コンサルティング開始から4ヵ月というスピードでプライバシーマーク（以下、Pマーク）の認定に成功したエスセーダ。 一般的には、申請の準備だけでも半年は掛かるといわれるPマークの取得が、なぜそんな短期間で可能だったのか。代表取締役を勤める鈴木洋之氏に話を伺いました。

－－ワークストラストの何というサービスを選択したのですが？

もちろん取得に掛かる期間は、短ければ短いほどよかったので、「最短コース」という、短期間で取得ができるメニューを選びました。

■3.　シンプルなマニュアルとオリジナルのプライバシーマーク管理ツールが決め手に

－－他社のコンサルティングサービスも検討されたのですか？

とにかく、手間の掛かることは嫌だったので、「シンプル」ということをテーマに
コンサルティング会社を探し、最終的にはワークストラストを含め、2社に絞って直接説明を聞くことにしました。

ワークストラストは、実際に作成するマニュアルの全部をその場で見せてもらいながら、「大量の形式的な資料などを作る必要はありません」と説明を受けたので、すごく安心できました。

また、そのマニュアルはたった1冊で構成され、ページ数も30数ページという、非常にシンプルなものだったので「当社の身の丈に合ったマニュアルだな」と思いました。

もう1社は、マニュアルの一部分しか見せてもらえませんでしたが、費用は安かった。

どちらにお願いしようか少しだけ迷いましたが、ワークストラストのほうが当社のニーズに合っていると思いました。

それと、「PmarkPlus」というオリジナルのプライバシーマーク管理ツールを使って、申請に必要な資料を簡単に作成できるということが、ワークストラストにお願いすることにした決定的な理由です。

－－管理ツールのどのようなところを評価されたのですか？

当社のような小規模な会社では、専任の担当者を雇うことも、資料の作成を外部に委託することもできません。

通常の業務を行いながら、自分たちの手で個人情報を管理していかなければならないので、こういう管理ツールがあると、作業を省力化できます。

また、当社自身がソフトウェアを開発している会社ですから、「こういうツールを使って、こういうふうに効率的かつ一元的にデータを管理できます」という説明はすごくわかりやすくて、社員の1人は、「絶対にワークストラストのほうががいい」と主張するほどでした。

■4.　「PmarkPlus」があったからこそ

－－実際に「PmarkPlus」を使われて、どうでしたか？

すごく使いやすく、とても優れた管理ツールだと思います。

Excelのソフトですので、マニュアルがなくても、表示される項目やメニューを選ぶだけで簡単に操作できますので、専門用語などを覚える必要もありません。

それに、データが一元管理できるのも便利です。変更や追加なども1カ所修正すれば、それがそのまますべての資料に反映されますので。

－－社員の方の主張は、正しかったわけですね。

今考えると、「PmarkPlus」を利用しないでPマークの取得に必要な資料を揃えるなんて想像できないほどです。

ワークストラストは、コンサルタントも、コンサルティングの内容も、マニュアルの出来も、どれもすばらしいと思いますが、「PmarkPlus」のようなツールを提供してくれたからこそ、短期間にPマークを取得することができたのだと思います。

（コンサルティング契約をしている場合には、）無償で利用できるというのも助かります。

審査の申請に必要な資料をスピーディに作成できる ワークストラスト独自の管理ツール"PmarkPlus" "PmarkPlus"（Pマークプラス）は、プライバシーマークを取得するために必要な各種資料を手軽に作成、管理できるワークストラストのオリジナルソフトです。 メニューから必要な項目を選択しながら、申請に必要な資料を作成できますので、専門知識がなくても手軽に利用できます。 また、作成したデータはデータベースで管理され、データを追加、修正した場合でも、自動的に必要な資料へと反映されるので、プライバシーマークの取得後もそのままご利用いただけます。 ※ "PmarkPlus"は、ワークストラストとコンサルティング契約を締結したお客様へ無償で提供されています。単体では提供されていません。 PmarkPlusの詳細は、こちらをご覧ください。

■5.　審査員より厳しいコンサルタントのチェック

－－実際に審査を受けたときの感想を聞かせください。

審査みたいなものはあまり経験がないので、すごく緊張しました。映画やテレビで見るようなマルサみたいな人たちが来て、根掘り葉掘り聞かれたり、粗探しされたりするのではないかと。

しかし、実際に審査を受けると、そんな心配は吹き飛びました。

指摘された事項も、すぐに直せるようなことばかりで、逆に、「もっとシンプルな手順でもいいです」などと言われるところもあったぐらいです。

審査準備の段階でコンサルタントの方から受けた指摘や改善要求の方が、厳しかったと感じたほどです。

■6.　この経験は個人としても企業としても財産になるはず

－－Pマークを取得した効果はありましたか？

Pマークの取得するために実践した、業務改善や品質向上を実現するためのマネジメント手法を、座学ではなく実体験できたことは、個人的にも、会社としても大きな財産になったと思います。

■7.　必要なことには手間暇を惜しまない姿勢を高評価

－－ワークストラストへの今後の期待をお聞かせください。

期待とは少し違うかもしれませんが、ワークストラストのコンサルティングは、理論や理屈だけを押しつけ、通り一遍の説明で済ますというものではなく、私たちの状況を踏まえ、適切なアドバイスをしてくれたので、当社にとっては理想的でした。

省力化できるところは限りなくシンプルなのですが、その分、学んだり、考えたりすることに関しては、手間や時間を惜しむことをしない。シンプルなマニュアルも、「PmarkPlus」のようなツールも、そんな姿勢が形になったものだと感じました。

また2年後、更新の時にもワークストラストにお世話になると思います。ぜひ、これまでと同様、適切で、厳しいアドバイスをいただきたいです。

株式会社インターゾーン（群馬県高崎市）はメールマーケティングおよびコンサルティングを中心に事業を展開している。プライバシーマークの取得にあたり、自主取得からコンサルタントの導入へと切り替えた同社の戸張真哉氏にお話を伺った。

