株式会社ROXX様 – 顧客事例 –

— LRMへのご依頼内容をお話し下さい。

株式会社ROXXは2019年4月、LRMにISMSとPマークの新規取得コンサルティングを依頼しました。

まず、2019年4月、ISMS取得の準備をスタートして、同年10月にISMS取得し、次にPマーク取得の申請に向けた準備を進め、2020年3月中旬、Pマークを取得しました。

その後、ISMSとPマークの運用改善サポートサービス『情報セキュリティ倶楽部』を契約しました。すでにサポートが始まっており、7月のISMSの維持審査に向けた準備では、内部監査の監査員代行をお願いしました。

— 御社の取り組み体制をお話し下さい。

ISMSとPマークの運用は、CTO室が担っています。新規取得の期間中はCTOの松本がLRMと打ち合わせをした上で、各部署のリーダーに協力を求めながら進めていきました。

Pマークの審査が終わった後は、吉澤が主担当を努め、7月のISMSの維持審査も吉澤が中心となりLRMの担当者・松原さんと連絡を取りながら準備を進めました。

— コンサルティング会社選定の経緯をお話し下さい。

まずはインターネット検索で上位に上がってきた会社を3社ぐらいピックアップしておおまかな見積もりを出していただき、その見積もりの根拠をご説明いただきました。

LRMに依頼した決め手は、高品質なひな形が揃っていたことと、ニーズに合わせたサポートメニューの用意があり、その中に比較的安価なコンサルティング料金のコースがあったことです。

他のコンサルティング会社は、ゼロから細部に渡って弊社に合わせたルールを作っていくという進め方しかなく、見積金額も割高でした。しかし弊社はそれをやるほど組織が固まっていませんし、事業部もどんどん変化していくフェーズでしたので、現段階でガチガチに固めてもすぐ変化するだろうと思っていました。

また『agent bank』も『back check』も、ビジネスのフェーズとしてなるべく早く取りたい事情がありましたので、より早く取るためにも、ひな形を用意しているLRMしかないと考えて依頼しました。

ISMS取得の取り組みは初めてですので、ひな形の細部まで精査することはできませんでしたが、少なくとも取得保証を謳っているので取得は出来るはずだと判断し、まずはLRMに任せて進めることにしました。

— なるべく早くとのことでしたが、具体的な取得時期は設定されていたのですか。

2019年10月を取得期限に定めていました。そのスケジュールを満たすためにも、ひな形が揃っていることは必須条件でした。結果としてスケジュール通りにISMSを取得出来たので満足しています。

— ISMSのマニュアルや台帳類が揃うまでどれぐらいの期間がかかりましたか。

4月から6月までの3ヶ月で一通り揃えました。

— その過程でご苦労されたことはございませんでしたか。

ISMSとPマークの取得に関しては苦労した記憶はありません。ちょうど、社名変更やオフィスの移転、さらに新規サービスのリリースに伴う部署の再編など、会社全体が一気に変わるタイミングで、ISMSとPマーク以上に大変なタスクを沢山抱えていました。

ISMSのルール作りは、LRMが準備したひな形を読み合わせして、修正していく形で進めました。不確定要素が強いところもコンサルタントと一緒に話し合って落とし所を見つけて行きました。情報資産管理台帳やリスク管理台帳などの台帳類も、いただいたフォーマットに弊社が記入して、LRMにチェックしてもらうことを繰り返して作成しました。この過程での苦労はほとんどありませんでした。

— 文書作成以外のタスクはいかがでしたか。まず従業員教育についてお話し下さい。

従業員教育は、LRMが提供するセキュリティ教育クラウド『セキュリオ』のeラーニング機能を使って実施しました。

— 『セキュリオ』をご使用になられたご感想をお話し下さい。

ｅラーニング自体は便利だなと思いました。テスト機能がついていて、情報セキュリティに関する基礎的な知識をひとまず従業員に落とし込むためのツールとしては非常に有用です。ISMSとPマークを維持するには毎年従業員教育を実施する必要がありますし、他に代替できるツールはありませんので、取得後も継続契約をしました。ゼロから教材を作って周知し管理するという手間をかけている余裕はありません。

ただ、弊社の情報セキュリティルールを徹底させるためのツールとしてはまだ使い切れていません。法令管理など使っていない機能もたくさんありますので、LRMと相談してより有効に活用していきたいと考えています。

