ISMS取得、運用に際し「内製の限界」を乗り越える伴走型支援

クラウドを基盤とした業務アプリケーション開発を手がける株式会社インテリジェントクラウドコンサルティング（ICC）。マイクロソフトのDynamics 365やPower Platformに特化したシステム開発を通じ、企業のDX推進を支援しています。同社は事業拡大に伴い、情報セキュリティ体制の強化を目的にISMS認証の取得を決断しました。今回、ISMS取得の背景やプロセス、スリーエーコンサルティングの支援について、同社 取締役副社長 COOの岡崎 禎氏、セールス＆コーポレイト部の黒川 明宣氏に話を伺いました。

事業拡大を見据え、ISMS取得による社内基盤強化を目指す

――御社でISMS認証を取得しようと思われた背景を教えてください。

事業拡大に伴う基盤整備が一番大きなポイントです。創業7年目を迎え、事業が順調に拡大していく中で、セキュリティ体制をきちんと整え、社会的な信頼を高めていきたいと考えました。

当社はお客様の業務アプリケーションを扱うため、契約情報や見積もり情報、サポートログなど、企業にとって重要な情報を日常的に取り扱っています。そうした中で、第三者認証を取得し、対外的に「信頼される企業」であることを示すことが重要だと判断しました。

――PマークではなくISMSを選ばれた理由は何でしょうか

当社はBtoBビジネスが中心で、個人情報よりも企業情報を扱うケースが多いため、より広い範囲をカバーできるISMSを優先しました。また、今回は開発部門から段階的に整備していく方針だったこともあり、ISMSが適していると考えました。

内製で直面した「終わりが見えない」課題とコンサル活用の決断

――ISMS取得にあたっては、当初は内製で進められていたと伺いました。

はい。私ともう1名の2名体制で、規程や帳票、記録簿など、認証取得に必要な相当量の文書を自分たちで作成していました。しかし、調べながら進めていく中で、「あるべき姿」や「こうした方がいい」という情報は多く見つかるのですが、「ここまでやれば認証が取れる」という基準が見えないと感じていました。

――どのような点が特に難しかったのでしょうか。

ゴールが分からないまま進めることになるので、必要なことを全部取り組んでいくうちに、このままだと何年かけても終わらないという感覚がありました。セキュリティは突き詰めると上限がないので、時間もコストも制約があるなかで、認証取得に「必要十分なライン」を見極めることが一番難しかったですね。

――そこで外部パートナーの活用を検討されたのですね。

はい。社内からも取得への期限が設定されたこともあり、外部の知見が必要だと感じました。自分たちで準備したものが過剰なのか不足しているのか、その“さじ加減”が分からなかったのです。

また、取得後の運用面での不安もありました。法令改正への対応などを自分たちで追い続けるのは現実的ではないと感じており、その点でも専門的な支援の必要性を強く感じました。

複数社比較を通じて見えた“伴走型支援”の価値

――コンサルティング会社の選定にあたっては、どのような比較をされたのでしょうか。

複数社の候補から比較検討しました。価格帯もさまざまでしたが、単純に価格だけで判断するのではなく、どこまで実務に寄り添ってもらえるかという点を重視しました。

――その中でスリーエーコンサルティングを選定した決め手は何だったのでしょうか

コンサルティングだけにとどまらず、実務面まで支援してもらえる点です。審査に向けたアドバイスはもちろんですが、運用管理の進め方や文書の取りまとめに至るまでトータルにサポートしていただける点は「安心して任せられる」と感じました。

それまでに、私たちは内製にて多くの資料を作成していましたが、それをどのように整理し、審査に通る形にまとめるかが課題でした。その部分まで支援していただける点は非常に魅力的でした。

──やり取りの中での印象はいかがでしたか。

同じ目線で話していただける安心感がありました。当社の業務やビジネス上の課題を理解した上で、現実的な提案をわかりやすく提示していただけたのが印象的です。また、「ぜひサポートします」という熱意も伝わってきて、社内への説明もしやすかったですね。

最終的には、コストと支援内容のバランス、そして実際の運用を見据え自社の工数をどれだけ抑えられるかという観点で総合的に判断し、スリーエーコンサルティングを選定しました。