―　株式会社インターゾーンについて教えてください。　

当社は2000年9月に設立、現在は10名で運営しています。事業内容は企業向けEメール・webマーケティングサポート、ホームページ制作などです。「ゆびコミ」と銘打っているのですが、「ゆび」でおこなう「コミュニケーション」（インターネット）に特化した、「売れる仕組み」を提供しています。
メールマガジンでいえば、クライアント企業から顧客へ発信するメルマガの文案作成・発信したメルマガへの問い合わせ対応・メルマガ会員増加のための仕掛けなどをまるごと請け負っています。また、ホームページ制作においても、単なる「会社案内」にとどまらず、集客できる・売上を上げられるホームページを作っています。
いずれも、クライアント企業の売上に貢献する効果が出ていることから、取引先（企業・店舗）数も順調に伸びてきています。

 

―　Ｐマークを取得しようとしたきっかけは何だったのでしょうか。　

当社は業務上、個人情報を取り扱うことが多くあります。企業の個人情報漏洩問題が報道されることが重なり、クライアント企業からも契約時などにＰマーク取得の有無を尋ねられることが増えてきました。そこで我々としても自社の信用のためにＰマーク取得を考えました。それが2007年7月頃です。

 

―　このときは、コンサルタントを入れるという考えはなかったのでしょうか。　

はい。私はＰマーク取得の担当者になったものの、実は、個人情報保護に関する意識が社内で一番薄かったのです。ですが、これを機に、会社の仕事としてだけでなく、自分のためにも勉強しようと奮起しました。
また、当社の関連会社がＰマークを取得した際、コンサルタントを入れて200万円近い費用がかかったという話も聞いており、「そんな高額な費用をかけなくても自力で取得できるだろう」という気持ちもありました。

―　自主取得にあたり、どんなことから始めたのでしょうか。　

まず、書籍やセミナーで情報を得ようとしました。
一般の書店で売っている書籍では、「Ｐマーク（ＪＩＳＱ１５００１）とは何か」という概論が中心で、Ｐマーク取得のために何をすればよいのかということには触れておらず、具体的な手順が知りたかった私にはあまり役立ちませんでした。
コンサルティング会社主催のセミナーにも２回ほど参加しました。そこではＰマークについての説明と、取得の手順の説明を受けましたが、セミナー主催者のやる気があまり感じられませんでした。

その後、財団法人日本情報処理開発協会（プライバシーマーク事務局）のホームページからガイドラインをダウンロードしましたが、難解すぎて、この資料からは、自分がどのような作業をしていけばいいのかは分かりませんでした。

続いて、通信販売で、「Ｐマーク構築パック」というテキスト（３冊セット）を15,000円程度で購入しました。これは、やるべきことが分かりやすく書かれており、具体的に何をすればいいのかが見えてきました。しかし、申請文書を作成するにあたっての雛型は別売でした。この雛型の購入も検討しましたが、その会社から送られてきたメルマガに掲載されていた事例が、当社の事業内容や規模とそぐわなかったため、結局購入しませんでした。

 

―　では、申請文書の雛型はどのように入手されたのでしょうか。　

Ｗｅｂで、雛型を販売している業者を探しました。50,000円程度で、電話での質問対応付きの雛型を購入しました。

実際に取り掛かってみると、まず書類の多さ（150ページ以上）、用語の難しさに苦労しました。電話での質問も活用しましたが、質問したいこと・確認したいことが沢山あって、何度も電話をしたため、「これ以上の質問対応には、正規のコンサルティング契約をしてほしい」と言われました。

―　そこで、コンサルタントを入れることは考えましたか。　　

いえ、その時点ではコンサルタントは入れないまま、とりあえず、「個人情報の洗い出し」「個人情報のリスク分析」「規定（マニュアル）作成」などの作業を進めていきましたが、進めるほどに迷いが大きくなりました。

―　どのような迷いでしょうか。　　

ひとつは、この雛型に基づいて申請すること自体に迷いが出てきていました。規模の大きい企業を想定して作られており、内容が当社と合っていないのではないかと思ったのです。当社の規模・業務内容に合わせて雛型を修正すると、ひとつの文章を変えるだけで、複数の書類に影響して、変更箇所がかなり多くなります。ということは、変更作業のモレが出る可能性も高くなります。そうなれば、申請時に不備の指摘を多く受けるのではないか・また更新申請時の作業も大変になるのではないかと考えました。

この雛型を提供している会社とコンサルティング契約をすれば確実に申請は通るでしょうが、当社の実情と合っていない内容ならば、実際の運用は難しいと思いました。
しかし、あくまでコンサルタントを入れずに自主取得をしていこうとすると、申請準備の作業のひとつひとつを自分の判断で進めていかなければなりません。その判断が本当に正しいのかどうか、確かめるすべもありません。間違ったまま作業を進めているとすれば、やはり申請時の不備の指摘が多くなり、やり直す労力もかかるでしょうから、このことも、申請に向けての不安要素でした。

一応は、一通りの申請文書を自力で作成しましたが、「本当にこれでいいのか」という迷いが勝ち、最終的にはやはりコンサルタントを入れることにしました。

 

―　コンサルティング会社を選んだ基準を教えてください。　

大きくは次の2点です。

１．文書やツールがシンプルであること。大企業向けでないこと。
２．短期間でＰマーク取得が可能であること。

２．については、会社としてＰマーク取得に取り組み始めたのが2007年7月、コンサルタントを探し始めたのが2008年4月でした。一般的に、Ｐマーク取得に必要な期間は1年程度といわれています。これまで自主取得を目指して得た知識があるので、コンサルタントを入れて半年以内には取得したいと思っていました。

