株式会社星光様 – 顧客事例 –

株式会社星光は、医療系クラウドサービスの営業先からのニーズに応え、ISMS/ISO27001認証新規取得に取り組みました。サポートを受ける相手には、取引先であるサーバー会社からの紹介により、LRMをご選定いただきました。
認証取得に至るまでの経緯やLRMのコンサルティングに対するご評価などについて、代表取締役社長・岡村忠明氏、ネット事業部 部長・岩谷英一氏にお話を伺いました。

（株式会社星光について）

医療系クラウドサービスを提供している会社。2001年、「お医者さんはどこ？」を基本コンセプトとして病院検索サイト『医者どこ.net』を開設するとともに、インターネット診療予約システム『医者どこ予約』を販売開始。さらに2012年には地域医療連携予約システム『e連携』の販売を開始している。患者と街の診療所を結ぶ『医者どこ予約』に対し、『e連携』は診療所と地域の基幹病院を結ぶ。厚生労働省が主導する地域医療連携推進に伴い、今後は『e連携』のビジネスを加速させる考えである。10年以上に渡る『医者どこ予約』の運用で培ったユーザービリティの高さを武器に、トップシェアを狙う。他に公共交通機関などに設置するサインシステムの開発事業と広告代理事業を展開。創業から70年以上の歴史を持つ老舗企業である。
創業；1947年8月。従業員数；約40名。本社；大阪市天王寺区。

— LRMへのご依頼内容をお話し下さい。

弊社は、2016年11月、LRMにISMS/ISO27001（以下、ISMS）認証の新規取得コンサルティングを依頼しました。LRMの担当者は吉村さんです。吉村さんと一緒に準備を進め、2017年6月、認証取得が完了しました。

— ISMS認証取得の理由をお話し下さい。

弊社がISMS認証を取得した理由は、ネット事業部で提供している『e連携』のお客様のニーズに応えるためです。

『e連携』の販売対象は、地域の中核病院（総合病院、基幹病院、公立病院）です。中核病院との取引では、『医者どこ予約』の販売対象である診療所と比べて高いレベルの情報セキュリティ対策が要求されます。

『e連携』はクラウド上に、診察を受けるにあたっての主訴情報を含む患者さんの個人情報を保持するシステムです。
病院との商談では情報セキュリティに対する取り組みが問われます。そのためにもISMS認証取得が不可欠であると考えました。

— ISMS認証の適用範囲を教えて下さい。

今回は新規取得なので『e連携』を担うネット事業部のみに限定しました。情報セキュリティは、ネット事業部に関わらず全社的に意識すべき課題ですが、弊社が手掛ける3つの事業はサービス内容や事業環境など事情が大きく異なるため、統一したルールを設けることは困難であると判断しました。まずは、ネット事業部での成果を見て、将来的に拡大を検討したいと考えています。

（経営者の視点）

ISMS認証取得が仕組み作りのきっかけになると考えました
（代表取締役 社長・岡村忠明氏）

ネット事業部は4名の組織です。リソースが潤沢ではないので、仕組み作りがなかなか進まず、情報セキュリティに関しても、必要が生じたときに、その場その場で判断して対応してきました。

経営者の立場からすると、そのような状況には不安がありました。『e連携』のお客様からISMS認証の取得を求められ、現場からISMSを取得したいという声が上がった際には、単に認証を取得するだけではなく、実効性のある仕組み作りに繋げられるチャンスだと考えました。

弊社はISMSに先駆けて、ISO9001を取得しましたが、その浸透に時間がかかりました。最大の要因は、その取り組みがトップダウンであったことだと考えています。「ISO9001とは何か」「なぜ必要なのか」といった基本を理解させることから始める必要がありました。

それに対し今回のISMS認証取得は、事業部の現場から上がってきた取り組みのため、着手がしやすかったです。
経営者が前線に立って取り組んでもワークフローに沿った仕組みは作れません。運用に関しても当事者が関わって作った仕組みなら、理解できるし、高い意識を持って取り組めると感じました。ISMS認証取得の声が現場から上がってきたことは非常に嬉しく感じました。

— プライバシーマーク（以下、Pマーク）ではなく、ISMSを選んだ理由をお話し下さい。

第一の理由は、ISMSが弊社のニーズに適していると判断したからです。

弊社としては、当初からISMSとPマークの違いを明確に把握していたわけではありません。一般的に知名度が高いのは圧倒的にPマークですし、弊社内でもISMSに関しては漠然とした認識しかありませんでした。

弊社としては、何もない状況が少しでも前に進めば良いと考えていたので、取りやすい方を取るという考えもありました。しかし、LRMにISMSとPマークの違いを説明していただいて理解した上で、ISMSに決めました。
最終的にISMSを選んだ理由は次の2点です。

