類などの情報を記録したものを放置しない（クリアデスク）、PCの画面を他人がのぞき見たり、操作したりできる状態のまま放置しない（クリアスクリーン）ことを徹底するルールを適用しました。

（4）クラウドサービス活用ルールの統一
弊社は従来より、以下のようなクラウドサービスを積極的に活用していましたが、活用する上でのルールが決まっていませんでした。

（5）ウィルス対策ソフトの統一と定期的なアップデート
全てのPCに指定したウィルス対策ソフトをインストールし、毎日決まった時間にアップデートするというルールを適用しました。さらにそのルールがしっかり遵守されているかどうかを、担当者が抜きうちでチェックすることにしました。

（6）誓約書・秘密保持契約書の整備
従業員の入社時及び退職時に交わす誓約書・秘密保持契約書を完備しました。

（7）給与明細発行業務の効率化
給与明細は個人の「Dropbox」の専用フォルダに格納するルールにしました。それによって発行業務が非常に効率化できました。
以前はPDFにしてPWをつけ、メールに添付して送付していました。1人ずつPDFにPWをつけ、アドレスを確認しながら送る作業は非常に手間と時間がかかっていました。しかも送信側と受信側の行き違いが生じる可能性もあります。「Dropbox」は履歴が残るので、メールのような行き違いが発生することはありません。従業員が増えても、工数は最低限に抑えることが出来ます。

（8）中国の法令チェックに関するルール
全社員に対し、中国の法令に関するニュースを見つけたら即座に社内で共有し、全クライアントに伝えるというルールを適用しました。
今回、ISMS認証取得にあたって、法令管理台帳を作成しましたが、弊社の事業に関連する法令は、日本の法令だけではありません。中国の法令も常にキャッチアップしておく必要があります。日本の法令はLRMのISMS運用更新サポートを契約することで最新版が定期的に入手できますが、中国版は自分たちで整備しなければいけません。中国の弁護士にもサポートしてもらっていますが、中国の法律は成立から施行までのリードタイムが短いため注意が必要です。
例えば新広告法は成立から1か月で施行されました。このような動向は、クライアントのプロモーション活動に多大なる影響を及ぼしますので、一刻も早く情報を掴んでクライアントと共有する必要があります。

（9）インシデント報告の義務化
ここまで例に挙げたような環境整備やルールの適用を行った上で、何か問題が起きた時にはどんなに小さなことでも即座に会社に報告することを義務付けました。例えばオフィスの鍵やスマートフォンが見当たらない時も、気づいた段階ですぐに報告を上げてもらうようにしています。ただ「報告しなさい」「共有しなさい」と言うだけでは、心理的に隠したがる傾向にはあるので、インシデントそのものよりも、それを隠すことの罪の大きさを訴えるなど、モラル教育を徹底しました。

定期的なパトロールを実施
したことでルールの浸透もスムーズに進みました
（マーケティンググループ・安洋洋氏）

— ご説明頂いたようなルール決めはどのような手順で行いましたか。

LRMが用意したひな形をベースとし、幸松さんのヒアリングに答えながら決めていきました。迷ったときはLRMが実施している施策を参考にしました。4月にスタートして6月までにはルール決めが一通り終わり、従業員教育も完了していました。

— 従業員教育はどのような形で行いましたか。

LRMのeラーニングシステム『LIXIS』と集合研修を組み合わせました。まずeラーニングと同じ教材を使った集合研修を行い、その後、各自に改めてeラーニングで復習してもらいました。

重点的にレクチャーしたことは著作権の考え方です。例えば自治体のPRプロジェクトでは、イベントを取材して動画を作成・配信することが頻繁にあります。この際、アニメのキャラクターなどが画面に映り込むことがありますが、そのまま配信するには、事前に権利者の許可を取る必要があります。ところがスタッフによって著作権に対する考え方が異なるので、その考え方を統一するために重点的にレクチャーしました。

— 全体を通してご苦労されたことはありましたか。

大変だったことは、適用したルールを各社員に浸透させることです。環境整備と仕組み化によって、効率化したり、
ミスを防いだりできる部分もありますが、社内の整理やセキュリティ対策ソフトの更新、インシデント報告など、各自が意識的に取り組まなければいけないこともあります。それらを浸透させるには、一度レクチャーするだけではなく、何度も言い続ける必要がありました。ISMS認証が取得できなければ、決まっていた大手企業との契約もなくなるといった話をして危機感を持たせることもありました。

ただ弊社の従業員は、基本的に素直な性格の持ち主が揃っているので、比較的早い段階で定着しました。
幸松さんに内部監査を実施してもらった際にも是正項目はほとんどなく、審査もスムーズに終えることができました。

社内への浸透のさせ方もLRMに教えてもらいました。ISMS認証を取得するためにルールを作ってマニュアル化することまでは簡単ですが、そのルールを定着させることは簡単ではありません。

— ルールを徹底するために取り組んだことをお話し下さい。

従業員研修を行った後、担当者を決めて定期的なパトロールを実施しました。クリアデスク・クリアスクリーンも最初は「忙しいのになぜやらなければいけないのか」という抵抗もありましたが、3か月ぐらいで定着しました。
今ではパトロールを月１回、当番制で実施しています。しかも、社員が自発的に取り組んでいます。社員の意識の高まりとともに、インシデント報告も上がってくるようになりました。

ISMS認証取得に取り組んだおかげで、社内の意識やモラルを統一させることが出来ました。また、管理組織や人員名簿、ネットワーク構成図なども揃えることが出来て、会社としての体制作りが出来た実感を持つことが出来ました。