情報セキュリティ体制をISMSに準拠した内容に見直しました。

浅間商事代表の柳沢です。

先日、当社の情報セキュリティ対策を強化するため、ISMS（アイエスエムエス）という規格に準拠した体制を構築しました。
実際に取り組んでみて「本格的に情報セキュリティ対策をしたいが、どこからどこまでどのように実施したらよいか難しい」という会社さまにはISMS規格の活用は有効だと実感しましたので、情報共有いたします。

なぜ情報セキュリティマネジメント体制を見直したのか

時流

ランサムウェア（暗号化ウイルス）などのサイバー攻撃が年々激しくなっている状況のため、今までのレベルのセキュリティ対策では不十分と考えるメンバーが増えました。
そこで今回、外部のコンサルタント会社さまにもご協力いただき、より高いレベルの情報セキュリティマネジメント体制を構築することにしました。

事業内容

浅間商事は中小企業の働き方を効率的で安心なものとするため、情報セキュリティ対策商品の提案・導入・サポートを行っています。
お客さまへの一歩先を行く提案を続けるため、浅間商事自身のセキュリティ体制を最新のものに更新してそのノウハウを中小企業のお客さまにお伝えしたいと考えました。

Pマーク（プライバシーマーク）

浅間商事は以前、Pマークを取得し更新を続けていました。
しかし、Pマークは「個人情報保護」が主な目的のため、個人情報以外の情報も体系的に保護をしたいこと、新しい技術が生まれ続けるWEBマーケティングに素早く柔軟に対応したいこと、更新時の事務作業の手間が膨大だったことなどから近年は更新をストップしていました。

ISMSとは

ISMSとは

「情報セキュリティマネジメントシステム」の略です。ISO/IEC 27001に基づき、情報セキュリティ確保の仕組みを認証する制度のことで、保護対象は組織が保有する情報資産の全てです。 審査基準は国際標準で、ISMSは世界的に通用する認証です。

引用元：プライバシーマークとISMSの違いとは？どちらを取得すべきか解説 | セキュマガ | LRM株式会社が発信する情報セキュリティの専門マガジン

個人情報のみを取り扱うPマークよりも今の当社に適した仕組みだと感じました。
また、国際基準で、Ｐマークよりも会社ごとに柔軟な運用が可能であるという点にも魅力を感じました。

どんな情報セキュリティ体制が構築できるのか？

今回、セキュリティコンサルティングを依頼したLRM株式会社さまのご協力により、当社既存の基本マニュアルをベースにさらに自社に適合した内容にカスタマイズされています。

特に従業員向けのマニュアルができたことで、個人任せであいまいになっていたルールを統一することができました。
また、管理台帳ができたことで弱点を見える化して改善する土台を作ることができました。今回作成された主な成果物はこちらです。

• セキュリティハンドブック：従業員向けマニュアル
• 情報セキュリティマニュアル：IT担当者向けマニュアル
• 情報資産管理台帳：データの種類、保管場所、管理者、保管期限などの一覧
• 利用システム、サービス管理台帳：利用システム、管理者、利用部署などの一覧

なぜISMS認証の取得をしなかったのか

当社は今回、ISMSに準拠したセキュリティ体制を構築しましたが「ISMS認証」は取得しませんでした。

理由は、主にこちらの3点です。

1. 当社のお客さま内でISMSの知名度が低く、取得しても価値を感じて頂きにくいと考えたため
2. 認証取得時や更新時にかかる追加の作業量や費用を抑えたかったため
3. 当社であれば認証を取得・更新しなくても、社内で必要十分なセキュリティ体制の改善ができると考えたため

セキュリティ体制を強化したことで本社や現場のメンバーの負担が必要以上に大きくなったり、更新自体が目的となってしまい、日々のセキュリティ対策が不十分になってしまったりすることを防ぎたいと考えました。

ISMSを活用した情報セキュリティ体制見直しのポイント

先生と教科書　

今回の見直しでは、先生としてLRM株式会社様にコンサルティングに入っていただき、教科書としてISMSという規格を利用しました。それにより、非常に早く安く良い成果物を作ることができました。

社内の知識だけで改善に取り組んでいた時には何度打ち合わせをしても決まらなかったことが、次々に見える化されて形になり、とても助かりました。

中小企業の場合、外部の先生（コンサル・アドバイザー）と教科書（規格・資格・マニュアル）を活用することで、結果的に時間と費用を節約できると強く感じました。

LRM株式会社様：ISMS/ISO27001認証取得コンサルティング｜取得100％保証・訪問無制限 (lrm.jp)

初めから100点満点を目指さない

ISMSなど情報セキュリティ体制は構築して終わりではなく、毎年改善していくものです。
セキュリティに100点満点はありませんので、0点よりは60点、60点よりは70点と会社の状況に合わせて進めていくことをおすすめします。

クラウド活用の注意点

情報セキュリティを見直していくと、「利用システム」「サービス管理台帳」の作成などにおいて各システムの利用者管理・二段階認証などパスワード強度管理・権限管理などが必要になってきます。
当社ではMicrosoft 365を主に活用していますので、それらの管理が比較的簡単でした。しかし、多くのクラウドサービスを各人がばらばらに使っていると、この管理は非常に複雑になってしまうと感じました。

まとめ

中小企業が情報セキュリティを体系的に見直すにためには大きな時間と労力がかかります。しかし、コンサルタントなどの先生とISMSなどの教科書を使うことで、時間と労力を最小限に抑えられます。
情報セキュリティ対策の改善・構築に悩まれている会社様は、浅間商事もしくはLRM株式会社様にぜひご相談ください。

• LRM株式会社 | 情報セキュリティの総合コンサルティング会社

浅間商事へのご相談は担当アドバイザー、もしくはお問い合わせフォームやコールセンターまでご連絡ください。

• フリーダイヤル：0120-830-414（あさま よいよ）
• お問合せフォーム