Unipos様 – 顧客事例 –

提供するクラウドサービス『Unipos』が海外の企業に導入されるなど大躍進とも言える成長を遂げる中、Unipos様は、LRMのサポートを受けISMS/ISO27001認証を取得しました。認証取得の目的や、取得に至るまでの苦労、取り組みの成果などについて、代表取締役社長・斉藤知明氏、取締役CTO・赤羽直樹氏にお話を伺いました。

（Unipos様について）

企業におけるピアボーナスの導入と運用を支援するクラウドサービス『Unipos』を提供。Fringe81株式会社の子会社である。ピアボーナスは成果給の一種で、従来の業績や成果を会社が評価して支払われる成果給とは異なり、日常的に同僚から同僚へ感謝の気持ちとして送られる少額のボーナスだ。もともとは米国で生まれて広まった制度だが、Fringe81社においても2013年から「発見大賞」と名付けた表彰制度を導入していた。「発見大賞」は月に一度、全員が誰かの素敵な貢献に投票し、最も多い票を集めた従業員が表彰されるという制度である。当初はアナログな手法で投票・集計を行っていたが、月に1度の頻度ではなくリアルタイムに投票・共有できるようシステム化し、さらに制度をブラッシュアップしていった。そのノウハウを集約して外部向けにサービス化したのが『Unipos』である。リリースされた2017年6月以降、社会全体の働き方を見直そうとする時流と合致したこともあり、ベンチャー企業を中心に導入件数を増やし、2019年1月には累計有料導入企業数200社を突破するという順調なスタートを切っている。現在は、導入企業が国内のみならず海外にも広がりを見せる中、大手企業や老舗企業への導入にも注力している。
設立；2017年12月。本社；東京都港区。従業員数；約40名。

国内の企業にピアボーナスという制度を認知させる機会となった『Unipos』。
自社向けに試行錯誤を繰り返しながら蓄積したノウハウを武器に加速度的な成長を遂げている。

— ISMS認証を取得した理由をお話し下さい。

弊社がISMS認証を取得した理由は、『Unipos』の導入をご検討いただいているお客様に対し、弊社において情報セキュリティを担保するための体制が整備出来ていることを証明するためです。

ピアボーナスが解決する課題は、従来の人事考課制度では評価されずに埋もれてしまいがちな従業員の貢献性を掘り起こして認識することで、お互いに信頼し合う組織を作ることです。『Unipos』は、比較的小規模なIT系、広告系のベンチャー企業から導入され始めたのですが、実際にそのような課題を深刻に感じているのは、長い歴史を持つ老舗企業や大手企業、あるいは広範囲なエリアで店舗を展開する企業です。

そういった企業ほど変革が難しいという実態はあるのですが、『Unipos』の導入企業が増えるとともに国内におけるピアボーナスの認知が高まるにつれて、そのようなお客様からもお問い合わせをいただく機会が増えてきました。その際に必ず懸念されるのがセキュリティ体制です。セキュリティチェックシートなどを通じて、データセンターを置く地域を開示して欲しいといった要求もありまして、なかなか回答がしづらいと感じる反面、サービスを提供する立場としてそういったご懸念を放置することも出来ないという悩みが生まれました。同時に我々自身、セキュリティ対策にはしっかり取り組んできた自負がありますので、それをきちんと証明できる材料が欲しいと考えました。

自社のセキュリティ体制を証明する手段としてよく知られているのは、ISMSとプライバシーマークです。しかしその頃すでに『Unipos』に対して海外のお客様からもお問い合わせをいただいていましたので、グローバルスタンダードに基づいて証明することが出来れば、海外のお客様にもご安心いただけるだろうと考えてISMSを選択しました。

— 外部の規格を導入することによって、開発スピードが落ちたり、業務負担が増えたりするといったご懸念はございませんでしたか。

我々は外部のスタンダードを取り入れること自体に、ネガティブな要素を感じていません。逆に脆弱な部分があれば、それを正す機会になると考えました。

ただ、ISMSを導入するにあたり、どう体制を整備して行けば良いのか、どれぐらいの工数がかかるのかが全くわからない状態でした。弊社にはFringe81グループとして共有している社内規程があり、その中に情報セキュリティに関する規定も含まれています。この社内規程とISMSとの間にどれぐらいの乖離があるかも予測が付きませんでしたし、場合によっては二重規程が生まれてしまうという危惧がありました。そこで、そのようなリスクを回避するためにも専門家のサポートは必須であると考え、まずはコンサルティング会社の選定からスタートしました。

