顧客情報の流出やサイバー攻撃を防ぐ不正ログイン検知サービス「FraudAlert（フロードアラート）」を提供し、事業者と消費者の両者にとって安心できるセキュリティインフラの構築を支援する株式会社カウリス。

同社は、2021年2月にSecureNaviを利用してISMS認証を取得しました。目標としていたのは、セキュリティにまつわる現場の負担を軽減しつつ、対外的な信頼を獲得することでした。しかし、取り組み前には、ISMSに対する不安があったようです。今回は、担当者として認証取得に取り組まれた、同社管理部長の宮崎さん、セキュリティ事業部の福岡さん、情報システム部の田中さんに、ISMSに対して感じていた不安や、それをどのようにして乗り越えたのか、また、ISMSの取り組みの効果などについてお話を伺いました。

お客様と現場の要望に応えるセキュリティ体制へ

ーーまず、ISMSの認証取得を目指した背景をお伺いしてもよいでしょうか。

宮崎さん：私たちは情報セキュリティに関するサービスを提供する会社です。そのため、ISMS認証はサービスの提供を拡充する上でも、いずれは必要になるものだと考えていました。お客様との取引の際に、セキュリティチェックシートの提出が求められることもあり、その時にセキュリティに関する第三者認証を取得していると記載できたほうがお客様への安心感もありますし、取引もスムーズになるだろうと考えていました。弊社は、すでにプライバシーマーク（以下、Pマーク）を取得していたので、次はISMSの認証取得を目指すことになりました。

福岡さん：ISMS認証を取得していれば、セキュリティチェックシートを回答する必要がなくなることがあり、その分手間が省けます。そういった意味では、現場の負担を減らしたいという目的もありました。

ーーお客様の要望に対して、Pマークだけでは足りない部分があったのでしょうか？

宮崎さん：お客様からは、お預かりする個人情報だけを守れば良いというだけではなく、システムの安定性や、システムに対する全般的な管理・運用体制も見られていると思っています。その点については、Pマークだけでは不足していると感じていました。また、先ほどのセキュリティチェックは現場レベルの話でしたが、もう少し経営レベルで見ると、会社の将来を考えたときに、全社的なリスクマネジメントを構築していく必要性も感じていました。そんな中で、まずは、ITやシステムに対するリスクマネジメント体制を構築するために、このISMSを活用することができるのでは、という狙いもありました。

福岡さん：ISMS認証は、Pマーク認証と違って国際規格に基づいているので、そこが強みだと思います。今後は弊社も海外市場に目を向けていくことになりますが、Pマークではどうしてもローカライズされた認証になってしまいます。例えば、アメリカで「弊社はPマークを取得しています」と言っても良い反応は期待できませんが、「ISO27001に基づいたISMS認証を取得しています」というのはグローバルスタンダードです。ISMS認証を取得する方が、国際的に通用する価値があると考えていました。

SaaSを選んだ理由は、将来的な運用を見据えたから

ーー取り組み始める前は、ISMSに対してどんなイメージを持っていましたか？

福岡さん：私が以前勤めていた会社でISMSの運用に少しだけ携わったのですが、膨大な書類を用意したり、審査で複数の書類を引用しながら説明したり、とても時間がかかったことを覚えています。取り組み前は、そのイメージがどうしても離れませんでした。

ーー確かに、多くの書類を運用している会社は多いですね…。

福岡さん：ISMSのコンサルティングサービスを提供する会社にお話を伺っても、「やっぱり書類を作るんだな...」といった感想でした。あるコンサル会社からは、これでも少ない方だと言われたのですが、それでも書類を作ることに変わりはありませんでした。たくさん書類を作れば、その分、毎年アップデートも必要になりますし、負担がかかると感じました。

