株式会社イーラーニングは、日本・ヨーロッパでシェアNo.1を誇る学習管理システム「Moodle」の日本で唯一の公式認定プレミアムパートナーです。大学などの教育機関で広く導入されている「Moodle LMS」や、企業のオンライン研修システム「Moodle Workplace」を中心に、eラーニングシステムのコンサルティング・開発保守・SaaSによるサービス提供などを行っています。

同社は2020年にISMS認証を取得し、その後2023年12月にSecureNaviを導入。自社データの載せ替えを実施し、クラウドツールの活用によるISMS運用の効率化を実現しながら、翌年2024年5月にサーベイランス審査を通過されました。

今回は、SecureNaviを用いてISMSの運用に関して解決できた課題や利用されたご感想について、管理部の池田様にお話をお伺いしました。

「前任者しか運用できないのでは‥」複雑な業務フローや属人化により、ISMSの引き継ぎが大きなプレッシャーに。

ーーまずは、2020年にISMS認証を取得した背景を教えてください。

弊社は、オーストラリアで開発された学習管理システム「Moodle」を主な提供サービスとして取り扱っているのですが、新しく「Moodle Workplace」という企業向けオンライン研修システムの販売権利を取得するために、ISMS認証の取得が必要でした。

ーー池田様は、認証取得直後に入社され、3年後の2023年にISMS委員会の主担当を引き継がれたかと思います。当時、ISMSの運用に関してどんな課題を感じていましたか？

最大の課題は、ISMS運用の引き継ぎにおける負担の大きさでした。

私自身は、普段は経理・人事・総務を担当していることもあり、2020年に入社した当時はISMSの運用経験は全くありませんでした。情報セキュリティやISMS認証に関する用語も、初めて聞くものが多かったです。入社した初年度からISMS委員会に参加してキャッチアップをし、2年目にISMSに関する外部研修を受講し、3年目の2023年にいよいよ主担当を引き継ぎました。

ISMSの運用経験や知識がまだ浅く、他にメインの業務もある中で、相当な不安がありましたね。

ーー引き継ぎにおける負担の要因はどのようなことでしたか？

要因としては、大量の文書を管理する複雑な業務フローや、運用の属人化がありました。

まず、ISMSに関する文書の数が40種類まで膨れ上がっており、管理工数がかなりかかっていました。背景として、過去コンサルサービスを利用してかなり細かい指摘を受けながら文書を作成したようで、試行錯誤した結果として「あれもこれも必要」と管理すべき書類が積み上がっていってしまったと聞いています。

半年に一度くらいしか開かない文書がほとんどのため、必要な文書を探すだけでも一苦労でした。また、文書を更新する度に「更新履歴を管理するExcel」に変更した内容や背景を記載するフローになっており、理解も追いついていない中で悪戦苦闘していました。正直、こんなに難しい運用は、前任の方しかできないのではないか‥というプレッシャーがありました。

それから、前任の方がISMSに精通していたからこそ、運用が属人化してしまっている一面もありました。特にリスクアセスメントについては、主担当者の主観に偏った評価になっていないだろうかという懸念もあり、サーベイランス審査でリスクの評価基準に関する指摘を受けることもありました。とはいえ、当時は自身の経験値や知識に不安があったこともあり、客観的な基準をどのように定めるべきか悩んでいました。

ーーSecureNaviの導入のきっかけを教えてください。

しばらくは引き継がれたまま運用していましたが、やはり膨大な文書の管理、リスクアセスメントの運用などに限界を感じるようになりました。

このままではまずいので何か手立てを探そうと思い、ネットで検索して辿り着いたのがSecureNaviでした。

管理部 池田様（写真左）・営業部 ISMS委員会メンバー 片山様（写真右）

大量の文書管理も社内コミュニケーションも、SecureNaviひとつに集約。「ISMSに関する作業負担は、体感半分以下に減った」。

ーー実際にSecureNaviでの運用に乗り換えたことで、どのようなメリットがありましたか。

まず一つは、圧倒的な作業負担の軽減です。

SecureNaviに情報を載せ替えたことで、これまで40種類あった文書を8種類にまとめることができましたし、SecureNavi上のどこに何の情報があるかが直感的に分かるようになりました。結果的に、文書の更新作業は劇的に減りました。
何より、情報の更新履歴が一目でわかるので、「更新履歴を管理する」作業が丸ごと削減できました。これだけでも、かなり楽になりました。

