株式会社クオリティア 様 – 顧客事例 –

国内シェアNo.1の『Active!mail』を核とするActiveブランドを展開。

— 御社が、ISMSを取得した理由を教えてください。

弊社がISMS認証を取得した理由は、主に対外的な信用力強化を目指したからです。

弊社が提供するサービスでは、お客様の情報をお預かりいたします。このような企業にとって情報セキュリティマネジメントシステムをいかに体系化しているかは、対外的な信用に結びつきます。最近は、弊社の製品やサービスにお引き合いをいただくお客様からは、プライバシーマーク（以下Pマーク）またはISMS認証の取得状況を問われる機会が非常に増えています。取得していない場合は、どのような対策をとっているのかを文書化して提出することが求められます。
いずれかの認証を取得していれば「取得しています」と回答するだけで済みますが、取得していなければ求められるたびに詳細な文書を作成しなければいけません。

時には、取得していない理由まで問われることもありました。そういう意味では、いずれかの認証を取得していることが、信用力にも繋がるということです。
弊社が今後も事業を継続していく以上、PマークかISMSの取得は必須課題でした。
認証取得を前提とした契約もありましたので、企業責任を果たすためにも取得しなければいけませんでした。
ISMSを選択したのは、Pマークが国内のJIS規格に準拠するのに対し、ISMSは国際規格に準拠するものだからです。
2010年の春頃から社内の改善活動の一環として情報セキュリティ委員会を組織して新規取得活動を進めてきました。

幸松さんと会うことが楽しい。
委員会のメンバー全員、そう感じていたと思います
（開発部・田畑千絵氏）

— コンサルティングサービスを導入するまでの2年間の経緯を教えていただけますか。

現在の情報セキュリティ委員会は、事務局の田畑の提案をきっかけに業務改善活動の一環として立ち上がりました。立上げ時点では情報セキュリティは関係なく、社内のソフトウェアや機器類などの資産管理を行うための活動でした。
資産管理は一部門だけの問題ではないため、各部署からメンバーを募りました。

部門横断的な活動として活発な意見交換を行う中で、どうせやるなら社内だけではなく外部にアピール出来るような成果を出すべきではないかという意見があり、当時課題となっていた情報セキュリティの認証取得を目的とする情報セキュリティ委員会へと発展しました。

情報セキュリティ委員会は、ボトムアップ型でスタートしたプロジェクトのため、期限などの制限はありませんでした。いずれかの段階でコンサルタントを活用すべきという認識はありましたが、ただ言われるがまま、やらされるだけの取り組みでは意味がないと考えていました。

そのように考えた背景には、以前、Pマーク取得に取り組んだ経験がありました。
その時はコンサルタントに言われた通りに動くやり方で、プロジェクトが思うように進みませんでした。
それが教訓となり、今回のISMSでは最初からコンサルタントに頼るのではなく、自分たちが主体的に取り組み、我々自身が、ISMSとは何か、規格はどうなっているのか、を理解するところからスタートしました。

–　途中でコンサルティングを導入したきっかけを教えてください。

情報セキュリティ委員会による新規取得活動が大詰めを迎える中で、認証取得というゴールへ適性に導いてくれる存在が必要となったことがきっかけです。

それまでの2年間、我々はISMSを理解するために、市販の関連書籍やWebサイトを読んだりセミナーを受講したりしました。そして規格に照らし合わせて弊社の現状把握を行い、情報資産の洗い出しや台帳の作成、社内規定などの文書類作成といった作業を一通り行いました。
我々が作業する上で意識したことは、全社員の理解を得て社内に情報セキュリティ意識を浸透させることです。
セキュリティを強化すると業務フローに影響が出る場合があります。それによって社員の負担が増えると、構築したマネジメントシステムに対する社員の理解を得る事は難しくなってしまいます。
そのため出来るだけ意味のないルールは省いて、どうしても必要なことはなぜ必要なのかをきちんと理解した上で制度化したいと考えました。
その一方で、審査に合格するためには、ISMSの規格に適合したシステムを構築しなければいけません。
そこで弊社の業務フローに合わせたマネジメントシステム構築と規格への適合を両立させることが問題となりました。

参考にした関連書籍やWebサイトには膨大な量の情報が公開されています。
しかしその中には、弊社として本当にそこまでやらなければいけないのか、そしてそれをやることにどんな意味があるのかと疑問に思うことが沢山ありました。
また、書籍やWebサイトによって主張が対立する内容もあり、何が正しいのかを判断することも困難でした。
このような問題を解消するために、コンサルティングサービスを導入しました。

