「セキュリティ人材の不足を、我々が有する、業界知見と技術力（開発力）を最大限に活用し解決する」を理念に、セキュリティサービスの開発提供やコンサルティングを行う株式会社エーアイセキュリティラボ。同社の提供するSaaS型Webアプリ診断ツール「AeyeScan 」は、Webサービスの安全性向上を実現するもので、ネット環境とPCがあればどこでも簡単・手軽に脆弱性の診断が可能です。

事業を拡大するなか「お客様にさらなる安心・安全なサービスを提供すべく情報セキュリティ管理体制の強化を進めた」という同社は、2021年10月にISMS認証を取得しました。

本インタビューでは、ISMS認証取得のきっかけや背景、支援ツールとしてSecureNaviを採用した理由、ISMS認証取得で得られたメリットなどを、代表取締役の青木歩さん（以下、青木さん）と執行役員の関根鉄平さん（以下、関根さん）に聞きました。

技術的なセキュリティ対策には自信があったが、ISMS認証取得による信頼性担保の必要性も感じていた

ーーはじめに、ISMS認証取得を目指した背景を教えてください。

青木さん：大きく2つの理由からISMS認証取得を目指しました。1つ目は、我々の提供するサービスが、Webアプリケーションの脆弱性を診断するセキュリティ分野のサービスであることです。セキュリティに関するサービスを提供するからには、ISMS認証のような第三者機関による認証を得て信頼性をアピールしたいというのは、創業の頃から考えていました。

2つ目は、既存のお客様からのご要望です。ありがたいことに、比較的大きな企業様にも弊社のサービスをご利用いただいているのですが、お客様から「自社の脆弱性に関するデータが安全に保管されているか、根拠となるものが欲しい」という要望をいただくことがあります。そのため、セキュリティ対策に取り組んでいる根拠として、ISMS認証を取得する必要性を強く感じていました。

ーー創業の頃から取得したいと思いつつも、なかなか取り組めなかったのはなぜですか？

青木さん：ISMSの認証取得にはかなりのコストがかかる、というイメージを持っていたからです。我々はセキュリティエンジニアであり開発エンジニアでもあったのと、元々エンタープライズ（大企業・官公庁）を想定してサービスを開発したのもあり、技術的なセキュリティ対策に関しては自信がありました。

一方で、ISMS認証を取得するのに不可欠なルール作り・運用・文書管理などに関しては苦手意識がありました。取り組みたいと思いつつも、必要な工数と現状の経営資源を考えると、一歩踏み出せないという状況が続いていました。

代表取締役 青木さん

ツールだけでISMSが構築できるのか、半信半疑でデモを見たが「これならできそう」と確信

ーーISMS認証取得に向け最初の一歩が踏み出せない中、SecureNaviを利用しようと決めた理由は何ですか？

青木さん：弊社のようなリソースが限られた状況でISMS認証を取得するには、SecureNavi 以外の選択肢が無かったからです。

自社で構築するには専門用語を理解し、膨大な文書を作成する担当者が必要になります。それには相当な工数がかかるので、従業員10名程度の現状では、通常業務に支障が出てしまいます。また、コンサルタントを雇うにも人件費や社内のリソースが必要だったので、SecureNaviの広告を見たときは「これしかない」と思い、すぐに資料請求したのを覚えています。

ーーSecureNaviのどのような点に惹かれましたか？

青木さん：一番のボトルネックになっていた文書作成・管理などの運用をSecureNavi上で簡単に解決できそうなのがイメージできたことです。

正直なところ、オートメーションツールでISMSの構築・運用ができて、しかも安いので「本当にこれだけで認証取得できるのか？」と疑っていました。

社内の人間に意見を聞いても同じように懐疑的な反応が多かったのですが、「とりあえず話だけでも聞いてみよう」と問い合わせをしました。その後、実際にSecureNaviの操作画面を見せてもらったところ、非常にわかりやすく、ISMS初心者でも次に何をすればいいか明確なので「これならできそう」と思い採用を決めました。

通常業務のかたわらで、必要な作業量は、週1時間のみ

ーー実際にSecureNaviを利用してみていかがでしたか？

関根さん：ガイドに沿って作業をするだけなので、非常にわかりやすかったです。また、取り組みにかかった時間も週に1時間ほど、つまり、6ヶ月間で20~30時間程度の作業と、月2回のサポートミーティングで済みました。通常業務を行いながら、問題なく認証取得にむけて取り組むことができました。