–ISMS認証取得の期限は設定されていましたか。

2018年9月までに取得することを目標としていました。理由としては『Unipos』の成長が早く、体制が変わりやすいことがあります。弊社は決算期が3月です。そのため4月、10月に体制の変更が起こりやすいのですが、9月までに取っておけば、1年後の維持審査の際に、その変更を前提とした話が出来ると考えました。あまり時間をかけると、全く別の体制になってしまうことが往々にしてありますので、ISMSの規格と照らし合わせて弊社のセキュリティに問題がないことが確認さえできれば、可能な限りスピーディに認証を取得したいと考えました。

「弊社の実態に即した制度づくりを期待してLRMに依頼しました」
（代表取締役社長・斉藤知明氏）

— コンサルティング会社選定の経緯をお話し下さい。

コンサルティング会社を選定するにあたっては、必要なコストには、躊躇せずにきちんと投資しようと考えていました。コストを抑えた結果、業務負担が増えるような体制が出来てしまうと、プロダクト開発に支障が出ます。それを防ぐため、しっかりしたコンサルティング会社に依頼したいと考え、インターネット検索で、評判の高い会社を3社ほどピックアップして比較することにしました。

— その中でLRMにご依頼された理由をお話し下さい。

LRMを選定した決め手は、弊社の実態に即した制度作りをお手伝いいただける期待が持てたことです。要因は2点ありました。

（1）クラウドサービスに対する理解
弊社はGCP（Google Cloud Platform）の上でScalaとGoを使ってプロダクトを開発していますが、それを伝えても伝わらない会社がありました。LRMがクラウドサービスに強いことは、Webサイトの事例などを読んで感じてはいましたが、実際に営業の方と電話で話した際にもきちんと話が通じましたので、話がしやすいと感じました。

（2）柔軟性の高さ
最初に問い合わせた際、営業の方との話の中で印象に残ったのが「ISMSは規制を強くするための規格ではなく、規程を正しく守っているかどうかを判断する規格です」とおっしゃっていたことです。それを伺い、柔軟性を持った規程作りをサポートしていただけるという期待を持ちました。非常に格安でテンプレートに記入すれば認証は取れるというコンサルティング会社もありましたが、そのテンプレートの中身を拝見すると、ノートPC持ち出し禁止などと書いてあって、とても弊社の実態に即した制度が作れるとは思えませんでした。

以上2点がLRMに依頼した決め手です。

— 結果としてLRMにコンサルティングをご依頼されていかがでしたか。

非常に良かったと感じています。まず従来の社内規程を精査し、次にリスクアセスメントを通して我々が現在どのような働き方をしているのかを把握していただく。その上で最低限押さえなければいけないポイントを整理してルールを作り、PDCAを回して改善していく。このようなステップを提示していただいたため、非常に進めやすかったです。
従業員にとっては、2段階認証やPCのパスワード設定など、従来の手順に若干付け加えた程度で、ほとんど負担を感じずに遵守できるルール作りが出来ました。

「既存の社内規程との整合性が取れるかが心配でしたが結果的に心配は無用でした」
（取締役CTO・赤羽直樹氏）

— 今回の取り組みで、従来の社内規程は改変されたのですか。

社内規程はほとんど改変していません。あくまでも従来の社内規程をベースとし、ISMSの要求事項を満たすために必要な要素を追加するという方針でルール作りを行いました。

ただ、一通りチェックして、実情と合わない部分を洗い出して、書き換える作業は行いました。例えば紙文書の廃棄は「シュレッダー」と書いてあるけれども、実際には「溶解ボックス」を使っているといった小さな誤差です。

— 現在は社内規程とISMSマニュアルが併存しているという状態でしょうか。

2つがバラバラに存在しているのではなく、お互いに補完し合い、参照し合う関係で存在しています。

従来の社内規定は親会社と共有しているものです。弊社は必ずしも単体で事業を行っているわけではないので、それを変えてしまうとグループ全体の社員に影響します。我々もFringe81グループの社内規程がどうなっているかを参照しやすい状態は残したいと考えていました。

一方、ISMS運用の側面から考えると、ISMSの規格の条項順に並んでいる文書が存在した方が審査の際に混乱しませんし、メンテナンスも楽です。またその方が社内規程がISMSに即しているかどうかも確認しやすいです。

