株式会社メタルワンは、三菱商事株式会社と双日株式会社（旧 日商岩井株式会社）の鉄鋼製品事業が統合して誕生した、日本を代表する鉄鋼流通のリーディングカンパニーです。同社は現在、世界規模で展開する商社ビジネスの知見とデジタル技術を融合させ、鉄鋼業界全体のDXを牽引するプラットフォームである「Metal X」や「Metal X UP」の展開を推進しています。

こうしたデジタルサービスの提供に伴い、同社が重要視したのが情報セキュリティ体制の自律的な見直しと強化の仕組みの一層の高度化、そして客観的な評価でした。同社では、2024年4月にISMSの国際規格（ISO/IEC 27001）への適合を通した自社のセキュリティ体制の自己点検を目的にSecureNaviを導入し、その後2025年10月にISMS認証を取得しました。今回は、ITソリューション部 AIデジタルユニットの原口様、古舘様に、ISMS構築・運用の効率化クラウドツールであるSecureNaviを導入した背景とその成果について、詳しくお話を伺いました。

セキュリティ体制の自己点検として、ISMSの国際規格（ISO/IEC 27001）への適合に取り組んだ

ーーまずは、皆様が日常業務で担われている役割についてお聞かせください。

原口様：私たちの組織は、主に当社が提供するデジタルプラットフォームである「Metal X」や「Metal X UP」の運営とお客様への展開を行っています。その中でも私は実務担当として、ISMS審査に関わる対応を行っています。

古舘様：私は原口さんの前任として、ISMSの構築段階から整理を進め、当社のデジタルプラットフォーム事業のセキュリティ基盤の更なる強化に取り組んできました。

お話を伺った古舘様（写真左）・原口様（写真右）

ーーISMSの国際規格（ISO/IEC 27001）への適合を検討し始めた2024年当時、どのような目的を掲げていらっしゃいましたか。ISMS認証の取得そのものが最大の目的ではなかったと伺っておりますが、その背景も教えていただけますでしょうか。

古舘様：私たちが提供するデジタルプラットフォームの運営では、お客様のデータをお預かりする機会が増しています。そこで、従来から整備していた社内規程・運用を、外部の信頼できる基準（ISO/IEC 27001）に照らして客観的な視点で再点検しておく必要があると考えていました。そのため、最初から認証取得そのものを目的としていたわけではありませんでした。

また、取り組みの結果としてISMS認証の取得という形で将来的に社外へ安全性を証明できれば、お客様がより一層安心してサービスを利用いただく一助になるだろうという見通しも持っていました。

ISMS構築未経験でも安心できる、ツールの効率性と専門アドバイザーによるサポート

ーーISMSの国際規格（ISO/IEC 27001）への適合にあたって、SecureNaviのようなクラウドツールを導入しようと考えた理由や、当時の課題について教えてください。

原口様：ISMSの国際規格であるISO/IEC 27001（以下「規格」）の要求事項は抽象的な表現も多く、それを自社の実務にどのように当てはめて解釈すべきか、規格の要求事項を自社の実務に照らして的確に解釈することが重要だと感じておりました。

そのため、要求事項から実務への落とし込みをサポートしていただけるような仕組みが必要だと考えていました。

また、ISMSの取組において文書や取組記録の管理をいかに効率化するかという点も課題でした。WordやExcelなどを用いた管理では、運用負荷が過大になるのではないかと懸念していました。最初から情報を整理するための型が備わっているツールを活用することで、本来集中すべきであるポイントに時間を割きたいという狙いがありました。

ーーSecureNaviの導入の決め手となったポイントを教えてください。

古舘様：大きく2点あります。
1つは、SaaS形式のツールによって、コンサルティングを依頼するよりも気軽に導入でき、自ら自己点検できる点です。

もう1つは、ツールを提供するだけでなく、カスタマーサクセスのサポートが充実している点でした。SecureNaviには専門のアドバイザーに随時相談できる環境があったため、自社の状況に合わせた規格の解釈を安心して進めることができました。

ーーコンサルティング会社に業務を依頼するのではなく、ツールを使って内製化することに対して、社内から懸念の声などは上がりませんでしたか。

原口様：社内からの懸念は特にありませんでした。
もともと当社にはセキュリティ規程に基づく運用とPDCAサイクルが定着しており、ガバナンス体制も十分に機能しているという共通認識がありました。その前提の上で、既に確立されている仕組みを国際規格に照らして客観的に再点検し、外部にも説明可能な形で裏付けを整えるというスタンスでした。そのため、外部のコンサルタントをフル活用するよりも、ツールを使いながら自分たちのペースで進める方が理にかなっていると考えたのです。

一元管理による整合性の維持と、伴走型サポートの価値

ーー2024年4月に導入されてから、どのようなスケジュールで取り組みを進められたのでしょうか。

古舘様：導入から最初の1年ほどは、主に自己点検にSecureNaviを活用しました。
規格の要求事項に沿って、既存の社内規程・運用が規格の要求事項と整合していることを確認し、対外的にも説明できる形に整理していく作業です。既に稼働しているサービスの運用を前提に、規格の要求事項に沿って点検・整理を進めました。

