情報セキュリティ研究所 http://www.isms-ins.com/ プライバシーマーク取得/ISMS認証取得/個人情報保護法対応など、企業の情報セキュリティに関するマネジメントシステムの構築を強力にサポートいたします。 ja 2006-04-05T16:42:51+09:00 ISMS認証取得事例 http://www.isms-ins.com//000047.html

■廃棄物収集会社としての春江の特色は?

-- まず春江(はるえ)の業務内容についてお聞きしてよろしいでしょうか。

私たちは、廃棄物の収集、運搬を業としております。いわゆる「ごみ屋」と呼ばれる
仕事です。

-- 他の廃棄物収集会社と比べての、春江の特色は何になるでしょうか。

廃棄物収集業は、きつい、きたない、3K職業という視線で見られることの多い職業です。また、そうした視線への反動からなのか、収集業者の中には、「ごみを取ってやっているんだ」というような、無頼な態度を取る者もいると聞き及んでいます。

弊社では、廃棄物収集業者として、顧客と社会に真に貢献し、「ごみ収集」という仕事を誇りをもって遂行するために、全社をあげて「質で日本一」を目指しています。この取り組み姿勢が、春江の大きな特色であると自負しております。

-- 「質で日本一」を実現するために、現在、どのような取り組みをしているのでしょうか。

具体的には以下の三点に注力しています。

1.従業員教育の徹底

2.顧客満足を実現するための設備投資

3.顧客満足を実現するためのしくみ作り
(今回のISMS取得は、この部分に相当します)

■ なぜISMSを取得しようとしたのか

-- では一つずつお聞きいたします。最初のポイント「従業員教育の徹底」というと具体的には。

弊社では、お客様と社会に対し、常に感謝の気持ちを忘れないようにするために、従業員に以下のような教育を行っています。

1.収集先では、お客様に笑顔で挨拶する。常に感謝の気持ちを忘れないようにする。

2.ごみ収集車が道路を通行する際、においなどで迷惑を周囲に与えることのないよう、毎日必ず収集車を洗車する。

3.ごみ収集の後は、必ず収集場を掃き掃除をして、きれいにして立ち去る。「思いやり」を持って行動する。

この他、あらゆる場面で、「ごみ収集を通じて社会に貢献する企業の一員」にふさわしい、誇りある態度を常に取るよう社員全員で心がけています。

-- 次のポイント、「顧客満足を実現するための設備投資」とは具体的には?

個人情報保護法の施行などを受けて、お客様の方で、「機密性の高い廃棄物、すなわち閲覧済み履歴書や重要書類、期限切れの法定帳票(あるいはCDなど電子メディア)などを、安全に収集、廃棄したい」というニーズが高まってきました。こうしたニーズに応えるために、機密処理施設などの設備を新たに購入いたしました。

-- 最後のポイント「顧客満足を実現するためのしくみ投資」とは?

これが今回、渋谷先生のコンサルティングを受けて取得したISMSに相当する部分です。機密性の高いごみを安全に収集、廃棄するためには、機械設備に加え、安全、確実な業務プロセスが不可欠です。この業務プロセスを社内に徹底させるためにISMS認証を取得することにしました。

また、「自社の業務プロセスの確実さ」は、自分で宣伝しても説得力がありません。お客様に分かりやすい形でアピールするには、やはりISMSという第三者認証が必要だと考えました。

■ ISMS取得のための四つの道すじとは?

-- 続いて、春江がISMSをどのようにし取得したのかについてお聞きしたいと思います。

一般的に言って、企業がISMSを取得する場合、以下の四つの手法があると思います。

1.自分で努力して取得する。

2.集合研修などでグループコンサルを受けながら取得する。

3.コンサルタントの個別指導を受けながら取得する。

4.コンサルタントに丸投げして取得する。

-- 今回、御社では、渋谷氏のコンサルティングを受ける道、つまりパターン3の手法を選んだわけですが、このパターンを選んだ理由は何だったのでしょうか?

