株式会社Zeals様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

株式会社ZealsはLRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。
またISMS認証取得に伴い、プライバシーマーク（以下、Pマーク）との文書統合もして頂きました。

LRMの担当者は三崎さんと白田さんです。2019年6月頃からスタートして同年12月にISMS認証を取得しました。

— Pマークの取得および運用ではコンサルティング会社のサポートは受けておられなかったのですか。

新規取得の際は他のコンサルタントのサポートを受けましたが、運用に関しては、サポートを受けていませんでした。そこで、ISMS認証取得にあたってはLRMにサポートを依頼し、ISMSとPマークを統合したマネジメントシステムに再構築して頂きました。

— 松田さんは普段どのようなお仕事をされているのですか。

私は現在、人事労務を担当する傍ら、もともとエンジニアだった経験を生かして、情報システム担当（以下、情シス）としてPCや社内システムの管理などの仕事も兼務しています。これまで従業員数が少ない頃は1人が様々な役割を兼務していましたが、人数が増え始めたことで2019年度は生産性の向上をテーマに掲げて、組織変革に取り組んできました。その中で適材適所に人材を配置するという流れから、ISMSとPマークの運用も私が担当することになりました。

— ISMSとPマークに関しては全て松田さんがお一人でご担当されているのですか。

私が引き継いだ時点でルールの構築は一旦出来上がっていました。そこからルールの周知浸透、従業員教育などを実施する際には、各部署のリーダークラスの人達と情報を共有しながら進めて行きました。

現在は、情シスのもう1名のメンバーと私で毎週ミーティングを開いて、ルールの見直し、進捗確認を行っています。
また各部署のリーダーとは引き続き連携し、ルールの浸透を図っています。

— 「目指していた成果を上げることは出来た」とのことでしたが、どのような時に実感されますか。

名刺に印刷した認証マークやエントランスに飾った認証書を見て気付いて下さいますので、従来のようにセキュリティに対する不安について言及されるお客様はいなくなりました。その分、商談がスムーズに進むようになりました。

— 管理体制の整備についてはいかがでしょうか。

まず、社内システムの運用上発生していたセキュリティインシデントがほとんどなくなりました。これまでも大きなインシデントはありませんでしたが、『Slack』のオープンなチャンネルに個人のメールアドレスを上げる、『DocBase』の中にパスワードが含まれているということは日常的に起きていました。これまでは、情シス担当の私が、それを見つける度に指摘していましたが、気がつかずにそのままスルーされていることもあったと思います。今回、ISMSのルールを作って周知したことで、そういった行為そのものがなくなって、私から指摘することはなくなりました。『Slack』のオープンチャンネルに個人のメールアドレスはアップしない、『DocBase』で管理するドキュメントの中にパスワード類は含めないといったルールを明文化しています。

— その他、社内システムの運用に関連したルールはありますか。

他には社内システムの権限管理を見直しました。弊社の業務は全てクラウド上で行っています。これまではスピードを優先していたためオープンな使い方をしていましたが、ISMS認証取得を機に、必要な人だけがアクセス出来る運用に変えました。

組織が大きくなりきった後にルールを作るのは大変だと思います。そこに至るまでに構築出来たことは非常に大きな資産です。ルールが明確になって従業員の意識も向上しました。

— 従業員の皆さんの意識の変化はどのような時に感じますか。

例えば何か情報を共有しようとする際に、気になることがあれば一旦立ち止まって、確認する行動が見られるようになりました。現場の中で確認しあったり、情シスに問い合わせたりしています。

また離席時にPCの画面を閉じる行動も定着しました。これまでトイレなどでちょっと離席するという場合は、オープンにしたままの人が多かったのですが、今ではなくなりました。セールスや採用など外出が多いメンバーは、外出先で仕事をしている時に周りからモニターを見られないようにシールドを活用しています。これは我々が決めたルールではなく、現場の意見から生まれた取り組みです。

このように自主的な取り組みが生まれたり、従業員同士がお互いに注意し合えるような環境になったのは、会社全体のリテラシーが向上した証であると考えています。私もLRMにご指摘いただいて気付いたリスクが沢山ありました。

— 具体的にはどのようなリスクですか。

特に盲点だったのが、オフィス内のWi-Fiルーターの設置場所、席の配置など、物理的な管理です。Wi-Fiルーターの設置場所はこれまでオフィス内の端でしたが、誰でも触れる場所でしたし、間違えて踏んでしまう可能性がある状況でした。今回、LRMにご指摘いただいて、従業員が仕事をするデスクから離れた場所にWi-Fiルーターを設置し直しました。また、セキュリティリスクが高い情報を扱う人のデスクも、これまでは誰でものぞき込めるような配置になっていました。今回、LRMの指摘を受けて席替えをし、人が移動する動線から離しました。私も人事情報を扱いますので、今はオフィスの端に席を置いています。その他、契約書などを保管するキャビネットや金庫のカギの管理方法も見直しました。

