D2C支援企業として、ビッグデータ解析による世の中のニーズの抽出、商品開発、EC基幹システム「ecforce（イーシーフォース）」の提供、広告運用、生活者のもとへ商品を直接届けるところまで、全ての工程をワンストップで提供している、株式会社SUPER STUDIO。

同社は、2020年11月にSecureNaviを利用してISMS認証を取得しました。すでにプライバシーマーク（以下、Pマーク）を取得していた同社ですが、社内全体のセキュリティを整える重要性に気付き、社内の意識が変わってきたそうです。今回は、ISMSの構築に責任者として取り組んできた、同社コーポレートデザイン室 人事労務ユニットの佐藤さん、コーポレートデザイン室 セキュリティユニットの山本さん、コーポレートデザイン室 総務/組織開発ユニットの山田さんに、当時の社内のセキュリティにどんな課題があったのか、またPマークで感じていた運用の問題点と、SecureNaviによるISMS運用を試してからの変化についてお話を伺いました。

お客様の声をきっかけにISMS取得を検討

ーーISMS認証の取得を目指したきっかけは何でしたか。

佐藤さん：弊社は「ecforce」というEC基幹システムを提供しています。様々な企業様にシステムを使ってもらうにあたって、セキュリティの確保が、お客様先でのシステム導入の障壁になっていたことが一番の理由です。実際にお客様と取引する際に、ISMS認証を取得していないと提案を断られてしまうケースがありました。さらに、社内のセキュリティに関する仕組み化に課題があり、セキュリティ強化のためにもISMS認証を取得しようと考えました。

ーー実際にセキュリティが理由で、お客様から断られるケースもあったんですね。

山本さん：はい、特に大手の企業様からは、弊社の情報セキュリティの体制について問い合わせをいただきます。そこでPマークだけでなくISMS認証を取得していないとシステム導入ができない、と断られてしまうことが多かったですね。

ーー確かに、Pマークは個人情報を保護する体制づくりなので、それだけではなく、もっと広い範囲での対応が必要ということかもしれませんね。

山本さん：そうですね。全社的なセキュリティ体制が整っている必要があると感じました。

ISMS認証そのものより、大切な情報資産をどうやって管理していくか

ーーそうなると、現場で活躍される営業の方をはじめ、社内で少しずつISMS認証取得に関する意識が高まっていたのでしょうか。

山本さん：ISMS認証の取得は念頭にあったのですが、当時の私と佐藤が重点をおいていたのは、ISMS認証そのものを得ることよりも、多様な働き方を可能にする社内セキュリティの仕組みを作ることでした。現在は、弊社でもリモートワークが可能になりましたが、以前はリモートワークを基本的に活用していなかったため、PC端末を自宅に持ち帰って業務を行いたいという社内のニーズがありました。そういったニーズに応えるためにリモートワークにおける懸念点を洗い出し、会社の情報資産を整理することが必要だと感じていました。まずはISMS認証をどうやって取得するかということより、どちらかというと、社内の情報資産の洗い出しや、セキュリティ面で改善の余地がある部分を検証したいと考えていました。

佐藤さん：現状を把握して、社内にどんな情報があるのか分からないとリスクマネジメントできないので、まずは、Excelに情報資産を洗い出してみたものの、全てExcelで管理していくのは相当大変だなと実感しました。やはり、情報資産の管理を行う上で、大きなフレームワークだったり、誰かに教えてもらったり、そういった手段が用意されてないと難しいと感じました。そんなタイミングでSecureNaviを見つけたんです。

ーーありがとうございます。

佐藤さん：SecureNaviへ問い合わせて説明を聞いてみると、今持っている知識だけでは足りないと感じたので、情報資産の整理だけではなく、ISMSの構築とSecureNaviの導入について、本格的に検討していくことになりました。

「一度取得すれば、これから運用を継続する必要がある」

ーーすでにPマークをすでにお持ちでしたが、これからISMS認証取得を目指すときに不安に思うことはありましたか？

山本さん：Pマークも取得しているので、さらにISMSを含めた審査に向けた運用を整備していけるかどうかが不安でした。きちんと運用されているかどうかを審査するわけなので、運用が行われない状態で、審査なんて絶対通るわけがないんですよね。認証取得後もISMSに沿った運用を行っていく必要があるので、そういったプレッシャーは感じていました。

ーーそうですよね。やらないといけないことは増えますし、それと本業との兼ね合いもありますし…。

山本さん：そうですね。

ツールとしての便利さと、導入の安心感を両方叶える

ーーでは、そのようなご不安の中で、ISMSにまつわる業者の選定はどうやって進めていきましたか？

佐藤さん：今回のISMS認証取得では、最終的には、従来のコンサルティング会社による支援と、SecureNaviのツールをどちらも利用させていただくことになりました。その理由としては、ツールとしての便利さと、コンサルティングによる支援の安心感のどちらも捨てがたかったからです。以前、Pマークの取得時に行っていたように、Excelを利用してISMS運用を行うのは、現実的でないと思っていており、何かしらのツールがないと、今後長い目で見た時に運用が大変になってしまう感覚がありました。一方で、Pマークの取得時にはコンサルタントを利用していたことから、経営陣からは、コンサルティングによる支援も含めたほうが良いのではないかという話もあがりました。

