身内のチームを超えて。全社を巻き込んだ推進体制

ーISMAP対応プロジェクトはどのような体制で進められましたか？

上村様

私がカウンターパートとして、ISMAP制度や監査機関とのコミュニケーションの窓口に立ち、そのバックに各部署の担当者が付く形で進めていきました。プロジェクト開始当初、事前に明確な体制イメージがあったわけではなく、当初は「担当が2人程度いれば対応できる」と想像していたのですが、いざ始めてみると、関わる人数の多さに驚きました。

社内の仕組みとしては、私が所属するITサービス課長の平下に全体の取り纏めを担ってもらい、filedoorのサービス開発に関係する技術開発室長の小川にも、一部領域の取り纏めを担ってもらいました。社内のメンバーには、プロジェクトの推進にあたって優先順位の高いものから順に依頼し、依頼ベースの関与をしてもらいました。

ー制度対応を進める中で、難しかったと感じたことはありますか？

上村様

技術開発室とITサービス課は、filedoorに関して日頃からよくコミュニケーションを取っていたこともあり、連携しやすい関係にありました。一方、ISMAPの管理基準にはサービスそのものだけではなく、人事や社内ITの仕組みも管理する対象となるため、例えばISMSのセキュリティ事務局など、filedoorそのものには直接関係しない部署の方々も巻き込む必要があり、そういった部署の方々の本業のスケジュールが把握しにくく、証跡の準備等の調整が非常に難しかったです。ISMAPは会社全般のセキュリティ対策が関わってくるので、filedoorに関係するメンバーだけでは解決できない難しさがあり、手探りで進めた部分も多かったです。

「本当に終わるのか」。不安からの出発と、予備調査が生んだ手応え

ー初回登録に向けて、どのような課題や不安がありましたか？

岩本様

予備調査が始まった当初は、そもそも「登録できるかどうか分からない」という不安がずっとありました。実際の監査対応にどれだけの時間やリソースがかかるのかが全く見えず、「本当に終わるのだろうか」という不安がかなり大きかったです。

体制面でも、それぞれのメンバーにどの程度の稼働がかかるのかが最初は読めず、とても心配でした。ちょうどシステムの更新時期とISMAP対応の時期が重なっていたため、繁忙期と重なる懸念もありました。ただ、そこは担当1人1人が協力して進めてくれたので、本当によくやってくれたと感謝しています。

ー「終わるかもしれない」と不安が希望に変わったタイミングはありましたか？

上村様

やはり予備調査が終了したときですね。最後までギリギリの状態ではありましたが、一度終えてみると「本番では、類似の証跡を出せば良い」という目安ができました。それによって、具体的に何をすべきかが見え、ゴールが現実的なものになったと感じています。

社内でも、何とかプロジェクトを前に進めるために、様々な工夫を行いました。社内の定例会を2週間に1回程度のペースで開催し、ISMAPに関して進捗があった際には、「証跡としてこういうものが求められています」と共有する場を設け、そこで細かな調整を行っていました。

もちろん、日常のやり取りは社内チャットで行っていましたが、チャットだとどうしても個別のやり取りになりがちで、全体管理が出来ません。それを定例会の中で全体としてまとめる機会を持てたので、その点は非常に進めやすかったです。

「いなければ終わらなかった」。伴走支援がくれた指針

ー数ある支援事業者の中から、弊社を選んでいただいた決め手は何でしたか？

岩本様

大きく二つあります。一つは、ISMAP制度に関する知識が他社と比較して豊富にあったこと、もう一つは、ご担当者の方々が実際の監査機関でISMAP監査を経験していたという点です。当社では制度に関する知識も監査に関する肌感もなかったので、この二点は非常に大きく、決め手になりました。

ー弊社の伴走支援を通じて、印象に残っていることはありますか？

上村様

何よりも、貴社のご支援がなければ予備調査や本番監査を乗り切ることは出来なかったと思います。ISMAPはもちろん、監査対応という経験があまりない中で、どのような証跡がそもそも必要で、それをどのような形式で提出すれば良いか、具体的にアドバイスをいただけたお陰で、当社側の動きが格段に良くなりました。

Fit＆Gap（Gap分析）においても、当社のセキュリティ対策の根幹として定めているドキュメントを緻密に改訂の指摘をいただけたことで、ISMAP監査に耐えることが出来るセキュリティ態勢を構築することが出来ました。

ISMSから一段高いレベルへ。規定の改定で整った社内のセキュリティ体制

ーISMAP登録の取り組みを通じて、社内にどのような変化がありましたか？

上村様

色々な変化がありました。例えば私個人においては、入社してすぐにISMAPの窓口担当になったのですが、その当時は社内のセキュリティ内部統制についてほとんど知らない状態からのスタートでした。ISMAP対応プロジェクトを通じて、社内で実際にどのような仕組み・システムを用いて、どのような体制を組んでいるのかという理解が、かなり深まったと感じています。

また、社内全体としては、先ほども述べましたが、当社のセキュリティ対策の根幹として定めているドキュメントをISMAPに適合できるよう改訂したことによって、社内の「情報セキュリティ」がレベルアップし、各人のセキュリティに対する意識が向上したように感じます。特に、これまで徹底できていなかった部分に改めて焦点が当たり、社内の仕組みが綺麗に整理整頓された側面があります。