株式会社ヌーラボ様 – 顧客事例 –

クラウドベンダー・株式会社ヌーラボは2016年12月、ISMS/ISO27001認証の新規取得に成功しました。自社サービス『Backlog』をふんだんに活用しながらの認証取得は、どのように進んだのでしょうか。担当者のサポートエンジニア・漢円教氏に詳しく話を聞きました。

（株式会社ヌーラボについて）

プロジェクト管理ツール『Backlog』、図表作成共有ツール『Cacoo』、チャットツール『Typetalk』の開発・運営を行う。全てのサービスに共通するコンセプトは「チームで働くすべての人に」。上下関係のないホラクラシー型の組織運営を前提に、仕事を楽しく、コラボレーションを促進するサービスとして開発する。象徴的な例が『Backlog』のガントチャート機能。プロジェクト管理者など特定のメンバーがガントチャートを作成しタスクを割り振るのではなく、チームに属する各メンバーの課題の積み重ねでガントチャートが自動生成される。非エンジニアリング部門を含めた組織全体で使える機能を充実させていることも大きな特徴である。『Backlog』導入社数4,800社、『Cacoo』200万ユーザーに上り、ユーザーは海外にも広がっている。
設立；2004年。本社；福岡県福岡市。従業員数；約60名（2016年12月現在）。

— LRMへのご依頼内容をお話ください。

弊社は2016年1月、LRMにISMS/ISO27001（以下ISMS)認証の新規取得コンサルティングを依頼しました。LRMは東京のクラウドベンダーから紹介していただきました。
『Skype』や弊社の『Backlog』などを使った遠隔コンサルティングを通じ、12月に認証取得が完了しました。

— 普段から取り組まれてきた情報セキュリティ対策をお話ください。

まず弊社は基本的に物理的なドキュメント管理を行っていません。お客様が必要とされる時だけ紙の契約書を作成しますが、所定の場所で厳重に保管しています。紙の情報は紛失や散逸のリスクがあり、管理が煩雑です。
弊社は顧客情報を含め全ての情報を『Backlog』などのクラウド上に集約することでリスクを最小限に抑えています。
サービス開発における情報セキュリティ対策としては、以下の通り、外部対策と内部対策の両面で行っています。

（1）外部対策
弊社のサービスはAWSで運用しています。外部から第三者の侵入を防ぐために、データベースを分け、VPCの仮想ファイヤウォールを導入しています。

（2）社内対策
拠点以外からはアクセスできないよう、アクセス権の管理を徹底することで情報漏えいリスクを抑えています。

— 『Skype』や『Backlog』を使った遠隔コンサルティングとは具体的にはどのような進め方ですか。

定期的な打ち合わせを『Skype』で行い、細かいルールを決める際に不明な点が出てきたら、その都度『Backlog』の課題機能を使って幸松さんに質問しました。
最初の打ち合わせと、幸松さんが現場の社員に直接ヒアリングする必要がある時だけ、福岡本社に来ていただきました。また、内部監査も幸松さんに監査員を務めていただいたので、国内各拠点を回っていただきました。

— 遠隔コンサルティングという方法を選択した理由をお話ください。

私が勤務しているのは福岡本社で、幸松さんは普段は東京、大阪にいます。しかしこの打ち合わせのためにどちらかが移動するのは、時間やコストが勿体ないと考えました。弊社は拠点間のコミュニケーションでクラウドツールを活用し、普段から使い慣れています。そこで今回も遠隔コンサルティングというスタイルを選択しました。

今回は、LRMとのコミュニケーションだけではなく、認証取得準備全般に渡って『Backlog』を活用しました。例えば教育や内部監査の実施記録にも課題機能を活用しています。文書類の作成・管理はWikiを使いました。社員に周知すべきルールは、全員が閲覧できるプロジェクトとしてまとめなおしました。

『Backlog』は自由な使い方ができるよう設計して開発しているので、どのようなプロジェクトでも活用できます。
弊社では、例えば京都支社オフィスのイノベーションを自分たちの手で行いましたが、その管理にも活用しました。
普段の社内の飲み会などにも活用しています。
今回のISMS認証取得は、使い慣れたツールを普段通りに使って行うことが出来ました。『Word』や『Excel』を扱うことが苦手な開発者は少なくありません。いつものワークフローに乗せることができたため、運用の負担は軽減されました。

