クレシード株式会社様 – 顧客事例 –

— LRMへのご依頼内容をお話しください。

クレシード株式会社は、2021年7月にPマークの新規取得コンサルティングを依頼しました。担当者の川島さんとルール構築、文書作成などの準備を進め、2022年2月に審査機関による現地審査を受けて、同年4月にPマークを取得しました。

— 今回のお取り組みのご担当者についてお聞かせください。

主に下記2名で取り組みました。

酒井氏：
　Pマーク事務局の責任者を担当。本業としては取締役に加え、経営企画本部の部長、企画部の部長も担当。

後藤氏：
　Pマーク事務局として実作業などを担当。本業としては経営企画本部の財務経理部に所属し、企画部も兼任。

経営企画本部は、企業における管理部門にあたります。本部署は、さらに財務経理部と企画部に分かれており、企画部が総務や採用、内部統制などを担っています。

当社は、情報システム室を現状設けていません。現状は、後藤が情報システムに関して統括していますが、事業として情報システム部門代行をおこなっており、従業員それぞれのITレベルが高いため、実作業は各部門の各担当者に対応してもらっています。そのため、情報セキュリティに関しても、現在は経営企画本部が主導して運用している状況です。

— 取得を検討されていた当時のご状況はいかがでしたか。

当社は、1990年に油を取り扱う商社の情報システム部門がスピンアウトして設立された会社でしたが、2021年の3月末にテリロジーグループに参入しました。テリロジーグループがセキュリティをメインに事業展開していたこともあり、当社としてもセキュリティをより強化すべきという声が挙がりました。

実は、当社が顧客情報を取得することはあまり多くありません。テストデータなど、個人情報を含まないような情報がほとんどです。ただ、ホームページ作成・運用事業において、メールアドレスをはじめとしたお客様の個人情報をお預かりするため、今回Pマークを取得する運びとなりました。

また、取得を検討していた時期に、グループ会社である株式会社テリロジーサービスウェアでもPマーク取得をすることになり、LRMさんにコンサルを依頼していた状況でした。グループ会社として、同じコンサル会社に依頼した方が利点があるのではないかと考え、検討の上、当社もLRMさんに依頼いたしました。

— ホームページ作成の際に個人情報をお預かりするとは、具体的にどのような状況でしょうか。

ホームページ作成には、ドメインが必要です。企業様の中には、複数のドメインを管理されているところもありますが、ひとつのドメインを利用されている企業様も多くいらっしゃいます。また、ホームページのドメインとメールアドレスは同一である場合が多いです。そのため、ホームページとメールアドレスを同じサーバ上で管理する企業様も少なくありません。
実際に、弊社がホームページを管理する際には、あわせてメールアドレスの管理も代行させていただくことがあります。その際に、顧客企業の従業員の方の個人情報をお預かりしている状況です。

従業員の方のお名前、メールアドレス、アカウント、パスワードなどが含まれたリストを顧客企業ごとに作成しますので、そのような個人情報を管理している以上は、情報セキュリティをきちんとルール化して運用する必要があると考えました。

— 当時の従業員の方のセキュリティ意識はいかがでしたか。

決して低くはなかったと思います。一方で、だからこそセキュリティは従業員それぞれのリテラシーに頼っている側面もありました。セキュリティ規程についても、整備している途中で、まだ不十分であった印象です。

リモートワークの導入なども含めて、これから働き方が変容していく中で、仕組みを構築していく必要性は感じていました。そういったさまざまな仕組み作りを今も取り組んでいる最中ですが、セキュリティ管理・評価における仕組み作りのひとつとして今回のPマークがありました。

— 当時からリモートワークも導入されていましたか。

導入はしていました。ただ、お客様の情報システム部門のサポートをする上で、お客様が実際に作業されているエリアでネットワークの確認やパソコン1台1台のメンテナンスをさせていただくこともあります。
そのため、どうしてもお客様のもとに訪問する必要がある場合もあります。

— 他の認証などは検討されましたか。

当社は、品質管理マネジメントシステムの規格であるISO9001を取得しており、情報セキュリティについても考慮しつつ運用しています。情報セキュリティに関するISO規格としてはISMS/ISO27001がありますが、こちらは親会社の株式会社テリロジーが取得しています。当社もグループ会社として、いずれは同じルールのもとISMSを運用する可能性もあるとは思います。ただ、まずは、お預かりしている顧客の個人情報の取り扱いについて、きちんとルール化して管理すべきとの想いがあったため、今回はPマーク取得に向けて取り組みました。

