株式会社スペースマーケットは、「チャレンジを生み出し、世の中を面白くする」をビジョンに掲げ、あらゆるスペースを時間単位で貸し借りできるスペースのマーケットプレイス「スペースマーケット」や公共施設予約管理システム「Spacepad」といった事業を通して、場所を借りたい・貸したい人へ新しい選択肢を提供しています。

同社は2019年にISMS認証を取得し、その後2024年に、運用の属人化解消や情報の一元管理、現場を巻き込んだISMS運用を目的としてSecureNaviを導入しました。本インタビューでは、同社のSecureNavi導入目的や、利用して感じたメリットなどについて、コーポレートグループ リスクマネジメント担当の青山様と、コーポレートグループ マネージャーの瀧様にお話を伺いました。

――まずは、お二人のISMS運用における役割と、これまでのご経験について簡単にお聞かせください。

青山様：私はEmployee Successグループとコーポレートグループを兼務しており、ISMS運用に関しては、2年ほど前からリスクマネジメントの担当として実務を担当しています。

瀧様：私はコーポレートグループのマネージャーとして、情報セキュリティの責任者を務めています。過去複数社でも情報セキュリティの担当者として、ISMS認証の取得・運用を経験してきました。当社でのISMS運用においては、最終的な承認や、全体の方向性を決定する役割を担っています。

毎年担当者が代わることによるISMS運用の「属人化」と「形骸化」

――2019年にISMS認証を取得されていますが、2024年にSecureNaviを導入される以前の運用フェーズにおけるお悩みについて、詳しくお聞かせください。

青山様：まず一つは、属人化の問題です。
私はISMS認証取得後の2020年に入社し、その後ISMSの取り組みに関わるようになったのですが、当時は基本的に毎年担当者が変わっているという状況でした。時には前任者が退職してしまい、直接引き継ぎを受けられないケースもありました。

そうなると、過去のドキュメントやSlackでのやり取りを必死で遡り、「去年はこの時期にこういうことをやっていたから、今年も同じように進めなければ」といった形で、手探りで業務を進めるしかありませんでした。情報も一元管理されておらず、業務のキャッチアップに相当な工数がかかってしまう、非常に非効率な状態でした。これが属人化という大きな課題でした。

瀧様： 属人化と並行して、ISMSの取り組みが形骸化してしまっていた点も問題でした。ISMS認証の維持が目的化してしまい、日常のオペレーションの中にセキュリティ意識が根付いているとは必ずしも言い切れない状態でした。

例えば、審査が近づくと我々コーポレート部門から各部署のマネージャーに情報資産の棚卸しなどを依頼するのですが、日常的にISMSの取り組みに関わっていないマネージャーからすると「背景までは良くわからないが、依頼が来たから対応する」という受け身の姿勢にならざるを得ません。結果として、ISMSが審査のための一時的なイベントになってしまい、全社的な当事者意識が希薄になってしまうのではないかという懸念がありました。

ISMSを「仕組み」で回し、形骸化から脱却したい

――そのような課題を解決するためにSecureNaviをご検討いただいたのですね。SecureNaviの第一印象はいかがでしたか？

青山様： タスク管理機能が非常に印象的でした。審査当日までに「何を」「いつまでに」やればいいのかが一目で分かり、やるべきことが明確にリストアップされていた点です。

これまでは手探りで進めていたため、「このタスクを進めておくだけで本当に大丈夫だろうか」という不安が常にありました。SecureNaviを見れば、その不安なく確信を持って業務を進められると感じました。これは大きな安心材料でしたね。

また、導入の決め手の一つとして、以前から利用していた社内SaaS・デバイスのデータ管理ツール「マネーフォワード Admina」（以下 Admina）と連携できる点も大きかったです。情報資産の洗い出しという最も大変な作業の一つを効率化できることは、非常に魅力的でした。

瀧様： 私は長年ISMSの運用に携わってきましたが、多くの企業で「認証の維持がゴール」になってしまう形骸化の問題を見てきました。ドキュメントだけを整えて実態が伴わない、コンサルタントに丸投げして当事者意識がなくなる、といったケースです。

私たちは、ISMSの精神を日常のオペレーションに組み込み、生きた活動として根付かせたいと強く考えていました。SecureNaviは、年間のスケジュールに沿ってタスクをルーティン化し、ISMSの取り組みをプロジェクトとして体系的に管理できる基盤だと感じました。これなら、担当者が変わっても知見がしっかりと蓄積され、活動をより発展させていける。形骸化から脱却できるという強い期待を持ちました。

