株式会社日本SPセンター 様 – 顧客事例 –

セールスプロモーション会社であるという特性上、クライアントから新製品情報をはじめとする機密情報を預かることが多い株式会社日本SPセンターでは、2012年1月より、情報セキュリティ体制の構築に本格的に取り組んできました。その一環としてISMS/ISO27001認証を取得。そのコンサルティングをLRMに依頼しました。情報セキュリティ体制の構築経緯、その中でLRMが果たした役割についてIT戦略室 室長の松岡輝夫氏と情報セキュリティ委員会事務局の倉内直也氏にお話をうかがいました。

（株式会社日本SPセンターについて）

セールスプロモーションに関するトータルソリューションを提供。市場調査・分析から新製品の市場導入プロモーション、パンフレット・カタログなどの紙媒体やDVDなどの電子媒体、Webコンテンツ、iPad販促アプリなど各種ツールの企画・制作まで幅広く対応している。徹底した商品研究とマーケット分析に基づいた説得力のあるコンテンツ制作が強みである。国内トップクラスの家電メーカーや住宅メーカーなどと代理店を挟まない直取引を行い業容を拡大してきた。現在は、学校法人、保険会社、葬祭サービスなどなど多種多様な業界にクライアントを持つ。
創業は1967年。事業拠点；東京本社、大阪支社。従業員数；96名（2013年7月現在）。

–　御社が、LRMに依頼した業務内容を教えてください。

松岡　弊社は2012年1月、LRMにISMS/ISO27001認証（以下、ISMS認証と表記）の新規取得コンサルティングを依頼しました。2013年6月上旬、認証取得が完了しました。取得後は保守サービス『情報セキュリティ倶楽部』を契約しました。今後も継続してISMSの運用をサポートしていただきたいと考えています。

— ISMSの構築はどのように進んだのですか。

松岡　 ISMSの構築だけではなく、IT化による業務の効率化など入社時点でかなりタスクが山積していたので、まず課題の整理から始めました。その上でやらなければいけないことを洗い出して、3年ぐらいのマスタースケジュールを作りました。ISMS認証の取得もその中の1つのタスクとして位置付けました。
当初、社内では2012年の秋から年末にかけて認証を取得したいという目標がありましたが、あくまで認証取得後のISMSの継続的な活動を視野に置き、認証取得は少しペースを落として、まずはISMSを運用するための条件を整えることを優先して進めました。

— ISMSを運用するための条件とは具体的にはどのようなことですか。

松岡　 それは大きく分けて二つあります。（1）ISMS認証の取得と取得後の運用に必要なIT化、（2）情報を扱う社員の当事者意識の醸成、です。

（1）ISMS認証の取得と取得後の運用に必要なIT化
先ほどシステムで補完するという話をしましたが、そのためには最低限、社内ネットワークやPCの一元管理システムなどが整備されていなければいけません。入社してIT戦略室のタスクに着手しようとした際、その整備ができていなかったため、まずはISMS認証取得に必要なインフラストラクチャの整備を行いました。

（2）情報を扱う社員の当事者意識の醸成
システムで補完できない、人が介する部分はルールを設けることで守っていかなければいけません。そこで重要なのは情報を取り扱う社員自身の当事者意識です。情報を守るためのルールを作り、そのルールを守り、またルールそのものを見直すというPDCAサイクルに、社員一人ひとりが当事者意識を持って参加しなければ、ISMSは形骸化してしまいます。IT戦略室が設立された時点では、社内に情報セキュリティに関することは全てIT戦略室が担うものという意識が強いように感じました。そこで認証取得に向けた作業の中で、委員のメンバーや部門長の方々にも規定づくりに参加していただき、時にはLRMに第三者の立場から厳しい意見を言っていただくなどして、当事者意識の醸成を図りました。

以上のような取り組みを行いながら、ルールづくりなども無事に終えて、2013年6月の認証取得に至りました。

— 次にLRMの関与に関して伺います。まず、コンサルタントの選定はどのように行いましたか。

倉内　インターネットで検索して、4社ぐらいピックアップして、対面によるヒアリングを行い選定しました。
LRMをピックアップした理由は、ホームページに実績やコンサルティングの進め方などが詳しく記載されており、安心してお任せできそうだと判断したからです。

— 選定にあたっての基準は何かございましたか。

倉内　弊社特有の事情にどれだけきめ細かく対応していただけそうか、という部分を重視しました。弊社の業務には、クライアントからお預かりした情報が業務を遂行する中で無限大に増殖してくという特殊性があります。
このような特殊性を考慮して柔軟に対応していただけそうなコンサルタント会社を選定しました。

— LRMを選定した決め手は何でしたか。

倉内　お話しを聞いて疑問や不安を感じることがなかったことです。最初にお会いしたのは、今回コンサルティングの主担当を務めた吉村さんですが、非常にしっかりした印象がありました。また、広告系の企業での実績もあると聞いて、安心してお任せできると感じました。

対面したコンサルティング会社の中には「何でも出来ます」という会社もありましたが、詳しく話を聞いていくと、本当にできるのかと不安に感じたり、きめ細かく対応していただける感触が持てなかったり、ホームページを見ても期待した通りの安心感は持てませんでした。LRMは選定時の期待感が損なわれることがなかったので、委託を決定しました。

