ブロックチェーン技術を用いたIoTプラットフォームの提供など、顧客企業に寄り添いながらIoTビジネスモデルの創出を支援するサービスを展開しているジャスミー株式会社。同社は顧客企業の要望に応えるため、また情報セキュリティに関する社内ルール策定のため、2024年4月にISO27001（情報セキュリティマネジメントシステム／以下、ISMS）認証を取得しました。今回、ISMS認証取得の背景と効果などについて、取締役 兼 ソフトウェア開発統括 萩原 崇氏、管理担当 田中 義浩氏に話を伺いました。

当社はブロックチェーン技術を用い、IoT分野におけるソフトウェア開発を行っている会社です。主に個人情報などの重要データを安全に管理できる仕組みのプラットフォームを提供しています。

パソコンやスマ―トフォン、タブレットといったデバイスからWebサイトにアクセスしてデータをやり取りする場合、サービスを提供する企業はユーザーの個人情報などが流出しないように、万全のセキュリティ対策を施さなくてはなりません。その際、改ざんが難しく、トレーサビリティに優れた分散型システムのブロックチェーン技術を駆使した当社のプラットフォームをご利用いただくと、データをセキュアかつ効率的にマネジメントすることが可能となります。

プラットフォームの提供だけでなく、顧客企業と一緒に新しいIoTビジネスモデルの創出していくのが当社の役割だと考えています。具体的には、IoT化で成果を出すための製品企画から導入までの一気通貫支援、IoTシステム構築に必要な機能を組み込めるIoT通信モジュールやウェアラブル・デバイスなどのベースモジュールおよびライセンス提供、IoTサービスの実現に必要な開発環境の提供、アプリケーションを開発していくための開発者コミュニティの整備、IoTによって測定感知されたデータを分析・利活用できる環境の整備など、顧客企業に寄り添いながらIoTを支援するサービスを提供しています。

2016年の会社設立後、2021年に本格的なサービスを開始しました。前述したように、当社が提供するIoTサービスは顧客企業が管理するデータにタッチすることが多くなります。それを踏まえ、2つの側面からISMSもしくはPマーク（プライバシーマーク）の取得が必要だと考えていました。

ひとつはお客様である顧客企業からの要望です。昨今、サイバー攻撃による脅威やヒューマンエラーによる情報漏えいなどが多発していることもあり、世の中はセキュリティ対策に敏感になっています。実際、ファーストスクリーニングにおいてセキュリティに関するチェックシートを用意し、ISMSもしくはPマークの取得を確認する企業はかなり多い印象です。取得していなくてもペナルティがあるわけではありませんが、より円滑なビジネスにつなげていくためには、ISMSもしくはPマークの取得は上位のプライオリティでした。

もうひとつは、セキュリティにおける内部統制のルール策定のためです。ルールづくりには着手していましたが、セキュリティにおける考え方、セキュリティ対策に準じた業務の進め方をまとめようとすると、ゼロベースからだと容易ではありません。誰もが納得するルールをつくるには、やはり拠りどころが必要となります。その拠りどころとして、幅広く認知されているISMSもしくはPマークが不可欠と考えるようになりました。

大きな会社ではなく、情報セキュリティ認証のプロセスについては専門家もいませんから、当初からコンサルティング会社ありきで考えていました。

社内では数社のコンサルティング会社のWebサイトを参照し、比較・検討を行っていました。それを踏まえ、以前から知り合いだったオプティマ・ソリューションズの社長、中さんに「このぐらいの価格で、こういったサービスが可能ですか」と問い合わせました。「可能です」という返事をもらったため、それなら旧知の仲のオプティマ・ソリューションズにお願いするのが最善と考えた次第です。

当初からISMSとPマークの両方を取得するつもりでした。ただ、両方同時に進行するのはリソースの問題で難しいため、どちらかに絞る必要がありました。そこで、オプティマ・ソリューションズに「どちらが早く取得できますか？」と伺ったところ、「ISMSです」という回答がありました。そこで、まずはISMSを取得し、その次にPマークという順番で取得するロードマップを立てました。

情報システム部門のソフトウェア開発統括、管理部門、営業部門それぞれから1名の部門管理者を選出するなど、数名の体制で進めました。なお、スタート前にオプティマ・ソリューションズが主催するオンラインの取得セミナーへの参加を勧められたため、全メンバーで出席させていただきました。予備知識をインプットする機会として、このセミナーは非常に有意義でした。