―　検討された会社はどのくらいでしたか。　

ワークストラストを含めて3社を訪問しました。
これまでの経験で、大企業向けのツールは当社に合わないということが身にしみていましたので、訪問時には必ず文書の雛型を見せてもらうようにしました。
ワークストラスト以外の2社のうち、A社のツールはあきらかに大手企業向けで、コンサルティング費用も100万円程度でしたので、すぐに候補から外れました。
B社は、営業の方の対応が非常によく、コンサルティング費用も98万円のところを48万円まで下げると言ってくれたのですが、その日にコンサルタントが不在のため、雛型を見せられないということでした。私としては、雛型がシンプルかどうかを重視していましたので、現物を見られなかったことは大きくマイナスになりました。また、営業の方の話では、「大企業向けの雛型ではあるが、中小企業向けに改訂することもできる」とのことでしたが、先々の更新申請などを考えると、本来大企業向けのものを中途半端に作り直したものを使うのは、あまり良くないと感じました。

 

―　ワークストラストにはどんな印象を持たれましたか。　

ほかの2社も含め、訪問時には、これまで作成してきた書類を持参したのですが、A社・B社では「よくできていますね」と言われました。私はこれまでの雛型に不満があるからコンサルタントを探しているのであって、別に誉められたい訳ではなかったんです（笑）。ワークストラストの中溝さんは、「よくある雛型ですね。しかし、御社の規模に合っていないのではないですか？」と、今までの迷いを的中してくれました。そして「プライバシーマーク文書テンプレート」を見せてもらいましたが、これこそが、中小企業がＰマークを取得するために過不足のない、シンプルな雛型だと感じました。

―　株式会社インターゾーンにとって最適な雛型が見つかったわけですね。　

はい。これまで、Ｐマークについて勉強し、大企業向けの申請書類で苦労してきたからこそ、中小企業向けのワークストラストの雛型のよさが分かりました。

―　ワークストラストでは、「自主取得コース」「シンプルコース」「最速コース」の3つの設定がありますが、どれを選ばれたのでしょうか。　

「シンプルコース」を選択しました。これまでの自主取得を目指した経験・知識を活かしつつ、不明点をクリアにできるだけの十分なコンサルティング回数があるからです。

 

―　コンサルタントを入れてよかったことを教えてください。　

はい、何といっても資料がシンプルになったことが大きいですが、その他にも、

・状況（全体の作業の中で、現在どこまで進んでいて、これから何をやるべきか）が把握しやすくなった

・「正しいかどうか不明なまま、自分ですべて判断しなければならない」という状態から解放された

・コンサルタントの訪問日に合わせて作業スケジュールを立てられる

などがあります。今では、どんな些細なことでも、疑問点はコンサルタントの中溝さんに質問して、すぐに解決してもらえるので、非常にスムーズに作業を進めていくことができています。

 

―　最後に、ワークストラストへメッセージをお願いいたします。　

申請準備も大詰めにさしかかり、このまま行けば予定通り2008年7月末には申請できそうです。その後、現地審査等もありますが、Ｐマーク取得までどうぞ宜しくお願いいたします。
 

※ 株式会社インターゾーンのWebサイト
※ 取材日時 2008年7月
※ 事例制作　カスタマワイズ

今年１０月にプライバシーマークを取得した、人材派遣会社のハンドハンズ。取得を担当した管理部の小野部長に取得までの道のりを伺いました。

--　ハンドハンズの業態について教えてください　

ハンドハンズ株式会社は新宿駅から、最も近い人材派遣会社です。
駅から濡れずに来ていただける利便性と長期で安定したお仕事をご紹介できるのが特色です。　 設立は１９９９年、登録スタッフは３０００人です。

--　ハンドハンズがＰマーク取得に取り組んだ理由を教えてください

当社は登録スタッフ３０００人の人材派遣会社です。個人情報の取り扱いにはきちんとした対策が必要だと感じＰマーク取得に取り組むことにしました。
人材派遣業というのは個人情報を多く扱う業態ですので、登録スタッフの安心感、派遣先への信頼という視点からも重要だと判断しました。

--　Ｐマーク取得作業に対する最初の印象を教えてください

まず思ったのは、費用がかかるだろうなという事と、大変だろうなという事です。
実はそんな想いがあり、これまでＰマークの取得を先送りにしていたんです。

--　先送りにしていた取得に踏みきったきっかけと経緯を教えてください　

直接のきっかけは特にありません。
費用がかることや取得作業の大変さとＰマークの必要性とメリットを天秤にかけ、じわじわと取得する方に傾いていったという経緯です。

--　プライバシーマーク取得に着手する前と後で、作業の印象は変わりましたか

Ｐマーク取得に着手する前は具体的にどのような作業をするのかわからなかったので、漠然と「作業が大変で面倒だ」と思ってました。
実際に取得作業を始め、全体の流れが見え始めてからは「こういうものか」という印象に変わりました。

作業量は確かに少なくありませんでしたが、コンサルタントがいるので「今が何合目で、頂上まであとどのくらいか」ということが教えてもらえます。あとどれくらいでゴールかというところがわかるのとわからないのは大きな違いでした。
おかげさまで途中で投げ出さずにゴールにたどり着けたと思っています。

--　コンサルタント会社の利用は始めから決めていたのですか

始めから決めていました。
専門家の導きがないと難しいですね。できないこともないとは思いますが、思考錯誤しながらいたずらに時間を浪費してしまうのは効率的でないと考えました。

--　どのようにしてコンサルタント会社選びをしたのですか

インターネットの検索から見つけた会社と得意先から紹介された会社、あわせて１０社程度を比較検討して選びました。
特に重要視したのは、費用とＰマーク取得の専門業者であるという点です。

サービス内容はもちろんですが、まずは経費を抑えられるところ、追加料金が発生しないところに絞り込みました。最初に決めた予算で最後まで面倒をみてくれるところでないと困ります。

また、兼業でなんでもやっているような業者ではなく、Ｐマーク取得のコンサルタントを専門でやっている会社というのも希望でした。片手間でやっている業者よりも専門業者の方が信頼できますから。

