エンプラス株式会社様 – 顧客事例 –

エンプラス株式会社はLRM株式会社のサポートを受け、2021年1月5日、ISMS/ISO27001認証を取得しました。
コロナ禍の影響をダイレクトに受けた今回の取り組みについて、ISMS事務局の執行役員 コーポレート本部長・堀内武志氏、津田卓哉氏、井高裕善氏、今野瑠美氏の4名様に振り返っていただきました。

お客様が抱える課題とISMS構築アプローチ

• 海外のお客様も含めて、弊社サービスを安心してご利用いただくために認証を取得したい
• 社内から業務負担が増えるのではないかという不安の声が上がった
• 取得に向けて、何が必要なのか分からない

• コロナ禍の影響で4か月の休眠期間を経て、想定よりも短期間(約6か月間)で集中的に取り組む
• 各部署に担当者を設け、全社を巻き込んだ取り組みになるように体制を構築
• ドラスティックに変えるのではなく、既存システムを整理して改善し、認証を取得

LRMコンサルティングサービスへの感想

• マイルストーンを明確に示し、リードしてもらえた
• 自社で普段利用しているTeamsで打合せやコミュニケーションをとれた
• 『セキュリオ』のeラーニング機能はISMS取得のために必要なものが揃っている

（エンプラス株式会社について）

「日本のグローバル化に貢献する」というミッションを掲げ、企業・人のグローバル化に貢献するサービスを開発・提供している。一時滞在外国人に向けた「サービスアパートメント」（家具やコンシェルジュといったサービス付きの住宅）の運営からスタートし業容を拡大。現在は、グローバルリロケーションカンパニーとして、国を超えた人材の異動（国内への外国人受入、国内からの海外赴任、外国間の異動など）に関わる様々な手続を、人事のパートナーとしてマネジメントしている。インバウンドサービスでは、「サービスアパートメント」の運営に加え、外国人社員を採用する際に発生する、VISA・引越・航空券の手配、賃貸物件への仲介、家具レンタルまでワンストップで対応。アウトバウンドサービスでは、日本人の海外赴任だけでなく、外国人駐在員の母国への帰任、海外駐在社員の海外間転勤、住宅探しにも対応する。グローバル企業のワールドワイドな人事異動に伴う複雑な諸手続きをアウトソーシング出来る企業としては先駆け的な存在。長年の実績を背景に、大手企業を中心に厚い信頼を得ながら事業を拡大している。
本社；東京都千代田区。設立日；2004年5月。従業員数；47名(2021年4月現在)

— LRMへのご依頼内容をお話し下さい。

エンプラス株式会社は2020年3月、LRMにISMS/ISO27001（以下、ISMS/ISO27001）認証新規取得コンサルティングを依頼しました。担当者は金子さんです。ルール作りから審査対応のアドバイスまでサポートしていただいて、2021年1月5日、ISMS認証を取得しました。

— コロナ禍の最初の緊急事態宣言が発令された時期と重なり、大変だったのではないですか。

そうですね。3月頭にキックオフをして、各部署の情報整理とリスクの洗い出しに着手しようとしたところで、コロナ禍が直撃しまして、ISMS事務局の活動はしばらく休眠状態になりました。グローバルな人の移動は完全にストップしてしまいましたし、弊社もリモートワークに入ったので、色々と体制を整える作業に追われ、4月から7月までの4ヶ月間は全く動けませんでした。ただ、一方では、情報管理の仕組みを整備することの重要性を、会社全体で認識する良い機会になりました。フルリモートに移行したことで、緊急事態宣言以前の業務の進め方ではうまく回らないことが出てきました。今後も出社率を抑制しながら業務を継続していくことになりますので、ISMS認証取得をきっかけに、そのための体制整備を進めることが出来て良かったと考えています。

— 3月にキックオフした時点で、いつまでに取りたいというご希望はございましたか。

12月末までの取得を目指していました。金子さんと話し合った結果、11月20日までに第2段階審査を終え、12月中には認証書が届くイメージでスケジュールを組みました。

— 結果的に1月5日の認証取得となりましたが、社内的なご評価はいかがでしたか。

社内的に特に問題はありません。第2段階審査の最後に審査員から認証推薦をしますとおっしゃっていただきましたので、ほぼスケジュール通りに終えることが出来たという認識です。

— 3月にキックオフをした直後に取り組みが中断し、4ヶ月後に再開した際のお気持ちはいかがでしたか。

再開するタイミングでは本当に間に合うのかという焦燥感はありました。しかし金子さんから「しっかり取り組めば大丈夫」とおっしゃっていただけたので、その言葉を信じて年内取得というゴールは変えずに取り組みました。

— 4ヶ月間の遅れを取り戻す作業は大変ではなかったですか。

ただ、コロナ禍を理由にはしてはいますが、それがあってもなくてもスケジュール感は変わらなかったのではないかという思いもあります。こういう取り組みは期間を取り過ぎると緩みがちなところもありますので、短期間で集中して取り組むべきものだと思っていました。結果として、中断している間にリモートワークが定常化する中で、情報整理の必要性を共通認識として持つことが出来ました。再開してからは、事業部の業務が落ち着いていたこともあり、ISMSの活動に集中する時間を確保することが出来ました。