ーーその中で、SecureNaviが役立ったと感じる部分はどこでしょうか。

原口様：機能面で特に優れていると感じたのは、情報の連動性です。
例えばリスク評価の結果を一部修正すると、関連する文書にも自動的に変更が反映される仕組みは、管理を効率化する上で非常に効果的でした。

これを手動で行おうとすれば、複数の文書間での整合性を取るだけで膨大なメンテナンスコストがかかってしまいます。SecureNaviというプラットフォーム上で一元管理することで、常に最新かつ整合性の取れた状態を維持できる点は、運用において大きなメリットです。

古舘様：また、カスタマーサクセスの方のアドバイスも非常に的確でした。
要求事項の解釈をサポートいただき、当社の環境に基づいて何をどのくらいまで対応すべきかアドバイスをいただけた点も大変助かりました。

関連文書は入力内容に沿って自動更新可能。更新漏れを防ぎ、最新かつ整合性の取れた状態を維持できます。

機能サポートだけでなく、情報セキュリティのプロによるサポートも充実。

社内での承認プロセスもスムーズに

ーー2025年度からは、ISMS認証の取得に向けて取り組みを進められたと伺いました。具体的にはどのような流れで取り組みを進められたのでしょうか。

原口様：2025年度に入ってからは、認証取得に向けて社内での承認プロセスを加速させました。実質的に集中して取り組んだのは4月から7月にかけての3か月ほどです。

ーー御社のような大きな組織において、社内の承認プロセスにも工数を要したのではないかと思います。そうした工程をスムーズに進める上で、SecureNaviがどのように役立ったか教えていただけますでしょうか。

原口様：SecureNavi上ではISMSの取組状況の全体像がダッシュボードで可視化されているため、「現在どのような資産があり、どのようなリスクに対して、どの程度の対策が完了しているか」をISMSの責任者やトップマネジメントへサマライズして報告するのに非常に役立ちました。

古舘様：文書の自動生成機能も便利でした。SecureNaviのガイドに沿って情報資産やリスクアセスメントを入力すると、自動で承認用の文書がサマリとしてアウトプットされるので、最終的に承認を得る上でも便利だったと感じています。

ダッシュボード機能：資産・リスク・対策の完了状況を一つの画面で確認できます

文書の自動生成機能：SecureNaviに入力した情報を元に、自動でフォーマットに沿った文書がアウトプットされます。

規格への適合を経て、既存のセキュリティ規程の再評価とブラッシュアップを実現

ーーISMSの国際規格（ISO/IEC 27001）への適合を通じて、組織としてどのような収穫がありましたか。

原口様：今回の取り組みを通じて、当社の既存の社内規程が堅牢に構築されていたことを確認する機会となりました。ITに関する全般的な規程類がもともと必要な水準をみたした形で整備されていたからこそ、規格への適合もスムーズに進んだと考えています。

ツールを活用し円滑な審査対応を実現。審査での評価が自信に繋がった。

ーーISMS認証の取得審査で、SecureNaviが役立った場面はありましたか。

原口様：SecureNaviのフォーマットが規格に準拠して整理されていたため、審査員の方への説明もスムーズに進めることができました。

また、力量管理の証明においても非常に便利でした。全メンバーの教育状況をツール上で証跡として提示できるため、取り組みの実効性を明確に説明することができました。

力量機能：ユーザーに教材の受講やテストの受験を依頼したり、進捗を管理できます。

ーー審査を終えられて、感じた手応えはありましたか。

原口様：審査においてもベースとなる規程の完成度について評価をいただきました。これまで積み上げてきた社内の統制機能が、国際的な基準に照らしても十分な水準であったことが客観的に証明されたことは、事務局としても自信となりました。

また、認証は一度取得すれば終わりではなく、毎年外部の審査を受ける必要があります。そのような観点でも、今後も継続的にPDCAを回し、改善し続ける意識がより高まったと思います。

一元的な管理プラットフォームがあることで、事務局の負担を最小限に抑えられる

ーーこれからのセキュリティ体制の強化に向けた目標をお聞かせください。

原口様：現在は2つのプラットフォームを認証範囲としていますが、今後はさらに適用範囲を拡大していく計画です。新たに立ち上がったサービスもスコープに含めることで、デジタル事業全体がISMSに基づいた高いガバナンス下にあることを内外に示していきたいと考えています

ーー最後に、SecureNaviをどのような企業や組織にお勧めしたいか教えてください。

原口様：私たちのように、すでに一定水準の社内規程が備わっている組織であっても、特定のフレームワークに合わせた管理や、拡大するプロジェクトごとのガバナンス維持には相応の管理工数が発生します。SecureNaviは、そうした管理業務を一元化し、運用の効率性を追求したい組織にとって有力な選択肢になると思います。

ーー本日は貴重なお話をありがとうございました。

株式会社メタルワン様が、ISMSの国際規格への適合と認証取得を効率よく実現した「SecureNavi」の資料をダウンロード

本記事では、株式会社メタルワン様がSecureNaviを導入し、ISMSの国際規格への適合と認証取得を効率よく実現したお話をご紹介いたしました。

「SecureNavi」は、誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。Excelなどでの手作業がなくなり、情報を一元管理できることで事務的な作業工数を極限まで効率化できます。また、専門のカスタマーサクセスによるサポートにより、初心者の方でも安心してISMS構築を進めていただくことが可能です。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。