--　ワークストラストに決めた理由を教えてください

決めた理由は３つあります。

１つ目は費用です。ワークストラストは訪問回数が無制限ですし、審査のリハーサルも無料です。
他社と比較してサービス内容が充実しているのに費用が手頃だと思いました。

２つ目は対応の良さです。
問い合わせをした他の会社が資料を送ってくるだけだったり、メールでの回答や電話での回答だけだったのに対し、ワークストラストは直接来社して説明をしてくれました。抽象的でわかりずらい他の会社の説明に比べ、明確で丁寧な説明をしてもらったことで、ここであれば最後まで責任を持ってやってくれそうだと感じました。

３つ目はこちらのペースを配慮してくれそうだったことです。
Ｐマーク取得の為の作業も大事ですが、普段の業務にシワ寄せが出てしまっては困ります。こちらのペースにあわせて付き合ってくれる柔軟な対応もポイントでした。
得意先から紹介されたところを断るのは心苦しかったですが、長いお付き合いになるので納得できるところを選ぶことにしました。

--　費用について教えてください

当社はベーシックコンサルティング９８万円でお願いしました。
他社と比べて低価格でサービスが充実しています。
何度来てもらっても、それが料金に跳ね返らない。フルサポートで追加料金がないというのは心強いものです。

--　Ｐマーク取得までの流れを教えてください　

私がやってきた作業の流れを説明すると、大きく４つ
の段階に分けられると思います。

1. 個人情報の洗い出し
   
2. リスクの洗い出し
   
3. リスクに対する対処
   
4. 文書化と教育

１は個人情報の概念を理解、社内で保有する個人
情報を洗い出す作業。
２はその情報を管理するうえで、どのようなリスクが
あるかを洗い出す作業。
３は２であがってきたリスクをなくすための対策を実行。
４の文書化は、雛形を自分の会社にあわせて整合性がとれるように直す作業です。

--　苦労された点を教えてください

社内で扱っている情報の中から、漏れのないように個人情報を洗い出す作業に時間がかかりました。
この作業というのはやり始めるとキリがないというか、どこまでやったらいいかの線引きが難しい作業です。適切なアドバイスをもらったおかげでやり遂げることができたと思っています。

雛形を自分の会社に置き換えて修正するのも意外に大変でした。
ただ何も考えずに雛形のままにすると、実態との整合性がとれなくなってしまったりするので必ず修正しておかなければなりません。
地道な作業が必要とされる部分です。

--　独力ではなくコンサルタント会社に頼んで良かった点を教えてください

期間も予算も予定通りにＰマークを取得できた
ことです。
作業量は少なくありませんでしたが、今、全体
の中でどの部分の作業をしているのかという事、
山登りに例えると何合目かという事を教えても
らったので投げ出さずに続けることができました。

コンサルタント会社を利用することにより、効率
よく進められたと思います。
おかげさまで業務への支障が少なくてすみました。

--　ワークストラストにして良かったという点があったら教えてください

ワークストラストの良かったところは、なんといっても「こちらのペースに合わせてくれた」ということです。
Ｐマーク取得のためにはマニュアル作成や資料作りなど膨大な作業を本業と並行してこなさなければなりません。当然、当初の予定どおりに進まないこともあります。

聞くところによると、大手コンサルタント会社に依頼すると、そういったユーザー側の事情におかましなしに先方の都合でスケジュールが進んでいくとか。
それではたまったものではありません。

その点ワークストラストは作業が遅れたときでも、いつも臨機応変な対応をしてくれました。効率重視の大手に頼んでいたら、このような細かな対応は望めなかったと思います。

--　これからＰマークを取得する方へのアドバイスをお願いします

始めてしまえばＰマークは必ず取得できます。
論理的な思考のできる方にはそう難しくはないはずですので、うまくコンサルタントを利用して効率よく取得されるといいと思います。

最後まで一定の料金でやってくれて、こちらのペースを考慮しながら進めてくれるコンサルタント会社を選ばれるといいでしょう。

※取材 カスタマワイズ
※取材日時　２００７年１０月
※ハンドハンズのホームページ　http://www.handhands.co.jp/

-- まずパイオニアの業態についてお知らせください。

当社は、ロシア語とフランス語を得意とする翻訳会社です。初代社長が、ロシア極東のサハリンから、戦後に引き揚げてきて1973年に設立したのが始まりで、私は社長としては三代目です。

-- パイオニアがプライバシーマーク（以下Pマーク）の取得を検討するようになったのはどういう経緯から。

ある日、取引先A社から一通のアンケートが届きました。そこには、「パイオニアはプライバシーマークなどお持ちですか。もし持っていない場合は、以下の項目を厳守してください」といって、入退室管理、個人情報管理、ウイルス対策ソフトウエアの導入など、こと細かにセキュリティ項目が記してありました。

-- それは、｢プライバシーマークを取得しないと、今後、仕事を発注できるかどうか分かりませんよ｣という意味合いでしょうか。

そこまでの意図はなかったようですが、A社が情報漏洩に気を遣っているのはよく分かりました。過去に、A社の仕事をする中で、要人の名簿を取り扱ったこともありました。もしそれが漏洩したりすれば、A社の情報管理責任が問われることになります。

そう考えれば、A社が外注先に情報漏洩対策を促すのも当然です。これからは、いくら翻訳の質が良くても、情報管理体制が整っていない会社は信用されなくなるかもしれない。そう思いました。

--　パイオニアではA社のアンケートにどう対応したのですか。

Pマークを取得するか。それとも、Pマークは取らないがA社から指示されたセキュリティ項目は実行するか。二つの選択肢がありました。

当初は、後者の選択肢でも良いかも知れないと思いました。セキュリティについては私たちも自分なりに気を遣っていましたし、A社から指定があった項目も、それなりに実行できているような気もしたからです。しかし、やはり不安を感じました。