ーーそのようなイメージの中で、どのようにしてISMSの支援会社を選定されたのでしょうか？

福岡さん：本当に何も分からないところからのスタートだったので、外部の知見を得ることが必須条件でした。「文書作成に関する知見や、審査時の対応に至るまでの全面的な支援」というのが、我々が考えていたものです。選定期間では、様々なコンサル会社にお会いしましたが、先ほどもお伝えしたとおり、文書を大量に管理することが、とても負担になると感じました。Pマークの文書に加えて、ISMSの文書も運用するとなると、たぶん形骸化してみんなルールを忘れてしまって、セキュリティが文化として醸成されないまま、審査前に慌てて対応する未来が容易に想像できました。セキュリティを、もっとポジティブなサイクルで社内に定着させたいと思っていたので、文書で管理することをやめたいというニーズはとても強かったです。そんな中で、SecureNaviさんから「ISMSをSaaSで管理する」というご提案をいただいた時に、満場一致で「SaaSがいいじゃん」という空気になりました。

ーーSaaSに好意的な声があったんですね。

福岡さん：弊社は、普段からSaaSを使って様々な業務を行っているため、SaaSを使うことに全く抵抗感がありませんでした。

ーーありがとうございます。そのような好意的なご意見がある中で、SecureNaviのサービスに関して不安に思うところはありましたか？

福岡さん：コンサルティングサービスと比べると、細かいサポートまでは受けられなさそうだなと思っていました。「全面的な細かいサポートを受けられることと、文書での管理をやめられること」を天秤にかけたのですが、文書の管理は、将来的にずっとのしかかってくるものだと考えました。サポートに関しては、我々が勉強さえすれば良いですし、多少現在のサポートが犠牲になっても、将来に渡って延々とのしかかる文書管理の負荷・負担を減らそうと判断し、SecureNaviさんに決めました。

セキュリティ事業部 福岡さん

書類がなければ、管理の手間もなくなる

ーーそうしてISMSプロジェクトが開始されましたが、SecureNaviを活用いただき、認証取得を目指す過程で、苦労や負担はありましたか？

福岡さん：正直、ISMSってこんなに手を動かさなくていいのかと驚きました。予想以上に負担はなくて、唯一大変だったといえば社内調整ですね。社内のメンバーとの認識合わせやタスクのリマインド、それだけが大変でした。

田中さん：確かに、負担はありませんでしたね。

福岡さん：文書としてISMSの情報を管理すると、バージョン管理の手間がかかりますが、SecureNaviを使うと情報がシステム上で管理されているので、文書管理の手間を削減することができます。SecureNaviに情報を入力していくときには、テンプレートや記入例もありますし、それを自社用にカスタマイズするだけの手間だったので、全く負担はありませんでした。結局、SecureNavi以外で書類を作ることはありませんでした。

田中さん：審査でも、SecureNaviの画面を共有しながら必要な部分を説明しました。これひとつでISMSを構築・認証取得できることに驚きました。

宮崎さん：ただ、チームビルディングには多少課題があったかもしれません。我々が聞いてきたこと話したことを、どうやって他の主要メンバーに広げていくか、彼らになぜこれをやるのかという目的意識をきちんと共有できればもっと良かったですね。今はISMSを構築するなかで、みんなをこうやって巻き込めばいいと分かってきたので、今後改善していきたいです。

つまづいた時のヒントは、構築ガイドにある

福岡さん：そうそう、構築ガイドがとても便利でした。前もってISMSの専門書を3冊ほど買っていたのですが、SecureNaviの構築ガイドは、ISMSに関する知識がなくても前に進めることができたので、構築ガイドをベースに、さらに深堀りしたい部分は専門書を読んで、それからまた構築ガイドに戻って詳細を見直すようにしていました。

