京セラドキュメントソリューションズ株式会社は、クラウドビジネス拡大に向け、ISMS/ISO27001認証、およびISO27017/ISMSクラウドセキュリティ認証を同時取得しました。今回の取り組みは、自社の現行ルールを第三者視点で再評価する機会にもなったと言います。LRMにコンサルティングを依頼した理由や認証取得に至る経緯、今後の取り組み課題などについて、ISMS事務局の上之郷陽氏、梅永明宏氏、實克洋氏、荒木理仁氏の4名にお話を伺いました。

モノクロおよびカラーのプリンター、複合機、ドキュメントソリューション、アプリケーションソフトウェアなどの開発・製造・販売を行う企業。京セラグループ全体の主力部隊として約4分の1の事業規模を有する。京セラドキュメントソリューションズグループとしては世界に71社を展開する。主力のプリンター『ECOSYS（エコシス）』と複合機『TASKalfa（タスクアルファ）』は世界140か国以上で販売され、特にドイツ、ロシア、イタリア、スペインなど多数のエリアでシェアNo.1を獲得している。最大の特徴は、優れた環境性と経済性にある。『ECOSYS』ブランドのプリンターは、1992年の販売開始当時から、高い環境意識のもとで開発され、1997年にはページプリンター業界初となるブルーエンジェルマーク（世界で最も厳しいとされるドイツのエコマーク）を取得。また、アメリカのBLI（ドキュメント機器に関する独立調査機関）からも、毎年高い評価を受けている。2016年のG7伊勢志摩サミットに続き、2025年日本万国博覧会誘致委員会のオフィシャルパートナーとして協賛している。
設立；1948年。2012年より現社名。グループ社員数；約21,000名（2017年12月現在）。本社；大阪市中央区。

「少しでも早くグローバル拠点の
要望に応えたいと考えて
コンサルタントを選びました」
（ISMS事務局・上之郷陽氏）

— ISMSおよびISMSクラウドセキュリティ認証の取得目的をお話し下さい。

ISMSおよびISMSクラウドセキュリティの両認証取得の目的は、クラウドサービスの開発運用における情報セキュリティ体制の強化です。

弊社は近年、クラウドサービスのビジネス展開を強化しています。その中で浮上してきたのが情報セキュリティの問題です。企業がクラウドサービスの導入を検討する際、クラウドプロバイダの情報セキュリティ対策は選定基準の1つに挙げられます。そのため世界各地の販売会社が営業活動をする際に、何らかの形で弊社の情報セキュリティマネジメントに対する安心材料をお客様に提供する必要がありました。

特に弊社の売上比率が最も高いヨーロッパでは、情報セキュリティに対する意識が高く、2018年5月のGDPR（General Data Protection Regulation：一般データ保護規則。
EUの新しい個人情報保護法）施行など、個人情報取り扱いの規制も厳格化しています。各サービスでセキュリティホワイトペーパーを用意していましたが、営業の最前線からは第三者認証であるISMSの取得を求める声が増えていました。弊社はすでに全社ルールとしての情報セキュリティガイドラインを策定していますが、そのガイドラインを説明するより、ISMS認証を取得しているという説明の方が端的に伝わります。

以上のようなビジネス的背景のもと、2016年12月にISMS事務局を組織し、ISMS認証の取得に向けて動き始めたところ、ちょうどその年の夏にISMSクラウドセキュリティの認証制度がスタートしたことを知りました。ISMSクラウドセキュリティ認証は、まさに弊社の目的に合致していました。そこで両認証を同時取得し、クラウドサービスの情報セキュリティ体制を強化することで、世界各地における販売活動を支援することを決めました。

–　CSA STAR登録も同様の目的だったのでしょうか。

その通りです。ISMS認証取得に向けた準備を進める中、取得までに1年ぐらいの期間かかることがわかりました。
ただ、その間、販売会社の要望に何も応えないわけにはいきません。そこで社内の開発部門協力のもと、CSA STAR登録に取り組みました。それが2016年10月頃です。

ただ約300項目のベストプラクティスは非常に難解な文章で書かれており、開発部門も我々も理解が困難だったため、CSA STAR登録は一旦保留し、ISMSとISMSクラウドセキュリティの認証取得に集中することに決め、コンサルティング会社を探し始めました。

