クラウドサービス、採用にセキュリティの壁

コンサル使わず約5カ月で取得完了

ISO認証取得にあたって横井氏が決意していたのは、外部コンサルティングを使わず、自社内のメンバーだけで自力で認証を取得すること。「起業してようやく波に乗りこれから成長していこうとする時期。会社としてのルールを社内で整備するには、コンサルを使わず自分たちの力でやってみようと決意した」と横井氏は当時を振り返る。

具体的にISO認証取得を統括したのは、同社管理部門を統括するCOO・加納正喜氏。事務局の吉成裕恵氏とともに認証取得への道のりがスタートした。

企業設立時から経験豊富な技術者が揃う同社では「セキュリティ対策の基本的作法は皆共有できていた」と加納氏。「意識としては80％～100％対応済みだが、ルールの明文化では20～30％しか進んでいない」。社内にある暗黙のルールを明文化しながら、さらに認証規格が定める要求事項で足りないところを補足していく。「途中でくじけるのは当たり前。半年から１年かけてでも、一歩ずつ前に進んでいることを実感しながらコツコツ焦らずやっていこうというイメージで始めた」と加納氏は振り返る。

当初１月～２月は、書店で関連書籍を読み漁ったり、複数の審査機関を当たって無料の入門セミナーを受講するなど、情報収集に徹した。同時並行ですすめたのは「業務フローの整理」。業務内容を付箋に書き出し、そのフローを模造紙に並べて再現したうえで、セキュリティ対応が新たに必要な業務を洗い出した。

審査申込をしたのは2016年５月。申請から審査まで約５カ月。折り返しとなる３カ月目に１度だけJQAに方向性を確認したが、それ以外は、10月末に１次審査、11月に２次審査と順調に審査をクリア。同年12月に「ISO/IEC 27001:2013（JIS Q 27001:2014）」および「ISO/IEC27017:2015（JIP-ISMS517）」の２認証を見事に同時取得した。とくにJQAにとっては同社が第1号の「ISO/IEC27017」認証取得企業となった。

最終的には全社員で共有すべき明文化ルールとPDCAを回す運用マニュアルをまとめたポータルサイトを立ち上げ、常に最新バージョンを全社員で共有できる環境を整えた。