DIGGLE株式会社は、「Dig the Potential テクノロジーで、企業の成長可能性を掘り起こす。」をミッションに掲げ、経営資源の戦略的な投資判断を支える経営管理プラットフォーム「DIGGLE(ディグル)」を提供しています。「DIGGLE」は、データドリブンな経営に貢献するサービスとして多くの企業に導入されており、顧客の重要なデータを扱う同社にとって、情報セキュリティ体制の構築と維持は経営における重要な課題でした。

同社は、2022年にISMS認証を他社のコンサルティングサービスを利用して取得しました。しかし、その後の運用フェーズにおいて、運用負荷の増大という課題に直面していました。

この課題を解決するため、2024年12月よりSecureNaviを導入し、複雑だったISMS運用の一元化と効率化を実現しました。 今回は、同社が抱えていた課題と、それをSecureNaviでどのように解決していったのか、バックオフィスDirectorの冨田様と、コーポレートIT・情シス担当の西様にお話を伺いました。

コンサルサービスのサポート体制の変化を機に、ISMSの自社運用を模索。

――まずはじめに、2022年にISMS認証を取得された経緯についてお聞かせください。

冨田様: 当社は経営管理プラットフォームのサービスを提供しており、お客様の大切な財務情報などをお預かりしています。そのため、信頼性の担保は事業の根幹だと考え、ISMS認証の取得に取り組みました。

取得時は、外部のコンサルティングサービスを利用しました。文書の雛形を提供いただいてサポートを受けながら体制を構築し、無事に認証を取得することができました。

――取得後、運用体制に変化があったと伺いました。

冨田様: はい。取得後もしばらくは、引き続きコンサルティング会社に運用のサポートをお願いしていました。しかし、運用を続ける中で契約体系に変化があり、当時のプラン内では運用に関する質問が思うようにできなくなるなど、サポートの範囲が限定的になっていきました。

ISMSに関する知見が社内に蓄積されてきたタイミングだったこともあり、「これからは、より自分たちの力で運用していくフェーズかもしれない」と考えるようになりました。

散在するファイル、分断されたEラーニングの運用…審査前のタスクも負担に。

――西様がISMSの運用を引き継がれた際、どのような状況でしたか？

西様: 私が入社した当時はまだSecureNavi導入前で、冨田さんから認証取得時に構築された体制を引き継ぎました。

当時の運用は、認証取得時にコンサルティング会社の支援を受けて構築したExcelやWordベースのものが中心でした。
関連文書は様々な形式で、かつ複数のフォルダで管理されており、作成者もバラバラなためフォーマットも統一されていない状態でした。「情報セキュリティ基本方針」のようなマニュアル類だけで7種類ほど、情報資産管理台帳などを含めると15種類以上のファイルがありました。

――ファイルが多いと、管理や更新だけでも大変ですね。

西様: そうですね。ExcelやWordでの運用では、どうしてもファイルの版管理や最新版の探索に手間がかかってしまいます。
特にExcelでの情報資産管理とリスク評価は、「この情報資産がどのリスクに紐づいていて、どの管理策で対応しているか」という関連性を追うのが難しく、入力に手間がかかりやすいという課題がありました。

――その他に、当時課題に感じられていたことはありましたか？

西様: 当時は、情報セキュリティに関するEラーニングは別のシステムで管理していました。ISMSの運用とEラーニングの運用が分断されており、管理が煩雑になっていたのも課題でした。

また、ISMSの年間スケジュールとして、定期的な現場社員への依頼事項を決めてはいたものの、現場視点ではどうしても通常業務が優先されがちという状況がありました。結果として、多くのタスクが維持・更新審査前に集中し、審査の数ヶ月前に慌てて対応するといった負荷の高い運用になっていました。

脱Excelと「ワンシステム」への期待。

――そうした課題を抱える中、SecureNaviをご検討いただいた背景を教えてください。

冨田様: 様々な課題もあった中で、ISMSの2022年版（ISO/IEC27001:2022）への規格改訂への対応が大きなきっかけとなりました。私たちはスタートアップであり、規格改訂対応だけに大切なリソースを割くべきではありませんでした。