— プロジェクトはスムーズに進みましたか。

審査まではLRMが最初に組んだスケジュール通りに進行しました。ただ、1回目の審査で、審査員からある指摘を受けたことがきっかけで少し慌ただしくなりました。

— 審査員からの指摘とはどのようなものですか。

一部の文書を『Backlog』で管理してはどうかという指摘です。一部の文書というのは、PDCAの進捗管理です。
その方が弊社の業務フローに合っているという趣旨でした。
その旨をLRMに話すと、それなら全ての文書を『Backlog』上で管理してはどうかというご提案をいただきました。『Backlog』の機能の1つにwikiがあります。そのwikiに、『Word』や『Excel』で一通り作成し終わっていた文書類を移行しようということになりました。それによって作業は一気に増えましたが、普段のプロジェクトと同様の運用ができるようになったため、ISMSの運用負担は飛躍的に軽減されました。

— 『Word』や『Excel』で作った文書をwikiに移行する作業で苦労した点はありますか。

再現性の問題で悩みました。特に『Excel』で作成した一覧表の再現です。セルの中で改行ができない仕様なので、それをどう表現するか、幸松さんに相談しながらクリアしました。改行ではなく1行ずつセルに落とし込んだものもありますし、それでわかりにくいものは別表にしてリンクを張るなどの工夫をしました。

文書管理に『Backlog』を活用したことは、2次審査でグッドポイントをいただきました。弊社の業務スタイルをそのまま踏襲したことで管理の効率性が向上しているという評価です。

— ルール構築で苦労されたことはありますか。

ルール構築で苦労したことはほとんどありません。基本的には、普段やっていることをISMSの規格に沿うよう整理しただけなので、新しいルールも特に設けていません。

— ご心配されていた通常業務との兼務はいかがでしたか。

心配していたような厳しい局面はありませんでした。最初にLRMにロードマップを示していただけたため、それをもとに業務の隙間時間を見つけながら最後まで落ち着いて準備が出来ました。また通常業務と同様、『Backlog』を使ってプロジェクトを回せたため、他の社員を巻き込んで作業を分担し自分自身の負担を減らすことができました。

— 今後の課題などがあればお話下さい。

弊社は2010年にプライバシーマーク（以下、Pマーク）を取得し、運用し続けて来ました。2018年に次の更新時期を迎えますが、それを機にISMSとPマークを統合するか、もしくはPマークに代わる認証を取得するか、これから検討したいと考えています。
代わりの認証というのは具体的には、ISMSのオプション認証であるISO27018認証です。ISO27018はパブリッククラウドにおける個人情報保護に焦点を当てた規格です。弊社は、クラウドサービスを提供している性格上、お客様からの問い合わせもいただいています。同じISMSのオプション認証であるISO27017（クラウドセキュリティ認証）と合わせて、LRMの意見もうかがいながら検討を進めて行く考えです。

— LRMのコンサルティングを受けられたご感想をお話ください。

幸松さんの対応には柔軟性があり非常に話しやすい印象がありました。フランクなコミュニケーションで弊社の現状を引き出してくれたことが、自社の身の丈に合ったマネジメントシステムを構築出来た最大の要因だったと考えています。

— 今後、LRMにご期待することがあればお話しください。

LRMに期待することは、情報セキュリティやインターネットサービスについて、我々クラウドベンダーと同等以上の知識と情報を持ち続けていただくことです。

インターネットは変化の激しい分野ですが、審査員やコンサルタントなど情報セキュリティの専門家が、その変化に追いついていません。年配の方が多いことも1つの要因だと思いますが、審査される我々の方が知識を持っていると感じます。審査員やコンサルタントの理解度が低ければ、我々はそのレベルに合わせた古いやり方で業務を進めなければいけません。そういう事態が発生して業務に支障が出ることを危惧します。

LRMのコンサルティングでは、そのような心配は全くありませんでした。これからもそのレベルを維持していただけるよう、勉強し続けていただくことを願います。

株式会社ヌーラボ様、お忙しい中有り難うございました。

※ 株式会社ヌーラボ様の Webサイト
※ 取材日時 2016年12月