株式会社日テレITプロデュース 様 – 顧客事例 –

体力があり、レスポンスの良いコンサルタントを探してLRMに出会い、委託を決めました

— ISMS認証およびPマークを取得した理由をお話しください。

弊社自体の業容が拡大し、グループ全体の事業が多角化していることで、セキュリティ体制の整備が必要となってきたことが、ISMS認証とPマークを取得した理由です。

ISMS認証に関しては、設立時から機密情報を扱う機会があることを見込んだ上で取得を検討していました。しかし、設立当初は20名前後の小規模組織であり、業務内容が主に日本テレビの運用業務受託と限定的であったことから時期尚早という判断をしてきました。日本テレビがISMS認証を取得しており、弊社もそのルールに従って業務を行っていたため、独自に取得する必要に迫られていなかったという背景もあります。
しかし日本テレビ以外のグループ会社のソフトウェア開発を受託し始めるなど、徐々に取引先や業務内容が拡大してきたことから、独自にISMS認証を取得する必要性が生まれてきました。

Pマーク取得にも同様の背景があります。日本テレビグループの事業は年々多角化が進んでいます。2014年には、フィットネスクラブ『ティップネス』やコンテンツ配信サービス『Hulu』の国内向け事業がグループに参画したことで、弊社も今後、BtoC事業向けの案件に携わる可能性が生まれました。また、BtoC事業以外にも、個人情報に触れる可能性があるシステムに携わることはあります。それも含めて、今後はより大量の個人情報に触れることが見込まれます。
その状況に備えて、予め体制を整備する必要があると考えてPマークを取得しました。

— ISMSとPマークを取得する上で目指していたことはありますか。

今回、ISMSとPマークの取得を決めた際に、目標として掲げたことは主に以下の2点です。

（1）IT会社として有効性のあるマネジメントシステムの構築
（2）ISMSとPマークの二重管理を排したスマートな運用
（3）区切りとして2016年3月末を取得期限とすること

（2）については、管理する側だけではなく、現場の社員が手順を迷わないことも大事でした。弊社は以前から、いずれ認証を取得することを前提に情報セキュリティに関する独自の取組を行ってきました。情報セキュリティ推進事務局と個人情報保護事務局という2つの管理組織を社内に設置し、個人情報管理台帳やそれぞれのルールを作って運用していました。ただ、現場で何か問題となりそうな事象が発生した際に、どちらに報告すべきかが明確になっていないなど、現場が判断に困るということが起きていました。そのような背景もあり、現場の社員が迷わず行動できるしっかりした体制を整備したいと考えました。

LRMはお願いしやすいコンサルタントでした

–　コンサルティング会社の選定はどのように行いましたか。

インターネット検索で、我々の目的に合致しそうなコンサルティング会社をピックアップし、順番に話を聞いていきました。4社目に話を聞いたのがLRMでした。

— LRMの話を聞く前の3社で決められなかった要因をお話しください。

根本的に対応力の面で不安がありました。各社ともコンサルタントが70代ぐらいの方で、対面していてもスピーディに仕事を進めることは無理じゃないかと感じました。
また、各社とも分厚い紙の資料をもって来ていましたが、我々にはそれを読み込む時間はありません。限られた期間で効率良く取得を完了させるミッションもあったため、改めて、体力があり、レスポンスが良いコンサルタントを探し始め、LRMに出会いました。LRMを選定した決め手は主に次の2点です。

（1）取得後の運用面を重視した提案
有効性のあるマネジメントシステムを構築し、ISMSとPマークの二重管理を避けてスマートな運用を実現するという弊社の目的に合致する話が聞けたことが最も重要な決め手となりました。
他社の話は腑に落ちない点がたくさんありました。中には二重管理の方が楽だと言う方もいました。確かに更新審査の際は二重管理した方が手間は省けます。しかし現場の業務における運用は煩雑となります。LRMの場合、ISMSを軸に業務に即したルールを構築してISMS認証を取得し、その上でPマーク取得の手続きを行えば二重管理をする必要がなく、スマートな運用ができるという提案がありました。その説明は非常に信憑性があり、納得できました。