「いかに最小コストで規格改訂を乗り越え、今後の運用を効率化するか」というミッションに対して、SecureNaviのコストパフォーマンスと操作性の良さが大きな決め手になりました。

西様: 私はコーポレートIT担当として、ISMS運用以外にもヘルプデスクやインフラ管理など幅広い業務を抱えています。ISMSの運用管理工数をいかに削減できるかが、一番の課題でしたね。

SecureNaviは、これまでExcelやWordでバラバラだった文書管理も、別システムだったEラーニングも、すべてワンシステムで完結できる点に強く惹かれました。

また、「最新の正しいルールは、すべてSecureNaviにある」という状態を作れるだけで、現場社員にとっても、ISMSや関連ルールを理解する負担が下がり、その点でも業務効率が上がると期待しました。

情報セキュリティマネジメントに関する情報・機能はSecureNaviで一元管理。誰が見ても正確に情報を把握することができます。

既存の文書やルールを「見直す」決断が、スムーズな運用移行の鍵に。

――従来のExcelをベースにした運用から、SecureNaviへの移行作業について詳しくお聞かせください。

西様: 最初の移行作業は、丁寧に進める必要がありました。特に、既存のルールとSecureNaviのルールの「当てはめ」です。

SecureNaviのツールには、まずはじめに「情報資産」とそれに紐づく「リスク対応」があり、対応が完了した「リスク対応」が社内ルールとして「管理策」に紐付けられる、というフローがあります。
この考え方自体は非常に合理的なのですが、以前のコンサルティング会社と作ったルールをそのままSecureNaviの流れに当てはめようとすると、齟齬が出る部分があるため調整も必要でした。

――運用の移行作業において、具体的に工夫されたことはありましたか？

西様: 既存の文書やルールを一部見直すという決断ができたことが、スムーズな移行の鍵だったと思います。
具体的な作業としては、SecureNaviのCS（カスタマーサクセス）担当の方に、SecureNaviで定められている「社内ルール」の一覧をExcelでいただきました。それと当社で元々作成していた既存のルールを突き合わせ、「これはそのまま移行する」「これはSecureNaviのルールに合わせる」「これはSecureNaviのルールに統合する」という仕分けを行いました。

また、情報資産台帳の移行もボリュームがありましたが、ちょうど更新審査の時期とも重なっていたので、各部署のISMS責任者に「良い機会だから、情報資産全体の棚卸しをしましょう」と伝え、全社で見直す良いきっかけになりました。

――規格改訂（2022年版）への対応はどのように進められましたか？

西様: まずは旧規格（2013年版）のままSecureNaviへの情報の載せ替え作業を行い、その後に新規格（2022年版）へと移行しました。
SecureNavi上では、適用宣言書のアップデートといった新規格対応の多くが自動化されており、手作業の負担を軽減できました。特に、管理策の再編に伴う新旧の管理策マッピングが自動で実施されたのは便利でした。

――CSのサポートはいかがでしたか？

西様: 非常に助かりました。移行作業中は、分からない点はまずSecureNaviのヘルプページを検索したり、動画マニュアルに目を通したりして、それでも解決しないことはCSの方に質問していました。レスポンスが非常に速く、審査準備と並行する中で心強かったです。

機能サポートだけでなく、情報セキュリティのプロによるサポートも充実。

――ありがとうございます。既存の運用の移行には、お忙しい中で一定の工数もかけていただいたと思います。率直に、移行作業を振り返っての感想を教えていただけますか？

西様: 載せ替え作業自体は丁寧に進める必要がありましたが、それ以上の価値があったと感じています。ツールを触り始めた頃は慣れないシステムだと感じる部分もありましたが、今となっては以前の運用よりはるかに合理的になりました。