過去の経験では派遣型のコンサルタントが入り、社内で4〜5人のISMSチームを結成し、週に何回もミーティングして、審査前は作業に取り掛かりっきりでした。その状況を考えると、かなりのコスト削減になったと思います。

ーーSecureNaviを使うことで週1時間程度で取得できたんですね。SecureNaviで「これは良かった」という機能はありますか？

関根さん：やはりステップに沿って簡単に進められるのが楽で良かったです。あとは、更新が容易なところです。過去の経験では多くのWord・Excel文書を作成して、一つの文書を更新する場合にも、まずはコンサルタントに報告して、更新が必要な文書を教えてもらって更新するという状態でしたので、担当者の負担が非常に大きかったです。しかしSecureNavi では何かを変更した場合に更新すべき箇所を次々とツール上で提案してもらえるので、更新もやりやすく、とても助かりました。

青木さん：企業によっては、「ISMSの更新が大変だから」という理由で、新しいシステムの導入をためらう空気が生まれていると聞いたことがあります。それによって組織が硬直してしまったという話もあり、大きな問題です。そうならないために、特に変化の速いスタートアップ企業にとっては、更新が簡単なのは重要なポイントです。

ーー取り組み始めてから約半年でISMS認証を取得されましたが、審査はスムーズに進みましたか？

関根さん：そうですね。予定時間よりも早く終わりましたし、いくつか改善のアドバイスをいただいただけで、不適合もありませんでした。

審査員が使う、ISMSならではの専門用語を理解するのにはじめは戸惑いましたが、SecureNaviの画面を共有しながら聞かれた部分を説明することで、無事に審査を終えることができました。

過去の経験では、聞かれた項目がどの文書に入っているのか探すのが大変でしたが、今回の場合は必要なものは全てSecureNaviの中に入っているので、その点は安心感がありました。

執行役員 関根さん

ISMS認証取得でクライアントから信頼を得て、ビジネスチャンスにも繋がった

ーーISMS認証を取得してから、どのような変化がありましたか？

青木さん：どのお客様からも「おめでとう」とポジティブな反応を貰えました。また、「本当に取れたんですね！」と、短期間で取得できたことに驚いていたお客様もいました。特に嬉しかったのはISMS認証の取得がきっかけで大口契約を検討していただけた企業様もいたことで、ビジネス的にも大きな効果があったことです。

また、ISMS認証を取得していることで、お客様からのセキュリティチェックシートの項目が3分の1になるなど、大幅に項目が減った状態で依頼されることもあります。これにより、社内工数の削減にも繋がっています。

関根さん：お客様によってはセキュリティチェックが厳しく、そもそもISMS認証を取得していないと取引まで辿り着くのが困難というケースもあります。これからは「ISMS認証を取得しています」と自信を持って言えるので、新たなビジネス機会の創出に役立てていけると実感しています。

青木さん：社内においては、運用面でのセキュリティ意識の向上を感じています。情報資産に関する話題になったときにSecureNaviを参照すれば「ISMS上ではこうなっている」ということを確認できるので、これからは技術だけでなく運用体制としても、より安心・安全な状態でサービスを提供していけると感じています。

ISMS認証に取り組む企業なら、規模を問わずおすすめできる

ーー最後に、これからISMSに取り組む企業に向けてアドバイスがあれば教えて下さい。

関根さん：悩んでいるなら、すぐにSecureNaviを使った方が良いですね。使ってみればどれだけ楽にISMSに取り組めるかがわかると思います。

青木さん：大企業がSecureNaviを導入すれば大幅なコスト削減と効率化につながると思いますし、我々のようなリソースの少ないスタートアップでも業務に支障なく半年で取得できたので、「大変そうだから」という理由で諦めていたような企業には、是非使ってみてもらいたいです。SecureNaviがなければ今でもISMSに取り組めていなかったと思います。

ーーありがとうございました！

株式会社エーアイセキュリティラボ様が、ISMS認証を効率よく取得できた「SecureNavi」の資料をダウンロード

本記事では、株式会社エーアイセキュリティラボ様がSecureNaviを用いて、ISMS認証を効率よく取得されたお話をご紹介いたしました。

「SecureNavi」は、従来のようなExcelやWordによるアナログな運用を大幅に削減し、初心者から上級者まで誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。
わかりにくいISMS認証やPマーク取得の取り組みを約30〜40のステップに体系化しているため、各ステップ毎に必要な入力や選択を行っていくだけで、認証取得に必要な準備が完了します。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。