--　どういう不安を感じたのでしょうか。

「自分たちでは、必要十分なセキュリティ体制をとっているつもりだ。しかし、それは第三者から見ても大丈夫なレベルに達しているのだろうか」という不安です。この不安を払拭するには、Pマークのような公的認証を取るほかないと考えました。ただ、社内では反対論もありました。

--　社内で、どのような反対論があったのですか。

単純な話、｢パイオニアのような社員15人の会社でそこまでやる必要があるのか｣という意見です。｢Pマーク取得となると、コンサルタントも頼む必要があるだろうし、申請費用、登録費用だってタダじゃない。そこまでコストをかけずとも、適切なセキュリティを自分たちで実行すればいいじゃないか。そうすれば費用もかからない｣という議論になりました。

このような議論が生じる一つの理由として、会社設立時の事情により、弊社が極度にコスト意識の高い会社、出費にきびしい会社になったことがあります。

-- どのような事情だったのでしょうか。

弊社は、初代社長が70年代初めにロシア極東のサハリンから引き揚げてから、苦労して作った会社です。設立当初は文字通りゼロからのスタートで、あらゆるコストを絞りました。その意識はいつしか社風となりました。裏紙は積極的に使います。1000円、2000円の備品であっても、これは本当に必要なのか、よく考えてからでないと買いません。

このような会社ですから、Pマークの取得やコンサルティングに何十万円も費やすことに如何に抵抗があったか、ご想像いただけると思います。

--　社長としては、どういう経営判断の下に、今回のPマーク取得（およびワークストラストへのコンサルティング依頼）に踏み切ったのでしょうか。

今回のPマーク取得は、｢お客様の信頼を得るための投資｣と位置づけました。

パイオニアの節約を重んじる社風自体は、素晴らしいと思います。私も、もったいないことは嫌いです。しかし、翻訳会社は、お客様の大切な情報を扱う業務、信頼あっての業務です。信頼を左右する経費は節約してはいけないと考えています。

また、どうせやるなら、我流ではなく、しっかりコンサルタントをつけるべきだと考えました。

自分たちのセキュリティレベルが、本当に世間に通用するレベルに持っていくには、我流ではいけない。自分たちできまりを決めてちゃんとやっていますというだけでは、それが本当に世間並みなのかどうか分からない。やはり専門家に正しい指導を受けるべきだと考えました。

もう一つ本当のことをいえば、この際だから、コンサルタントの方に社内の反対派の説得を手伝ってもらおうと考えたこともあります。やはり第三者の専門家の意見の方が通りやすいですから。


 

--　コンサルタント選びはどのように行ったのでしょうか。

まず検索サイトで｢プライバシーマーク｣などの検索を行い、そこでヒットした会社をリストアップしました。そうした会社のWebを見たり、電話で問い合わせたりしてみた結果、まず以下のことが分かりました。

１．値段を書いていない業者が多い。問いあわせると、かなり高い。

２．値段が安い業者もあるが、座学研修がほとんど。

--　最終的にワークストラストを選択した理由は。

まずワークストラストのWebには98万円というリーズナブルな価格が明記してありました。でもきっと他と同じように座学研修か、あるいは訪問回数が決まっているなど、サービスに制限があるのだろうと思い、電話して確認してみましたが、サービス内容は、大手コンサルティング会社がもっと高額で提供している内容とほぼ同じか、それ以上に手厚いと感じました。また、Webの内容も分かりやすく、電話対応も明朗で好印象でした。対応は全体的によかったと思います。

電話問い合わせの後、お願いするとすぐ説明に来て、いろいろ説明してくれました。Pマークや個人情報対策についての基礎知識の他、翻訳業界や、出版業界、人材派遣業界などでの取り組み動向についてくわしく教えてもらえました。

説明を聞いて、自分たちのPマークや個人情報保護についての知識が足りなかったことを実感しました。でも一社だけの説明で納得しても良いのだろうかと迷っていたところ、｢他のコンサルティング会社も見ておいた方が良いですよ｣との助言があり、これはかえって信頼できるなと感じました。

--　そうして、他のコンサルティング会社にも連絡してみて、いかがでしたか。

ワークストラストから聞いた情報をふまえながら他社にヒアリングしたところ、やはりワークストラストの説明の方が良いと思えました。

--　どの点が良かったのでしょうか。

説明の内容は、基礎知識ということもあって、どこもだいたい同じでしたが、説明のていねいさや、かけてくれた時間の長さなどはワークストラストが優れていました。

また、サービス内容についてもワークストラストが提供しているのと同じ内容を要求すると、値段が高くなりました。他の会社を調査したことで、かえってワークストラストにお願いしようという気持ちが強くなりました。

--　そしてワークストラストとの契約を決めたと。

いえ、そこまで言っても、やはり弊社にとっては98万円のコンサルティングは、かなり高額なので、すぐにはお願いできませんでした。もう一度、よく考えましたが、それでもワークストラストで良いと判断できたので、ついに契約を決心しました。ワークストラストが良いと思った点は以下の通りです。

１．【　価格が、提供されるサービス内容と比べて、安い　】
他社は、ワークストラストと同等のサービスで高いか、あるいはワークストラスト以下のサービスで安いかのどちらかでした。

２．【　何回も来てくれる　】
ワークストラストより安いところがあり、そちらの会社にするべきか最後まで悩みました。ただし、その会社は訪問回数が10回と制限がありました。正直、私たちのように素人が、決まった訪問回数でこなせる自信はありませんでした。 実際、ワークストラストさんにはこまめに来て頂いていましたので、訪問回数の制限が ある会社にしなくてよかったと思っております。

３．【　フォローがある　】
コンサルティングの後は、きちんとフォローが欲しいところです。ワークストラストは、中溝さんと話していて、この会社なら細かいフォローがありそうだと感じました。