概論で申しますと、コスト、運用の手間、コンサルの質(親密度)の三要素を考えた場合、「コンサルタントの個別指導を得る道」がいちばんバランスが良かったのです。それぞれの手法の一長一短を図示すると以下のようになります。





 費用コスト
(コンサル費用)
構築のコスト
(自分たちの作業量)
  親密度
(相談しやすさ)
自力習得ゼロ
全て自分でやるから
最大
全て自分でやるから
集合研修
指導を参考にして自分たちで作業する
個別指導
作業は自分たちで行うが要所で個別指導を受けられる
丸投げ最大最小
ほぼ丸投げ

丸投げなので親密度はあまり関係ない

■ 「自力ISMS取得」が春江にとって不適切だった、その理由

-- では、この図をもとに、なぜパターン3の個別コンサル以外の方法では駄目だったのか、お聞きしたいと思います。まず手法1「自力習得」は、どういう点が春江にとって不適切だったのでしょうか。

以下の三点がその理由になります。

1.ISOやISMSなど認証関係を担当している環境室は、現在2名体制。しかもごみ収集など現業との兼務。この人手状況を考えると、独力でのISMS取得はやはり非現実的に。

2.ISMS取得においてはIT系の話が避けて通れない。しかし春江のような廃棄物収集業の場合、正直言ってほとんどの社員はIT系が不得意である。この前提を考えると、やはり自力取得は困難。

3.かつてISO14001(環境関係の規格)を取った際も、コンサルタントの個別指導を得ながら取得た。やはりコンサルタントの指導を受ける方が、安心である。

■ 「丸投げ」も不適切だった、その理由

-- パターン4の「丸投げ」が不適切な理由は?

単純な話、丸投げすると数百万円のコストがかかり、費用が高いという問題があります。また費用以外にも以下のような問題点があります。

1.廃棄物収集業はいろいろな面で特殊な業態である。ISMSコンサルタントはISMSについては専門家だが、我々の業について熟知しているわけではない。丸投げが成立するとは思えない。

2.丸投げしたのでは、社内にノウハウが蓄積されない。

■ 最初は大手コンサル会社の集合研修を受けようと思っていた。しかし…

-- 続いてパターン2の「集合研修」が不適切だった理由は?

実は当初はこのパターンで行こうと考えていました。ISMSの研修について、ネットなどで調べてみると、有名なコンサルティング会社が主催する8~10回ぐらいの集合研修が、160万~200万ぐらいで受けられるとのことでした。

最初の頃は、やはり大手の研修が、確実・堅実で良いだろうと思っていました。しかし、もう一度よく考えた結果、やはり集合研修ではだめだなという結論に達しました。

-- なぜ、そういう結論に達したのでしょうか。

以下の二つが理由となります。

1.集合研修は、9時~5時位の時間帯で、いろいろな業種の会社が一部屋に集まっての「座学」であるとのことだった。そうなると、一般論で考えて、「親密度」はどうしても低下する。春江の場合、廃棄物処理業という特殊な業態である。親密な個別相談なしに、ISMS取得は難しいと思われた。

2.もともと社員のITスキルが高い会社なら、集合研修だけでもISMS取得は可能かも知れない。だが春江は、ITが不得手な会社である。ということは集合研修だけでは、心もとない。

■ 渋谷コンサルタントはどういうところが良かったのか

-- ここまでで「自力取得」、「集合研修」、「丸投げ」が春江にとって不適切である理由が分かりました。では、翻って、春江が最終的にパターン2の「個別指導」を選んだ理由は何だったのでしょうか。

個別指導が適切である理由は、今まで述べてきたことの裏返しになります。1):費用が手頃で、2):廃棄物収集という特殊な業態にも対応でき、3):我々の弱点であるITについてもテコ入れしてもらえ、4): 要所要所で親密に相談できる、という条件を考えると、やはり「個別指導」が最も適切だと思われました。

-- では、数ある個別指導コンサルタントの中から、特に渋谷コンサルタントを選択した理由は。

コンサル価格が非常に手頃であった。要する安かったという、この点は非常に大きいですね。集合研修の費用とほとんど変わらない費用でした。個別コンサルが、集合研修と同じ値段で受けられるのなら、これはトクです。また価格のみならず、コンサルタント本人である渋谷先生も、第一印象からして良い方であるように思えました。

-- どういう第一印象だったのでしょうか。

「あ、この人は、エンジニアだな」というのが第一印象でした。

-- エンジニアだとなぜ良いのでしょうか?

