株式会社カゴヤ・ジャパン 様 – 顧客事例 –

–　カゴヤ・ジャパンの強みを教えてください。

カゴヤ・ジャパンの強みは、障害への対応力です。ホスティングサービスからハウジングサービスまでを手がける弊社では、自社データセンターに全ての技術を集約しています。
データセンターには、技術者が24時間3交代制で常駐しています。技術者は、ネットワーク技術者から、サーバーのOSをパッケージングする技術者まで揃っています。
また、サーバーの在庫を含め、機材も一式を用意しているので、夜中でもサーバーの再構築、ソフトウェアの復元など、大障害に至らないような対応が可能です。

–　データセンターは、どのような役割を担う施設ですか？

データセンターは、自社が運用するホスティングサービス用のサーバー、ハウジングサービスおよびコロケーションサービスでお客様からお預かりしているサーバーを管理する施設です。

最も重要な業務は、サーバー1台1台の可用性を守ることです。
「サーバーの可用性を守る」とは、サーバーが常に稼働している状態を保つということです。そのために、自家発電装置、無停電装置(UPS)、空調機などの設備を完備してサーバーが稼働し続ける環境を管理しています。
その上で、人為的なミスによる事故を未然に防ぐために、情報セキュリティマネジメントシステムを運用しています。

何かあった時に気軽に相談できるコンサルタントは、不可欠な存在です

–　情報セキュリティマネジメントシステムの運用体制を教えてください。

弊社は、プライバシーマーク(以下、Pマーク)とISMSの国際規格「ISO/IEC27001」(以下、ISMS)の認証を取得し、情報セキュリティマネジメントシステムを確立しています。
いずれも2006年(データセンター完成の1年前)から準備を始め、完成後の2007年に取得しました。社内の推進体制は総務チームが主体となっています。ISMSの運用ではデータセンターと連携し、総務チームが、規定文書作成、社員教育、審査対応を担い、データセンター側で施策を実施するという役割分担で推進しています。

–　Pマーク、ISMS、それぞれの取得目的を教えてください。

Pマーク、ISMSともに、対外的な信用力をより強固なものにするために取得しました。取得の背景はそれぞれ以下の通りです。

【Pマーク】の取得目的

弊社は各サービスのお申込みやお問合せを頂く際に、お客様の個人情報をお預かりします。
弊社と同様、多数の個人情報を取得する企業では、Pマークを取得してサイト上に表示することが、一般的になっています。
弊社においても、Pマークの取得を社会的な要請として認識し、取得しました。

【ISMS】の取得目的

ISMSの認証範囲は、京都府内に建設したデータセンターです。2006年に、自社設備を建設し本格的なデータセンター事業を行うにあたって、情報セキュリティマネジメントシステムを確立し、より積極的な事業展開を行うために取得しました。

サイト上に表示される認証マーク

–　Pマーク、ISMSで規定しているルールとはどのようなルールですか？

Pマークで定めているのは、電子メールの発信方法や各種情報データの取扱いなどに関するもので、お客様の個人情報を保護するためのものです。

一方、ISMSで定めている規定は、データセンターのサーバーが停止しないためのルールです。
そもそも、データセンターはサーバーを保護するための施設です。電源管理、温度管理、湿度管理などの設備を完備しているのもそのためです。その上で、さらに人為的な事故―機器類の破損、配線が抜ける、など―を防止するために、機器類の取り扱い方法、施設内での動線などを細かく規定しています。
特に、ハウジングサービスやコロケーションサービスでは、お客様がデータセンターに入館するため、様々な防御が必要です。入館するお客様には、そのお客様が管理するラックのカギしか渡さないという基本的なルールに加え、普段は入らないメーカーの保守員が入館する場合はスタッフが必ず付き添うなどのルールを設けています。さらに、お客様側におけるご来館される社員様への教育・指導の徹底をお願いしています。
このようなルールを運用し、常に見直すことで、サーバーの稼働率99.999%を達成しつづけています。

幸松さんは対応が早いためお客様への回答も迅速にできます
（総務・今村氏）

–　認証取得から2年が経過して、LRMに運用サポートを依頼した背景にはどのような事情があったのでしょうか？

LRMにサポートを依頼したきっかけは、ISMSの更新審査で、実効性のあるリスク分析・リスク対応が必要という指摘（観察事項）を受けたことです。弊社では、情報セキュリティに関する知識を持った人材が不在で、指摘への対応が困難でした。そこで、アドバイスをいただける方を探し、LRMと契約しました。

–　新規取得にあたって、あるいは取得後LRMに依頼するまではコンサルタントのサポートは受けなかったのですか？

いえ。Pマーク、ISMSいずれも、新規取得の際に、コンサルタントのサポートを受けました。
また、Pマークに関しては、取得後、1回目の更新に向けて約1年間、サポートを受けましたが、内容を更に充実させたいと考えていました。特に新規取得の際は、フォーマットどうりに文書を作っただけに近い内容だったため、取得後、運用しながら修正しなければならない箇所が多くありました。

–　LRMを選定した理由は何ですか？

理由は2つあります。
1つ目が、LRMコンサルタントの幸松さんが、システムエンジニア出身であることです。サーバー保守の実務経験もあったので、弊社の業務知識に通じていることを期待しました。
2つ目が、ISMSの認証審査機関の審査員を兼ねていることです。ISMSに関する豊富な知識・経験に期待しました。

以上のような幸松さんの経歴と、面談時の受け答えから判断して、LRMを選定しました。

カゴヤ・ジャパンが提供する
主なサービス

–　ISMS更新の際に受けた観察事項について、LRMのサポートによる成果を教えてください。

LRMの幸松さんのアドバイスを受けて、データセンターのサーバーに対してサービスごとにリスク分析を行い、それぞれのリスクに対応する規定を追加しました。例えばroot権限が、弊社にある場合（ホスティングサービス）と、お客様にある場合（ハウジングサービスおよびコロケーションサービス）ではリスクが変わります。root権限とはサーバーの管理者権限を指します。

root権限が弊社にある場合は、弊社スタッフの管理を徹底することでリスクを回避できますが、root権限がお客様にある場合は弊社による管理は難しく、不測の事態が起きても対応できる準備が必要です。
さらにハウジングの場合はお客様が入館してサーバーに直接触れられるため、物理的なリスクへの対応も必要です。
また、ホスティングサービスの場合でも、専用サーバーと共用サーバーではリスクが変わります。取得時点では「データセンターのサーバー」として一括し、全てに同じルールを適用していたため、細かいリスクへの対応ルールが不足していました。サービスごとにリスク対応ルールを設けたことで、実効性のあるマネジメントシステムが構築できました。

また、この時に幸松さんから受けたサポートがきっかけで、常にルールを見直す習慣がつきました。

以上の観察事項への対応や、それ以後のメール相談によるアドバイスによって、現在、弊社の情報セキュリティマネジメントシステムは安定稼働するようになりました。