— 社内への周知はどうされたのですか。

弊社で使用している『Slack』にチャンネルを作り、各事業部のリーダー陣を招集し、LRMと話し合って決めたルールを、その都度周知していきました。

ただその後、LRMに内部監査員を代行してもらって実施した内部監査では、しっかり運用できていない点が散見されましたので、ルールを周知するだけではなく、きちんとチェックする必要性も感じています。

— 内部監査はいつ実施されたのですか。

9月です。その際に出た指摘事項を修正し、ISMSとPマークの審査に臨みました。

— 内部監査員を代行してもらうメリットは感じられましたか。

今回は初めてでしたので、何をチェックすべきなのかがイメージ出来ませんでしたが、LRMに代行していただいて感覚を掴むことが出来ました。全部署の監査について回ることは出来ませんでしたが、内部監査が終わった後に所感をいただき、何をどのようにチェックしているのかを把握することが出来ました。

— その後、順番としてはまずISMSの審査を受審されました。実際に受審されてみていかがでしたか。

審査はISO27001の規格に準じて評価するというより、弊社にとってのより良い運用を一緒に考えていただく場だったように感じます。非常に有意義な時間でした。

— 指摘事項の内容はいかがでしたか。

厳しい指摘はありませんでした。いただいた指摘の内容は、弊社の運用がまずい、というものではなく、むしろマニュアルの方をもっと現場の運用に合わせた方が良い、というものでした。例えば普段社内のコミュニケーションを『Slack』上で行っているなら、ISMSの運用も『Slack』上で管理した方が良いだろうというものです。
より自社の運用に即したルール作りを進めるヒントをいただきました。

— ISMSの審査を終えた後、Pマークの審査に向けてはどのようなサポートがありましたか。

申請に向けて書類を揃えるためのサポートをしていただきました。申請書類のフォーマットをお送りいただき、作成の手順を教えていただきました。その後は、弊社側の作業となりますので弊社内で作業を進め、審査を受けました。

— Pマークの審査はいかがでしたか。

こちらもISMSと同様、弊社の業務をしっかりご理解いただいて、より良い管理方法を一緒に考えていただくような審査でした。

もちろんアウトプットされるものは審査結果ですが、審査を受けている時間は、審査員とコミュニケーションを取りながら、情報セキュリティを実運用レベルに高めるにはどうすれば良いかを議論する時間となりました。

— LRMのコンサルティングはいかがでしたか。

料金以上のサポートをしていただけたように感じています。何か気になることがあって質問すると、きちんと回答していただけました。「このコースだからできない」といったお話は一切なく、終始真摯にご対応いただきました。

— 『情報セキュリティ倶楽部』はいつ契約されたのでしょうか。

Pマークを取得した後、松原さんからお話をいただいて契約しました。先ほど申し上げました通り、マネジメントシステム自体に改善の余地が残っていることに加え、担当者が松本から吉澤に変わり新しい運用体制に移行しました。まだコンサルタントのサポートを止めて、自分たちだけでPDCAを回していくにはリスクが高いと判断しました。

— 吉澤さんは過去にISMSやPマークを担当されたご経験はございましたか。

いいえ、初めてです。そのため担当することになった時は、基礎から教えていただきたいと思っていました。
維持審査に向けて準備を進める中でわからないことがあるたびに松原さんに質問し、アドバイスをいただけたのでとてもやりやすかったです。資料も念入りにしっかり揃えることが出来て、初めての維持審査は無事に終えることが出来ました。

LRMのコンサルタントは、あくまでも外部の方ですので弊社の業務を完璧に把握しているわけではありません。それでも細かいところまでしっかりヒアリングして掘り下げて考えていただきました。文書類も細かくチェックしていただけましたので、非常に感謝しています。

— 情報セキュリティの今後の取り組みについて展望をお話し下さい。

先ほど申し上げた通り、マネジメントシステムを弊社の運用によりフィットさせることが最優先課題です。
それが出来たら次のステップを考えたいと考えています。

— LRMへのご期待が御座いましたらお話し下さい。

『情報セキュリティ倶楽部』を契約した理由は先ほど申し上げた通りです。その上で、弊社が情報セキュリティマネジメントシステムを固め、浸透を図っていくにあたっては様々な問題が出てくると思いますので、『セキュリオ』の活用を含めていろいろと相談させていただければ有り難いとは思っています。どうぞよろしくお願いいたします。

株式会社ROXX様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。

※ 株式会社ROXX様のWEBサイト
※ 取材日時 2020年8月

他のコンサル導入事例を見る