４．【　親しみがもてた　】
中溝さんは、相談しやすい人だと感じました。こちらの疑問にもきさくに答えてくれましたし、セキュリティ・コンサルティング業界の実情についても、ざっくばらんに語ってくださいましたし。

--　これまでのワークストラストのコンサルティングへの感想はいかがでしょうか。

期待していたとおりの内容で満足しています。コンサルタントさんも親切で柔軟でした。でも作業の進め方で、一つ予想外だったことがありました。それは、こちらの自主性を尊重する部分が多かったことです。最初の予想では、コンサルタントに、これが足りません、あれが必要ですと事細かに指示されて、その通りにやるのかなと予想していました。しかし、実際には指示するというよりは、こちらが自主的に考えることを促すような内容でした。

このことには良い面があったと思います。それは、応用が利くようになったことです。指示に従うだけの詰め込み教育ばかりだと、何か予想外のことが起きた時、応用問題を解く必要が出てきた時に、対応できなくなります。普段から、自分で考える力を身につけておけば、対応できます。

一方で、一長一短の部分もありました。あまり自主性を尊重されていると、ついつい宿題を後回しにしてしまうこともあります。私たちの場合は、強めに指示された方が、よかった部分はありますね。自主性とプレッシャー。バランスが難しいですね。

--　ワークストラストへの今後の期待があればお聞かせください。

パイオニアは決して大きな会社ではありませんが、これからもお客様本位で、誠実に仕事をしていこうと思っています。今回のようなセキュリティの整備もその一環です。今後も、必要に応じて指導を受けながら、信頼される翻訳会社としてお客様のお役に立ちたいと考えています。折りに触れ、助力いただければ幸いです。

-- 今日は貴重なお話を有り難うございました。

こちらの事例はpdfファイルでダウンロードできます。
こちらを右クリック「対象をファイルに保存」を選択してPCにダウンロードして下さい。

※ 翻訳センターパイオニアのWebサイト
※ 取材 カスタマワイズ
※ 取材日時 2006年7月

企業向け研修・カウンセリングを行う株式会社キャリアプロジェクト（東京・豊島区）は、プライバシーマークの自主取得に挑戦をしている。ワークストラスト「プライバシーマーク自主取得コース」を受講したばかりの興津祥子社長と中村弘子氏に、受講の理由、受講後の感想などを詳しく伺った。

―　キャリアプロジェクトの業態について教えてください。
キャリアプロジェクトは、女性3人の研修会社です。3人全員が講師、そしてカウンセラーを務めます。新人研修、マナー研修などの一般研修のほか、キャリアプロジェクトが最も得意としているのは「メンタルヘルス」をテーマにした企業研修および企業内カウンセリングです。最近ではキャリアカウンセリング等、個人を対象にしたサービスにも力を入れ始めました。2004年に設立、今年で4年目になります。

―　キャリアプロジェクトではワークストラストをどのように活用していますか。
キャリアプロジェクトは2008年4月、ワークストラストの「プライバシーマーク自主取得コース」に申し込み、5月初旬に3人全員で同コースを受講しました。

―　「プライバシーマーク自主取得コース」とは何ですか。
コンサルタントによる定期指導をお願いせずに、自社でプライバシーマークを取得したい企業向けの個別講座です。ワークストラストのプライバシーマークコンサルタントの方に来社いただき、丸1日をかけて自主取得のやり方の説明をしていただきました。
 

―　キャリアプロジェクトがプライバシーマーク取得が必要になったのはいつからですか。
取得を本格的に考え始めたのは2007年暮れですから、設立から3年後のことです。プライバシーマーク取得の必要性は会社設立当初から重々感じていたものの、会社ができたばかりの頃は、お客様により満足していただくためのサービスの拡充が最優先でしたので、プライバシーマーク取得については棚上げの状態になっていました。「プライバシーマークを取るのは大変」というイメージを持っていたことも腰を重くしていた原因だったかもしれません。

―　「プライバシーマーク取得は大変」というと、例えばどんなことですか。
まず、コンサルタント費用に多大なお金がかかるものだということ。そして、設備投資が必要だということです。「プライバシーマークを取得するには、オフィスの出入り口にセキュリティドアをつけたり、警備会社と契約しなければならない」という話を知人から聞いていました。でもキャリアプロジェクトのような少人数の会社がそんな大げさな設備をしても意味がありません。プライバシーマークを取得するのはもっと会社が大きくなってからでないと無理なのだと思っていました。

―　では今回、取得することになったきっかけは何ですか。
今後の方針として、カウンセリング業務の拡充を決めたのがきっかけです。新たにカウンセラーの採用も予定しており、今後はますます扱う個人情報が増えていくことが予測されます。お客様にとってより安心できる企業となるにはこのタイミングで取得が必要と判断しました。2008年に入ってすぐのことです。
 

―　取得することを決めて、どうされたのですか。
今まで、プライバシーマークに関しては人からの情報だけに頼っていたので、どんなコンサルティング会社、どんなサービスがあるのか自分で調べてみようとインターネットで検索してみました。いろいろ見た中で、ワークストラストのページは価格が明示され導入事例などもたくさんあってわかりやすいので気に入りました。そして、「プライバシーマーク自主取得コース」という言葉に自然に目が止まりました。

―　一般的なコンサルティングではなく、自主取得に興味があったわけですね。
はい。「自主取得」については、前々から選択肢の一つとして頭の隅にありました。今日は来ておりませんが、弊社取締役の江口という者が前職でISO9001の担当として取得をしたことがあり、「もしプライバシーマークも同じような手順であれば、コンサルタントを頼まなくてもできるかもしれない」と言っていたからです。

10万弱のDVDパッケージなどを参考にして自主取得を行うことも考えました。でもそういったものは安価なのはよいけれど、あくまで一般論だけです。キャリアプロジェクトの場合についての記述などは当然ありませんから、たとえ取得できたとしても、膨大な時間がかかりそうです。自主取得を行うにしても、何かしらのプロのアドバイスは必要だと思っていました。