— お取り組み全体を振り返っていかがですか。

個人情報の管理体制を整えるという主目的は達成できたと思います。
ただ、Pマークやセキュリティに関する認証は、取得してから事業にあわせてルールを最適化していくことが重要だと考えています。今回の取り組みで、今後改善すべき点についても、ある程度見えてきましたので、非常に良かったと感じています。

— Pマークを取得して社内外で変化はございますか。

業務上、顧客に直接お話しをお伺いする機会はあまりないのですが、名刺に記載しておりますので、営業において良い影響は出ているかと思います。

社内の変化としては、ルールを明確化したので、机に名刺を置かない、離席時には画面をロックするなど、各従業員でバラバラな対応になってしまっていたところが、かなり統一がとれてきた印象があります。

— 情報セキュリティ業務と本業の兼ね合いはいかがですか。

経理業務では、マイナンバーも扱っています。もともと業務に専用のパソコンを利用するなど、情報セキュリティについては厳しく対応していたので、今回Pマークを導入したことで、業務内容が大きく変わるようなことはなかったです。

事務局としての業務についても、内部監査など毎年実施すべき事項はもちろんありますが、その他は、新しく従業員が入社してきた際にeラーニングや社内アンケートを実施するといったことくらいです。初年度に一度経験していることもあり、大きな不安はありません。

— 体制構築において重要視された部分はございますか。

先述した通り、当社はISO9001も取得していますが、形式的なルールではなく、マニュアルも必要最小限にとどめて運用しています。
そのため、Pマークについても必要以上にルールで縛るような体制にはしたくないという想いがありました。
法令に関わる部分など対応事項が決められているようなところはもちろんありますが、それ以外については、当社の事業などにあわせた柔軟なルール構築を目指しました。

ルール構築は川島さんにもかなりご協力いただいて、「絶対にこのタイミングで実施すべきなのか」「当社はこういうやり方をしているから代替できないか」など、細かい質問にお答えいただきながら、なるべく必要最小限で運用できるルールになったと思います。

— お取り組みのスケジュールに想定外の遅れなどはありましたか。

なかったです。事前に川島さんから、審査機関が忙しく、申請から審査まで3～4か月ほどかかる可能性があると共有いただいていたので、年度中の取得は難しいのではないかと思っていたのですが、実際には、想定よりも早く審査をしていただくことができました。

— 審査日程が早まったのは、どのような経緯ですか。

もともと2つの審査機関をLRMさんにご提案していただいて、その時点でより早く審査が受けられる可能性の高い日本データ通信協会さんにお願いしました。

ただ、11月頃に審査機関と連絡していた際は「現地審査は4月くらい」と伺っていたのですが、急に連絡をいただいて、2月に審査していただけることになったので、準備に少し焦りました。結果として、目標にしていた年度内での取得ができたので良かったと思っています。

— 審査を受けられたご感想をお聞かせください。

審査当日は、想定していたよりも優しかった印象です。審査員の方は2名でいらっしゃって、温かい雰囲気の方たちでした。審査中もアドバイスをいただけたり、審査結果の報告書における記載意図も丁寧にご説明いただきました。事前に川島さんから、「このような確認を受けることもありますが、その場合はこのように対応してください」と共有いただいていたこともあり、特段大きな指摘事項もなく、無事にPマークを取得できました。

— LRMコンサルはいかがでしたか。

担当コンサルの川島さんは、株式会社テリロジーサービスウェアも担当してくださっていたので、当社のコンサルティングもぜひお願いしますと依頼させていただきました。最初から当社について理解いただいていましたし、ルール構築における要望にも臨機応変に対応していただき、とても満足しております。

また、川島さんだけではなく、他のLRMの社員の方にも丁寧にご対応いただけました。
確認事項があり、LRMさんに何度か電話をかけたことがありますが、皆さん対応が良くて驚きました。

— 今後の展望をお聞かせください。

コロナの影響もあってリモートワークが普及したり、終身雇用という考え方が変わり複数の企業を経験することが当たり前になったり、働き方はさまざまに変化しています。人の入れ替わりがある中で、セキュリティに関して企業文化により統制を取るのは難しく、会社としてルールを構築し運用することは非常に重要だと考えています。今回取得したPマークはもちろんのこと、今後はISMSやDX推進も視野に入れて、社内体制を整備していきたいと思います。

また、現時点ではPマークはあくまで取得しただけですので、今後はより社内に定着させる必要があると思いますし、新たなリスクがないか調査して体制を見直ししつつ運用していければと思っています。
運用において、「セキュリオ」は引き続き活用させていただきますし、何かあればLRMさんにご相談したいと思っています。

クレシード株式会社様、お忙しい中ありがとうございました。
今後ともどうぞよろしくお願いいたします。

※ クレシード株式会社様のWEBサイト
※ 取材日時 2022年8月

他のコンサル導入事例を見る