「誰もがやりたいことを実現できる世の中をつくる」をビジョンに掲げ、日本初・国内最大級のクラウドファンディングサービス「READYFOR」を運営するREADYFOR株式会社。既存の金融サービス・資本主義ではお金が流れにくい分野、主にNPOや医療機関、研究分野、地域活性化などに資金調達の手段を展開し、自治体・金融機関・大学など200以上のパートナーと提携を行っています。

同社は、2021年9月に情報セキュリティマネジメントシステム（以下ではISMS）の認証を取得しました。ここ数年で法人や行政機関との取引が増えていたこともあり、取締役CTOからセキュリティ強化を任されていたワークスタイルデザイン部の若林さん。

ISMS認証取得の取り組みを始めた背景や、支援会社としてSecureNaviを選んだ理由、ISMS認証を取得することで得られるメリットなどについてお話を伺いました。

BtoBでビジネスを拡大するには、セキュリティ強化が必須だった

ーーまず、ISMS認証を取得した背景をお伺いしてもよいでしょうか。

弊社が運営するクラウドファンディングサービス「READYFOR」は、安心安全なサービスであることを大切にしています。個人・法人の多くのお客様に利用いただいていますので、特に情報セキュリティの重要性を感じていました。

そこでセキュリティを強化する取り組みの一環として、ISMSのフレームワークを活用し、情報セキュリティ体制を構築し、最終的にISMS認証を取得しました。

ーーこれまでに、情報セキュリティの取り組みが重要だと感じる場面はあったのでしょうか。

はい、具体的にはセキュリティ要件が厳しい自治体や金融機関とのやり取りで「御社のセキュリティはどうなってますか？」と聞かれることもありましたし、商談で「対外的にセキュリティを証明できるものがあれば上手くいきそうなのに……」ということもありました。

やはりBtoBでビジネスを拡大するには、情報セキュリティの強化は必須なんですよね。ISMS認証を取得すれば国際基準に沿ったセキュリティ体制を構築しているという根拠になり説得力が増すので、売上貢献にもつながると思いました。

ーーISMSに取り組む前から、すでに技術的なセキュリティ対策は実施されていたとお伺いしました。それにも関わらず、ISMSに取り組んだ理由は何でしょうか？

情報セキュリティは技術的な対策だけでは不十分で、従業員を巻き込んだ、人的・組織的な対策を行っていくことも重要だと考えているからです。技術的な対策に偏らないバランスの取れたセキュリティ対策を行うため、ISMSというフレームワークを利用することにしました。

フレームワークというものはよく考えられて作られたものです。自分たちで考えた仕組みより、ISMSという国際的に受け入れられているフレームワークに則った体制を構築することで、より適切なセキュリティ対策ができると考えていました。

ーーなるほど。若林さんのような情報セキュリティ部門の方や、それに近い役割の方だと、ISMSの必要性を感じやすいと思うのですが、会社全体としてはそこにリソースを割くことに反対意見はありませんでしたか？

ISMS認証取得に関して強い反対はありませんでしたが、社内で提案するときの伝え方は気をつけました。「他社はISMS認証を取っていないし、特に当社も必要ないのでは？」という意見も想定していましたね。

実際に提案するときは、他社がやっていないからこそ差別化を図れるということや、特に行政機関などは今後セキュリティ要件が厳しくなると考えられるので、それを見越して取得しておいたほうがいいことを伝えるようにした結果、社内ではかなりスムーズに意思決定することができました。

ワークスタイルデザイン部 若林さん

SecureNaviを選んだのは、導入のしやすさと、やるべきことの全体像がイメージできたから

ーーでは、ISMSの認証取得の取り組みはどのように進めていったのでしょうか？

当初はコンサルを入れようと漠然と思っていたんです。しかしISMS認証取得を支援する大手コンサルの見積もりを取ったところ、想定よりも費用がかかることがわかりました。

