株式会社常盤商会 様 – 顧客事例 –

–　LRMに依頼した業務内容を教えて下さい。

弊社は2012年10月、LRMに、Pマーク新規取得とISMSのスリム化のコンサルティングを依頼しました。
弊社は2010年8月にISMSを取得しましたが、運用に非常に手間がかかっていました。Pマークを取得することでさらに手間が増えることを回避したかったので、Pマーク取得と同時にISMSも見直しました。

LRMの担当者は宮本さんです。Pマークの取得は2013年11月に完了しました。ISMSのスリム化は2014年1月に一旦区切りをつけました。ただ、ISMSもPマークもPDCAを回していかなければいけません。2月からは、LRMの運用保守サポート『情報セキュリティ倶楽部』の契約をしました。

–　ISMSの運用に手間がかかっていたとのことですが、具体的には、どのようなことで困っていましたか。

ISMSは毎年、審査機関による審査があります。そのための準備に時間がかかっていました。情報セキュリティ委員会のメンバー全員がまるまる1ヵ月間、審査準備に手を取られるような状況でした。

理由は、私たち自身、審査に向けた準備として何をどこまでしなければいけないか、という判断ができなかったからです。議事録（委員会活動記録）、文書管理、社員教育、内部監査などなど、過剰なほど細かい作業を行っていました。
現地審査では、審査員によって言うことが変わるということも、その状況に輪をかけていました。

–　ISMSの新規取得はどのように行いましたか。

ISMSの新規取得では、ある新規取得プログラムを活用しました。ルール構築は、そのプログラムの中で集団研修を受けながらテンプレートに合わせて行いました。

このプログラムは、短期間で複数の企業に取得させるもので、1社1社に対するきめ細かいコンサルティングはありません。期限も限られており、自社に合わせたカスタマイズを考える余裕もなく構築しました。
そのためリスク分析にも納得できないところがありました。運用しながら、規格に忠実でなければいけない部分と、自社の実態に合わせて変えて良い部分を、きちんと整理して構築しなおす必要があると考えていました。
ただ、自分たちだけで規格に適合させたまま再構築することは難しく、なかなか着手できませんでした。

今回、Pマーク取得にあたっては、取得を維持するための作業負担が2倍になることは避けたいと考えました。限られた人数でISMSとPマークを運用しなければいけないので、不必要な労力をかけずに済むよう、情報セキュリティ専門のコンサルタントと契約し、Pマークの取得と同時に、ISMSのスリム化に取り組みました。

–　コンサルタント選定の方法を教えて下さい。

コンサルタントは、ISMSとPマークの両方に対応していることを前提として選定しました。
インターネット検索で調べたり、取引先から紹介してもらったりしたコンサルタント会社の中から3社ピックアップして、ホームページの内容、請求した資料や提案内容、見積もりなどを比較しました。その中で最も魅力を感じたのはLRMです。

–　LRMのどんなところに魅力を感じましたか。

最も魅力を感じたのはLRMのホームページに、「ISMS統合コース」の案内があったことです。 この案内を読み、ISMSとの統合を考慮しながらPマークの取得をすることができるのでは、と期待しました。
今回、Pマークを取得するにあたっては、特に、ルールや文書などの二重管理は出来る限り避けたいと考えていました。そのため、ISMSとPマークの統合を謳っているコンサルティング会社を探しましたが、意外に少なかったです。

ホームページにはその他にも、「実際に現場で運用できる仕組み作り」「会社のためになる意味のある取り組み」「建前だけでなく、本音の部分を引き出して組織にとって本当に意味のある社内ルール」などの記述があり、取得だけを目的とするのではなく、導入後の運用を見据えた提案をしていただけると感じました。
それを謳っているコンサルティング会社は他にありませんでした。ブログにも本質をついていると感じる記事が沢山ありました。