それから、必要な情報がSecureNavi一つにまとまっていることで、社内のコミュニケーションが円滑になりました。

現在3名のISMS委員会を中心に運用を進めているのですが、SecureNavi導入前は別途専用のツールを使って各々のタスクを管理し、定期的にISMS委員会で進捗共有する運用になっていました。SecureNaviなら、ISMSに関連する全員分のタスク管理がSecureNavi内で完結するので、あちこち確認せずとも「SecureNaviだけ開けば全て分かる」というかなりスムーズな運用になりました。
承認フローにも、同様のメリットがありました。承認の仕組みやレビューすべき内容がSecureNavi上でわかりやすくまとまったこともあって、承認完了までのスピードも早くなりました。

感覚的ではありますが、SecureNaviに情報を載せ替えることで、ISMSに関する作業の負担は半分以下になった印象です。

バージョン確認機能：「誰がいつどの箇所を変更したか」といった、更新箇所がハイライトで表示されます。

タスク管理機能：期限前日にはリマインドメールでお知らせします。

客観的な評価基準により、リスクアセスメントの質も向上。自分だけでは想像できないリスクにも気付ける。

ーーありがとうございます！その他に、SecureNaviで便利だと感じた機能はありますか？

一番便利だったのは、「リスクアセスメント」の機能ですね。

SecureNaviの導入前は、「資産」「リスク」「リスク対応」を全て別々の台帳で管理していたので、何度も台帳を往復する手間がかかっていました。それぞれの繋がりを成立させるには一箇所書き換えると関連事項は全て修正する必要があるため、抜け漏れが出てしまうこともありました。
SecureNavi上では、「資産」「リスク」「リスク対応」が全て紐づいた状態で管理できるので、一連の繋がりを理解しやすくなりました。「資産」や「リスク」を入力すると想定される「リスク対応」が自動で提案されるので、自分が想定していなかった対応に気付くこともできています。

課題だったリスク評価の基準付けについても、SecureNaviのリスク評価機能にとても助けられました。例えば「機密性」の観点だけでリスクを判断してしまう、といった偏りがなくなり、バランスの良い客観的な評価ができるようになって良かったです。

実はSecureNaviの導入当初、前任の方から「SecureNaviの機能では、対応が不十分になるのではないか」という心配の声も受けていたのですが‥。実際に、自社の情報を載せ替えた上で「リスクアセスメント」の機能を見てもらったところ、「よくこんないいサービスを見つけたね！」と驚かれましたね。

また、「内部監査」の機能も非常に便利でした。SecureNaviからレコメンドされる内部監査のチェック項目から、弊社に合った項目を選択するだけでリストができるという仕様には感動しました！

リスクの管理機能：資産を登録すると、起こりうるリスクとその対応方法が自動提案されます。

リスク評価機能：リスクアセスメント（点数付等）が容易に行えます。

内部監査：事前に監査用チェックシートを作成することで、画面に沿って監査を実施できます。

担当変更も新規格対応もノンストレス。費用対効果も良く「いいことづくめ」。

ーー今回、導入後に定期的な打ち合わせは実施せず、マニュアルやチャットのみでサポートを受けていただくプランをご利用いただきました。お客様ご自身のペースで利用を推進いただくプランですが、何かつまずいた点や解消できた方法があれば教えてください。

正直なところ、SecureNaviに情報を載せ替える作業については、苦労した部分もあります。時期によってはあまり作業時間を取れず、作業で行き詰まることもありました。