モチベーションの維持という観点では、やはり「管理工数の削減」という明確な目的があったのが大きいです。情報セキュリティ関連の対応だけでなく、ヘルプデスクや情報システム関連の業務も主に1人で行っていますので、長期的に見て業務をいかに効率化できるかを一番に考えていました。
SecureNaviなら一つのシステムで管理ができるようになるので、「最初だけ大変かもしれないが、そこさえ乗り越えればいいんだ」という気持ちで移行作業に臨むことができました。

「SecureNaviで全てが叶う」分断していた運用をツールにまとめ、運用工数は3〜4割減。

――SecureNaviを導入して、最も大きなメリットは何でしたか？

西様: 単純に言えば、「SecureNaviで全てが叶う」ということです。
これまで運用がバラバラに分断されていたEラーニングから文書の管理、タスク管理、情報資産管理まで、すべてを一括で管理できるようになったのが一番大きいメリットですね。

私個人のISMS運用に関わる工数は、以前と比較して感覚値で3〜4割は削減できていると思います。特にEラーニングの管理が効率化されました。以前の別システムでは、誰が受講済みかを別途管理する必要がありましたが、SecureNaviでは教育の進捗管理がそのまま審査で必要な記録に直結するのが非常に助かっています。

Eラーニング機能：ユーザーに教材の受講やテストの受験を依頼したり、進捗を管理可能です。プリセット教材も充実しています。

――ありがとうございます。その他にも、事務的な作業工数を削減する上で役に立った機能はありますか？

西様: 特に役立ったのは、情報資産管理と、委託先や供給先のモニタリング調査です。
以前は各部署からExcelで提出してもらい、私がそれを一つ一つ開いて、「ここの入力が漏れています」「この表現を直してください」と指摘したり修正する作業にかなり時間がかかっていました。

SecureNaviになってからは、入力すべき項目が明確で、現場の担当者も入力しやすくなりました。結果として、私のアナログな確認作業を大幅に減らせたことも非常に大きいです。

情報資産・リスク・リスク対応の管理機能：情報資産やそれに紐づくリスク、リスク対応を簡単に確認できます。

委託先管理機能：セキュリティアンケート送付・管理によりモニタリングも可能です。

現場責任者がISMSの運用主体に。「これさえ見ればOK」というシンプルさが、社員へのISMS浸透に繋がる。

――現場の皆さんを巻き込んだ運用が実現できている点も素晴らしいですね。

西様: SecureNaviの導入は、現場のISMS責任者の意識向上にも繋がっていると感じます。
当社では月1回、各部署のISMS責任者を集めてセキュリティ委員会を開催しています。新しいメンバーが入った際は、SecureNaviの画面を見せながら操作方法をレクチャーしています。

――各部署のISMS責任者の方々には、ISMSにどのように関わってもらっているのでしょうか？

西様: 具体的には、自部署の情報資産の洗い出しや管理、それら情報資産のリスクアセスメント、そして新しいSaaS等のソフトウェア導入時や業務委託先などが増えた際の供給者・委託先の管理やモニタリングなどを、SecureNavi上で実施してもらっています。

というのも、維持・更新審査では各部門の審査があり、その際に「なぜこのリスク対応を選んだのか」を審査員に説明できなければならないからです。「事務局がやりました」では通用しませんよね。結果として、自分たちで考えてもらうことで、おのずと情報セキュリティへの感度も高まっていると思います。

――現場の方全体のセキュリティレベルにも変化はありましたか？

西様: はい。当社は経営管理システムのサービスを提供しており、お客様の機密情報を多く取り扱っています。そのため、お客様へのセキュリティチェックシートなどで、「ISMSを取得し、そのレベルに準拠して運用しています」と対外的に説明する場面が多々あります。

こうした背景もあり、社員全員が社内のセキュリティルールを把握していることが、会社のブランドを維持する上で非常に重要です。その点、SecureNaviを通じて、まずEラーニングで基本的なことを学んでもらい、かつSecureNavi上に記載されている社内ルールにいつでも目を通せる状態にしたことで、社員の理解促進に繋がっていると思います。

具体的なシーンとしては、例えば新入社員のオンボーディングでもSecureNaviを使い、「困ったらここを見てください」と説明しています。お客様へのセキュリティチェックシートに回答する際も、「SecureNaviにある、このルールに基づいて回答しています」と、社内での共通認識が持てるようになりました。