ですから、ワークストラストの「プライバシーマーク自主取得コース」の説明にあった、「御社の業務内容に合わせ、どのようにカスタマイズをしていったらよいのかをマンツーマンで説明する」というのを読んで、これはよいと思いすぐに問い合わせをしました。ワークストラストからはその日のうちに、「ヒアリングシート」が送られてきたので、記入して返信し、コンサルタントとの面談を申し込みました。
 

―　コンサルタントとの面談はいつ行ったのですか。
3月中旬、3人の時間を合わせてコンサルタントさんに来ていただきました。プライバシーマークを取得するには何が必要で、どんなことをしなければならなくて、そのうち「プライバシーマーク自主取得コース」はどこまでやるか、というお話をしてもらいました。明快な説明でした。

心配していたセキュリティ設備について伺うと、「現状のまま何もする必要はありません」と言ってくださったのでほっとしました。また、江口が前職でISO取得の担当者だったことを話すと、「それならば取得の流れはよく似ているので、心強いですね」言っていただきました。

「自主取得、やればできるかもしれない」と自信が出た一方で、 「ここはずいぶん良心的な会社だなあ」とも思いました。ここで標準的なコンサルティングコースである98万円の「プライバシーマークBasicコース」を私たちに薦めれば、会社としてもっと儲かると思うのですが、そのような押しつけは一切なく、好感が持てました。

※ワークストラストコンサルタントから一言
商談の時に、ただ価格が安いからという理由でこのコースを選んでいる方はやんわりとお断りしています。キャリアプロジェクトさんはISO取得経験者がいらっしゃいましたので、自主取得が可能であると判断し、おすすめしました。

―　「プライバシーマークBasicコース」は全く検討しなかったのですか。
検討はしました。でも、98万円を出しても、私たちがやる業務の内容が変わるわけではありません。どのみち個人情報の洗い出し、リスク分析などの作業はしなければならないわけです。さらに、定期的にコンサルタントがいらっしゃるとなれば、全員同席を希望していますので、3人の日程調整が大変です。3人それぞれが講師として毎日飛び回るキャリアプロジェクトのような会社は、「プライバシーマークBasicコース」よりも、自分たちの仕事状況に合わせてペース配分ができる自「プライバシーマーク主取得コース」のほうが向いていると思いました。

コンサルタントさんがお帰りになった後すぐ、みんなで話をして、「じゃ、やろう。自主取得コースをお願いしよう」ということになりました。4月に申し込みをし、みんなの時間が取りやすい連休のはざまの5月初旬で日程を決定、受講しました。　　

―　では、実際に「プライバシーマーク自主取得コース」がどのように行われたのか伺っていきます。コース受講に当たって、何か事前準備は必要なのですか。
特に事前の勉強などの必要はなく、3人とも全くゼロの状態で受講の日を迎えました。ワークストラストからは事前にメールで「マニュアル」と「各種サンプル」が送られてきましたので、それを人数分印刷しておきました。

―　「マニュアル」とは何ですか」
プライバシーマークの文書テンプレートで、ワークストラストが通常のコンサルティングで使用しているものだそうです。これをテキストのようにし、どこを自社向けにアレンジしていくかというような具体的な話で進んでいきました。

―　講義のように一方的に話を聞くスタイルなのでしょうか。
いえ、講義という感じではなく、まず説明を受けてわからないことはその都度質問に答えていただく形式で行われました。

最初は、今後やるべき業務量の多さに圧倒されました。業務委託先の会社まで追いかけて個人情報の洗い出しを行わなければならないなどは初めて知ることで、思っていたよりもやることが多そうだなと。でも、大変だなと思う反面、これは会社にとって非常にいいことだとも思いました。

―　どのあたりが「非常にいい」と思ったのですか。
「個人情報の洗い出し」という作業は、業務整理、業務分析なのだということに気づきました。これをマニュアルに沿って行っていくことにより業務の標準化ができ、今後新入社員が入ったときの教育にも使えると思いました。そう考えれば一見面倒で後ろ向きに思える作業も、前向き、建設的な業務になり、楽しんでできるかもしれません。

午前、そして午後と時間が進むにつれ、最初「人ごと」のようにして聞いていたことが徐々に自分たちの具体的作業に置き換えて考えられるようになりました。するとどんどん疑問がわいてきて、かなりたくさん質問したと思います。コンサルタントさんにはその一つ一つに丁寧に、そして的確に答えていただきました。

―　コースは何時間行われたのですか。
朝10時に始まり、終わったのが20時半でした。最初は、10時から17時ぐらいまで、普通のオフィスアワーで終わるのかな、と思っていたのですが、20時を過ぎてしまったのは私たちが質問攻めにしたからかだと思います（笑）。

―　長時間で疲れませんでしたか。
終了後はさすがにちょっと疲れましたが、1日を有効に使えたという充実感のほうが大きかったです。受講前には漠然と「やらなければ」と思っていたことが、受講後は具体的な行動リストになり、プライバシーマークを取得までの見通しがつきました。後はそれをやっていくだけです。
 

―　実際に受講されてみて、「プライバシーマーク自主取得コース」の受講のメリットは何だと思われますか。
「プライバシーマーク自主取得コース」を受けるメリットは3つあると思います。

メリット１：「時間が大幅節約できること」
たった1日でプライバシーマーク取得のためのすべてのプロセスの説明を受け、ポイントを学ぶことができました。それも一般論ではなく、自社向けのカスタマイズの方法を教えてくれました。

メリット２：「カスタマイズ箇所が一目でわかるマニュアル」
ワークストラストのマニュアルは、他のコンサルティング会社のものと比べて分量が少ないのでやりやすいということは聞いていましたが、それに加えてカスタマイズするべき箇所が赤字になっているところが非常に便利だと思いました。マニュアルのページをめくっていって、赤字になっているところを自社向けに書けばいいと思うと気が楽です。