–　ISMSおよびISMSクラウドセキュリティの認証取得期限はいつに設定していたのですか。

2017年の秋です。「KYOCERA Fleet Services」の新バージョンリリースに合わせるためです。

「一部門だけ現行ルールを
破棄するわけにはいきません。
LRMの柔軟性に期待しました」
（ISMS事務局・實克洋氏）

–　コンサルティング会社はどのような視点で探されましたか。

まず、ISMS認証取得だけではなく、ISMSクラウドセキュリティ認証取得も含めた支援をしている会社は限られた数しかありませんでした。その中からLRMと、大手コンサルティング会社をピックアップしました。

2社を選定した理由は、大規模に事業展開しているコンサルティング会社と、比較的コンパクトで柔軟な対応が期待できるコンサルティング会社の両方の話を聞いてみたいと考えたからです。

LRMは、当時の段階で、既にワークスアプリケーションズ社とスタディスト社の2社に対してISMSクラウドセキュリティ認証新規取得をサポートした実績がありました。
他方は、ISMSクラウドセキュリティ認証取得に関しては実績が示されていませんでしたが、支援体制は構築してあり、ISMS認証取得支援では大手企業を中心とした実績を多数持っていました。

–　2社を比較し、最終的にLRMに依頼した理由をお話し下さい。

LRMに依頼した決め手は、以下の通り、柔軟なサポートへの期待です。

（１）訪問回数無制限

LRMの認証新規取得コンサルティングは、訪問回数無制限です。ISMS初心者の我々にとっては安心感が持てました。

比較した大手コンサルティング会社を含め、訪問回数無制限と表現しているコンサルティング会社は他にありませんでした。他社はおしなべて一定数を超えると追加料金が発生する料金体系です。しかし弊社にはその回数で収まるかどうかを判断する術はありません。その点、何回訪問しても同額とするLRMのサービスは安心でした。

（２）現行ルールを生かしたマネジメントシステム構築

弊社が現在運用している全社ルールは、京セラグループの規定をベースに、弊社向けにアレンジしたものです。その文書体系を最大限に活かすのか、独立したルールを新規に作るのかで非常に悩みました。

LRMはどちらにも対応できるとのことでした。それに対し、もう1社は、コンサル会社が作成した既存のテンプレートに沿ってマニュアルを作れば、ISMSもISMSクラウドセキュリティも認証取得はできるという提案でした。現行ルールを活かす選択肢はありませんでした。

ISMS事務局で検討した結果、体系化されたルールを全社で運用する中、一部門だけ独立したルールを運用することは出来ないという結論に至り、LRMに現行ルールを活かしたマネジメントシステムの構築を支援してもらうことにしました。

（３）必要に合わせて選べるサポートの範囲

コンサルティング会社によって準備の進め方は異なります。文書作成を含め丸投げの形で請け負う会社もありますし、LRMの比較対象だった大手コンサルティング会社のように宿題型もあります。後者は打ち合わせの度に宿題を課し、認証取得企業が作業して、次回の打ち合わせでコンサルタントがレビューするというスタイルです。

LRMは、ケースバイケースで対応するというスタンスでした。

我々は、自社のルールは自分たちで作ることが基本だと考えていますが、全て自社で作業をしていたら、目標としている期限内に認証を取得できないのではないかという不安もありました。

そこで、認証取得までは期限を優先し、必要に応じて助けを求め、認証取得後は自社で運用していくというストーリーを描き、LRMに依頼しました。取得企業と同調して一緒に取り組むLRMのコンサルティングスタイルは、ノウハウの吸収にもつながると考えました。

以上、3つの要因がLRMに依頼する決め手となりました。

「一旦保留にしたCSA STARも
LRMのサポートで最後まで
やりきることが出来ました」
（ISMS事務局・荒木理仁氏）

–　ISMS認証とISMSクラウドセキュリティ認証の取得までの経緯を伺う前に、CSA STAR登録についてお伺いします。LRMにCSA STAR登録のサポートを依頼した理由、経緯を教えて下さい。

