株式会社Toreru様＆特許業務法人Toreru様 – 顧客事例 –

商標登録出願に特化したサービスを提供する株式会社Toreruと特許業務法人Toreruは、増え続ける情報資産を守る仕組みを構築するため、LRMのサポートを受けながらISMS/ISO27001認証を取得しました。次年度はISO27017/ISMSクラウドセキュリティ認証取得がテーマと話す代表取締役・宮﨑超史氏と商標事務・佐藤愛子氏のお二人にISMS/ISO27001認証取得までの経緯と成果を伺いました。

（株式会社Toreru＆特許業務法人Toreruについて）

商標登録が簡単にできるクラウドサービス『Toreru』を開発運営。WEBシステムとAIを活用することで通常の特許事務所を圧倒する納期・費用を実現している。出願手数料を業界平均の5分の1に設定することで、個人事業主や中小企業のニーズを引き出し、2019年は公開商標公報の代理件数で国内1位を獲得。ミッションは「知財の価値を最大化させる」。人間とテクノロジーの協働で“知財の権利化”のハードルを下げ、知財活用の促進とさらなる知財創出の活性化に取り組んでいる。
設立；2017年。本社；東京都世田谷区。従業員数；10名（2020年1月現在）。

「何かしら作業負担は伴うと明言されたことが却って信頼に繋がりました」
（商標事務・佐藤愛子氏）

— ISMS認証を取得した理由をお話し下さい。

弊社が提供するクラウドサービス『Toreru』が認知され、弊社における商標登録の出願件数が増えてきたことから、取り扱う個人情報や商標など重要な機密情報の数も増えてきました。それらの機密情報を守るためのセキュリティを強化したいと考えてISMS認証を取得しました。

弁理士業界は秘密保持契約がございますので、個人レベルでのリテラシーが非常に高い業界です。しかしその分、組織的な対策は遅れがちです。取り扱う件数が増えてきたところで第三者機関が定めたガイドラインに沿って組織としての施策を整理することにしました。

— 情報セキュリティに関して、弁理士業務を行う事務所の中でも特に御社特有の脅威というものはおありですか。

個人情報の管理をクラウド上で行っていることが特有の脅威であると考えています。一般的な弁理士事務所は、紙の文書で保管していることが多いですし、データで管理している場合でも社内のファイルサーバーで管理しています。
その場合、会社の施錠をしっかりしていれば守れますが、クラウドはどこからでもアクセスできる分、情報漏洩の脅威に晒されやすいという危惧はありました。

— ISMSの規格に沿ったルール作りをすることで、業務フローが変わって仕事がやりづらくなるというご心配はございませんでしたか。

そういった不安は基本的にありませんでした。弊社は、もともと情報セキュリティに関わらず、より良いやり方があれば柔軟に取り入れてきました。業務フローも随時見直しており、変化すること自体はポジティブに受け入れる企業体質です。しかし事業規模が拡大するにつれ、何かを変えようとした時にそこにひそむリスクを洗い出すための基準は必要になってきました。ISMS認証取得は変化が求められた際に、「これだけは死守しなければいけない」というガイドラインを設けるためにも良い機会となりました。ただ、結果的には従来の運用が大きく変わったところはほとんどありません。国際規格に沿ってリスクを評価しながらやり方を変えるベース作りが出来たという捉え方をしています。

— 認証取得の期限は設けておられましたか。

外的要因による期限が決められていたわけではありませんので、切りの良いところで年内（2019年12月末）を目標にしました。

「情報セキュリティは今後も重点的に投資する対象と位置づけています」
（代表取締役・宮﨑超史氏）

— ISMS認証取得にはどのような体制で取り組まれたのですか。

宮﨑、佐藤の他に総務担当者の合計3名で情報セキュリティ委員会を組織して取り組みました。

— 経営者ご自身が関与する理由をお話し下さい。

情報セキュリティは、全社的に取り組む必要があります。1部署でも欠けていたらそこがセキュリティホールになりえるためです。セキュリティホールを作らないためにも、経営者が率先してコミットすることが重要だと思っています。

— 実際にやってみて作業負担はいかがでしたか。

社員数が少なく専任担当者を配置できないため、普段の業務と並行して取り組むのが大変な作業でした。

ただLRMのサポートは、必要最小限の工数で進められる仕組みが用意されているように感じました。自分達の実態に合わせて実効性のある施策を組むには、一から文書を作る必要があると聞いたことがあります。今回はLRMが各種文書のひな形を用意してくれましたし、作業していてわからないことがあった時は、質問すれば教えていただけました。『Slack』で連携していたため、打ち合わせ時以外の連絡もスムーズでした。さらにマニュアルの作成では、ひな形を一文一文読み合わせしながら弊社の実態に合わせたカスタマイズをしていただき、結果として弊社独自のマネジメントシステムが出来上がりました。

自力で頑張ったというよりは、様々な場面でお力添えいただけたからこそやりきれたと感じています。自分達でゼロから作っていたら、実質半年という期間では認証取得できなかったでしょう。

— 実際の作業時間はどれぐらいでしたか。

毎週1時間から2時間程です。情報セキュリティ委員会のメンバーで情報資産やリスクの洗い出し、マニュアルの作成などを行った他、ISMSのルールを社内に落とし込むための定例ミーティングを実施していました。

— 定例ミーティングでは具体的にどのようなお話しをされましたか。

ISMSのルールを作っていると、実際の業務を見直した方が良いところが見えてきますので、具体的にどう見直すかを話し合いました。例えば、パスワードポリシーの策定に合わせて管理ツールを導入したり、社内システムの権限管理のルールも整理したりしました。

— 業務負荷がかかるようなルールはありませんでしたか。

マニュアルを一文一文読み合わせる中で、弊社に適していないところは削っていただけましたので、やる必要のないルールは作っていないはずです。

意外だったのは、BCP対策に避難訓練が含まれていたことです。ISMSに関係するとは思っていませんでした。
当社が入居しているビルには避難訓練がなく、災害対応も決まっていませんでしたので、この機会にルール化出来て良かったと思っています。