また審査のイメージや必要な書類のイメージがつかなくて、「どこまで求められるんだろう」「なにを指摘されるんだろう」と色々とわからないことが多かったです。

ーーそのような中、SecureNaviを利用しようと決めた理由は何だったのでしょうか？

SecureNaviは価格が比較的安く、ISMS認証を取得するワークフローが初めてでも取り組みやすい仕組みになっていたので、導入しやすさが決め手となりました。

さらに、SecureNaviはISMSの認証取得に必要なステップや準備すべき資料など、全ての工程がシステム上でわかるのもよいと思いました。やるべきことが明確なのは安心感がありますね。

ーーありがとうございます！実際にSecureNaviを利用してみていかがでしたか？

思っていた通り、ガイドに沿ってやればいいのでとても進めやすかったです。ISMSの取り組みでも、自社で入力すべき箇所がわかりやすく示されており、説明がなくてもどんな内容を記入すればよいのかわかりました。

情報セキュリティ部門ではない社員が作業するときも、SecureNaviは使いやすいと評判でした。

ーー初めての方でも取り組みやすいよう、システムを工夫しているので、使いやすいという感想をいただけて嬉しいです。

作業する人が、ぱっと見て何をすべきかわかるのはシステムのよいところですね。初期インプットが簡単だと、ISMSの担当者に異動があっても引き継ぎしやすいと思いました。

今回、ISMS認証取得までSecureNaviを使って取り組みましたが、ISMSで求められていることが、不足なく網羅されていたので、結果として導入してよかったです。

社員一人ひとりが責任感を持ってセキュリティ管理できるようになった

ーー改めて、ISMSの認証取得おめでとうございます。この取り組みを経てどんな変化がありましたか？

認証取得したばかりなので、外部の反響はまだですが、社内の情報セキュリティレベルの向上は感じています。

顕著な変化の1つとして、SecureNaviのシステムにある社員のセキュリティ教育を行ったことで、社員のセキュリティの感度が上がりました。具体的には「とりあえずセキュリティを意識しなきゃ」という状態から「セキュリティ観点で何をするべきかわかる」状態になったという声があります。

ーーそれはよい変化ですね！

あと、細かい管理責任の所在をはっきりできたのは大きな進歩でした。以前は責任の所在が整理されておらず、セキュリティ関連で問題が出たらとりあえずシステム部門の責任だろうな、と思われていることが多い印象でした。今は、複数部門で使っているファイルをどこが管理するか等を明確にしているので、各担当部門が当事者として責任を持って管理するようになりました。

他にもISMSをきっかけにして実施できたセキュリティ対策はたくさんあります。

ISMSの認証取得は、社外から信頼されるカギとなる

ーー最後に、企業がISMS認証を取得することには、どんな意味があると思いますか？

最近は情報漏えい等が話題になることも増えているので、ISMS認証取得に向けた取り組みは、事業者としてしっかりとセキュリティに意識を向ける第一歩目になると考えています。

また、ISMS認証を取得すると、毎年外部の審査があることで客観的にセキュリティレベルを見られ続けます。外部からのよいプレッシャーを感じながら事業を展開できると思います。社内のチェックだと甘えが出てしまうこともありますしね。

ーー確かにそういう場合もありますね。

逆に自分たちが取引先を検討する立場のとき、取引先候補の企業にセキュリティチェックシートの回答を依頼するケースもあると思いますが、その回答だけではちょっと信頼しづらいんじゃないでしょうか。

いま、世の中のセキュリティの意識が高まっていますが、一方で、外からその会社のセキュリティレベルを確かめる方法はほぼありません。なので、ISMS認証を取得しているかどうかが社外から信頼されるカギになると思っています。

ーーなるほど。改めて、ISMS認証取得の支援を通して、READYFOR様のセキュリティ強化に役に立ててよかったです。お話を聞かせていただきありがとうございました！

READYFOR株式会社様が、ISMS認証を効率よく取得できた「SecureNavi」の資料をダウンロード

本記事では、READYFOR株式会社様がSecureNaviを用いて、ISMS認証を効率よく取得されたお話をご紹介いたしました。

「SecureNavi」は、従来のようなExcelやWordによるアナログな運用を大幅に削減し、初心者から上級者まで誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。
わかりにくいISMS認証やPマーク取得の取り組みを約30〜40のステップに体系化しているため、各ステップ毎に必要な入力や選択を行っていくだけで、認証取得に必要な準備が完了します。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。