株式会社おいしい健康様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

株式会社おいしい健康は、2019年12月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。途中、新型コロナウィルス感染症拡大の影響もありましたが、当初の要望通り2020年4月中にISMS認証を取得することが出来ました。

— ISMS認証を取得した理由をお話し下さい。

ユーザーに安心してサービスをご利用いただく上では、いずれISMSやプライバシーマーク（以下、Pマーク）などの情報セキュリティ系の認証を取得して、情報セキュリティポリシーを確立する必要があるという認識は、以前から持っていました。また、取引先からの要請もあり、これを良い機会と捉え、ISMS/ISO27001認証を取得することになりました。

— 取引先というのは企業向けサービスのお客様ですか。

はい。『健康社食アプリ』などのサービスを弊社と共同開発し、提供している一般企業です。弊社はそれらの取引先から、そこで働く従業員の健康診断結果を含め、センシティブな情報をお預かりすることもあります。もちろんお預かりした情報はきちんと管理していますが、取引先が増える中で情報セキュリティ系の認証取得に対する要望も大きくなってきました。

弊社としても、サービス領域の拡大を念頭に置いて事業を行っていますので、早期にしっかり体制を整備しておいた方が安心です。組織が拡大すればするほど、社員を巻き込んだ取り組みには手間がかかるようになります。
従業員数50名ぐらいのタイミングで、株式会社おいしい健康としての情報セキュリティポリシーを確立しておけば、
社員数が増えた際も、既存社員と新入社員のレベルを合わせることが容易になります。近年は新しいメンバーも増えてきたため、今のうちにおいしい健康としての文化、ポリシーを確立したいと考えました。

— Pマークもご検討されたのですか。

最初はISMSとPマークのどちらを取るか迷いました。検討には、認証に合わせて制度設計をするのか、会社の実態に合わせて制度設計をするのかという論点がありました。そのどちらにしても、ルールの明確化には多少なりとも業務負担が増えると考えていましたので、出来るだけ従業員の負担を減らせると考えてISMSを選びました。

— 取得期限は予め決めておられたのですか。

2020年5月に日本糖尿病学会へ参加し、当社サービスの紹介を予定しておりましたので、それに間に合うようゴールデンウィーク前の取得を目指し、逆算してスケジュールを立てました。

— 糖尿病学会に合わせて、何か発表されるご予定がおありだったのですか。

弊社の提供する『ごはんカメラfor糖尿病』というアプリのバージョンアップを予定しており、日本糖尿病学会ではその紹介をしようと考えていました。今回はクラウドを活用した機能強化があったため、より高いセキュリティを求められることが予測されました。

新型コロナウィルス感染症拡大によって学会は延期になりましたが、アプリのバージョンアップは予定通り実施しましたので、この時期に取得出来て良かったです。

— ISMSのルールを決めたことで、業務負担は増えませんでしたか。

多少なりともやるべきことが規定されたので、負担が増えていないと言えば嘘になります。ただ初めから出来るだけ負担がかからないようにすることを意識してルールを作りましたし、結果として最低限の負担で済む設計は出来たと考えています。

— 例えばどのようなルールがありますか。

例えば入退室の記録があります。一般的に採用されるのは、ICカードで認証して自動的に記録を取る方法だと思います。私達もそうしたいと思っていましたが、入居しているビル側の制限とコスト面から、自動化は諦めて運用によって行うという判断をしました。現在は、最初に出社した人、最後に退社した人がそれぞれ解錠と施錠の際に記録を取っています。

— 紙で記録を取っているのですか。

紙ではなく『Googleフォーム』を使い、スマートフォンでQRコードを読み込んで記録を取る仕組みを作りました。

最初は紙で記録し始めたのですが、抜け漏れがあった時に確認する術がありませんし、記録した紙の管理方法や保管場所など、いくつか問題があることに気付き、自社で現在の仕組みを作りました。コストと手間とのバランスを取り、やらざるを得なかったことはいくつかありましたが、可能な限り自動化して運用を減らす工夫をしています。

