株式会社 宝情報様 – 顧客事例 –

株式会社 宝情報は、事業拡大に向けた体制整備の一環としてISMS/ISO27001認証を取得しました。コンサルティング会社は予めLRMに決めていたそうです。ISMS/ISO27001認証取得のきっかけから、LRMにサポートを依頼した理由、認証取得に至った経緯、さらに今後の課題について、情報セキュリティ責任者を務めるサポート部 部長・徳松大地氏、課長・上原崇史氏のお2人にお話を伺いました。

（株式会社 宝情報について）

日本の企業をセキュリティの側面から支援することをミッションに掲げ、ネットワークセキュリティ製品に特化したディストリビュータ事業を展開する。CheckPoint社（イスラエル）やWatchGuard社（アメリカ）のUTM（統合型セキュリティ機器）、F-Secure社（フィンランド）のウイルス対策パッケージなどの総代理店として、二次代理店への販売とそれに付随したテクニカルサポートサービスを提供している。ネットワークセキュリティ製品に特化したディストリビュータそのものが希有な存在だが、製品の導入からアフターサポートまで一貫したサービスが提供できることを強みに、中堅および中小企業を対象としたビジネスで成長を遂げてきた。CheckPoint社の中小企業向けモデルは国内トップクラスの販売実績を誇る他、F-Secure社から成長率において世界№1ディストリビュータとして表彰を受ける（2018年度）など、メーカーからの受賞歴も多数。
設立；1995年7月。本社；大阪市北区。従業員数；約30名（2019年7月現在）。

— LRMへのご依頼内容をお話し下さい。

株式会社 宝情報は、2018年11月、サポートセンターを適用範囲とするISMS/ISO27001認証新規取得コンサルティングを依頼しました。11月からISMS認証取得に向けた準備をスタートし、4月下旬に第2段階審査を受け、5月中旬にISMS認証を取得しました。

LRMの担当者は吉村さんです。 期待通りのサポートに満足しています。

— ISMS認証取得にあたり、コンサルティング会社のサポートを受けた理由をお話し下さい。

ISMS認証取得を経験した人材が社内にいなかったこと、出来る限り短期間での取得を目指していたこと、この2点でコンサルティング会社のサポートを受けることにしました。

— コンサルティング会社の選定方法を教えて下さい。

今回は最初からLRMに決めていました。情報セキュリティ責任者の徳松は、前職時代にISMSの運用を担当していました。その中でLRMのサポートを受けておりましたので迷うことなく依頼しました。無理を聞いていただけるという気持ちもありました。

— LRMのコンサルティングについてはどのようなご評価をされておられたのですか。

ユーザーファーストの視点に立ったアドバイスをしていただける点です。そこに尽きます。

ISMSは全ての企業に決まったルールを当てはめるものではなく、自分達でルールを構築していくものです。最低限やるべきことはありますが、それ以上のことは組織の規模や事業内容、成熟度などによって変わってきます。ただそのボーダーラインが我々にはわからないことがありますので、自分達だけで決めようとすると、どうしても厳しめのルールを適用してしまいます。

ルールの検討をする中で相談すると、LRMは我々の話を聞いた上で、どのようなリスクがあるか、最低限何をしなければならないか、逆に、ここまで厳格なルールは必要ない、といったことを明確にアドバイスしてくれます。

ISMSやプライバシーマークのコンサルティング会社のサポートについて、ドキュメントのテンプレートを一方的に渡されただけ、といった話を聞くことがありますが、LRMのコンサルティングではそういったことはあり得ません。
我々としては、力を入れるところと抜いて良いところがわかるので、無理のない運用が出来ます。

— 前職時代の担当者も吉村さんだったのですか。

前職時代の担当者は幸松さんでした。幸松さんと吉村さんはタイプは違いますが、率直に話が出来るという部分は共通しています。こちらの言いたいことは聞いてくれますし、無理なことは無理だとはっきり言ってくれるので話しやすいです。吉村さんと最初にお会いした時点で安心してお任せ出来ると思い、正式に依頼しました。

— ISMS認証を取得するまでのタスクとして重要なものに、従業員教育、内部監査がありますね。まず、従業員教育はどのように実施されたのですか。

従業員教育はLRMのセキュリティ教育クラウド『セキュリオ』のeラーニング機能を活用して実施しました。

『セキュリオ』は使いやすかったです。特に管理者としてはメンバーごとの受講状況がわかりますので管理がしやすいです。 受講する側も、毎日PCに向かって仕事をしていますので、空いた時間で受講出来るというメリットがあります。

今後も活用したいと思い、継続契約いたしました。

— 内部監査はどうされましたか。

吉村さんに内部監査員を代行していただいて実施しました。

— 内部監査員を代行してもらうメリットはどんなところにありますか。

外部の方の視点でチェックしていただくことで、受ける側に緊張感が生まれる効果があります。特に今回は初めてでしたので、意識付けのためにも多少のプレッシャーが必要だったと考えています。また内部監査で運用上の不具合を改善した上で審査に臨むことが出来るという効果もありました。

— 徳松さんは審査のご経験がありますよね。

ISMS認証の審査を受審した経験があっても、審査員それぞれの考え方や審査の進め方は異なるため、毎回慣れるまでが大変です。今回は吉村さんからアドバイスをいただいて準備出来たので心強かったです。審査員の方も、弊社が今回初めてだったためか、いろいろな事例を交えたアドバイスをして下さいました。我々としては勉強になることが多かったです。

— ISMS認証の取得を無事に終えまして、社内の意識を揃えるという目的は達成できましたか。

社内の意識を揃えるという目的は、むしろ今後の課題です。ISMS認証取得はあくまでもそのためのスタートラインであると考えています。今はまだその目標に向かって歩んでいこうという段階です。まずはサポートセンターでの運用を確立し、ISMS活動を文化として根付かせたいと考えています。

— 具体的にはどのような取り組みを考えておられますか。

まずは私たちISMS事務局のメンバー自身が、PDCAサイクルをしっかり回して運用しながら、ISMSへの理解を深めていかなければいけないと考えています。また、全員が当事者意識を持つことも重要です。ISMS事務局のメンバーは現在4名ですが、その4名だけが頑張っても仕方がありません。メンバーを増やすなど、全員を運用に巻き込むような仕組み作りを進めていきたいと考えています。

— 今回、LRMのコンサルティングを受けられて、改めてご感想がございましたらお話し下さい。

やはり我々の現状に合ったルール作りをリードしていただけたことが最大の価値だったと考えています。
またISMS運用の経験を持たないメンバーでも、ISMSの考え方がわかるよう、親身になってご説明いただけたことにも感謝しています。

— 今後の課題に向き合う上で、LRMにご期待されることはございますか。

PDCAサイクルを回していく中で、サポートが必要となる局面は少なくありません。そのためLRMのISMS運用改善サポート『情報セキュリティ倶楽部』を契約しました。情報セキュリティの課題は、事業の規模や組織の成熟度などによって違ってくると思っています。乗り越えなければならない壁も出てくるはずです。社内の人間だけで運用していると、どうしても甘えが出てきてしまいます。弊社の情報セキュリティへの取り組みをレベルアップさせるためにも、ダメなことはダメとはっきりおっしゃっていただきたいと考えています。

株式会社 宝情報様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※株式会社 宝情報様のWEBサイト
※ 取材日時 2019年7月