ISMSコンサルタントにも色々なタイプがあります。中には、今セキュリティが流行っているから、お金になりそうだからISMSコンサルタントをやっている、商売本位のタイプもいます。あるいは自社でISMS取得したので、そのノウハウを外販していこうという副業型のコンサルティング会社もあります。しかし、渋谷先生は、そういう人とは根本的に違う印象がありました。どうも、この人は、システム理論や情報セキュリティ構築などが、根っから好きな人、エンジニア型のISMS専門家であると思われました。
やはり生活のための即席ISMSコンサルタントよりも、根っから好きで取り組んでいる専門コンサルタントの方が、コンサルティグの品質が高いことが期待できます。

その後、詳しく話を聞いていくうちに、渋谷先生は、元はネットワーク構築会社に勤務しており、ISMSコンサルティングについても2001年の試験運用が始まった当時から取り組んでいたということでした。やはり第一印象どおりの経歴でした。

■ 良いコンサルタントと良くないコンサルタントのちがい

-- 渋谷コンサルタントとは次にどのような話をしたのですか。

まず、春江の業態と現況を伝えました。さらにネットや本などで勉強した知識なども元にして、「自分としては、春江の業態やコンピュータスキルの現況を考えると、ISMS取得は、~のようなかたちを取るのがよいと思う」という具合に、自分の考えを述べ、「この考えをどう思うか。私の構想は可能か」と質問をぶつけました。これに対する、渋谷先生の返答も良かったですね。

-- どう良かったのでしょうか。

私の経験では、このような「~は可能かどうか」という質問への、コンサルタントの反応は以下の三通りになります。

1.できます、大丈夫ですよと、安易に即答するコンサルタント
(このタイプのコンサルタントは、どんな質問に対しても「良い考えですね。大丈夫、できますよ」という虫の良い返事をする)

2.「できます」、「できません」を明確に答えず、会話が成立しないコンサルタント
(集合研修の講師などで多いパターンらしい。答えにくいのは分かりますが、もう少し親身さが欲しい)

3.「可能です」、「できません」の返事の後に、自分の考えを述べるコンサルタント
(このタイプのコンサルタントが最も望ましい。「その考えは間違っていないし、可能だが、こういうやり方もあるのではないか」、「それは可能だが、現状ではやらない方がいい。なぜならば…」というようなコメントを加えてくれるので、自然に議論が深まる)

渋谷先生は、三番目の最も望ましいタイプでした。こちらの事情、現況をよく考慮して、春江にとって最も望ましいやり方を提案してくれました。今回、弊社がISMSを無事に取得できたことは、渋谷先生の親密、緊密な指導姿勢に負うところが大きいと思います。

■ 実際に渋谷コンサルタントとつきあってみての3つの感想

-- 今回、渋谷コンサルタントと実際につきあってみての印象、感想はいかがでしょうか。

ざっと、以下のような感想を持っています。

1.指導が一貫して、親身、親切、丁寧であった。

2.態度が自信に満ちていて、頼もしい。頼りになる。
(認証を取る側の我々はけっこう不安で弱気なものです。そういう時に、コンサルの先生に自信に満ちた態度で「だいじょうぶですよ」と言っていただけると、こちらとしても自信が持てます)

3.意外に融通も利いた。
(ISMS取得作業の中で、時には我々の進捗がはかどらず、コンサルティングが暗礁に乗り上げることもありました。しかし、そうして計画が崩れた時も、柔軟かつ適切にスケジュールを組み直してくださり、助かりました。頑固なところは頑固ですが、要点では、意外に融通が利くのだなと思いました)

■ コンサルタントと組むときはここを気をつけた方がよい、二つのポイント

-- 今、全国の中小企業の中に、かつての春江と同じように、「社内のITスキルは決して高くない。だがISMSを取得しなければならない」という会社が多くあります。そうした会社に対し、すでにISMSの取得を経験した御社として、「コンサルタントと組むときにはここを気をつけておいた方がいい」という、一種の『コツ』のようなものをお知らせいただければ幸いです。

自分の経験だけに基づいた偏った話でよいのなら、という前提で申し上げますと、以下の二つが『ISMSコンサルタントと組む時のコツ』になると思います。

1.社内の責任者を明確にした方がよい。

2コンサルには、思い切って、質問をぶつけた方がよい。
(その質問への反応で、コンサルタントの『質』が分かる)

-- 最初のポイント「社内の責任者を明確にした方がよい」というのは具体的には。

責任者をきっちり決めないと、コンサルタントとの間に手応えのある関係を築くことは難しいでしょう。コンサルタントに、親密、緊密な関係を求めるのなら、求める側も、それなりの体制を整える必要があるということです。

-- 次のポイント「コンサルには、思い切って、質問をぶつけた方がよい」というのは具体的には。

これは重要なポイントです。どこの会社でもISMS取得について『何がなんでも半年以内に取りたい』とか『業務全体ではなく、一部分だけISMS認証を得たい』といった希望があると思います。その希望をコンサルタントにすべて正直に『ぶつける』ようお勧めいたします。