（1）ワークフローに沿ったマネジメントシステムが構築できる
マネジメントシステムの構築にあたり、PマークよりISMSの方が自由が利くことが最大の理由です。
Pマークはやらなければいけないことが決まっており、そのフレームワークに業務を合わせることが大変です。
ISMSは自社のワークフローに沿ったマネジメントシステムが構築できます。

（2）適用範囲を事業部単位に設定できる
ISMSは認証の適用範囲を、施設や事業の単位で設定できます。Pマークは法人単位でしか取得できません。
弊社は事業部ごとに事情が異なるため、現状では全社取得は困難です。ネット事業部以外の事業部では当事者意識を持たせることが難しいと考えました。
ISO9001の反省から、まずは必要を感じているネット事業部からスモールスタートした方がやりやすいと考えました。

— ISMS認証を取得したことによる成果を実感されることはありますか。

これまで個人任せだった業務手順に対して、事業部全体の統一ルールを決めて、その手順に従って仕事をするようになったということが現時点における成果です。何かあった時のお客様に対する説明も、今回構築したマネジメントシステムがあれば、根拠のある話ができます。

— それによって可視化された変化はありましたか。

ISMS認証取得による変化は、何かトラブルが発生した時に初めて実感できるものではないかと考えています。
ISMS認証を取得したから、あるいはマネジメントシステムを構築したからといって、トラブルそのものが起きなくなるということではありません。むしろ、何かトラブルが発生した際に、その問題と向き合って、是正していくことが大切です。まだネット事業部の従業員自身、ISMSの運用に慣れていないため戸惑うことの方が多い状況です。
今後、運用し続けながらマネジメントシステムを見直し、改善を重ねる中で、社員の意識や行動が変化していくことを期待しています。

現在の社会では個人情報をはじめとする機密情報の管理に対する意識は非常に高まっています。
大量の個人情報漏えい事故が一度でも発生しただけで、中小企業は再起不能な大打撃を受けるでしょう。これまでもそのような危機感や不安は漠然と持っていました。その危機感に対し、今回、ISMS認証取得を通じてマネジメントシステム構築を行うことで、ある程度の安心に繋げられれば良いという想いも持っていました。
ISMSは、顧客のニーズに応えることや、社内の意識を高めることだけではなく、漠然とした危機感や不安を収めるための拠り所にもなるものではないかと考えています。

— LRMのコンサルティングを受けたご感想をお話し下さい。

非常に信頼のできる仕事をしていただいたと感じています。特に、吉村さんが、ソフトウェア業界に対して精通していることで、我々が期待した通りの情報セキュリティマネジメントシステムの構築をスムーズに進めることができました。マニュアルも、コンパクトにまとまっていて、運用しやすいものになりました。

ISMS認証取得の直接の目的は、顧客ニーズに応えることでしたが、一方では、情報を守る仕組み作りにつなげたいという想いもありました。仕組み作りのためには従来の業務手順に潜む問題を顕在化させる必要があります。
コンサルタントにしっかり関与していただけなければ、その目的を達成することはできません。LRMの吉村さんは、その役割をきちんと果たしてくれました。弊社の業務に対してしっかり理解をしていただいた上で、細かくチェックしていただいたことで、これまで注意していなかった部分にまで意識を及ばせて、しっかり議論することが出来ました。

また、吉村さんは、問題を顕在化させるだけではなく、顕在化した問題を解決するための引き出しもたくさん持っていると感じました。こちらの目的意識を的確に理解していただいた上で、的を射たアドバイスをいただけたと考えています。

— 情報セキュリティの取り組みに関して、今後の取り組み課題などがあればお話し下さい。

ISMSの運用を始めてまだ半年弱しか経っていないため言い切ることはできませんが、今後、LRMと一緒に構築したマネジメントシステムが機能して業務改善につながるという実感が持てれば、適用範囲の拡大も検討したいと考えています。そのためにも、まずはネット事業部でPDCAをしっかり回してノウハウを蓄積し、そこで得た成果を全社に還元できることが理想形です。

— 現段階で、LRMに期待することはありますか。

現段階では、ISMSの運用にどれぐらいの負担が社内にかかるのか明確にイメージできませんが、1つだけ言えることがあります。それは情報セキュリティに関する社会の動向について、我々が入手できる情報が限られているということです。特に、他社の失敗事例などは運用改善の参考になります。LRMはそのような事例を豊富に持っているため、運用保守サポートにも関心は持っています。今後、自社でどこまで運用できるかを見極めた上で、改めて検討していきたいと考えています。

株式会社星光様、お忙しい中、有り難うございました。

※ 株式会社星光様の Webサイト
※ 取材日時 2017年9月