コンサルティング料金も予算内に収まりそうだったので、ほぼ依頼することを決めて問い合わせ、最終確認をするために、幸松さんに来ていただきました。

–　お会いされた時の印象はいかがでしたか。

それまで持っていた「本当に出来るのか？」という不安が解消されました。
PマークとISMSの両方を維持しつつ、そのための作業負担を軽減することは難しいことではないのか、そしてコンサルタントがどこまでサポートしてくれるのか、といったことに不安を持っていました。 しかし、幸松さんに、ISMSを維持する上で困っていることや、疑問に思っていることをいくつか質問すると、わかりやすく説明していただきました。訪問回数無制限というサポートの厚さも安心できる要素でした。

–　担当の宮本さんに対する印象はいかがでしたか。

宮本さんは、疑問に思ったことを何でも聞ける、相談しやすい方だと感じました。長期間、相談に乗っていただく上で、何でも話せるということは重要です。社長面談も行い、正式に契約に至りました。

また、宮本さんも幸松さんも、ISMSの審査員もされているため、他社の事例を豊富に持っています。
それも安心材料の1つでした。

–　コンサルティングはどのように進みましたか。

Pマークの取得に向けた準備と、ISMSのスリム化を平行して行いましたが、最初の3か月はPマークのルール構築に重点を置きました。
全体のスケジュールは、Pマークのルール構築に3か月、その後、構築したルールのもとでPマークを運用し、教育、内部監査といった準備を進めながら、ISMSに関する相談をするといった流れです。途中、弊社の繁忙期や、ISMSの更新審査を挟んだため、Pマーク取得まで約1年かかりましたが、作業自体は概ね順調に進みました。その後、ISMSのスリム化では、こちらの疑問点が解消できるまで、相談に乗っていただきました。

宮本さんの訪問回数は、ルール構築までは月に2回ぐらいずつ。
その後は、弊社の繁忙期を除くと月に1回のペースでした。

–　Pマーク取得の経緯について伺います。Pマークのルール構築の流れを教えて下さい。

宮本さんの質問に答えながら業務分析とリスク分析を行い、それをもとにルール構築を行いました。
そして、コンサルティングの合間には、各部署への確認、個人情報の台帳の作成などを行いました。
作業を進める中で不明な点や疑問点が生じた場合は、宮本さんにメールで問い合わせました。

–　リスク分析やルール構築にあたって留意したことは何ですか。

ISMSとPマークの整合性です。現場も混乱を防ぐためです。ISMSと重複する部分では、それを念頭におきながらリスク分析、ルール構築を行いました。

ルールの構築が一通り終わった段階で、社員向けの社内研修会を開き、宮本さんから全社員に対して「Pマークとは何か」「ISMSとの兼ね合い」に関して説明してもらった上で、情報セキュリティ委員会から弊社のルールを説明しました。

その後、内部監査、審査、審査対応などで、その都度、宮本さんからのアドバイスを頂き、Pマーク取得に至りました。

–　ISMSのスリム化という目標は達成できましたか。

はい、出来ました。必ずやらなければいけないことと、やらなくても良いことの仕分けが出来て、ISMSの運用活動は軽減されました。教育や点検の回数も減らすことが出来たし、記録を残す際も神経質にならずに済んでいます。Pマークを取得したことによる負担も増えていません。

コンサルティングを通して確認できたことは、これまでは過剰かつ無用な心配をして、負担が増えていたということです。他社の事例も教えていただきましたが、「この程度で良いのか」と思うようなことが多かったです。今後は、更新審査に向けた作業負担を半分ぐらいには減らせると感じています。

–　コンサルティングの期間中に、ISMSの更新審査があったと思いますが、その際はどうされましたか。

宮本さんからアドバイスをいただいて審査に臨みました。その中で印象に残ったのが、「審査で指摘されたら直せば良い」、「審査員も相談すべき相手なので、自社に合った審査機関を選んだ方が良い」といったアドバイスです。そういったアドバイスを参考にして今回は審査機関を変えるなどしました。その際の審査機関はLRMの紹介です。結果として、今回はこれまでになく、リラックスして更新審査を受けることが出来ました。