株式会社グルージェント様 – ISO27001&ISO27017同時取得 –

株式会社グルージェントはLRMのサポートを受けてISMS/ISO27001認証とISO27017/ISMSクラウドセキュリティ認証の同時取得に取り組みました。2つの認証を取得した理由と取り組みの経緯、LRMの果たした役割、さらに今後の課題などについてお話しを伺うために、情報セキュリティ管理者を務める取締役 開発統括・平松寛司氏とクラウドサービス部 アドミニストレーター・松本明丈氏のお2人を訪ねました。

（株式会社グルージェントについて）

「日々の仕事を安心快適にするクラウドサービスを提供し、働く人が能力を最大限に発揮できる環境づくりを支援」することをコンセプトとして事業を展開する少数精鋭のクラウドサービスプロバイダーである。1999年にSIベンダーとして創業し、2008年よりオープンソースソフトウェア(OSS)をコアテクノロジーとしてソフトウェアの開発事業を展開するサイオスグループに参画。その後、『G Suite(旧 Google Apps for Work)』(以下、『G Suite』と表記)のリセラー事業にシフトしたが、その中で米国仕様の『G Suite』に対し不満や不安を抱く国内企業のニーズに応える形で補完するアプリケーションの開発・提供を開始。現在はクラウドサービスの利便性とセキュリティを同時に確保するSSOアクセス制御サービス『Gluegent Gate』、クラウド型ワークフローシステム『Gluegent Flow』などのGluegentシリーズとして7つのサービスを展開している。企業におけるクラウド活用が進む中、順調に事業を拡大している。
設立;1999年7月。本社;東京都港区。従業員数;30名(2018年5月現在)。

— LRMへのご依頼内容をお話しください。

弊社は2017年6月LRMにISMS/27001(以下、ISMS)認証およびISO27017/ISMSクラウドセキュリティ(以下、ISMSクラウドセキュリティ)認証の同時取得コンサルティングを依頼しました。

2017年6月にコンサルティングがスタートして、2018年4月下旬に第2段階審査を終え、現在審査結果を待っているところです。弊社を担当してくれたのは井崎さんです。LRMのコンサルティング自体には大変満足しています。

— ISMS認証とISMSクラウドセキュリティ認証を同時取得した理由を教えてください。

弊社がISMS認証とクラウドセキュリティ認証の同時取得をした理由は、社内のセキュリティ体制を強化し、自社サービスに対するお客様からの信頼性を向上させるためです。

最近は数万人規模の企業でも積極的にクラウドサービスを導入するようになり、弊社も大手企業への導入提案を推進してきました。大手企業との商談過程では必ずセキュリティアンケートやセキュリティチェックシートへの回答を求められ、弊社のセキュリティ体制や対策を詳細に記入してきました。しかし、ISMS認証やISMSクラウドセキュリティ認証を取得していれば、そう書くだけで顧客側のセキュリティ要件を満たしていると見なしていただけます。

また規模を問わずクラウドサービスのセキュリティに対して強い懸念を抱くお客様も少なくありません。そのようなお客様でも、第三者機関による情報セキュリティの認証を取得していれば、それがいわゆるお墨付きとなり、見方を変えていただけることが期待されます。

さらにISMS認証だけではなく、ISMSクラウドセキュリティ認証と同時取得することで競合との差別化にもつながるとも考えました。弊社のサービスは競合も多い市場ですが、ISMSクラウドセキュリティ認証まで取得している国内企業は現時点ではありません。

— ISMS認証の適用範囲、ISMSクラウドセキュリティ認証の対象サービスを教えて下さい。

ISMS認証は全社を適用範囲としました。

ISMSクラウドセキュリティ認証は、『Gluegent Gate』と『Gluegent Flow』の2サービスに対象を絞り込み、両サービスのクラウドサービスプロバイダー(以下、CSP)として、また『Gluegent Gate』のプラットフォームであるAWSと、『Gluegent Flow』のプラットフォームであるGCPのクラウドサービスカスタマ(以下、CSC)として取得しました。

— ISMSクラウドセキュリティ認証の対象サービスを『Gluegent Gate』と『Gluegent Flow』に絞った理由をお話し下さい。

当初は全サービスで取得するつもりでした。しかしLRMとの初回打ち合わせで、ISMSクラウドセキュリティ認証を取得するにはサービスごとに利用規約などを見直してお客様の同意を取るなど様々なタスクが発生するため、全サービスを対象とすると目指している期間には間に合わないという指摘がありました。そこで今回は対象サービスを絞り込むことにしました。