2023年11月、オプティマ・ソリューションズにコンサルティングをお願いしました。2024年4月初旬に審査、4月末に無事取得することができました。

他社様との比較はできないため、明確なことは分かりませんが、我々が思うのは各部門から部門管理者を選出した体制は、社内への周知には効率的だったと思います。短期間で取得できたという点では、オプティマ・ソリューションズと当社の全メンバーが参加するミーティングを毎週木曜日の17：00～18：00と設定し、年末年始を除いて毎週欠かさず行ったことが良かったのかもしれません。

オプティマ・ソリューションズいわく、通常は隔週の間隔で2時間程度のミーティングを行いながら進めていくそうですが、当社としては「間延びしそうな気がしたこと」「2時間も集中力を継続させるのは困難なこと」を懸念し、今回のスタイルをお願いしました。毎週同じ時間にミーティングを行うことは、当社内でもスケジュール調整は難しいのですが、そこはISMSの取得を最優先事項においた会社の方針が大きかったと思います。スケジュール調整という点では、ほとんどがオンラインだった点も大きなポイントでした。オプティマ・ソリューションズのコンサルタント、上さんにも時間を上手に調整していただき、本当に感謝しています。

ミーティングは、上さんに出していただいた宿題の添削、次フェーズの確認、そして次の宿題といった内容になります。次から次へと宿題をこなしていくフローのなか、集中して取り組むことができました。

ISMSの文言に理不尽なことは書かれていませんが、抽象的な独特の文章は慣れるまで大変でした。上さんのアドバイスを聞きながら、「齟齬がないか」「不適合なところはないか」その都度確認しながら進めていった感じです。幸い、オプティマ・ソリューションズのテンプレートが非常に良くできていたため、大きな障壁にはなりませんでした。テンプレートをベースに当社の状況に応じたカスタマイズを行うことで、しっかりフィットさせることができました。

全体的には想定通りですが、ISMSはコンセプチュアルな面がある一方で、入退場の管理やWindowsのパスワード・スクリーンセーバーの設定、さらにはゴミ箱を空っぽにするなど、思った以上に物理的なところを問う印象がありました。驚きはありませんが、意外ではありました。

ドキュメント作成時は関係者以外に直接的な影響はないため、いつもと変わりはありませんでしたが、オプティマ・ソリューションズのツールを活用した教育や現地監査などが行われたあとは、会社全体がISMSの存在を意識するようになった気がします。

実際、ISMS取得後は「ISMS的に大丈夫ですか？」と聞いてくる人が増えました。これだけでは浸透度合いは測れませんが、言葉に出るということは頭の中にインプットされていると言えます。これから運用していくなか、徐々に情報セキュリティの認知レベルを向上させていければと考えています。

ほか、社内への入退場の仕組みが変わりますが、これもISMS取得による情報セキュリティの一環です。これまで入室する際は、社員証を兼ねたセキュリティカードでチェックしていましたが、出るときは紙に退出記録を記載し自分で鍵を開ける仕組みでした。急ぎの場合は紙への記載を忘れてしまうケースが皆無ではないため、ISMS取得を機に見直しを行いました。

そこで、入退場ともにセキュリティカードによるチェックを必須にし、確実に履歴を残す仕組みにする予定です。ISMSの取得に取り組んでいなければ、気づかないままでしたから、良いきっかけになったと思います。

まずは毎週お付き合いいただき、ありがとうございました。経験豊富な上さんのコンサルティングのおかげでスムーズに取得できたと思っています。これからも運用と更新がありますから、今後も色々と相談させてください。

次はPマーク取得に向けた取り組みを行います。すでにオプティマ・ソリューションズとは話を始めており、Pマークに詳しいコンサルタントもご紹介いただきました。できれば、ISMSと同じようなスタイルでの取り組みを考えており、この辺りを含めてオプティマ・ソリューションズと調整していきたいと考えています。ほか、社員教育は非常に重要なところですので、引き続きオプティマ・ソリューションズのツールを積極的に活用させていただければ幸いです。これからも、二人三脚での支援を期待しています。引き続きよろしくお願いいたします。