――SecureNaviを現場の方に使用いただくにあたり、メリットに感じた点はありましたか？

西様: 繰り返しにはなりますが、情報セキュリティに関する情報が、基本は「これさえ見ればOK」という状態でワンシステムにまとまっている点です。
単純でないと社員はなかなか見てくれませんので、SecureNaviを見れば、「うちの情報セキュリティルールはこうなっている」「ISMSはこういう基準で運用している」「セキュリティ教育はここで受けられる」ということが、一つのシステムで全社員に示せるのはやはり非常に大きいと思います。

UIが分かりやすいのも助かっています。パッと見て画面が見づらかったり、いちいち解釈しないといけないようだと、やはり掴めないですよね。SecureNaviのダッシュボードは、全体像が1画面でツリー構造でパッと見れるので、説明がしやすい点もいいですね。

それから、管理者としてのメリットも大きいです。「いつ誰がアクセスして更新したか」というログが明確に残る点や、タスク管理機能で「次に何をすべきか」が一目でわかる点も、Excel管理時代にはなかった利便性です。

内部監査の内製化でガバナンス強化。「資料探し」のない合理的な維持・更新審査も実現。

――内部監査の対応にも変化はありましたか？

冨田様: 大きく変わりました。以前は、内部監査も外部に委託していたんです。SecureNaviには内部監査のチェックリスト機能が充実していたので、「これなら自分たちでできる」と判断し、内製化に切り替えました。

結果として、コスト削減という点だけでなく、自分たちが監査する立場になることで「監査員は何を見ているのか」という客観的な視点が養われ、社内のガバナンス強化に繋がったと感じています。

西様: ISMS認証の維持・更新審査といった外部審査も、非常に合理的になりました。
以前はあちこちのファイルを探し回る必要がありましたが、SecureNaviなら審査で聞かれることに準じて情報がまとめられているので、一つのシステム内ですべての文書、管理策、実施履歴を提示できます。

また、事前に審査員の方にSecureNaviのアカウントを発行し、SecureNaviの中を見ていただけるようにしました。審査員の方も情報の全貌を確認しやすくなったようで、論点を整理して質問してくださるので、非常にスムーズに進みました。

内部監査：事前に監査用チェックシートを作成することで、画面に沿って監査を実施できます。

限られたリソースで運用したい企業にも、漏れのないリスク対応・実態のあるセキュリティ運用をしたい企業にもお勧め。

――これまでのご経験を踏まえ、SecureNaviをどのような会社にお勧めしたいですか？

西様: 特に、中小企業やスタートアップには最適だと感じています。
高額なコンサルティング費用を抑えたい、あるいはリソースが限られている中で効率的に運用したい企業にとって、CSのサポートを受けながら体制を構築し、運用を軌道に乗せていく、という使い方がすごく良いと思います。

冨田様: 私は一方で、情報セキュリティに関して「しっかり運用したい」という理想を持って取り組んでいる企業にもお勧めできるシステムだと思います。
SecureNaviは、「情報資産があり、それに紐づくリスクがあり、対応するとそれがマニュアルに反映される」という本質的な仕組みになっています。この仕組みをきちんと理解して運用すれば、漏れなくリスク対応ができますし、実態のあるセキュリティ運用を目指す上で、すごく素敵な思想だなと思います。

――本日は貴重なお話をありがとうございました！

DIGGLE株式会社様が、ISMS運用のワンシステム化を実現した「SecureNavi」の資料をダウンロード

本記事では、DIGGLE株式会社様がSecureNaviを用いてISMS運用のワンシステム化を実現し、運用工数の削減と現場の意識向上を両立されたお話をご紹介いたしました。

「SecureNavi」は、誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。ISMS運用業務が「SecureNavi一つで全てが叶う」ようになるため、担当者の工数を削減するとともに、現場社員へのISMS運用の浸透による全社的な情報セキュリティ意識の向上を図ることが可能です。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。