ラーグ株式会社様 – 顧客事例 –

「ITと建築の融合」を目指して事業展開するラーグ株式会社は2018年9月、ITソリューション事業を認証範囲とするISMS/ISO27001認証新規取得に取り組みました。目指したのは「全社で足並みを揃えて取り組めるルール作り」です。取り組みの経緯と成果についてIT事業部部長・村木亮介氏、経営企画室室長・倉持勇治氏のお二人にお話を伺いました。

（ラーグ株式会社について）

ITソリューションと建築ソリューションの2つの事業を展開している。ITソリューション事業は高い技術力とプロジェクト管理能力を強みに、Web系システムを中心とする受託開発と、オープン系からWeb系まで幅広い業務システムに対応するSESを2本柱としている。いずれも大手企業との直契約をメインに、コンサルティングから調査・分析、企画、開発、運用に至るトータルソリューションを提供し、収益性の高いビジネスを展開している。建築ソリューション事業では、飲食店、オフィスの内装を軸に、企画・設計から管理・保守まで、総合的なソリューションを提供する。創業の理念は「ITと建築の融合」。近年は建築ソリューションのターゲットである飲食店などに対し、IT事業部が開発するクラウド型監視カメラシステム『Lagu Camera Cloud』やWi-Fiソリューションといったサービスを提供し、理念の実現に向けた歩みを着々と進める。
設立；2014年1月。本社；東京都千代田区。従業員数；約25名（2019年3月現在）。

— LRMへのご依頼内容をお話し下さい。

弊社は2018年9月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。
今回、弊社が取り組んだのはITソリューション事業部を適用範囲とする部分認証です。担当者・村田さんのサポートを受け、2019年2月に第2段階審査を経て、3月下旬、ISMS認証を取得しました。

— ISMS認証を取得するためにコンサルタントのサポートが必要な理由をお話し下さい。

ISMS事務局のメンバーは、いずれもISMS認証取得の経験はありませんでした。また、ISMSの規格は、素人が読んでも解釈が難しいところがあります。そういったことから、コンサルタントのサポートがなければ、認証取得に向けた準備をスムーズに進めることは出来ないと思いました。弊社の場合、建築部門とIT部門に分かれていますが、オフィスもネットワークも共有していますので、どういった線引きをすれば良いのかもわかりませんでした。どういうルールにすれば従来通り一緒に業務を行えるかを判断するためにも、コンサルティング会社のサポートは必要でした。

— コンサルティング会社の選定基準はございましたか。

ISMS認証取得までのプロセスと費用、実際の運用が始まってからのサポート体制が明確であることを重視しました。
3社ほどお会いしてご説明いただいた中で、最もわかりやすかったのがLRMです。審査に向けてどのようなタスクに取り組む必要があるのか、そこに至るまでのサポートと料金、そして認証取得後のサポートメニューなどを明確にご説明いただきました。また、システム開発会社の事業に対する理解もしっかりしていましたので、安心してお任せ出来ると思いました。

— 他のコンサルティング会社からは明確なご説明がなかったのですか。

はい。こちらから質問すれば説明していただけるのかもしれませんが、私たちにとっては初めての経験ですので、どのような質問をすれば知りたいことを教えていただけるのかがわかりませんでした。こちらから何か質問する前に、一通りのご説明をいただいて納得出来たのはLRMだけでした。

— 全ての作業が打ち合わせの時間内で終わったのですか。

いいえ。情報資産管理台帳や、ネットワーク図、アカウントの管理台帳など、構築したルールを運用するために必要なドキュメント類が沢山ありましたので、LRMとの打ち合わせとは別に日程を確保して社内で作成しました。

— ルール作りやドキュメント類の作成を進める上でLRMからはどのようなサポートがありましたか。

まず、ルールを作る上では、様々なヒントをいただきました。先ほど申し上げましたIT部門と建築部門の兼ね合いに関しても、「こういう方法がある」「こういう考え方がある」と、他社の具体的な事例や背景をしっかり説明していただきました。そのおかげでルールを決めるだけではなく、自分達で考えて判断できるようになりました。

また、ドキュメント類の作成では、最初の段階で一通りフォーマットを準備していただきましたし、作業する中で確認したいことが発生した際は、メールで問い合わせをすると、大概半日以内には回答をいただけました。
ISMS事務局のメンバーは専任ではないため、時間の捻出では苦労しましたが、そんな中でもLRMのサポートがあったことで作業時間を短縮することが出来ました。

— ルール作りとドキュメント類の作成が終わった後は従業員教育ですね。

はい。従業員教育は11月中にLRMが提供するセキュリティ教育クラウド『セキュリオ』のeラーニング機能を使って実施しました。

— 内部監査はいつ実施されましたか。

1月中旬、第1段階審査の前と、2月上旬、第2段階審査の前に実施しました。1回目は事務局向けで、審査に必要な書類が揃っているかどうかを確認しました。2回目は現場を対象に構築したルールの実施状況をチェックしました。

— 内部監査員はどなたが務められましたか。

事務局と本社の従業員を対象とした内部監査はLRMの村田さんに内部監査員を代行していただきました。鹿児島オフィスは倉持が内部監査員を務めましたが、LRMによる内部監査を受けていましたし、事前にチェックリストを作っていただいていましたので、スムーズに実施することが出来ました。

— 審査は不安なく迎えることが出来ましたか。

初めての経験ですので最初は緊張しました。しかしルール自体はしっかり出来ていましたし、内部監査が予行演習代わりになったこともあり、審査員の方とコミュニケーションをしっかり取ることが出来ました。その結果、しっかり理解していただいて、無事に終えることが出来ました。

— ISMS認証取得に取り組まれた成果をお話し下さい。

当初の目的通り、お客様のご要望にお応えするとともに、全社で足並みを揃えて取り組めるルール作りが出来ました。しかし、最も重要なことは、私たち自身がそのルールが適用された理由を理解出来ているということだと考えています。LRMにルールの背景を説明していただいた上で、当事者同士で議論したことで、情報セキュリティマネジメントの考え方が身に付きました。1つ1つのルールの背景にどのようなリスクがあるかを把握した上で、ルールを決めているので、状況が変わった時やイレギュラーなことが起きた時の対処方法なども判断することが可能です。また自動化ツールの導入など、ISMSを運用するために必要な投資判断もしやすくなりました。

— 今後の課題をお話し下さい。

現時点では、今回構築したルールをしっかり回していくことが重要だと考えています。事業拡大とともに新しいリスクが発生することが予測されますので、継続的に見直していきたいと考えています。

— LRMへのご期待がございましたらお話し下さい。

弊社では現在、LRMの運用改善サポート『情報セキュリティ倶楽部』の契約を検討しているところです。今回の取り組みを通して我々自身、構築したルールの背景が理解出来たとは言え、専門家ではありません。
ISMSを運用していく中で、専門家としてのアドバイスが必要となることもあると思われます。必要に応じてサポートを依頼したいと考えています。

ラーグ株式会社様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ラーグ株式会社様のWEBサイト
※ 取材日時 2019年3月