株式会社イノベーションネクスト様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

弊社は2017年6月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。同時に認証取得後の運用を見据えて、ISMS運用改善サポート『情報セキュリティ倶楽部』も契約しました。

LRMの担当者・井崎さんのサポートを受けて準備を進め、当初の予定通り12月末にISMS認証を取得しました。年明けからは早速LRMのサポートを受けながら審査の指摘事項への対応に取り組み始めています。

— ISMS認証取得の目的をお話し下さい。

ISMS認証取得の目的は、自社サービスを本格展開するための環境整備です。弊社はシステム会社からスタートした会社ではなく、もともとはCRMや人材派遣業などを軸に発展してきた会社です。幾度かの再編を経て、数年前にシステムを担う会社へと変わりました。自社サービス『RooPA』『P.i.T勤怠』は2017年に立ち上げ、外販に注力しはじめたばかりです。今後外部を対象としたITソリューションプロバイダとして事業を展開するには以下の2つの課題がありました。

（１）社内統制
ISMS認証取得を決めた当時は、まだシステム開発や運用などの業務を進めるための体系的な社内ルールは確立されていませんでした。個々の社員は業界経験者で、情報セキュリティに対する意識は持っていますが、明文化された社内統一ルールは存在しませんでした。しかし自社サービス開始以降、社員数が急激に増加しているため、統一ルールの構築が必要となりました。そこで第三者機関の認証制度を活用して統一ルールを構築することにしました。情報セキュリティ分野における第三者機関の認証制度にはプライバシーマーク（以下、Pマーク）もありますが、弊社の事業内容を勘案し、より広範囲の情報資産を対象として企業の成熟度に応じたマネジメントシステムを構築できるISMS認証を選択しました。

（２）社外からの信用力強化
弊社はグループとして見れば派遣業界でゆるぎないポジションを築いています。しかしイノベーションネクスト単体で、しかも外部に向けたソリューションプロバイダとして見れば、小規模なスタートアップです。スタートアップがお客様にサービスを提供するには、安全・安心を訴求する必要があります。そのためにはISMS認証取得が有効であると考えました。

特に今回は弊社代表の伊藤が強い危機感を持ち、ISMS事務局に加わり積極的に関与しました。今後自社サービスを本格化していけばお客様の情報を直接取り扱う場面が増えて来ます。そこで重大なインシデントを起こしてしまえば、事業運営に支障を来たします。当初はISO27017/ISMSクラウドセキュリティ（以下、ISMSクラウドセキュリティ）認証取得も視野に入れていましたが、LRMの井崎さんのアドバイスもあり、まずは最低限のところから着手することとし、ISMS認証のみを取得することになりました。

— その時点でISMS認証新規取得後の運用保守サービス『情報セキュリティ倶楽部』の契約まで決めた理由をお話し下さい。

ISMS認証取得の1つの目的は社内統制ですが、社内統一ルールを構築するだけでは効果がありません。そのルールを運用する個々の社員に情報セキュリティ意識を定着させる必要があります。会社の規模が拡大中ということもあり、ISMS認証取得後の運用においてもコンサルティング会社のサポートは必要であると考えました。

— 今回のISMS認証取得を振り返られて、コンサルタントが果たした役割とはどういったものでしたか。

自動車運転免許に例えると、教習所のようなものだと感じました。自動車運転免許は頑張れば一発試験でも取れるかもしれません。しかしそれは簡単ではありません。筆記試験の対策はテキストの読み込みである程度可能ですが、技能試験は普通の環境だと対策は困難です。教習メニューに従って１つ1つステップを踏んで行かなければ、ルールを守って公道を走れるようにはなりません。

ISMS認証も同様です。認証取得のために何を用意しなければいけないか、どのような順番で用意していくのかなど、踏まなければいけないステップは素人には分かりません。コンサルティングを受けずにISMS認証を取得することが果たしてできるのかどうかは疑問です。

— ひな形さえあれば自分たちで準備ができるというものではないのですね。

もちろんです。ひな形だけ渡されても出来るわけがありません。どこに何が書かれているのか、自社に置き換えた時にそのままで良いのか、自社の状況に合わせてどこまで書き換えて良いのかといった判断は、やはり専門家のサポートがなければ出来ません。アドバイスをもとに自社で書き換えた後も、その内容をチェックしてもらう必要があります。
また用意しなければいけないのは情報セキュリティマニュアルだけではありません。例えば情報資産台帳の作成でも、情報資産として何をリストアップするかといったことは、井崎さんに相談しなければ決められませんでした。

— LRMにコンサルティングを依頼して良かった点をお話し下さい。

LRMには、我々が取り組みやすいようにサポートしていただいたと感じています。特にドキュメント作成においては、必ずこうしなければいけないという杓子定規なところはなく、弊社の状態や状況をよく理解した上で柔軟な対応をしていただきました。他社の事例を交えたアドバイスも非常に参考になりました。

ISMS事務局の松村は過去に在籍していた会社でPマークの取得に携わった経験があります。Pマークは定められたことを全てやらなければいけない認証制度である上に、その時に契約したコンサルティング会社は宿題を出すだけでフォローは一切してくれませんでした。膨大な量のドキュメントを作成しなければならず、非常に大変な思いをしました。
ISMS認証でも同じことをするのかと思っていましたが、作成するドキュメントも必要最低限で済みました。LRMにリードしてもらったことで、認証取得のためにかけた負担も最小限に抑えることが出来ました。

— 今後の課題をお話し下さい。

今回のISMS認証取得では最低限のレベルに抑えてマネジメントシステムを構築しました。今後は今回構築したマネジメントシステムをベースに、よりセキュリティレベルを高めて行くことが課題となります。必要以上に現場を縛ることはできませんが、事業が大きくなれば人数も増えます。そうなると、何が起こるか予測できません。社内の機密情報や顧客情報の漏えい・改竄といったインシデントを防ぐには、ガバナンスの強化や教育体制の確立が必要です。規模に応じてマネジメントシステムを改善していきたいと考えています。

— ISMSの運用改善サポート『情報セキュリティ倶楽部』ではどのようなサポートを受けていますか。

現在はISMS運用に関するメール相談に対応していただいています。ISMS認証取得後の年明けには早速審査時の指摘事項を整理してもらい『Backlog』にタスクとしてアップしてもらいました。またISMS認証取得を決めた当時と比べて社内のリソースが充実してきたので、今回見送ったISMSクラウドセキュリティ認証の取得も改めて相談したいと考えています。さらに3年後にはISMS認証の更新審査があります。その頃には規模がいっそう拡大し、状況も大きく変わっているはずです。更新審査に向けた準備ではメール相談だけではなく、運用状況のチェックをはじめ、しっかりとサポートをしていただくことになるでしょう。これからも柔軟なサポートをよろしくお願いいたします。

株式会社イノベーションネクスト様、お忙しい中、有り難うございました。
今後ともよろしくお願いいたします。

※ 株式会社イノベーションネクスト様のWEBサイト
※ 取材日時 2018年2月