-- するとどういう効果が見込めるのでしょうか。

あなたが思い切ってぶつけたその質問に、そのコンサルタントがどう反応してくるか。それは無理ですと素っ気なく却下するのか。大丈夫です、できますよと虫の良いことを言うのか。それとも自分なりの意見や見解を交えて誠実に議論しようとするのか。そうした反応パターンにより、そのコンサルタントの熱意や親密度、あなたとの相性が分かります。これは、感覚的にほとんど一瞬で把握できます。ですから、こんなこと聞いてもいいのだろうかと恥ずかしがったりせずに、まっすぐに質問をぶつけてみることをお勧めします。

■ 最後に

-- 最後に渋谷コンサルタントに一言あれば、お願いいたします。

今回、懇切な指導をいただき、おかげさまで無事、ISMSを取得できました。今後も、情報セキュリティに関しては、お客様や行政体などから、さらに高度の要望が出てくると予測されます。そうした要望に確実に応え、真にお客様と社会とに貢献できる会社になりたいと考えております。今後も渋谷先生には、折りにふれ、指導をお願いすることもあるかと思いますが、何卒のご協力をいただければ幸いです。

-- 今日は貴重なお話を有り難うございました。

※ 春江のWebサイト
※ 取材 カスタマワイズ
※ 取材日時 2006年1月

]]>
事例紹介 pram 2006-04-05T16:42:51+09:00
購入について http://www.isms-ins.com/product/000038.html 購入について購入について

]]>
商品について pram 2005-10-20T19:37:47+09:00
情報資産管理台帳 http://www.isms-ins.com/lisk/000032.html 情報資産管理台帳

◆情報資産及び付帯情報(情報資産の形態、保管場所、公開レベル、オーナ等)を登録します。
◆登録した情報資産の評価価値を登録します。

情報資産管理台帳_帳票

◆登録した内容に基づき、「情報資産管理台帳」を印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:45:03+09:00
情報資産取扱手順 http://www.isms-ins.com/lisk/000031.html 情報資産取扱手順

◆情報資産の取扱いパターンを登録します。
◆情報資産の取扱いを定義する際、個別の情報資産ごとに定義せず、情報資産価値や属性(公開レベル、形態など) が一致するものをグループとして捉えて、グループごとの取扱いパターンを定義するという方法が効率的です。
例)部外秘の紙の取扱いをパターン1、部外秘のデータの取扱いをパターン2とするなど。

情報資産取扱手順_帳票

◆登録した内容に基づき、「情報資産取扱手順」を印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:33:30+09:00
リスク分析 http://www.isms-ins.com/lisk/000030.html リスク分析

◆情報資産に関する資産価値属性("機密性"、"完全性"、"可用性")ごとの脅威・脆弱性を登録し、リスク値を算出します。

脅威
 情報システムや組織に損失や損害をもたらすセキュリティ事故の潜在的な原因です。 脅威は後述する「脆弱性」により誘引され、顕在化することにより組織及び組織の業務に影響を与えます。脅威の大きさは、 その要因や対象となる情報資産ごとに、その発生の可能性を評価して決定します。

脆弱性
 脅威発生を誘引する情報資産固有の弱点やセキュリティホールのことです。脆弱性は、 それだけでは何ら障害とはなりませんが、脅威を顕在化させ、損害や障害を導く可能性があります。逆にいえば脅威が存在しない脆弱性は、 あまり気を配らなくても良いということになります。

リスク分析表

◆登録した内容に基づき、「リスク分析表」を印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:32:56+09:00
リスク管理(ベースライン) http://www.isms-ins.com/lisk/000029.html リスク管理ベースライン

◆リスクアセスメントにおけるベースラインアプローチでの対策内容を登録します。情報資産の洗い出しにおいて、 あまり重要でないと評価された情報資産に対しては、ベースラインアプローチを採用して一律の対策を施すことが有用です。
◆"PRAM"では、ベースラインの基準をISMS認証基準(Ver.2.0)の附属書「詳細管理策」としています。
◆登録した内容に基づき、「リスク管理表(詳細)」を印刷できます。