こういったご指摘は、言われてみれば納得のいくことばかりでした。おかげで視野が広がり、ルールの見直しを進める上で役に立っています。

— ご苦労はございましたか。

個人的には短期間で事務局向けの内部監査に必要な文書類を揃えなければいけなかったことが大変でした。私が引き継いだタイミングでマニュアルは完成していましたが、その他、従業員教育や情報資産リスト、各種記録などが揃っていない状況だった為、1週間かかりきりで準備をしました。特に苦労したのが従業員教育です。社長や役員にも働きかけて全社的な協力を呼びかけてもらい、全員のテスト結果が100点になるまでやりきりました。

— LRMのサポートはありましたか。

手厚いサポートをしていただきました。個人的に、情報セキュリティのコンサルタントに堅い印象を持っていましたが、LRMのコンサルタントは非常に親しみやすいと感じましたし、弊社側が進めやすい環境を整えていただきました。

— 具体的にはどのようなサポートでしたか。

特に従業員教育が大変だったと言いましたが、LRMのセキュリティ教育クラウド『セキュリオ』のeラーニング機能がなければ、期日までに完了することはできなかったでしょう。『セキュリオ』には教材やテスト、実施記録や未受講の従業員への催促機能もついています。従業員教育を実施するために必要なものは全て揃っていたことが1週間で終わらせられた要因です。

— 『セキュリオ』以外のサポートはいかがでしたか。

ドキュメント類を揃える作業でもサポートしていただきました。前任者から引き継いで、タスク量に対して時間がないことがわかった時点で、お二人から「土日を返上してでもサポートするので、二人三脚でやりましょう」とおっしゃっていただきました。実際、文書類の記入方法などでわからないことがあった際には電話、チャットなどで相談して解決しました。そのようなサポートがあったおかげで、スケジュールを遅らせることなく、予定通りに内部監査を実施することが出来ました。

また、内部監査では内部監査員を代行して頂き、それが実際の審査を受ける準備にもなりました。第2段階審査前の現場向け内部監査も同様で、周知したルールの浸透度合いをチェックした上で第2段階審査を受けることが出来ました。

— 実際の審査はいかがでしたか。

第1段階審査、第2段階審査、ともに落ち着いて受審することが出来ました。結果としては、改善の機会を少しいただいたぐらいでした。その指摘事項への対応については、現在、次回の維持審査に向け定期ミーティングで検討しているところです。

— 慌ただしい準備の中でどのような方法で周知浸透を図られたのですか。

毎週開く朝会の中で行いました。ISMSとは何か、なぜやるのか、どこに気をつけて欲しいかといったことを定期的に発信しました。これは継続的な取り組みとして、今も毎月一回以上は情報セキュリティについて触れるようにしています。

— 今後の課題をお話し下さい。

ルールの周知浸透が進んだとはいえ、まだまだスタート地点に立った段階です。今後も継続的に浸透を図っていく必要があります。現在弊社は毎月従業員が増えています。既存メンバーの底上げと同時に、新しく入社するメンバーへの周知もしていかなければいけません。

そのための取り組みとして、朝会の他にISMS勉強会をスタートしました。各事業部を6名から7名のグループに分けて、現場の課題を挙げてもらい、その課題に対してどのような取り組みが有効かを話し合ってもらっています。そして、各グループで検討した結果を集約し、ルールの見直しに生かしています。このような取り組みを通して、情報セキュリティに対する会社全体の意識を高め、ルールの形骸化を防止する考えです。

— 今後、LRMへのご期待がございましたらお話し下さい。

LRMには今後も継続的にサポートしていただきたいと考えています。ISMSとPマークの運用支援サポート『情報セキュリティ倶楽部』の契約を検討中です。毎年ISMSの維持審査がありますし、今年はPマークの更新審査もあります。
従業員が増え、部門や拠点が増えれば、審査の対象範囲が広がり、労力も増えます。また事業内容が変わればリスクも増えますので、ルール作りや内部監査をサポートしていただきたいと考えています。

さらに、『セキュリオ』もより積極的に活用したいと考えています。他社の取り組み事例などは、ISMS勉強会で使える資料をご提供いただけたら嬉しいです。

株式会社Zeals様、お忙しい中、有り難うございました。
今後ともどうぞよろしくお願いいたします。

※ 株式会社Zeals様のWEBサイト
※ 取材日時 2020年3月