株式会社常盤商会 様 – 顧客事例 –

スマートデバイス向けアプリの開発に注力。観光ナビゲーターシリーズが好評となっている。

— LRMに依頼した業務内容を教えて下さい。

弊社は2012年10月、LRMに、プライバシーマーク（以下Pマーク）新規取得とISMS/ISO27001（以下ISMS）のスリム化のコンサルティングを依頼しました。
弊社は2010年8月にISMSの認証を取得しましたが、運用に非常に手間がかかっていました。Pマークを取得することでさらに手間が増えることを回避したかったので、Pマーク取得と同時にISMSも見直しました。

LRMの担当者は宮本さんです。Pマークの取得は2013年11月に完了しました。ISMSのスリム化は2014年1月に一旦区切りをつけました。ただ、ISMSもPマークもPDCAを回していかなければいけません。2月からは、LRMの運用保守サポート『情報セキュリティ倶楽部』の契約をしました。

ISMSもPマークも一緒に相談できることもLRMの魅力です
（情報セキュリティ委員会・酒井和宏氏）

— ISMSの運用に手間がかかっていたとのことですが、具体的には、どのようなことで困っていましたか。

ISMSは毎年、審査機関による審査があります。そのための準備に時間がかかっていました。情報セキュリティ委員会のメンバー全員がまるまる1ヵ月間、審査準備に手を取られるような状況でした。

理由は、私たち自身、審査に向けた準備として何をどこまでしなければいけないか、という判断ができなかったからです。議事録（委員会活動記録）、文書管理、社員教育、内部監査などなど、過剰なほど細かい作業を行っていました。現地審査では、審査員によって言うことが変わるということも、その状況に輪をかけていました。

— ISMS認証の新規取得はどのように行いましたか。

ISMS認証の新規取得では、ある新規取得プログラムを活用しました。ルール構築は、そのプログラムの中で集団研修を受けながらテンプレートに合わせて行いました。

このプログラムは、短期間で複数の企業に認証を取得させるもので、１社１社に対するきめ細かいコンサルティングはありません。期限も限られており、自社に合わせたカスタマイズを考える余裕もなく構築しました。そのためリスク分析にも納得できないところがありました。運用しながら、規格に忠実でなければいけない部分と、自社の実態に合わせて変えて良い部分を、きちんと整理して構築しなおす必要があると考えていました。
ただ、自分たちだけで規格に適合させたまま再構築することは難しく、なかなか着手できませんでした。

今回、Pマーク取得にあたっては、認証を維持するための作業負担が2倍になることは避けたいと考えました。
限られた人数で2つの認証を運用しなければいけないので、不必要な労力をかけずに済むよう、情報セキュリティ専門のコンサルタントと契約し、Pマークの取得と同時に、ISMSのスリム化に取り組みました。

以前はどこまでやって良いかさじ加減が全くわかりませんでした
（情報セキュリティ委員会・江本孝宏氏）

— コンサルティングはどのように進みましたか。

Pマークの取得に向けた準備と、ISMSのスリム化を平行して行いましたが、最初の3か月はPマークのルール構築に重点を置きました。
全体のスケジュールは、Pマークのルール構築に3か月、その後、構築したルールのもとでPマークを運用し、教育、内部監査といった準備を進めながら、ISMSに関する相談をするといった流れです。途中、弊社の繁忙期や、ISMSの更新審査を挟んだため、認証取得まで約1年かかりましたが、作業自体は概ね順調に進みました。その後、ISMSのスリム化では、こちらの疑問点が解消できるまで、相談に乗っていただきました。

宮本さんの訪問回数は、ルール構築までは月に2回ぐらいずつ。その後は、弊社の繁忙期を除くと月に1回のペースでした。

— Pマーク取得の経緯について伺います。Pマークのルール構築の流れを教えて下さい。

宮本さんの質問に答えながら業務分析とリスク分析を行い、それをもとにルール構築を行いました。
そして、コンサルティングの合間には、各部署への確認、個人情報の台帳の作成などを行いました。作業を進める中で不明な点や疑問点が生じた場合は、宮本さんにメールで問い合わせました。

— リスク分析やルール構築にあたって留意したことは何ですか。

ISMSとPマークの整合性です。現場も混乱を防ぐためです。ISMSと重複する部分では、それを念頭におきながらリスク分析、ルール構築を行いました。

ルールの構築が一通り終わった段階で、社員向けの社内研修会を開き、宮本さんから全社員に対して「Pマークとは何か」「ISMSとの兼ね合い」に関して説明してもらった上で、情報セキュリティ委員会から弊社のルールを説明しました。

その後、内部監査、審査、審査対応などで、その都度、宮本さんからのアドバイスを頂き、Pマーク取得に至りました。

ISMSのスリム化では、こちらの疑問がなくなるまで付き合っていただきました
（最高情報セキュリティ責任者 個人情報保護管理者・溝部功祥氏）

— ISMSのスリム化という目標は達成できましたか。

はい、出来ました。必ずやらなければいけないことと、やらなくても良いことの仕分けが出来て、ISMSの運用活動は軽減されました。教育や点検の回数も減らすことが出来たし、記録を残す際も神経質にならずに済んでいます。Pマークを取得したことによる負担も増えていません。

コンサルティングを通して確認できたことは、これまでは過剰かつ無用な心配をして、負担が増えていたということです。他社の事例も教えていただきましたが、「この程度で良いのか」と思うようなことが多かったです。今後は、更新審査に向けた作業負担を半分ぐらいには減らせると感じています。

— コンサルティングの期間中に、ISMSの更新審査があったと思いますが、その際はどうされましたか。

宮本さんからアドバイスをいただいて審査に臨みました。その中で印象に残ったのが、「審査で指摘されたら直せば良い」、「審査員も相談すべき相手なので、自社に合った審査機関を選んだ方が良い」といったアドバイスです。
そういったアドバイスを参考にして今回は審査機関を変えるなどしました。その際の審査機関はLRMの紹介です。
結果として、今回はこれまでになく、リラックスして更新審査を受けることが出来ました。