いつでも問い合わせできる安心感がある

――スリーエーコンサルティングに依頼して得られた効果があれば、ぜひお聞かせください。

以下のような効果を感じています。

＜いつでも問い合わせできる安心感＞
ミーティングやチャットなどを通じ、いつでも問い合わせできる安心感があります。しかも、直接担当していただいているコンサルタントが不在でも、別の方がすぐにフォローしてくれますから、いつも素早い返信が期待できます。スリーエーコンサルティングのおかげで、分からないことに苦悩していた状況はなくなりました。

＜スケジュールが明確に＞
以前は社内に対して、Pマーク取得に取り組んでいることは明言できても、詳しい状況を大きな声で語ることはできませんでした。スリーエーコンサルティングに依頼後は、年末までの取得を目指すスケジュールを立てていただき、その通りに進めて実際にPマークを取得。スケジュールが明確でしたから、社員に向かって進行状況やお願い事項などをしっかり伝えることができました。

＜使い勝手が良いPマークアシスト＞
ドキュメントもスケジュールもPマークアシストで一元管理されているため、プロジェクトチームでの情報共有がスムーズです。確認したいことがあれば、まずはPマークアシストを閲覧する流れになっています。直感的に使える操作性も特筆できるポイントです。

＜効率的に実施できた社員教育＞
社員への教育は、スリーエーコンサルティングの教育コンテンツを用いて実施しました。ただし、イベント施設の管理業務に携わる業務委託先に常駐する社員もいるため、働き方に合わせて教育内容を変えるべきかについて、常駐先の情報セキュリティ基準との差別化などについては、スリーエーコンサルティングに相談しました。このときの的確なアドバイスのおかげで、全社員への教育はおよそ2週間で終えることができました。

作業時間は約1/10

――スリーエーコンサルティングに依頼し取得するまでの間、定量化できる効果があれば教えてください。

自社のみで取り組んでいたときと比べると、書類やドキュメント作成に割く時間が大幅に減少したため、作業時間は約1/10になったと感じます。しかも、作成した書類もチェックまでお願いすることができます。おかげさまで、精神的な不安も軽減されました。

――アシストを使ってみて、作業時間が減ったと感じる点はありましたか。

はい、ありました。特に大きかったのは、「探す時間」が大幅に減った点です。以前は、どの書類が最新なのか、どこに格納されているのかを確認するのに時間がかかっていましたが、アシストでは書類の保管場所が一元化され、最新版も明確に分かるため、その確認作業がほぼ不要になりました。進捗状況もすぐに把握でき、審査時や社内共有の際にも、必要な資料をすぐに表示して説明できるようになったことで、全体の作業時間が確実に短縮されたと感じています。

―― アシストを活用した資料作成について、率直なご感想をお聞かせください。

「ここを見に行けば答えがある」という状態ができたことが、一番良かった点です。
資料作成の際も、どこに何を入れればいいかが明確なので迷うことがなく、作成した資料を適切な場所に入れれば、関係者にきちんと見てもらえる安心感があります。
書類や情報が一箇所にまとまっていることで、業務が煩雑にならず、心理的な負担もかなり軽減されました。特に、ルールがまだ整備途中の企業にとっては、業務の共通言語ができ、効率化と時短の両方につながる仕組みだと感じています。

豊富な実績があるプロのアドバイスは必要

――Pマークの取得や運用に悩まれている企業は、世の中にたくさんあるのではないかと推測しています。そういった企業に向けて、Pマークを円滑に運用されている御社からアドバイスをお願いできますか？

危機意識が醸成されるきっかけにもなるので、あれこれ社内で悩むのは決して悪いことだとは思っていません。ただし、半年以上ずっと悩んだ当社の経験から、プロのアドバイスは必要だというのが正直なところです。そして、コンサルティング会社を選ぶなら、豊富な実績をベースに効率的に進めることができるスリーエーコンサルティングは間違いなくおすすめです。スリーエーコンサルティングは担当窓口1人だけではなく、会社全体で向き合う体制ですから、お願いする側はとても安心できます。これからPマーク取得を目指すのであれば、ぜひご検討ください。