このようなルールを明確に決めたことで、多少面倒なこともあったかも知れませんが、管理の面では良かったと思っています。新型コロナウィルス感染症拡大の影響から、フルリモートワークに移行してオフィスが長期間無人になった時期がありましたが、その期間にやむを得ず出社しなければいけない社員がいた際も、解錠、施錠の状況を把握することが出来ました。

— 独自の情報セキュリティポリシー作りという目的が達成された実感はございますか。

はい。特に新しく入った社員への周知がしやすくなりました。最も重要だと思うのがデータの取り扱いです。これまで以上に、どのようなデータが重要かを意識するようになりました。取り組み前は漠然とした意識でしたが、現在は、厳密に守らなければいけないという意識を持つようになったと思います。

— そういった意識を芽生えさせるためにどのような取り組みをされたのですか。

ルール作りは事務局だけではなく、各部署から情報セキュリティ委員を選任し、現場も巻き込んで行いました。
また、ルールが浸透するよう、毎週少しずつ周知するなどの工夫をしました。

ただ、そういった取り組み以前に、「ISMS認証がある」という事実自体に効果があると感じます。実際、お客様や提携先へ参考データを開示したい際には、社員が自分一人で判断せず、身近にいる情報セキュリティ委員に一旦相談して行動するようになりました。全員のセキュリティ意識が向上したことで、インシデントが起こりにくい環境になりました。

— 今後の展望がございましたらお話し下さい。

今すぐ求められることは、新しい働き方に対応した環境整備です。審査の際、今後の改善案として受けた事項もございますので、本来は次の維持審査に向けて改善活動に注力すべきですが、新型コロナウィルス感染症拡大の影響で事情が変わりました。

取得時点では、全員が毎日出社することを前提としてルールを構築しました。しかし審査後、緊急事態宣言が発令され、弊社も4月、5月は全従業員フルリモートで働くことになりました。6月以降は週2日で出社しています。
このような状況では、出社とリモートワークの併用がスタンダードとなっていますので、ルールを見直す必要があります。目下、重点課題として注力しているところです。

— 最初に構築したルールには、リモートワークの規定は入れていなかったのですか。

入れていましたが、今のような状況を前提にしたルールではありませんでした。1つ例を挙げると、例えばサービスに新しい機能を追加しようと検討している際、パソコンで設計しているUIを紙に印刷するというシーンがあります。紙でチェックするとモニターでは見えなかったことが見えてくることがあるためです。
従来そのような印刷を伴う作業は会社で行うことが前提となっていましたが、昨今の状況では自宅で印刷せざるをえません。このような状況の変化に合わせたルール構築が早急に必要になっています。

— LRMのコンサルティングを受けられたご感想を伺います。LRMのコンサルティングは話しやすかったですか。

我々が「こうしたい」と思っていることを本音で話すことが出来ました。

— LRMに依頼する際の決め手であった「ITベンチャーに強い」という要素を実感されたことはありましたか。

もちろん弊社におけるシステムの使い方や業務のあり方は説明してご理解いただく必要はありましたが、「この話が通じなくて前に進まない」ということはありませんでした。LRMはお打ち合わせの中で話が通じなかったり、弊社の方針そのものを否定されたりすることはありませんでした。もしそこでぶつかっていたら、スケジュール通りに進めることは難しかったと思います。

— 『セキュリオ』を継続利用されているとおっしゃいましたが、運用サポートの契約もされたのでしょうか。

はい。ISMSの運用改善サポート『情報セキュリティ倶楽部』を契約しました。年2回の訪問相談を受けられるコースです。

— 御期待をお話し下さい。

ISMSを運用し始めて1年目ですしまだまだ手探りの状態です。運用で困った時に相談出来ればと考えています。
もちろん自分達だけで完結した方が話は早いので、まずは自力でやってみて、その上でわからないことが出てきたら相談したいと考えています。

株式会社おいしい健康様、お忙しい中ご対応いただきありがとうございました。
今後ともよろしくお願いいたします。

※ 株式会社おいしい健康様のWEBサイト
※ 取材日時 2020年7月