審査直前、確認作業を一緒に手伝ってくれたおかげで精神的に楽になりました
（経営管理部 人事総務課・本多里衣氏）

— LRMのコンサルティング開始後、認証取得はスムーズに行きましたか。

はい。3月にLRMを交えた作業を開始し、12月に取得出来ました。

LRMが担った役割で最も重要だったことは、それまでに情報セキュリティ委員会の活動で構築したシステムの確認作業です。それは我々が最も期待した部分でした。
情報資産台帳やベースラインリスク分析、社内周知の仕組み、運用の仕方などを一通り見直してもらい、不足する部分を補強したり、冗長すぎる箇所を削ったり統合したり、文書の文言に修正を加えたりしました。
その上で幸松さんに審査に必要な規定類や書式などといった文書を、改めてまとめていただきました。
幸松さんのコンサルティングが始まって新たに着手した作業には、社内の整理整頓があります。
アドバイスに沿ってオフィス内の文書管理方法などを見直して整理していきました。

また、社内システムに関しても、ログやバックアップ方法の整理、社内に散らばったパスワードなどの情報を一元化して共有できるようにしました。

— 途中コンサルタント選定時の期待に対する成果はいかがでしたでしょうか。

期待通りでした。規格に対してどこまでやれば適合するのか、また適合するための文言など、弊社の事業内容や業務フローに即した適切なアドバイスをいただくことで、必ずやらなければいけないこと、やった方が望ましいこと、ある程度までやれば十分なこと、の仕訳ができました。
また、社内システムの整理はIT業界出身の幸松さんだからこそのアドバイスだったと感じています。

さらに、リスクアセスメントの際に、幸松さんが委員会以外の社員にインタビューを行う機会がありましたが、それが社内全体の意識向上に繋がりました。
一般社員の間でも日常的に「これはISMS的にどうなんだろう」という疑問の声が上がるようになっており、情報セキュリティへの意識が社内に根付いたと感じます。

LRMは、クオリティアならどうすべきかを、親身になって考えてくれるコンサルタントです
（取締役 開発本部 本部長・野村維左夫氏）

–　LRMへのご評価をお願いいたします。

弊社がLRMを評価するポイントは主に次の3点です。

（1）顧客起点のコンサルティング
LRMのコンサルティングスタイルの最大の特徴は、顧客起点である、ということです。

認証の新規取得活動においては、ISMSの規格ありきの一般論で話を進めるのではなく、あくまで我々の立場に立ち、事業内容や企業としての規模、さらに社内での取り組み状況を踏まえてリードしてくれました。
何かを決める際には、答えを1つに限定して一方的に示すのではなく、我々自身の考えを引き出すスタイルでした。
情報セキュリティ委員会では、過去の取り組みにおいて課題や問題が発生したらみんなで相談するという行動が定着していました。
それを十分理解していただいていたからこそだと感じています。

このような顧客の立場に立ったコンサルティングよって、クオリティアという企業に最適化されたマネジメントシステムが構築できました。

（2）話しやすさ
LRMの幸松さんは、とても話がしやすいコンサルタントです。関西人らしい親しみのあるコミュニケーションスタイルで、威圧感はなく、何でも気軽に相談することが出来ます。それは選定時に期待した通りでした。

例えば、新規取得活動の中では、所属する部署の業務が忙しくて、ISMS関連の作業が期日通りに完了出来なかった時も、正直にその旨を話すことが出来ました。
そのような時でも機転をきかせてそれをカバーするアドバイスをしてくれることで、スケジュールをずらすことなく、予定通りに進めることが出来ました。

このようなことから、一緒に仕事をしていただける実感が持てて、頼りがいとともに会うことが楽しいとも感じました。それは、情報セキュリティ委員会のメンバー全員が感じていたことだと思います。

（3）契約書や見積もりに縛られない親身な対応
契約書や見積もりに縛られない親身な対応に助けられています。

例えば新規取得活動においては、事務局の仕事として最も大変だったのが審査段階でした。
特に、現地審査の準備段階では漏れがあってはいけないというプレッシャーを抱えていました。
しかし、前日、幸松さんが確認作業を一緒に行ってくれたおかげで安心して審査を迎えることが出来ました。
審査前日のコンサルティングは、予定になかったことです。
審査対応では、幸松さんが審査会社と交渉していただいたり、迅速かつ的確なアドバイスをいただいたり、我々の負担を軽減する様々な働きかけをしてくれました。

さらに、情報セキュリティとは関係のない相談にも気軽に乗っていただいています。
お客様からの問い合わせへの対応などで困った際も、相談すると人脈を活かして調べてくれて、即日回答していただけます。非常にレスポンスが良いためつい頼ってしまうのですが、嫌な顔をせずに快く対応していただいており、助かっています。