ーーサービスの導入を決める基準が、ISMSの担当者と経営陣とでは違ったんですね。

佐藤さん：結果として経営陣が感じていた不安は、Pマークを取得する際にお世話になったコンサルティング会社から引き続き支援を受けることで解消しましたし、これからISMS認証取得に取り組む私たち担当者の要望もSecureNaviのツールを導入することで、叶えることができました。

システム化された管理方法なら、ISMSはシンプルに運用できる。

ーーちなみに、これからISMSを主導する立場になる佐藤さんや山本さんは、SecureNaviを導入することに対して、不安などありませんでしたか？

山本さん：初めにSecureNaviのお話を伺った時、Excel管理では難しいから、システマチックに仕組み化するのが支援ツールのあるべき姿だと思いました。正直、以前取得したPマークのように、完全にExcelやスプレッドシートで運用するのは非常に負荷が高いと感じていたので、ツール内で管理できるのであれば、スムーズな運用が期待できると感じていました。

ーー山本さんはPマークも担当されているから、その辛さをある程度把握されていたんですね。

山本さん：そうですね。今まさに、Pマークの運用周りもどうにか社内で仕組み化して誰でも運用できるようにしようと思っていて。このように情報資産をリスト化したら、Excelよりも管理しやすいですよね。

SecureNavi を活用した情報資産管理のイメージ

膨大な記入書類には、テンプレート文章を参考に。

ーー実際に、ISMSに取り組んでみて、ここが大変だと思ったことはありましたか？

山田さん：最も時間がかかったのは社内ルールの整備ですね。一度社内ルールとして決まったらそのルールで今後は運用していかなければいけないので、現実的な運用を検討するのはかなり時間がかかりましたね。しかし、SecureNaviには、もともとテンプレートとして参考になるルールが入っていたのでルール作成が捗りました。

ーーSecureNaviを実際にご利用いただいた率直な感想はいかがでしたか？

佐藤さん：情報資産の洗い出しが見やすくなったので、SecureNaviを導入して本当によかったなと思いました。

山本さん：社内のセキュリティチェックテストが、SecureNaviを利用して受けられるのもありがたかった点です。

山田さん：発生する可能性のあるリスクが数値で確認でき、それらのリスクを比較できるので、視覚的にもわかりやすかったです。

SecureNavi を活用したリスク管理のイメージ

社内に一体感が生まれたのは、みんなで課題感を共有できたから

ーーその後、審査を受審し、無事ISMSの認証取得となりましたね。おめでとうございます。これまでのISMSの取り組みで社内の変化は感じられましたか？

佐藤さん：そうですね。事業運営と並行して進めていく必要があるため、従業員の負荷になると危惧していたのですが、実際は従業員から積極的に取り組んでもらえたと、振り返ってみて思いますね。他の部署でも担当者が中心となって取り組んでくれたので、結果的にみんながセキュリティに目を向けるようになってくれたと思います。

ーー社内のセキュリティに対する意識も変わってきていますか？

佐藤さん：大きな変化はありませんが、社内でセキュリティを意識しないといけないという気づきは少なくともあったと思います。他には今まで行っていなかった、新入社員にSecureNaviの教育を受けてもらうフローが新しく組まれました。こういったフロー構築も意識変化の一つかなと思います。

いつ何をやるべきか分かるから、スケジューリングも簡単に

ーーこれからはISMSもきちんと運用していく必要がありますね。今までExcelで管理してきたPマークと比べて、SecureNaviを活用したISMSの運用についてはどのようにイメージされていますか？

山本さん：ISMSの運用は、SecureNaviで「計画と運用」の項目をみれば何をやるべきかがわかりますし、何をやるべきか分かるからスケジューリングができるんですよ。だから今年中に終わらせること、次年度に行うこと、と各タスクの計画が立てられます。SecureNaviのシステムが、Pマークの取得にも役立てられたらすごく助かります。

いま、会社に必要なものを見直すチャンスかもしれない。

ーー今後ISMSに取り組まれる企業に対して、経験者としてのアドバイスがあれば教えてください。

佐藤さん：私がISMSの取り組みを通して感じたのは、弊社の今まで知らなかった情報を深く知れるということでした。ISMSは会社全体で取り組んでいくものなので、他の部署でどんな資産あるのか尋ねた時に、私が知らない会社の魅力に出会えて様々な発見があります。急拡大していく会社にとってISMSの取り組みは、今自社に何が足りないのか見直す良い機会になると思います。

ーーみなさま、ありがとうございました！

株式会社SUPER STUDIO様が、ISMS認証を効率よく取得できた「SecureNavi」の資料をダウンロード

本記事では、株式会社SUPER STUDIO様がSecureNaviを用いて、ISMS認証を効率よく取得し、シンプルな運用を実現されたお話をご紹介いたしました。

「SecureNavi」は、従来のようなExcelやWordによるアナログな運用を大幅に削減し、初心者から上級者まで誰でも簡単に業界ベストプラクティスに沿ったISMSやPMS構築・運用ができるようになるクラウドツールです。
わかりにくいISMS認証やPマーク取得の取り組みを約30〜40のステップに体系化しているため、各ステップ毎に必要な入力や選択を行っていくだけで、認証取得に必要な準備が完了します。

5分でわかるサービス資料をご用意しておりますので、こちらからダウンロードしてご確認ください。