株式会社ファーストリンク 様 – 顧客事例 –

— Pマークを取得した理由を教えて下さい。

荒木氏　弊社は、「ITソリューション企業なら情報セキュリティ系の認証を取得していることが当たり前」という認識に基づき、Pマークを取得しました。取得することを決めたのは2013年5月です。当時、弊社は設立2年目で、事業基盤を確立するためにも必要だと考えました。
特にインフラ系の業務では機密機器を扱うため、クライアントも情報セキュリティに対して高い意識を持っています。大手クライアントの中には、外部委託先に対し、毎年契約更新の際に審査を行う企業があります。そのような際に何等かの認証を持っていれば、手続きが早いという事情もありました。今後、官公庁の入札参加など、積極的な営業展開をしていく上でも活用できます。

情報セキュリティ系の認証には、PマークとISMS/ISO27001（以後、ISMS）がありますが、今回は取得のしやすさを優先してPマークに決めました。

— 今回、大阪支社のお2人が担当された理由を教えていただけますか。

荒木氏　Pマーク取得の必要性が、特に高かったのが大阪支社だったからです。東京本社は派遣中心ですが、大阪支社は請負中心です。クライアントからの要望が多いのも大阪支社でした。
そのような事情があったため、取得の準備は大阪支社が担当しました。責任者が荒木、実務担当が信川という体制で、取り組みました。

— お2人はPマークの取得または運用などのご経験はありましたか。

荒木氏　私は以前、Pマークを取得していた企業に在籍していました。担当者ではありませんでしが、取得までの準備を少し手伝い、審査の指摘への対応について相談に乗ることもありました。
当時構築したセキュリティシステムは、完全自主取得だったためか、無駄なルールが多く、過剰なセキュリティとなっていました。そのため社内で「そこまで厳しいルールが必要なのか？」という議論が強まり、結局、ルールは守られなくなり、「ただPマークを取得しただけ」の形骸化した状態になってしまいました。
このような経験から、Pマーク取得は大変な作業だと感じていました。

— 取得にあたって目標としていたことはありますか。

荒木氏　　2つあります。

1つ目は、取得期限です。切良く2014年3月末までの取得を目指しました。

2つ目は、自社できちんと社内の情報が守れる仕組みづくりです。前職ではPマークが形骸化していましたが、その体験を踏まえて、しっかりPDCAを回せるよう、自社の規模や業務内容に応じたマネジメントシステムを構築したいと考えました。
Pマークは、きちんと活用すれば業務の質の向上に役立つはずですが、そのためには自社の規模や業務内容に応じたセキュリティシステムを構築して、きちんと運用することが大切です。取得のきっかけは営業上の理由ですが、取得するならしっかりと運用していくべきだと考えました。

— LRMの『Pマーク1dayコンサルティング』を知ったきっかけを教えて下さい。

荒木氏　LRMのセミナーに参加したことがきっかけです。当初は、自主取得を目指していたのですが、たまたまLRMのセミナーを見つけて参加しました。そこで『Pマーク1dayコンサルティング』のチラシが配られていました。セミナーが良かったこともあって、興味を持ちました。

— セミナーはどんなところが良かったですか。

信川氏　私の場合は、Pマークに対する知識や経験が全くありませんでしたので大変有意義でした。Pマークの基礎が大変わかりやすく解説されていたため、理解が深まりました。

荒木氏　私は、セキュリティシステムをいかに構築するかがいかに重要かを再認識しました。
特に印象的だったのは「Pマークを取得していれば本当に安心か？」という話でした。車の運転免許を持っていても交通事故を起こしたり違反したりする人はいます。同様に、多くの企業がPマークを取得していますが、それらの企業でも個人情報の漏えいは発生しています。個人情報漏えいが発生すると、情報を漏らした企業には漏らした件数に比例して、莫大な賠償コストがかかります。そうならないためにどうすれば良いのかなど、具体的な話を聞くことができました。
講師を務めていた幸松さんはIT業界の出身で、私と同年代ということもあり、親近感も湧きました。

— 『Pマーク1dayコンサルティング』はどんなところが魅力でしたか。

荒木氏　まずは手軽さです。15万円という価格に加え、たった1日の打ち合わせで、Pマーク取得に必要な文書類（マニュアル、様式類）が完成します。その後の段取りまで教えてもらえます。一般的なコンサルティングサービスは50万円から60万円はかかることを考えれば破格ですし、最も大変なマニュアルの作成が1日で出来るので、大幅に作業が軽減されます。

一方では、丸投げではないということも、興味を持った理由の1つです。Pマークを形骸化させないためには、我々自身が主体となって取り組む必要があります。Pマーク取得の準備の中で最も大変なマニュアル作成をサポートしてもらい、その後は自分たちで考えながら作業をすることで、しっかりPDCAサイクルを回せる体制を作っていこうと考えました。

設立間もない成長期の弊社にとって『Pマーク1dayコンサルティング』はちょうど良いサービスでした。同種のサービスを提供している会社は全国を探しても見つからなかったので、LRMに依頼しました。

— 『Pマーク1dayコンサルティング』のご感想をお話ください。

荒木氏　私は、予想以上に完成度が高いマニュアルが出来て驚きました。
前職の経験から、マニュアル作成は時間がかかると思っていたので、2時間半の打ち合わせと1時間半の作成時間で出来ることには限界があると考えていましたが、読み合わせをしてみると、弊社の実態がよく反映されていました。弊社に無関係なルールはPマークの規格上どうしても必要な範囲に抑えられていました。

また、吉村さんとの打ち合わせやマニュアルの読み合わせを通して、前職時代のPマークで構築したマネジメントシステムがいかに過剰なセキュリティだったかを再認識しました。例えば、サーバーにロックをかけて、ログインする際には必ず記録簿に氏名を書いていましたが、その必要はないということがわかりました。あるいは、前職時代は、Pマークの担当者が苦情係や相談窓口など全部で6人ぐらいいました。
弊社が同じようにするとしたら、大阪支社のメンバーほとんどになるなと思っていましたが、吉村さんからは、担当者は最低2名で良いと教えられました。

当初は、ここで作成したマニュアルを、コンサルティング後に、運用しながら修正を加えていくつもりでしたが、結局、ほぼそのままの状態で申請することが出来ました。

— 信川さんはいかがでしたか。

信川氏　私はPマークに触れることが初めてで、出来上がったマニュアルを読んでもわからないことばかりでした。しかし、ポイントを押さえた説明があったため非常に助かりました。

Pマークのマニュアルは、法律用語のような難解な表現が使用されています。1度読んだだけでは、具体的に何をすれば良いのかが理解できないこともありました。吉村さんは、重要な項目とそうではない項目を分けて、重要な項目についてはしっかりと噛み砕いた表現で説明してくれました。