— 今回、ISMS認証取得において、LRMが果たした役割の中で特に重要だったことは何でしょうか。

松岡　（1）ISMS認証取得を進める上でのペースメーカー、（2）ルールづくりを進める上での柔軟なサポート、の2点です。

（1）ISMS認証取得を進める上でのペースメーカー
プロジェクトの開始から認証取得完了に至るまで一貫して、ペースメ―カーの役割を果たしていただけたことはIT戦略室の立場からは非常に助かりました。
特に部署が立ち上がってからの3か月間は、やらなければいけないことが見えているのに、私自身がほとんどアウトプットができていない状態でした。それだけタスクが山積していました。
そのような状況で、ISMS認証を取得するまでのマイルストーンはLRMがしっかり管理してくれたので、私自身はシステム化やガイドラインの見直し、社内の体制づくりに専念することができました。ISMS認証取得の進捗管理に関しては、LRMにまかせっきりでした。

（2）ルールづくりを進める上での柔軟なサポート
ISMSのルールづくりでは、100点を目指した進め方は不可能です。規格を踏まえつつ、自社の実態に応じた無理のないルール作りが課題となります。その課題を解決するには、ISMSの知識に加え、社内の事情をしっかり把握する必要があります。LRMは何度も弊社を訪れて我々の話をよく聞き、社内の実情を十分理解した上で、経験に基づいた提案をしてくれました。LRMの豊富なコンサルティング経験を踏まえた現実的な助言も非常に参考になりました。
また、ISMSのルールの素案はLRMが作成したのですが、弊社の考え方や文化を反映したものを作成してくれました。

さらにISMSのルールづくりでは、ガイドラインやメインクライアントのセキュリティ基準と齟齬のないよう調整を繰り返しましたが、ほぼ出来上がった段階で弊社側がガイドラインに変更を加えた際にも、ルールの微調整や読み合わせなどに根気強く対応していただきました。
このような柔軟な対応をしていただいたことで、ISMSのルールという建前と現場の手順が乖離しないマネジメントシステムが構築できました。

— 選定時の期待感に対して、LRMは十分に応えることができましたか。

倉内　はい、期待通りでした。一般的にコンサルタントの方というのは、形式的であることが多いと感じます。
LRMの場合は、個別の事業に応じて、非常に柔軟に対応してくれます。例えば、やらなくて良いことはやらなくて良い、という柔軟性はすごく大事です。ISO27001の規格ありきでスタートすると、弊社にとっては無駄なことが増えて、却ってリスクが高まります。「情報を守る」という視点を軸に考えれば、そのような無駄はなくなります。
融通が効きすぎるのも問題ですが、LRMは最低限押さえるべきところは押さえ、本質を踏まえた対応をしていただけたため、弊社にとってちょうど良いマネジメントシステムが構築できたと考えています。

松岡　そうですね。私は立場上、完璧を求めてしまいがちなのですが、LRMが適度に間引いてくれました。
それによって、業務フローに大きな影響が出ないルールが作れました。

倉内　LRMの対応の仕方には仲間意識のようなものを感じます。社内の人間と同じ目線で考え、行動していただけたことが信頼関係へとつながりました。

— 認証取得後、『情報セキュリティ倶楽部』に契約をした理由を教えてください。

松岡　情報セキュリティの体制づくりを進めていく上で、専門家のサポートが必要だからです。

現段階で、ISMSを運用していく土台は出来ましたが、IT戦略室としての課題はまだまだたくさんあります。
これまでは情報を守るためのシステム化を中心に進めてきましたが、今後は効率化も進めて行かなければいけません。その一方で、ユーザーが安心・安全に情報を扱えるような仕組みづくりも継続していく必要があります。
これらのタスクをこなしながら、ISMS認証の運用維持をしていくには、社内のリソースだけでは対応しきれません。

例えば、これまで取り決めていない事案が発生した際、自信を持った判断・対応をするためには、LRMが持っている他社の事例やノウハウは大変役立ちます。また、法律は解釈を伴いますので、ISMSの法律が絡む場合の判断には心許なさを感じることがあり、一般的に妥当な判断なのかどうか判断するためにも、専門家のサポートは必要です。
逐一行うことが困難な規格の変更のチェックも、安心して任せることができます。

セールスプロモーション業界の変化は激しいので、事業構造そのものが変わっていく可能性もあります。ISMSの運用を維持するためには、そのような変化に柔軟に合わせていかなければいけません。LRMにはそういうことも含めて相談に乗っていただきたいと考えています。

— 情報セキュリティに関する今後のビジョンをお話しください。

松岡　情報セキュリティやITは、現代の企業が事業を進めていくためのベースです。そこがしっかりしていないと事業はうまくいきません。セキュリティの品質は事業品質の一部であり、継続的に高めていくことが重要です。特に弊社の事業ではクライアントに情報を預けていただいてはじめて仕事が成立します。セキュリティに対する信頼がなければ、その情報をお預かりすることができなくなり、事業の継続や発展は困難となるでしょう。
ですからセキュリティは投資であって、コストではありません。セキュリティを上げることは事業の継続・発展に必ずつながります。そのような考えに立ち、今後も情報セキュリティマネジメントシステムの運用には会社全体で力を入れて取り組んでいきたいと考えています。

倉内様、松岡様、お忙しい中、有り難うございました。
※左端は当社・吉村、右端は当社・幸松

株式会社日本SPセンターのWebサイト
※ 取材日時 2013年7月