「誰が、いつまでに、 何をすべきなのか」タスクを可視化。アラートメールにより、 タスク漏れも防げます。

Adminaで検知したSaaSの情報を自動的にSecureNaviの情報資産台帳に登録し、より効率的なISMS運用を実現。

SecureNaviはISMSの「インフラ」であり「共通言語」。事務局の負担を減らし、現場担当者の当事者意識を引き出す組織的な運用体制の作り方

――実際にSecureNaviを9ヶ月ほどご利用いただいて実感されたメリットについて、ぜひ詳しくお聞かせください。

瀧様： まず、Excelや大量のWordファイルと格闘するような、手作業の世界から完全に脱却できたことが大きいです。
従来の方法では、様々なドキュメント間の整合性を取るだけでも一苦労でした。SecureNaviは一つの情報を更新すれば関連する他の情報にも反映され、全体として常に整合性が保たれます。さらにAdminaをはじめとして、他のアセットと連携させることで全体としても体系化できます。
また、SaaSとして提供されているため、各社でカスタマイズする必要もなく、標準化されたベストプラクティスに沿って運用できることもありがたいですね。

そして何より、本当に属人性を排除できました。
例えば今日、主要な運用メンバーが急に業務を離脱したとしても、SecureNaviのアカウントさえあれば、他の誰かがすぐに同じレベルで業務を引き継げる状態になりました。これは、担当者個人が持っている情報やスキルに依存していた過去の運用体制からは考えられない、素晴らしい変化です。

青山様： 一言で言うと、「主担当者のマンパワーだけで頑張らなくてもできる仕組み作り」が実現できたと感じています。
SecureNaviというインフラが整っていることで、中心人物のリソースだけに依存せず、仕組みとして運用が回り、より高いパフォーマンスを出せるようになりました。

――SecureNaviの導入と同時期に、現場の方を巻き込んだ「情報セキュリティ委員会」を立ち上げられたと伺いました。この取り組みの狙いや、SecureNaviの活用により得られたメリットについて教えてください。

青山様： はい。従来のトップダウン型の運用方法では形骸化してしまうという反省から、各部署からマネージャーを含めて5〜6名の委員を選出し、現場を巻き込んでISMSを推進する体制を整えました。SecureNavi導入が、この委員会を本格的に始動させる良いタイミングでした。

瀧様： この委員会活動において、SecureNaviが「共通言語」として機能しています。
ISMSの全体像を知らない現場のメンバーを集めると、どうしても当事者意識が希薄になり議論もふわっとしがちです。しかしSecureNaviがあることで、メンバー全員がSecureNaviにログインし、同じ画面を見ながら「今取り組んでいるのはここの情報資産の洗い出しで」「その後、それに対応するリスク評価はここに入力していきます」と、タイムラインを引きながら具体的な話ができるようになりました。SecureNaviがインフラとして存在することで、委員会が実体のある活動として機能し始めています。

特に、左側にあるメニューが秀逸です。当たり前と言えば当たり前なのですが、ISMSの全体像がメニューとして可視化されていることで、専門知識がないメンバーでもプロジェクトの構造を直感的に理解できます。これにより、我々事務局が「次はこれを見てください」と逐一指示しなくても、各メンバーが主体的に動けるようになりました。

画面左のメニューから、ISMSに関するあらゆる情報や機能にすぐにアクセス可能です。

青山様： 委員会のメンバーに実務を依頼する上で、現場の負担、取り組みをリードする事務局側の負担、双方を軽減することも重要でした。その点で、特に3つの機能が非常に役立ちました。

1. リスク評価のスムーズ化
   従来は「この情報資産に対するリスクを洗い出してください」と依頼しても、何から手をつけていいか分からず、形骸化の一因になっていました。SecureNaviでは、情報資産を登録すると、関連するリスクが自動で提案されます。メンバーはそのリストに対して評価・検討するだけで済むので、「リスクをゼロから洗い出す」という最も難しい作業がなくなり、非常にスムーズに進行できました。

2. タスクの可視化によるスケジュール管理
   「今やっている作業が、全体のどの部分で、次に何に繋がるのか」がタスク管理画面で一目で分かります。これにより、各担当者が自律的にスケジュール感を持ち、「このタスクを終わらせないと次に進めないから、期限を守ろう」という意識が芽生えました。