ただ、本腰を入れて作業時間を十分取れるようになってからは、取り組みを進めることで直感的に学べることも多く、ぐっと理解が深まりました。マニュアルやヘルプページも充実していたので、細かい不明点やつまづきも、その都度解消できて助かりました。「これなら自分でもやれる」という自信が自然とついていきました。

ーーSecureNaviを導入いただき、ちょうど1年経過されたと思いますが、SecureNaviを使って最もメリットに感じたことを教えてください。

一つは、引き継ぎの負担を劇的に軽減できたことです。

SecureNaviを導入したことで、一連の業務が見える化でき、それにより自然とISMS運用の知識が身に付く仕組みもでき、引き継ぎの負担は格段に減ったと思います。

弊社では、ISMS委員会のメンバーを一定の周期で入れ替えることによって、全社的なセキュリティレベルの向上を目指しています。そのため、今私が担当している業務も、約2年後には別のメンバーに引き継ぐ予定です。
引き継ぎ予定のメンバーも、すでにSecureNaviを見ながらISMSについて大枠の理解をしてくれているようで、本人も安心できています。

感覚値になりますが、SecureNaviを導入したことにより、引き継ぎの負荷は7～8割ほど減ったのではないでしょうか。私が感じていた「分からないことばかりなのに引き継がなくてはならない」「前任の方しか運用できないのではないか」という属人化や知識習得によるプレッシャーは、後任の方には経験させないで済むと思います。

それから、新規格対応も安心感を持って取り組める点も大きなメリットですね。

弊社はこれから新規格(ISO/IEC 27001:2022)対応を行うのですが、SecureNavi一つで作業を完結できる、SecureNaviに沿って進めれば大丈夫という心強さがあるので、安心感を持って審査に臨めます。

もしSecureNaviを使っていなかったら、「あの大量の文書を更新しなくては‥」ときっと胃が痛くなっていたでしょうね‥(笑) 実質的な作業の負担だけでなく、気持ちの面でもとても楽になりました。もっと早く導入しておけばよかったなと思います。

導入のコストを踏まえても、費用対効果は良いと感じています。振り返ってみて、SecureNaviを使っての感想は「いいことづくめ」でした。

引き継ぎの負担が激減できたからこそ、ISMS運用を色々なメンバーに経験してもらえるように。

ーーSecureNaviを使って、さらに取り組んでいきたいことはありますか？

社員一人ひとりに、よりセキュリティに関する意識が浸透するような取り組みを行なっていきたいです。

SecureNaviの「力量」の機能を使い研修を行うことで、社員全体の知識レベルは上がってきたのですが、日常業務での意識の向上や習慣付けは意外と難しいですよね。
私自身、ISMSを運用することによって、普段の業務の中で情報セキュリティに関する課題に気がついたり、注意を払う習慣が徐々に身についてきました。このような習慣付けを、他のメンバーにもより浸透させていけると良いと思います。

SecureNaviを導入することによって、定期的な担当変更も負担なくできるようになったので、今後は年に1回ISMS委員会のメンバーをローテーションしたいと考えています。教育も兼ねて、色々なメンバーがISMS運用を経験できるようにしていきたいですね。

これからもっとSecureNaviを活用した教育を浸透させて、全社として「使って良かった」と思えるように取り組んでいきたいです。

ーー本日は、貴重なお話をありがとうございました！

株式会社イーラーニング様が、作業工数を半分以下・担当変更の負荷をおよそ2割に削減できた「SecureNavi」の資料をダウンロード

本記事では、株式会社イーラーニング様がSecureNaviを用いて文書更新などのISMS運用工数を大幅に削減し、結果として担当変更の負荷も圧倒的に削減されたお話をご紹介いたしました。

「SecureNavi」は、初心者から上級者まで、業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。「長年の運用で運用が複雑になっている」「引き継ぎが困難で、タスクがブラックボックス化してしまっている」といった企業様でも、SecureNaviのガイドに沿って情報を入力していくことで、規格の要求事項に適合した運用を効率よく再構築することが可能です。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。