田中さん：もう、構築ガイドがメインで、専門書が補足でしたね。

初めてでもISMSに取り組める「ISMS構築ガイド」

ーーたしかに、専門書って何であんなに分かりにくいんだろうと思いますね…。もし構築ガイドがなかったら、違ったと思いますか？

福岡さん：全く違うと思います。まず、構築ガイドがないと、ISMSの要求事項をゼロから解釈しないといけません。ここを疎かにしてしまうと、コンサルタント任せになってしまいます。従来のように、まずは自分たちの頭で考え、コンサルタントさんに弊社の事情を説明し、回答を貰い、その提案に合わせて文書を作成するやり方はとても時間かかります。そういった余計な時間が、構築ガイドがあるおかげで全くありませんでした。

田中さん：あと、専門書には、自社でサーバーを持っていることが前提として書かれていたりして、クラウドサービスを積極的に活用している弊社の実態に合わないことがありました。しかし、SecureNaviの構築ガイドには、例えば、「GoogleDriveにデータが保存されている場合の管理方法」など、クラウドサービスの利用が前提となっている書き方がされていて、読んでいて違和感がありませんでした。

福岡さん：学生にも分かるように書かれていますよね。当然、要求事項によって難しいところもありましたが、基本的には全く知識のない人が構築ガイドを読んでも、すぐにネクストアクションが決まるように書かれていました。

ーーありがとうございます。

福岡さん：取り組み全体の流れが把握できないと、議論がふわっと終わって具体的なネクストアクションがうやむやのまま…という状況が往々にして起こると思っていて。構築ガイドは、「まずこれを書いたらこちらが決まるので、ここを先にやりましょう」と、取り組みの流れに触れてあったので分かりやすかったです。

ーー作った甲斐がありました…！

福岡さん：構築ガイドは、SecureNaviの大きな価値の一つだと思っています。

田中さん：あとは、結構コンスタントに機能をアップデートしていただけますよね。当然、すぐに実装されるものばかりではありませんが、機能の改善に関する要望が通りやすい点も嬉しかったです。

情報がひとつにまとまるから、審査時間も短縮に

ーー取り組みを開始される前には、SecureNaviの利用はサポートにやや不安があったとお聞きしました。実際にご利用いただいてから、印象の変化はありますか？

福岡さん：導入前の不安は、ISMSの知識がない中、自分たちで進めていけるか、といった不安がほとんどでした。そんな当社の状況に対して、SecureNaviから適切なサポートが受けられるのかな、と。でも、構築ガイドのヒントを見ながら、テンプレートや記入例を参考にすることで、うまく取り組みを進められていて。我々が抱えていた不安に対しては、SecureNaviがプロダクトレベルでカバーしていました。あとはもう審査に対する不安だけでしたね。

田中さん：たしかにそうですね。審査はどうしても我々が主導してやらないといけないので不安がありました。審査員の方と僕らの間に入ってサポートしてくれるものが何もないので。

福岡さん：そんな状況で、膨大な書類から探すとなると余計緊張しますし、変なところを参照したらどうしようと思ったり…。しかし、そんなときでも、SecureNaviでは、規格番号と機能がどう対応しているかを示すページがありました。審査の流れに従って、SecureNaviのどの機能を参照すればいいか書かれていたので、審査もスムーズに進みました。

田中さん：審査では、SecureNaviの画面をプロジェクターで映しながら説明しましたよね。

福岡さん：もし規格番号との対応箇所が分からなかったら、しどろもどろになってしまっていたと思います。審査時のやりやすさも踏まえて、当初抱えていたサポートに関する不安はほとんど解消されたと思います。

SecureNaviでは、審査用に規格と各機能の対応を示すページが用意されている

ーー初めての審査が無事に終わってよかったです。

福岡さん：実は、審査の予定時間が大幅に早まって、時間が余ったんですよね。

田中さん：きっちりまとめられているから、特に追加して聞くこともないねと言われました。

福岡さん：審査で指摘は受けましたが、指摘箇所の変更が楽だったこともあり、指摘への対応も本当にスムーズに進みました。書類をExcelやスプレッドシートで作ると、変更点があったときに「これを直すなら、あれも直さなきゃ」っていう依存関係が大量に増えてしまい、1個直すと10個直さなきゃいけないといった可能性もあったと思います。それに比べてSecureNaviは、一箇所だけ直せばすべての箇所に修正が反映されていたのも便利でした。

