弊社クライアントのイベントレジスト株式会社様が、
ISMS（ISO27001）を取得されました。
弊社のISMS取得サポートをご利用いただきました。
（担当コンサルタント：岡部洋一）
同社 執行役員 最高執行責任者・小笹 文様からいただいたコメント：
まず、イベントレジストさんはどんな会社なんですか？
弊社では、オンラインイベントプラットフォーム
「EventRegist（イベントレジスト）」を運営しております。
誰でも簡単にイベントの告知、事前決済や申込み、
参加者管理ができるというサービスです。
50名くらいのイベントから、数万人規模の大規模なカンファレンスまで
幅広い範囲のイベントにご利用いただいております。
参加者の方々にはイベントレジストの会員IDを作成していただくことにしており、
一度登録すれば他のイベントへの参加の際にも簡単に申し込めるようになっています。
そのため、当社には参加者の方々の個人情報が蓄積されていきます。
最近顔認証「KAOPASS」もリリースしましたので、顔写真データも蓄積されていくことになります。
また先日、弊社は日経新聞の子会社となりました。
今後も、イベント関連のデジタルマーケティング分野で、
どんどん新しいサービスを広げていきたいと考えています。
どうしてプライバシーマークに加えて、ISMSを取得しようと思われたんですか？
当社としては、多くの個人情報を取り扱うオンラインサービスを提供しているので、
情報セキュリティ対策はやって当然ということで内部で取り組んできました。
ただし、やはり外部の機関に確認していただいて、
自社の取り組みが基準を満たしていると証明してもらいたいと思いました。
それでまずプライバシーマークを取得したのですが、次にISMSにも取り組むことにしました。
やはりテーマが違いますからね。
イベントの主催企業様から、情報セキュリティのアンケート調査を受けることも多く、
そういう時に認証があるとそれ以上の細かな説明が省略できることもありました。
コンサル会社をどのようにして選びましたか？
御社にプライバシーマークでもお世話になっていますので、
ISMSもまとめてお願いしようと思いました。
既に弊社の業務を理解していただいていますし、
整合性を取って対策を進めていただけるのではないかと思いました。
どのような社内体制で取り組みましたか？
当社はまだ人数が少ないので、私が陣頭指揮しまして、
社内のエンジニアにも協力してもらい進めていきました。
今回を機会に情報セキュリティ対策で強化したポイントを教えてください。
情報セキュリティ対策として、ISMSのために新しく導入したものはないです。
ISOにしたがって、社内のルールを一通り見直して、必要な対策は行いました。
当社の場合、サービス周りのセキュリティ対策は、すでに十分やっていたと思いますが、
社員の使うパソコンやスマホについて、ルールが統一されていなかったと思います。
商談で出歩いている社員も多いですし、リモートワークで開発しているエンジニアもいる。
そういう仕事のスタイルをどのようにISMSと整合性を取り、
セキュリティを高めるかというところで、Pマークよりも厳しい基準を設けました。
また、今回オフィスを渋谷から千駄ヶ谷に引っ越ししまして、
よりセキュリティを強化できたと思います。
最も苦労したことは何でしたか？
ISMSはプライバシーマークよりもチェック項目が多く、
全体像を把握するのに苦労しました。
ただし、コンサルタントの岡部さんにうまく導いていただいたので、
なんとか最後までできたと思います。
あたり前かもしれませんが、
自力でISMSに取り組むのはやめたほうがいいなと思いましたよ。
岡部のコンサルティングにはご満足いただけましたか？
私がなかなか作業時間を取れないという状況の中で、
すごく助けていただけたと思っています。
また、審査については、初めてのことで不安いっぱいでしたが、
岡部さんが事前にしっかりリハーサルしていただいたので、
スムーズに乗り切ることができました。
岡部さんにリードしていただいたことで、
無駄なく審査の準備を進めることができました。
プライバシーザムライが提唱している「本気のISMS」について、どう感じますか？
当社の場合は、ISMSを構築して、その中でセキュリティを高めると言うよりは、
既に存在しているものを第三者の視点で評価していただいたという色合いが
強いと思います。
それでも、ISMSの考え方が、社員に浸透すると、
セキュリティに対する意識が変わってくると思います。
また、外出やリモートワークでの仕事が多い自社の働き方に合わせる部分は
今回のリスク分析の結果も踏まえて、もっと強化していきたいと思っています。
これからISMSに取り組まれる方に何か助言はありますか？
ISMSを取得することは、
自社サービスや、自社の情報セキュリティ体制が
一定の基準を満たしているかどうか振り返るよい機会になると思います。
また、会社規模が小さいうちに取得したほうが良いなと思いました。
当社としても、認証取得をゴールにせず、さらに水準アップしていきたいです。