（2）スピーディな進捗が期待できる
担当の幸松さんがSE出身のため弊社の業務に関する話が通じることに加え、レスポンスが良く、スピーディな進捗が期待できました。世代的にも事務局メンバーと近いため、余計な気を回さずに話せることもスピードを速める要因になると考えました。さらに、具体性のあるスケジュールが示されたこともあり、安心してお任せできると考えました。

文書作成は、LRMが作成したものをベースに、独自の要素を加えて自分たちで仕上げました

— 認証取得までの経緯をお話し下さい。

今回の認証取得にあたっては、認証取得プロジェクトチームを立ち上げました。
取締役1名をリーダーとして、各部署からセキュリティに詳しいメンバーを1名ずつ選抜した合計8名のチームです。その上で、LRMのサポートを受けながら、認証取得の準備を進めました。重要なポイントは、以下、4つの工程です。

（1）ルール構築
（2）文書作成
（3）従業員教育
（4）内部監査

— （1）ルール構築 の経緯をお話しください。

7月には情報セキュリティの基本ルールは決まっていました。特に時間をかけたのがベースラインリスク分析（ISMSの詳細管理策114項目の検討）です。3月から5月にかけて、取得プロジェクトチームのメンバー全員と幸松さんが定期的に会議室に集まり、打ち合わせをしながら決めました。採用活動の中で預かる履歴書をはじめとする個人情報の管理方法も、この過程で一緒に決めました。
セキュリティの方法はいろいろありますが、我々だけでは何をどのように決めれば良いのかわかりません。幸松さんが1項目ずつ順番に解説してくれるので、それに対し、弊社に最適と思われるルールを決めていきました。迷ったときは他社の事例を聞いて、弊社の業務に当てはまるものは取り入れ、違うと思われるものは幸松さんの意見も参考にしながら改めて検討しなおして、独自のルールを決めました。

— もともとあった社内ルールと、認証取得に向けて策定したルールは異なるものですか。

いいえ。基本的には既存のルールをベースとして、あいまいな部分を明確にするなど整理しなおしました。また、厳密に「こうしなければいけない」というルールではなく、最低限守るべきセキュリティレベルを定めたものとなっています。

— ルールを決める過程で苦労されたことはありますか。

特にありません。取得プロジェクトチームには、各部署からセキュリティに詳しいメンバーを選抜したため、かなり突き詰めた話ができました。困ったことがあれば、その分野に詳しいメンバーに決めてもらうという役割分担ができたためスムーズに進みました。またチームには取締役もいたため、経営上の判断を仰ぐ必要がある場合も、その場で決めることができました。

— （2）文書作成 はどのように行ったのですか。

まず、打ち合わせで決めたルールを幸松さんが文書に反映しました。それをベースに、弊社独自のエッセンスを加え、我々自身で最終的な仕上げを行いました。この段階でISMS、Pマークともに審査に必要な文書類は全て揃いましたが、「ISMSマニュアル」「個人情報保護マニュアル」と分けるのではなく、基本的には「情報セキュリティマニュアル」としてまとめました。Pマークの運用や更新手続きで絶対に必要、かつその他では使うことがないもののみ「個人情報保護マニュアル」として別個に分けて作成しました。

LRMの臨機応変な対応によって現場を迷わせないルールが構築できました

— LRMへのご評価をお話しください。

定められた期限通り、効率的にISMSとPマークの同時取得を完了できたことや、IT業界の知識など、全ての点で期待通りでした。また、気軽に相談できることやフットワークの軽さも良い点でした。特にLRMを選んで正解だったと思っている最大のポイントは、臨機応変な対応です。その対応から、我々自身、情報セキュリティマネジメントのコツを学ぶことができました。
ISMSやPマークの規格は非常にわかりづらく書かれています。初めて取り組む者にとっては、自社の業務に合わせ、どのようにアレンジして良いのかを判断することは至難の業です。しかし、幸松さんに相談したり、要望を伝えたりすることで、自社にとって有効性のあるルールが構築できました。例えば、管理表のひな形を例に挙げれば、最初に出してもらったものに対して「使いづらい」と言えば、要望を反映して作り直してくれます。
そのようなことを繰り返す中で、規格の各項目が目的としているポイントを押さえることさえできれば、自社の業務に合わせた仕組みに変えて、無駄な作業を劇的に減らすことができることがわかりました。今後、運用するにあたって大変参考になりました。