ISMS取得事例｜従業員約20名のIT企業が約6か月で認証取得するまで
大手企業との商談で、情報セキュリティの管理体制を説明してほしいと求められた。対策はしているものの、社内のルールや管理記録はまだ整っていない。今回紹介するのは、そうした状況からISMS認証の取得を進めた、従業員約20名のIT企業のお客様です。
ISOトラストは、開発業務のヒアリングから情報資産の整理、規程づくり、内部監査や審査当日の対応まで支援しました。初回打ち合わせから認証取得までは約6か月。この記事では、実際の一社への支援内容をもとに、準備で見つかった課題と対応、取得後の変化を紹介します。企業名は匿名としています。
▼目次
1. ISMS取得事例：専任担当者がいない約20名のIT企業
お客様は、企業向けの業務システム開発、Webアプリケーションの構築、既存システムの保守・運用支援を手掛けるIT企業です。開発の過程では、顧客から預かる業務データや個人情報、システムへの接続情報などを取り扱っていました。
取得を検討したきっかけは、大手企業との新規取引に向けた商談です。取引先から情報セキュリティ管理体制の確認を求められ、今後の取引拡大も見据えて、約半年以内にISMS認証を取得したいとご相談いただきました。
相談時点で、ウイルス対策ソフトの導入、PCのパスワード管理、社内データへのアクセス制限は実施されていました。一方、情報資産台帳やリスクアセスメント、各種管理規程、内部監査などは未整備でした。専任の情報セキュリティ担当者もおらず、通常の開発業務と並行して準備する負担が課題になっていました。
今回の支援では、受託システム開発、Webアプリケーション開発、保守・運用支援に関係する情報と業務を整理しました。開発担当者だけでなく、その業務に関わる管理部門や経営層も含めて管理体制を整えています。ここで挙げる業務は支援内容の説明であり、認証書に記載された適用範囲の引用ではありません。
このお客様の取得までの期間
希望は約半年以内、実際には初回打ち合わせから約6か月でISMS認証を取得しました。この一社での期間であり、すべての企業に共通する取得期間や、取得時期の保証ではありません。
2. 情報資産の洗い出しで、接続情報や管理者アカウントの漏れが見つかった
最初の大きな課題は、開発業務のどこで、どのような情報を扱っているのかを整理することでした。顧客情報、開発用PC、ソースコードは、もともと管理対象として認識されていました。しかし、それだけでは実際の開発業務で扱う情報を十分に捉えられていませんでした。
ヒアリングでは、開発環境への接続情報、クラウドサービスの管理者アカウント、外部委託先と共有する開発関連データの一部が、管理対象から漏れていることを確認しました。顧客から受け取ったデータ本体に加え、そのデータに接続するための情報や、社外とのやり取りにも目を向ける必要がありました。
ISOトラストは、担当者様に実際の業務フローと情報の取り扱い方を伺い、漏れていた管理対象を情報資産台帳へ追加する作業と、リスク評価を支援しました。台帳の項目を埋めるだけで終えず、整理した情報を、次にどの管理ルールを見直すかの判断につなげていきました。
3. 既存の対策を生かし、アカウントと外部共有のルールを整えた
この会社では既に基本的な対策が実施されていたため、可能な限り現在の運用を活用しました。新しい管理作業を必要以上に増やさないことに配慮しながら、リスク評価の結果を踏まえて、特に次のルールを整理しています。
退職・担当変更時のアカウント削除と権限変更
退職者や担当変更者のアカウントを削除し、権限を変更する手順を整理しました。接続情報や管理者アカウントも管理対象に加えたことで、人の異動と情報へのアクセスを結び付けて管理するためのルールを整えています。
顧客データを外部共有するときの確認
外部委託先と共有する開発関連データも対象に含め、顧客データを社外へ共有する際の確認方法を整理しました。開発作業に必要な情報をやり取りする場面を、社内の管理ルールで扱えるようにした対応です。
クラウドサービスのアクセス権限の定期的な見直し
クラウドサービスの権限を定期的に見直すルールも整理しました。設定時の確認だけでなく、その後の業務や担当の変化も踏まえて確認していくためです。特定の製品を新しく導入した事例ではなく、既存の運用を活用した管理方法の整備です。
4. 文書の整備はISOトラスト、確認・承認と社内運用はお客様が担当
通常業務との両立を考えるうえで、誰が何をするのかを分けることも欠かせませんでした。ISOトラストは、情報資産台帳、リスクアセスメント、各種管理規程、内部監査記録、マネジメントレビュー関連資料などの作成・整備を中心に支援しました。お客様が白紙から書類を作り始める負担を抑える役割です。
お客様には、業務内容、使用システム、情報の管理方法についてヒアリングにご回答いただきました。その内容に基づいて作成したルールを確認・承認し、社内で運用していただいています。従業員への周知や、必要なセキュリティ対策の実施も、お客様側でご対応いただきました。
文書作成を外部へ任せても、実際の業務を説明し、ルールを自社で使えるものか判断する場面は残ります。このお客様でも、ISOトラストが整備を支え、お客様が内容を確かめて実施する形で準備を進めました。
経営者の評価・判断を、資料と記録に反映する
マネジメントレビューでは、ISOトラストが実施方法の説明、必要資料の準備、記録の取りまとめなどを支援しました。経営者様には、情報セキュリティ管理体制の運用状況と課題を確認していただき、改善の必要性などをご判断いただきました。コンサルタントが経営者に代わって評価を決定する形ではなく、その確認・判断を支える資料と記録を整える分担です。
5. 従業員教育・内部監査・審査対応を経て、約6か月で認証を取得
支援は規程の作成だけで終わらず、従業員教育、内部監査、マネジメントレビュー、審査前の書類確認、審査当日の同席まで一貫して行いました。内部監査についても、実施方法の説明や資料準備、記録の取りまとめなどを支援しています。
担当者様が開発業務と並行して準備できるよう、ISOトラストが書類の整備と実施の準備を支え、お客様側ではルールの確認や運用に対応していただきました。こうして、初回打ち合わせから約6か月でISMS認証の取得に至りました。
これから取得を計画する企業では、この約6か月をそのまま自社の日程に当てはめず、現在の準備状況と認証機関の審査日程を確認してください。一般に、審査は原則として第一段階・第二段階で行われ、申請から登録までの期間は組織の規模や適用範囲、不適合の状況などでも変わります。審査・認証を行う認証機関と、準備を支援するコンサルタントの役割は別です。
6. 取得後は、規程と管理記録を使って取引先へ説明できる体制に
取得後は、大手企業との取引においてISMS認証を取得していることを示し、情報セキュリティ管理体制を客観的に説明するための基盤が整いました。取引先から情報セキュリティに関する確認を受けた際にも、整備した規程や管理記録をもとに説明できる体制になったことが、今回確認できた変化です。
社内では、情報資産の管理責任と情報の取り扱い方が明確になりました。担当者によって異なっていた管理方法を統一するきっかけにもなっています。取得に向けて整理した情報とルールが、社外への説明と社内の管理の両方に使える形になりました。
今回の一社では、既存の対策を生かしながら、見落としていた情報を洗い出し、必要なルールを整えたことが準備の中心でした。専任担当者がいない企業でも、現在の業務を確認し、社内で判断・実施することと外部へ任せる作業を整理すると、取得計画を具体化できます。
ISOトラストへご相談いただく際は、取引先から求められた内容、希望時期、主な業務と扱う情報、既に実施している対策を分かる範囲でお知らせください。必要な書類がまだ揃っていない段階でも、現在の状況から準備内容と役割分担を一緒に整理します。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント