株式会社セシオス様 – ISO27001&ISO27017同時取得 –

国産IDaaSの強みを活かして順調に導入数を伸ばし続けているSaaS型統合ID・認証サービス『SeciossLink』のWebサイト

— ISMSおよびISMSクラウドセキュリティの両認証を取得された理由をお話し下さい。

弊社がISMS認証とISMSクラウドセキュリティ認証を取得しようと考えたきっかけは、2011年12月にスタートした『SeciossLink』の導入実績が増えてきたことです。

弊社は2013年にプライバシーマーク（以下、Pマーク）を取得しましたが、SaaSのベンダーとしては個人情報に絞ったPマークより保護の対象が広いISMS認証の方が適しています。また今後は『SeciossLink』の海外展開も考えていますので、国内でのみ認知されているPマークを返上し、世界的に認知されたISMS認証とアドオン認証のISMSクラウドセキュリティ認証を取得することとしました。さらにISMS活動を通してセキュリティが強化されるだけではなく、サービスの品質向上にもつながると考えました。

— Pマークはなぜ取得したのですか。

お客様などからISMS認証かPマークのいずれかを持っているかというアンケートをいただくことが多かったので、どちらかを取得した方が良いと判断しました。ただ当時はISMS認証取得に対してハードルが高いというイメージを持っていましたので、比較的取得しやすそうなPマークを取得することにしました。

— Pマークの運用において、お困りのことはございましたか。

困っていたことはありませんが、物足りなさは感じていました。Pマークの保護対象は個人情報だけなので、それ以外を守るルールはありませんでした。特に開発の進め方は定期的に見直す仕組みは必要だと考えていました。

— ISMSやISMSクラウドセキュリティの認証を取得し運用することについて、業務進行上のご負担が増えるなどのご不安はございませんでしたか。

両認証を取得するまでの準備、または認証取得後の運用については､限られた人数で日常業務と並行して取り組まなければいけないため作業負担は心配でした。また、これまでにないルールを導入することについては、そのことが開発を進める上でどのように影響するのかという点も気になっていました。

しかしLRMのコンサルティングを受けてルール構築に取り組む中で、ISMSは自社の業務に合わせて柔軟にルールを構築出来るため、極端に不便になったり、ルールに縛られたりすることはないとわかり、それらの不安は取り除くことが出来ました。

LRMにわかりやすく説明していただけたおかげで自社に合ったルールが構築できました
（取締役サポートサービス部長・河野良秋氏）

— LRMにコンサルティングを依頼した経緯をお話し下さい。

LRMにコンサルティングを依頼したきっかけは、弊社サービスをOEM供給しているパートナー会社からの紹介です。ISMSだけではなくISMSクラウドセキュリティ認証の取得支援実績が非常に多いと教えていただいて依頼しました。

— 他社との比較はされませんでしたか。

他社との比較は全く考えませんでした。今回の認証取得と同時期にパートナー会社もISMSとISMSクラウドセキュリティ認証を取得しましたが、やはりLRMにサポートを依頼していました。信頼出来るパートナー会社の紹介でもありますし、不安な要素はありませんでした。営業の方とお会いして一通りサービスの説明を受けた上で正式に依頼しました。

— コンサルタントと最初にお会いされた際の印象はいかがでしたか。

井崎さんと平山さんの話を聞いて、ここに頼めば大丈夫という安心感はありました。ITベンチャーを中心とした様々な会社へのサポート実績が一番の安心材料でした。認証制度がスタートしたばかりのISMSクラウドセキュリティ認証取得に関しても、すでに大手を始め数々のサポート実績がありましたので、不安を感じる要素は全くありませんでした。

開発手順を見直す機会となり従業員の意識も向上しました
（コンピューターエンジニア・
上村雄大氏）

— ISMS認証、ISMSクラウドセキュリティ認証を取得するまでの一連の取り組みはどのように進みましたか。

2017年7月下旬から2018年1月までの間は、2週間に1回のペースでLRMと打ち合わせをし、ベースライン分析やリスクアセスメントなどを行いながら、マネジメントシステムを構築していきました。その後、2月に従業員教育、3月に内部監査を行い、4月に第1段階審査、5月に第2段階審査を受審しました。