— ご苦労はありませんでしたか。

一番苦労したのは、現場を巻き込んで行くところです。情報資産の洗い出しやリスクの洗い出しは、各部署に取り組んでもらう必要があります。ISMS認証を取得することに関しては誰もが賛成しましたが、具体的な作業に入っていくと「やっぱりこんなこと無理だ」という雰囲気になりがちです。そうならないよう、ISMS事務局の3名が中心となりつつ、各部署に担当者を置いて、その担当者を教育して動かしてもらうようにしました。

— 取り組みをスタートさせるタイミングで、そのような体制を作っておられたのですか。

最初はISMS事務局だけでスタートしましたが、どうしても他人事になりがちなので、途中で体制を再構築しました。
全社を挙げた取り組みにするにはどうすれば良いか、金子さんに相談させていただき、各部署に担当者を置くことになりました。

担当者は、ある程度責任ある立場の社員に動機付けをして担当してもらいました。その上で、部署だけでは動きづらいと思い、ISMS事務局のメンバーが分担して各部署に入り込んで、一緒に取り組みました。

最初のうちはなかなか一体感を醸成出来ませんでしたが、最後の1ヶ月は会社全体で乗り切って行こうという機運が高まり、非常に有意義な取り組みになりました。

もう1つ、苦労したのがルール作りです。これはISMS取得の良いところでもあり、わかりづらいところでもありますが、あくまでもマネジメントシステムなので「これをやれば取得できる」という決め事がありません。実際にルールを決めていく時に、これが適切なのかどうか、さじ加減を計るのは難しかったです。これに関しても、金子さんに相談して、アドバイスを頂きながら落とし所を探って行きました。

— 今後の展望を話し下さい。

今後、名刺にISMSの認証マークを印刷しますので、営業面にも寄与していくことは間違いありません。ISMS認証取得は、お客様にとっては安心材料の1つになると思いますので、アピールポイントとして利用していきたいと考えています。

また、マネジメントシステムがしっかり整備出来ていれば社員教育もしっかりできますし、社員としても情報管理に関する不安がなくなることで、安心して仕事が出来るようになります。ロイヤリティを高め、離職率を下げるためにも、情報セキュリティマネジメントシステムを維持することは大切です。

金子さんからもよく言われたことで、我々自身も認識していることは、運用の重要性です。お客様の重要な情報を取り扱っている以上、我々を安心してお使いいただくためにも、一人ひとりがもっと高いレベルで意識して取り組む必要があります。そういう意味でも認証取得後の1年目は、取得に向けた取り組み期間と同等に重要な期間になると考えています。ISMS認証を取得したことによる安堵感で気持ちが緩まないような施策は打っていかなければ行けません。

そこでISMS認証取得後は、ISMS事務局が中心となり情報セキュリティ委員会を設け、月1回～隔月のペースで部署の担当者とISMS事務局が集まり、課題や取り組み状況の確認をしています。加えて、eラーニングで定期的な教育の機会を設けました。当社のWEBサイトにはすでにISMSの認証マークを掲載していますので、それに恥じないように展開をしていきたいと考えています。

— 定期的な教育の機会というのは、認証を維持していくために行う、年一回の従業員教育ですか。

弊社では年に1回、まとめて実施するのではなく、もっと細かく、頻度を上げて実施したいと考えています。
一度に何十問もテストすると、受ける方にとって負担が重くなります。1回あたりのテスト項目は減らして、その分、数ヶ月に一回ぐらいの間隔で実施することで、意識を定着させて行きたいと考えています。教育という表現をすると、敷居が高く感じられますので、楽しみながら取り組める仕組みを作って行きたいと考えています。

— LRMのコンサルティングを受けられたご感想をお話し下さい。

情報セキュリティのコンサルティング会社はLRM以外に存じ上げませんので、相対評価は出来ません。ただ、担当して下さった金子さんは、我々の実情を理解した上で、しっかりリードして下さいました。特に4ヶ月の休眠期間を経て再開する際には、取り組みを年内取得というゴールを達成するためのマイルストーンを明確に示していただけましたので、信じて取り組むことが出来ました。また、内部監査を含め、出来ていないことは出来ていないこととしてしっかりご指摘いただけたことで、審査もスムーズに済ませることが出来ました。

そもそもISMSとは何か、全体像が把握できないことによって不安を抱えながらの取り組みでしたが、そんな中でも取り組みを維持出来たのは金子さんのサポートがあったおかげです。

— 今後の運用においてLRMに御期待されることがございましたらお話し下さい。

今後もLRMのサポートは継続していただきます。ISMSの運用・改善サポート『情報セキュリティ倶楽部』を契約しました。先ほど申し上げた通り、認証取得後の1年目は非常に重要な期間であると認識しています。次の維持審査、3年後の更新審査に向け、社内では判断できないことがまだまだありますので、困った時にチャットや電話でコンサルタントに相談出来る体制が出来ていれば安心材料になります。内部監査の体制を作って行く際もアドバイスを頂きたいと考えています。

エンプラス株式会社の皆様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。

※ エンプラス株式会社様のWEBサイト
※ 取材日時 2021年3月