株式会社スプーン 様 – 顧客事例 –

情報セキュリティに対する意識を高めることで業務の質の向上を目指しています
（ISMS事務局・小野敬子氏）

— 御社がもともとISMS認証を取得した理由を教えていただけますか。

弊社がISMS認証を取得した理由は、業務の質の向上です。取得したのは2007年です。
弊社は発売前の新商品を扱うことがあるので、以前から情報の取り扱いには注意を払っていましたが、ISMSを構築することで、より業務の質を高めたいと考えました。また、大手広告代理店をはじめとする取引先との取引を、将来にわたって維持するためには、ISMS認証の取得が必要になるという経営的な判断もありました。

— 認証取得後のISMSの運用状況を教えて下さい。

弊社はISMS認証を取得した当時から、社員の情報セキュリティに対する意識を高めて取り組むことで、業務の精度が上がっていくような好循環を目指してきました。例えばISMSには「クリアデスク・クリアスクリーン方針」というものがありますが、これは仕事を円滑に進める上では大切な習慣です。

私たち事務局は、そういったことを情報セキュリティのためにやるのではなく、自分の業務のためにやっているということを常に忘れないように指導しています。
推進体制としては、事務局の他、毎年メンバーを入れ替えて活動する情報セキュリティ委員会を設けています。
入れ替わりで全社員が委員を経験することによって、単に認証を維持するだけではないという意識を全社的に共有しています。

— 情報セキュリティ委員会の活動内容を教えて下さい。

情報セキュリティ委員会のメンバーは7名前後です。メンバーは、様々な意識レベルの社員が揃うように、前年度の委員と事務局が話し合って選出します。
委員会は、更新審査に向けて事務局が設定したタスクと大まかなスケジュールに沿って、毎年スローガンを決めて作業を進めて行きます。委員会が担うのは、社内への意識浸透、重点目標の喚起、日常業務の中で発生する問題・課題の吸い上げなどです。毎年、委員会のメンバーが主体となって強化項目のチェックシートを作ったり、ヒヤリハット事例の吸い上げを行ったりしています。

ただ、このように時間も労力もかけて運用をしている割には、「ISMSが本当に業務の質の向上に繋がっているのか」という疑問が社員の間に生じ、年々、モチベーションを維持できなくなっていました。

自分たちの使いやすいように変えて良いということを教えてもらいました
（ISMS事務局・渡邉究氏）

— そのような疑問が生じたのは何故ですか。

弊社は、認証を維持しつつ、より効果的に業務の質の向上を実現することを目指していました。しかし実際は、ISMSの規定を守ることで、業務が滞ったり、煩わしいと感じることが多くありました。それが疑問に繋がっていきました。

そのような状況が生まれた原因は、マネジメントシステムが煩雑かつ弊社の業務内容と乖離していたからです。難解な文章で書かれた規定書類が12種類もあって管理するのが大変だった上に、明らかに製造業向けの項目が存在するなど、規定が弊社の映像制作の業務とシンクロしていませんでした。審査のためだけに書類を整えるという辻褄合わせのようなことをしなければならず、本末転倒な状況が続いていました。

— ISMS認証の新規取得の際はコンサルタントのサポートは受けましたか。

ISMS認証の新規取得は、LRMとは別のコンサルタントのサポートを受けて行いました。そのコンサルタントは制作フローを理解しようと頑張ってくれましたが、弊社の業務は特殊なためか、カバーしきれなかったのだと思います。
一方で私たち自身、ISMSに対する理解が足りなかったため、コンサルタントに言われることに疑問を持たずに作業を進めてしまいました。自分たちの業務に合わせて規定をアレンジして良いということも知りませんでした。