一度保留にしたものの、CSA STARには具体的な施策が示されているため、やり切る意義は大きいと思っていました。第三者機関の定めた評価基準に沿って、自社のセキュリティ状況を客観的に見て、現状の問題、今後の取り組み課題なども把握できます。また各項目に詳細なコメントをつけることが出来るため、クラウドプロバイダの情報セキュリティ対策がより可視化されるため、ユーザーへの訴求力も高まると考えていました。

そこで、LRMと契約する際、これまでの経緯を説明し、同時にサポートしていただけないかを相談したところ、CSA STAR登録の支援は未経験ながら、一緒に学習しながらで良ければ支援していただけるという回答をいただけたため、依頼しました。

–　CSA STAR登録の打ち合わせは、どのような形で行いましたか。

ISMSとISMSクラウドセキュリティの打ち合わせとは別に時間を取ってもらい、SkypeによるWEB会議で行いました。こちらは井崎さんに担当していただきました。

WEB会議では、約300項目のベストプラクティスの記述について、どう解釈して良いか分からない箇所を洗い出して、サービスの開発運用における取り組み状況を説明しながら相談しました。井崎さん自身、その場で判断できずに持ち帰ることがありましたが、次の打ち合わせには回答を用意してきてくれました。

2月からスタートし約2か月間で約300項目の検討を一通り終えた後、「No」と回答した項目を再度検討し、改善できるものは改善していきました。その際の改善に関しても井崎さんにアドバイスをいただきました。

以上のような経緯で、一旦は保留したセルフアセスメントをやり切ることが出来ただけではなく、「これなら公開できる」というレベルでしっかり自社のサービスのセキュリティ体制を評価することが出来ました。

井崎さんも非常に苦労されたと思いますが、おかげで不明な点は解消することができました。LRMの支援がなければ、仮にセルフアセスメントを終えたとしても、その結果に対する自信を持つことは出来なかったでしょう。

「セキュリティルールを標準化
されたルールとして根付かせる
きっかけが作れました」
（ISMS事務局・梅永明宏氏）

–　ISMSおよびISMSクラウドセキュリティ両認証取得の取り組み成果をお話し下さい。

今回の取り組みは、自社の情報セキュリティマネジメントシステムを第三者的な視点で再評価する機会となりました。

全社で運用する現行ルールについては、LRMと一緒にベースライン分析を行ったことで、ISMSの規格にしっかりと準拠したものであることを改めて再確認することが出来ました。また、全社ルールにはないクラウドサービスの開発運用に関するセキュリティも、比較的しっかり対応できていることが確認できました。

ただしクラウドサービスのセキュリティについては、クラウドに詳しい個人の力量に頼る部分もありました。認証取得を通し体系的な文書にまとめたことで、標準化されたルールとして組織に根付かせるきっかけを作ることが出来ました。

以上の成果はISMS事務局メンバーにとって、今後クラウドサービスのセキュリティレベルをさらに高めて行くモチベーションとなっています。弊社は、2017年10月、ソリューションの提供で収益を得るビジネスを拡大するためにビジネスワークフロー・ソリューション事業本部を立ち上げました。既存クラウドサービスの開発運用を担う部門も同事業本部へ移っています。今回、ISMSおよびISMSクラウドセキュリティ両認証取得は最小限の部署を適用範囲としましたが、次回の維持審査以降、適用範囲を拡大する計画です。ISMS事務局では、新しく立ち上がるソリューションビジネスに貢献するために、クラウドセキュリティの活動を深めて行こうという思いを強めているところです。

–　ISMS活動に取り組むメリットについてお話し下さい。

ISMS活動に取り組むメリットは2つです。

1つは社外に対する訴求力です。ビジネスを発展させる上で、第三者認証を取得していることを示す意義は小さくありません。

もう1つは社内への貢献性です。情報セキュリティの成熟度は、スキルを持った人材が在籍するプロジェクトと、そうではないプロジェクトで大きな差が生まれます。ISMSの仕組はその偏りを解消することが可能です。ISMS事務局のミッションも、そこにあると考えています。

特に、ISMS事務局はクラウドサービスのセキュリティレベルを強化するために組織化されたという経緯がありますので、今回の取り組みで蓄積した知見を活かし、クラウドビジネスに貢献していきたいと考えています。