3. 力量管理（情報セキュリティ教育）機能の一元化
   以前は別のセキュリティ教育ツールを使っており、受講管理が煩雑でした。SecureNaviに集約したことで、誰が教育を受けていて、誰が受けていないのかが一元的に可視化され、管理が非常に楽になりました。

情報資産・リスク・リスク対応の管理機能：情報資産やそれに紐づくリスク、リスク対応を簡単に確認できます。

タスク管理機能：「誰が、いつまでに、 何をすべきなのか」タスクを可視化。

力量機能：ユーザーに教材の受講やテストの受験を依頼したり、進捗を管理できます。

青山様： これらのメリットが積み重なった結果、運用工数は劇的に削減されました。
特に、審査直前の準備期間は、以前ならひたすら資料を読み込んだり、各所にヒアリングしたりと、対応に忙殺されていました。

しかしSecureNavi導入後は、必要な情報がすべて一元化され、やるべきことも明確になっているため、そうした直前のバタバタがほぼなくなりました。体感ですが、審査準備にかかる工数は、少なくとも以前の1/3以下になったと感じています。もしかしたら、それ以上に削減できているかもしれません。時間に追われることなく、余裕を持って審査当日を迎えられたのは大きな進歩です。

SecureNaviへの情報の載せ替えは約1週間の集中作業で完了。

――従来のスプレッドシートやドキュメントでの運用からSecureNaviへの運用移行はスムーズに進みましたか？

青山様： はい、驚くほどスムーズでした。
必要な情報の載せ替えについては、私が1週間ほど集中的に作業し、ほぼ完了しました。Adminaとの連携のおかげで、情報資産の登録の手間が少なく済んだことが大きかったですね。

リスク評価の部分で、入力した情報資産に対してSecureNaviが自動提案してくれたリスク項目を一つひとつ検討する作業に少し時間はかかりましたが、それ以外で特に苦労した点はありません。

瀧様： ISMSの運用経験者の中には「今までのやり方を変えるのは大変だ」と、過去の運用方法に固執してしまう方もいるかもしれません。しかし、私たちの場合は全くありませんでした。むしろ、「SecureNaviのやり方に合わせることで、業務が改善される」という共通認識が社内にあったので、意思決定は非常に早かったです。SecureNaviという新しい、より良い仕組みに切り替えることへの反発は特になく、スムーズに移行できました。

SecureNaviを勧めたい会社の特徴は「エントリー層」と「本気で取り組みたいベテラン層」の両極

――最後に、どのような企業にSecureNaviをお勧めしたいか、お考えをお聞かせください。

瀧様： ISMSに取り組む企業は、大きく3つのレベルに分けられると考えています。

1. エントリー層： これから認証を取得する、あるいは取得したばかりで、まずは効率的に運用体制を整えたい企業。

2. 維持層： 認証は取得しているが、形として認証を維持できることを優先する企業。

3. ベテラン・実践層： ISMSを日常のオペレーションに根付かせ、生きたセキュリティマネジメントシステムとして運用していきたい企業。

この中で、SecureNaviが特にフィットするのは、「エントリー層」と、「ベテラン・実践層」の両極だと思います。

エントリー層にとっては、SecureNaviはフォーマットが揃っており、何から手をつければ良いか明確なので、最短距離でしっかりとした運用体制を構築できます。

一方、情報セキュリティを単なる「コスト」と捉え、とりあえず認証を維持したいだけの維持層の企業であれば、運用を丸ごと委託できるコンサルティングサービスの方が合っているかもしれません。

ベテラン層・我々のような実践層にとっては、コンサルに丸投げするのではなく、SecureNaviを共通言語としてチームで汗をかきながら、ISMSを自分たちのものにしていくための強力なツールになると思います。

――本日は貴重なお話をありがとうございました！

株式会社スペースマーケット様が、現場を巻き込んだISMSの浸透を実現した「SecureNavi」の資料をダウンロード

本記事では、株式会社スペースマーケット様がSecureNaviを導入し、ISMS運用の属人化解消や情報の一元管理、現場を巻き込んだ運用体制を実現されたお話をご紹介いたしました。

「SecureNavi」は、誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。Excelなどでの手作業がなくなり、誰でも業務を引き継げるISMS運用の仕組み化と属人性の排除を実現するとともに、ツールが「共通言語」となることで、全社を巻き込んだ委員会活動を通じて現場担当者の当事者意識の向上に寄与します。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。