そこで社内規程はほぼそのまま残して、別途ISMSの条項順に並んだISMSマニュアルを作成し、各条項と社内規程の該当する箇所をお互いに参照させるとともに、ISMSの要求を満たせていない箇所があれば、ISMSマニュアルの方にルールを追加するという形を取りました。

このような管理の方法は、我々の力だけでメンテナンスできなくなるというデメリットがあります。
しかし親会社と共有する規程を生かしつつISMSを円滑に運用していくにはこの方法しかないと考えました。
結果としてベストな選択だったと考えています。もし規程を作り替える方法を選んでいたら、親会社との調整で大変なことになっていたと思います。

— 文書類をまとめる作業はどうされましたか。

LRMにお願いしました。まず社内規程を読み込んでいただいて、ISMSマニュアルとの参照関係を作るとともに、不足している部分を補足していただきました。専門的な知識が必要な作業は全てLRMにお任せし、我々自身は社内規程の実態に即していない部分を修正し、補足すべきルールを決め、それを全従業員に浸透させることに集中して取り組むことができました。

— 追加したルールにはどのようなものがありますか。

ISMSで必須となっている従業員教育やBCP訓練、内部監査を定期的に実施するルールの他に、従業員の業務に関わる部分で、PCモニターにスクリーンセーバーロックを設定するというルールを設けました。

— 従業員に浸透させるというお話がありましたが、具体的にはどのような形で実施されたのですか。

主に従業員教育とBCP訓練の実施を通して行いました。また、必要に応じて新しく追加したルールの周知を行いました。

— BCP訓練とは何ですか。

ISMSの中に事業継続計画という項目があり、その中で年に1回BCP訓練を実施することが決められています。毎年テーマを決めて実施するのですが、基本的に自然災害などの発生時に迅速な対処が出来るよう備えておくための訓練です。今回初めて従業員全員参加のもとで取り組みました。

— 従業員教育についてお話し下さい。

従業員教育は、LRMのセキュリティ教育クラウド『セキュリオ』のeラーニング機能を使って実施しました。情報セキュリティのルールを社内に浸透させるには、基本的な考え方を従業員にインストールする必要があります。しかしそれを端的に伝えることは難しいので、『セキュリオ』を活用し、イベント化して皆で楽しみながら取り組みました。

— 内部監査はどのように実施されたのですか。

第1段階審査の前と、第2段階審査の2回に渡り、LRMに内部監査員を代行していただいて実施しました。斉藤が責任者として内部監査員教育を『セキュリオ』で受け、内部監査とはどうあるべきかを把握した上で代行をお願いしました。
1回目は現地審査の予行演習を兼ねてISMS担当者である赤羽を対象に実施し、2回目は従業員の中での浸透状況をチェックしていただきました。

— 内部監査員を代行してもらうメリットは何でしょうか。

第三者視点で公平性の高い評価をしていただけることです。現場に浸透しきっていない部分をご指摘いただいたり、リスクアセスメントの実施後に追加された情報に対して管理方法をアドバイスしていただいたりしたことは、1つの学びの機会になりました。

— 審査はいかがでしたか。

第2段階審査で改善の機会をいただきましたが、大きな問題はなく終了しました。いただいた改善の機会は、社内で精査し改善した方が良いと判断したものは、従業員に周知したり、来期の取り組み課題として計画に盛り込んだりして対応しています。やはり新たな気付きを得ることが出来て、組織を強化する機会になりました。

— ISMS認証取得までの取り組みの中でご苦労はありませんでしたか。

ISMS認証の取得・運用では、代表の斉藤はトップマネジメント、赤羽が情報セキュリティ責任者を務めていますが、従業員への周知徹底や受審のためには我々自身が情報セキュリティの全体像と、これから何をしなければいけないかを正しく理解しなければいけません。それが最も苦労したところです。

社内規程やISMSのルールの中でも一般社員が把握していなければいけないことは一部だけです。しかし情報セキュリティ責任者やトップマネジメントの立場では、業務遂行上は意識しなくても良いことでもきちんと把握はしておかなければいけません。従って規程を作り上げる段階で文書類は徹底して読み込みました。特に普段は使わないようなISMSの専門用語に慣れるのが大変でした。

だからこそ文書のまとめとして、ISMSの要求事項順に規程を並べていただけたことは、非常に良かったと思っています。審査でヒアリングを受けた際も、社内規程に対する索引として使えるため、膨大な規程を丸暗記する必要がありませんでした。