ベースラインアプローチ
 詳細リスク分析とは異なり、 情報資産ごとにリスクそのものを評価しません。従って、認証基準の要求事項を満たさない場合もありますが、 一連のリスクアセスメントプロセスにおいては、重要な役割を果たします。特に、ISMS構築の初期段階などで、リスク分析の結果、 リスク算定以前に緊急な処置を施す必要がある事態が発見された場合や、その逆に情報資産の価値も低く、 想定される脅威やぜい弱性からもリスクが極めて低く、他の情報資産のリスク算定に対して、十分な時間を割きたい場合などには有用です。
ここで、一連のリスクアセスメントプロセスと記載しましたが、リスクアセスメントは、一過性の作業でないことに留意してください。
ベースラインアプローチにおいては、一般の情報セキュリティに関する基準や、業種・業界で採用されている標準やガイドラインなどを参照し、 組織全体で共通のセキュリティ対策を実施します。実現可能な水準の管理策を採用し、 組織全体でセキュリティ対策に抜け漏れが無い様に補強していくアプローチです。

]]>
リスクアセスメント機能 pram 2005-10-19T18:32:28+09:00
リスク管理(詳細) http://www.isms-ins.com/lisk/000028.html リスク管理詳細

◆現状の脅威に対する対策案・選択詳細管理策を登録します。
◆上記に基づくリスク値を登録します(このリスク値は、現状のリスク値より改善されていて、 受容できるリスク値の水準を下回ることが理想です)

リスク管理表(詳細)

◆登録した内容に基づき、「リスク管理表(詳細)」を印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:31:58+09:00
適用宣言書 http://www.isms-ins.com/lisk/000027.html  適用宣言書

◆適用宣言書を作成するためのデータ登録をします。
◆リスクアセスメントの結果に基づき、自動的に管理目的及び管理策の選択/不選択(適用除外)の判断を行います。
◆選択理由/適用除外理由については個別に入力が必要ですが、選択入力方式で入力できます。

適用宣言書_帳票

◆登録した内容に基づき、「適用宣言書」を印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:30:59+09:00
リスク対応計画 http://www.isms-ins.com/lisk/000026.html  リスク対応計画

◆リスク対応計画を登録します。
◆"PRAM"では、適用宣言書に出力される詳細管理策を基準として、対応計画を作成する方法を実装しています。

リスク対応計画
 リスクアセスメントの結果に基づき、 受容できないリスクを低減するためにとるべき活動と、選択した管理策の実装に関する実行計画を明らかにするものです。 リスク対応計画を適切に策定することにより、組織が識別したリスクに対する管理策の実施状況と、 対策は実施したが残留リスクが受容可能な水準以下に低減されていないリスクへの追加的対策の進捗状況を容易に把握することが可能となります。

リスク対応計画表_帳票

◆登録したリスク対応計画の内容は、「リスク対応計画表」として印刷できます。

]]>
リスクアセスメント機能 pram 2005-10-19T18:30:34+09:00
機密性評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000025.html   機密性評価基準

◆"機密性"の評価基準を登録します。
◆"機密性"は、情報資産の価値評価を実施する際のひとつの要素です。
◆情報資産の価値は、"機密性"、"完全性"、"可用性"の3つの観点で評価します。

機密性(Confidentiality)
 アクセスを認可された(Authorized)者だけが情報にアクセスできることを確実にすること。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:49:51+09:00
完全性評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000024.html 完全性評価基準

◆"完全性"の評価基準を登録します。
◆"完全性"は、情報資産の価値評価を実施する際のひとつの要素です。
◆情報資産の価値は、"機密性"、"完全性"、"可用性"の3つの観点で評価します。

完全性(Integrity)
 情報及び処理方法が、 正確であること及び完全であることを保護すること。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:35:32+09:00
可用性評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000023.html 可用性評価基準

◆"可用性"の評価基準を登録します。
◆"可用性"は、情報資産の価値評価を実施する際のひとつの要素です。
◆情報資産の価値は、"機密性"、"完全性"、"可用性"の3つの観点で評価します。

可用性(Availability)
 認可された利用者が、 必要なときに、情報及び関連する資産にアクセスできることを確実にすること。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:33:22+09:00
脅威レベル評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000022.html 脅威レベル評価基準

◆起こりうるセキュリティ障害などの現実的な発生可能性を評価するための基準を登録します。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:19:58+09:00
脆弱性レベル評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000021.html 脆弱性レベル評価基準

◆情報資産の持つ弱点(現在実施されている対策を考慮しての脆弱性)がどの程度であるかを評価するための基準を登録します。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:16:07+09:00
業務影響度評価基準 メンテナンス機能 http://www.isms-ins.com/mainte/000020.html 業務影響度評価基準

◆情報資産の機密性(C)、完全性(I)、可用性(A)が損なわれた場合(想定した脅威が発生した場合)の事業上の影響(損害) を評価するための基準を登録します。

]]>
マスタメンテナンス機能 pram 2005-10-19T16:07:34+09:00