それが、私たちの業務と乖離した煩雑なマネジメントシステムになってしまった理由だと考えています。

— しかし6年間、運用し続けて更新審査も通過して来ました。運用改善に着手したきっかけはありましたか。

私たちは、認証を維持しつつ、本来の目的を実現できている実感が持てませんでした。そこで、根本からやり直す必要を感じ、本格的な運用改善に着手しました。

ISMSを運用しているという意識は、6年間続けたことで社内に定着した部分もありました。しかし、現状のISMSが業務の質の向上という本来の目的を実現できるものなのか、そうではないとすれば何かが不足しているのか、それとももっとシンプルにして良いのかといった判断ができませんでした。規定書に書いてあることは、ISMSの規格上絶対に守らなければいけないものだろうと思い込んでいましたが、一方では無駄が多いという感覚もありました。「規定書にあるからやっている」という感覚が強くなっていたため、社内からはビジネス上必要な認証と割り切って、負担の少ない運用体制に変えれば良いのではないか、という意見も出ていました。

しかし業務を進める上で、自分たちが抱えているリスクをきちんと理解して、適切に対応することが重要であることに変わりはありません。事務局としては、ISMSを自分たちに身近なシステムに変えることが出来れば、業務の質の向上には繋がるはずだと考えていました。そこで本格的にやり直そうと決め、改めてリサーチする中で、LRMの運用改善サポートにたどり着きました。運用改善のサポートを行っている会社は何社かあり、各社の担当者と会いましたが、弊社の課題にはLRMが最もフィットしていました。

LRMのコンサルティングが始まってから、現場の会話が変わって来ました
（情報セキュリティ担当役員・
渡辺伸一朗氏）

— LRMのコンサルティングサービス・ISMS用改善コースを導入した成果をお話し下さい。

私たちのISMSに対する理解が進んだことが大きな成果だと考えています。
私たちは「ISMSは、自分たちの業務内容や業務フローに合わせて柔軟にアレンジできる」ものだと、初めて知りました。

それまでは規定書に書いてあることは全て認証を維持するために必要なルールだと考えていました。コンサルティングの中で規定を一つ一つ見直す際、項目によっては幸松さんから「このルールは面倒くさいですけど、やりたいですか？」と聞かれた時、「自分たちの使いやすいように変えて良いのか」と、みんなショックを受けました。

ISMSの規格は、様々な業種を幅広くカバーすると謳っています。しかしCM制作には当てはまらないことの方が多いと感じていました。それをわざわざやることは、業務が煩雑になるだけでした。今後、業務フローが変わったとしても、ISMS認証を維持するためには、そのルールに従い続けなくてはいけないのかなと考えていましたが、幸松さんにもっと自分たちが使いやすいように改訂して良いと教えてもらって意識が変わりました。

— 「業務の質の向上」については、いかがでしょうか。

私たちは、この段階で、そこまでドラスティックに何かが変わるとは考えていません。
ただ、今回の取り組みが、ISMS運用の建て前と本音の距離が縮まるきっかけにはなりました。これまで煩わしいばかりだったISMSが、実は有効に使うことが出来るとわかったことで、委員会で交わされる会話も変わりました。
例えば外部の制作会社などと業務委託契約を結ぶ際に、ヒアリングするチェック項目があります。それを今後は見直した方が良いんじゃないかという話が出ています。自分たちが仕事を委託する相手として確認したいことはもっと別なことじゃないか、こういうことを聞いた方が良いんじゃないかという会話が自然に交わされるようになりました。
それが規定に合っているかどうかは幸松さんに聞かなければわかりませんが、「私たちはこうやりたいと思っているけど、これは規定にありますか」という、弊社の社員が主体となった議論がやっと出来るようになりました。

現段階ではまだスタート地点に立ったばかりです。規定書を3つに集約しましたが、それが業務の中で機能するかどうかを今後の運用の中で検証していかなければいけません。それは私たち自身がやっていかなければいけないことです。自社の業務により近づけられるという実感は持てたので、PDCAを回しながら、継続的に検証と修正を繰り返していきたいと考えています。