『Gluegent Gate』と『Gluegent Flow』を選択した理由は、いずれも現在特に販売に注力し、お客様からのニーズも高まっているサービスだからです。ISMSクラウドセキュリティ認証を取得することで両サービスに強みを持たせたいと考えました。『Gluegent Gate』は認証基盤サービスなのでセキュリティ系の認証を取得することでサービスの価値や信用が格段に高まります。また『Gluegent Flow』では企業の決済情報などの機密情報を扱いますので、お客様にとっては「情報漏えいなどのリスクから守られている」という安心感は不可欠です。

— 外部機関が定めた規格に基づくルールを導入することによる業務への影響などはご心配ではありませんでしたか。

多少の心配はありました。このような第三者機関による認証取得については、分厚いドキュメント類を作り、そこで定められた手順通りに業務を行うことで、業務スピードが落ちるというイメージを持っていました。
弊社は創業以来、少数精鋭かつフラットな組織運営をしており、意志決定や業務を回すスピードの速さは今でも非常に大切にしています。そのスピード感が今回の認証取得によって失われる不安はありました。しかしその不安は、LRMと打ち合わせをする中で解消されました。

— ISMSとISMSクラウドセキュリティの認証取得を検討し始めた時期をお話しください。

2017年5月頃から検討を始め、6月に入ってもともと経営者同士が知り合いだったLRMに連絡し、認証取得に向けた準備をスタートしました。

— 経営者同士が知人とはいえ、実際にご担当される立場で、ご不安はありませんでしたか。

もともと弊社はメンバーのネットワークを活かして様々なプロジェクトを推進してきた実績があります。LRMの情報セキュリティコンサルタントとしての実績も知っていましたので、心配や不安を抱く要素はありませんでした。
またご担当いただいた井崎さん自身がLRMの中でクラウドサービスの開発に携わっていると伺っていましたので、クラウドサービスを前提としたコミュニケーションで困ることはないと感じました。実際にコンサルティングがスタートしてみると期待以上でした。

— LRMのコンサルティングはいかがでしたか。

LRMのコンサルティングは文句の付け所がありませんでした。評価のポイントは3つです。

(1) コミュニケーションの取りやすさ
井崎さんとのコミュニケーションは非常に楽でした。質問は必要以上に言葉を費やさなくてもこちらの意図は通じますし、答えもわかりやすく、会話をしていて「それはどういうことですか」というやりとりがお互いにほとんどありませんでした。

ルール作りの際の主旨説明も非常にわかりやすかったです。社内でルールを検討するにあたり、ISMSやISMSクラウドセキュリティの要求事項の背景や考え方がわからなければ議論は進みません。井崎さんの説明やアドバイスがわかりやすかったので、社内で議論する際に参加メンバーに対して説明する必要がある場合も困りませんでした。

(2) 認証取得企業側に立つ的確なアドバイス
ルールそのものや表現の仕方について社内で結論が出せない場合にアドバイスを求めると、ちょうど良い落としどころを提示していただきました。認証を取得する企業側に立ったアドバイスが出来るコンサルタントだなと思いました。
社内で議論して決めた結果「これで良いのかな」と自信が持てない場合にチェックしてもらい「大丈夫です」と言ってもらえると勇気が湧いてくる感覚がありました。

また、井崎さんは審査のポイントを把握しており、審査員の視点に立ったアドバイスもしていただきました。
全てにおいて筋道を立てて考えられる材料を示していただけたのでやりやすかったです。

(3) レスポンスの早さ
問い合わせに対する回答が非常に迅速でした。今回、プロジェクト管理や打ち合わせの合間の連絡には、お互いに普段使っている『Backlog』や『Chatwork』を活用しました。その中で成果物をチェックしてもらったり、質問に答えてもらったりしたのですが、常に素早いレスポンスで回答いただき、回答待ちで進行が止まるということはありませんでした。

— 今後の課題をお話しください。

今後の課題は2つあります。1つは今回築いた情報セキュリティマネジメントシステムの土台を崩さないように運用しながら改善を続けていくことです。2つめはISMSクラウドセキュリティ認証の対象サービスの拡大です。
現在のところ全サービスに対象を広げる予定ですが、状況を判断しながら取り組んでいきたいと考えています。

— その中で、LRMへのご期待があればお話しください。

審査結果が出て無事にISMSとISMSクラウドセキュリティの両認証が取得できることが前提ですが、今回築いた土台を崩さずに改善を続けていく上でのサポートを期待しています。
ISMSクラウドセキュリティ認証の対象サービスを拡大するというミッションもありますので、まだまだLRMのサポートは必要です。審査結果が出た段階で、改めてご相談させていただきたいと思います。

株式会社グルージェント様、お忙しい中、有り難うございました。
今後ともよろしくお願いいたします。

※ 株式会社グルージェント様のWEBサイト
※ 取材日時 2018年5月