情報システム部 田中さん

社内ルールをいちから考える必要なんてない

ーー取り組みを振り返って、どこに一番時間を掛けましたか？

田中さん：情報セキュリティルールの作成には時間が掛かるだろうと予想していたのですが、SecureNaviの機能を活用してかなり楽にできました。本来ならルールを一つずつ考える必要があったと思うのですが、SecureNavi上に記載されたルールの例から自社に合うものを採用することができたので、ほとんど選んでいくだけで済みました。

福岡さん：確か、4時間ぐらいで終わってしまって。あれ、情報セキュリティのルールづくりこんなに楽でいいの？と感じた記憶があります。

ーーありがとうございます！

福岡さん：あとは、タスクをダッシュボードで管理できるのもとても便利です。例えば、不適合と是正という項目では、管理画面に是正完了期日が表示されて、担当者にタスクとして割り振られるところがとても良かったです。是正完了すればちゃんとチェックマークが入ります。是正以外にも、ISMSで発生するタスクは、SecureNaviで一元管理することができました。すでにセキュリティインシデントを管理しているシートを社内で運用していましたが、SecureNaviに機能があると知ってからは、使うのをやめてしまいました。

ーー確かに、Excelやスプレッドシートだと、タスクを担当者に割り当てることはできないですよね。

福岡さん：そうですね。どのタスクが遅れているかSecureNavi上で確認できますし、タスクを登録して一元管理しておけば、誰が担当なのか、すぐに分かります。

「情報セキュリティ」がみんなの共通言語となるように

ーー2021年2月に、無事にISMS認証を取得されました。おめでとうございます！実際にISMS認証の効果が出てくるのはこれからでしょうか？

田中さん：すでに現場では、ISMSのルールに関する会話が始まっています。

福岡さん：ISMSが社内の共通言語になりつつあります。社内からセキュリティに関して質問が来たときでも、「ISMSでは〜」と回答できるようになっています。ISMSを柱として、社内でセキュリティの取り組みについての説明ができることが、非常に現場としてはありがたいです。

田中さん：「SecureNavi」というISMSの情報源に、社内の全員がログインして、アクセスできるようになっていることも良いと思っています。全員が共通の情報にアクセスできるので、今までだと、セキュリティ的にまずい行為に対して「やめたほうがいいんじゃないですか」という指摘しかできなかったものが、全員が確認できる共通のルールをもとに「やめてください」と言い切れるのはとても良いですね。いわゆる、指摘する側の”申し訳ないですが感”というのが消えて、情報セキュリティに関して誰でも言いやすい雰囲気が生まれています。

ーーこのまま社内文化となるように拡げていきたいですね。

福岡さん：社内文化として浸透するためのファーストステップは共通言語ができることだと思っています。SecureNaviを介することで言語化という面ではクリアできたかなと。これからはISMSという共通言語を我々同様に話せる人を社内にもっと増やしていきたいですね。

田中さん：まだまだ、取得して終わりではないと実感しています。

ーー皆さま、お話いただきありがとうございました！

株式会社カウリス様が、ISMS認証を効率よく取得できた「SecureNavi」の資料をダウンロード

本記事では、株式会社カウリス様がSecureNaviを用いて、ISMS認証を効率よく取得されたお話をご紹介いたしました。

「SecureNavi」は、従来のようなExcelやWordによるアナログな運用を大幅に削減し、初心者から上級者まで誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。
わかりにくいISMS認証やPマーク取得の取り組みを約30〜40のステップに体系化しているため、各ステップ毎に必要な入力や選択を行っていくだけで、認証取得に必要な準備が完了します。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。