— 今回の取り組みの中でご苦労はございましたか。

やはりこれまで決まっていなかったルールを決めていく作業は苦労しました。Pマークは個人情報だけでしたが、ISMSは開発に影響するところまで対象が広がります。これまでは管理の対象になっておらず明確にルール化されていなかった範囲が広かったので、その中から情報資産管理台帳を作成し、リスクを洗い出してルールを決めていく作業は苦労しました。

先ほども申し上げましたが、コンサルティングの中で、ISMSは各企業に合わせたマネジメントシステムが構築することが出来ることがわかりました。逆に言えばISMS認証やISMSクラウドセキュリティ認証が求める管理策の中で、自社がやるべきこととやらないことを、自分たちで取捨選択する必要があります。単にセキュリティを厳しくするのではなく、現場の作業効率を考えながらマネジメントシステムを構築しなければいけないので、LRMのアドバイスを参考にしながら全員で話し合い、業務を妨げないようルールを決めていきました。

— 新しく定めたルールには、どのようなものがありましたか。

基本的には弊社が日常的に行っている業務手順や管理方法を、ISMSやISMSクラウドセキュリティの要求事項に照らし合わせルール化していきましたが、中にはこれまで実際の業務ではやっていなかったことを、新たにルール化したものもあります。特に開発に関わる部分では、ISMSクラウドセキュリティのベースラインリスク分析を行う中で、必須と思われる項目がいくつか出てきました。例えばコーディング規約やテスト手順の統一、本番環境とテスト環境のネットワークの分離やアクセス制限などです。

— 開発に関わる部分以外で新しくルール化したことはありましたか。

開発に関わる部分以外では、委託先管理のルールを変更しました。委託先管理のルールはPマークでも決めていましたが、委託先の個人情報に絞ったルールでした。それに対して今回は委託先の選定方法や社内における承認手順も明確に決めました。

ルールに則ってインシデント報告を上げ、解決するという良いサイクルが生まれました
（代表取締役・関口薫氏）

— LRMのコンサルティングはいかがでしたか。

ISMS認証やISMSクラウドセキュリティ認証に関して、我々は全く知識を持たない状態でしたが、ゼロから丁寧に説明していただきました。そのおかげでじっくりルールを検討できましたし、スムーズに認証取得の準備を進めることが出来ました。社内でルール決めをしている中で確認したいことが発生した際も、メールで問い合わせをすると当日中に返信が返ってきましたし、文書作成では『Googleドキュメント』で共有してお互いに編集する形を取ったため、作業が滞ってストレスを抱えることはありませんでした。

また、PDCAサイクルの全体像を図化した資料も作成していただきました。ISMS活動の1年間のサイクルが一目で把握出来るので、運用にも取り組みやすいと思っています。従業員教育や内部監査などのサポートもそうですが、認証取得後の運用まで考慮したサービスだったと感じています。

さらに今回のタスク管理では、弊社が普段から使っている『Trello』を使っていただきました。当初は『Microsoft Excel』で年間実施項目管理表を作成して管理していましたが、あるタイミングで弊社が普段『Trello』を活用していることを伝えたところ、『Trello』に合わせていただくことになりました。普段使っているツールを使って管理出来たので、ストレスなく作業を行うことが出来ました。

— 最後にLRMのISMS運用保守サービス『情報セキュリティ倶楽部』をご契約された理由をお話し下さい。

ISMSの活動で困った際、または何か新しいことをやろうとした時に、相談出来る相手がいれば安心です。GDPRなどはまさに典型的な例です。「何か良い情報があればご提供下さい」といったレベルの相談はすでに何回かしています。
認証取得後に従業員が1名増えた際にも、このまま運用して良いのかどうか判断出来なかったので問い合わせました。LRMはどんな些細なことでも気軽に相談出来るので、非常に助かります。さらに、セキュリティ教育クラウド『セキュリオ』が使えることもLRMの運用保守サポートを受けるメリットの1つであると感じています。

株式会社セシオス様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ 株式会社セシオス様のWEBサイト
※ 取材日時 2018年7月