メリット３：「プライバシーマーク管理ツール」
自主取得コースに申し込むとExcelベースの管理ツール（Pmark Plus）を付属でいただけるのですが、おまけのようなつもりでいたら、これがとても使いやすくて便利でした。こういうツールも込みでの受講価格なので、非常にリーズナブルに感じました。

―　逆に「もっとこうだったらいい」という要望はありますか。
サンプル文書の右肩あたりにインデックスをつけて欲しいと思いました。メールでいただくときにはフォルダごとになっているのですが、印刷してしまうとどの文書がマニュアルのどこに対応しているサンプルなのかわからず、受講時に文書を探すのにちょっと苦労しました。

※ワークストラストコンサルタントから一言
早速ご意見を反映させていただき、マニュアルとサンプル文書の対応ができるように工夫しました。貴重なご意見ありがとうございます。
 

―　キャリアプロジェクトではプライバシーマーク取得はいつ頃を予定していますか。
2008年12月の取得を目標としています。6月末までに個人情報を整理し、その後リスク分析を行っていく予定です。

―　今後自主取得を行っていく上で気をつけていくこと、心がけていることがあれば教えてください。
マイルストーンになるコンサルタントの定期訪問がない自主取得では、油断をすると作業がずるずる後回しになる可能性があります。それが私たちが一番気をつけなければならないことだと思っています。そうならないために、きちんとした作業プランを立て、それを必ず守っていこうね、と言っています。

また、メンタルヘルスの専門家としての立場で言えば、「取得業務を必要以上にストレスに思わない」ことも大事だと思っています。先ほど述べたように、個人情報の洗い出しやリスク分析を「自社の業務分析となる前向きな作業」として取り組みたいと思っています。
 

―　今後の期待があれば教えてください。
ワークストラストさんの丁寧なご指導には感謝しています。コースは終わってしまいましたが、私たちはこれからが本番です。良いご報告ができるように3人で頑張りたいと思います。ありがとうございました。

※ キャリアプロジェクトのWebサイト
※ 取材日時 2008年5月
※ 事例制作　カスタマワイズ

■　中小企業がなぜISMSを取ろうと思ったのか

--　ウッドベルシステム（以下　ウッドベル）の業態について教えてください。

受託開発を中心としたソフトハウスです。この際、ざっくばらんにいえば、まごうかたなきニッポンの零細ソフトハウスです。でも仕事の質には自信がありますよ。現在は社員26人で年商7億4000万円。お客様のお引き合いのおかげです。

--　ざっくばらんな自己紹介をいただいたので、では、こちらもざっくばらんに質問させてください。今回ウッドベルがISMS認証を取得したのは、ズバリ、「取引先や元請けの会社から、『ISMS取得を取引条件とする』と言われた」というのが理由でしょうか？

いや、ぜんぜん違います。ISMSを持っていなくても仕事はとれる。これは明言できます。

--　では、なぜISMSを取得しようと思ったのでしょうか。

これには二つの理由があります。

１．自分の性分として、取得したかった。

経営者としての私の性分として、セキュリティ体制など業務の手順がきっちり整っている状態が好きです。

２．長期的な経営計画の一環として、先手を打って取得するべきと考えた。

ISMSの取得を通じて、社内に、セキュリティという考え方を根付かせること。それは、今後、金融機関や公共団体の仕事を受注しようとするとき、重要視されるでしょう。こうした認証は、取引先に『言われたから』取得するというよりは、言われなくても自発的に取得するという方が、当然、印象も良いでしょう。ISMS取得は、弊社の長期的な利益にプラスになると考えました。

■　中小企業がISMSを取るなんて無理だとは思わなかったのか

--　率直に言って、ウッドベルの会社規模でISMS取得を目指すとは、またずいぶん敷居の高い規格に取り組んだ物だと思いました。なぜいきなりISMSだったのですか。

同じことを、色々な人から言われました。友人・知人に『今度、ISMSに挑戦するよ』と話すと『馬鹿言ってるんじゃないよ。あんな難しい規格、アンタのところみたいな零細企業が受かるわけないじゃないの。身の程を知らないと』といさめられました。

--　すみません。実は私も若干同じような感想を持っていました。あらためてお聞きします。なぜISMSだったのですか。

実はISMSがどれほど難しい規格なのか、当時はまったく分かっていませんでした。分かっていなかったから怖くもなかったのです。知人が偶然ISMSコンサルタントになっていたので、「じゃあ、そのISMSとかいうの、やってみるわ」という、軽いノリだったのです。

--　怖い物知らずだったのですね。

知識がないおかげで、恐怖心もおきませんでした。身の程知らずだからよかったのです。何のかんのといって、最後は合格しましたし。

■　最初のISMS挑戦が失敗した、その理由

--　ISMSは一発で合格したのでしょうか。

いえ、二回目の挑戦で合格しました。最初の挑戦は、はっきり言って大失敗。一次審査を受ける前の、予備審査の段階で、いやになってやめてしまいました。

--　どういう点で、いやになったのでしょうか。

いやになった要因は、以下の三点です。

１．ISMS規格そのものが理解不能。何がなんだか、さっぱりわからなかった。

２．情報資産の洗い出しからリスク分析作業の、あまりの煩雑さにくじけた。

３．現地審査の時の審査員に、ぼろくそに言われて、精神的にもめげた。

■　失敗理由その１：「規格の意味がさっぱりわからなかった」

--　では一つずつお伺いしたいと思います。最初の要因「ISMS規格そのものがさっぱりわからなかった」というのは具体的には。

ISMSにおいては、情報資産の扱い方について、いろいろと規定や要求があります。しかし最初の頃は、何が期待されているのか、どう応えればいいのか、さっぱりわかりませんでした。

最初のイメージでは、ISMSという何かの細かい規則があって、わからないなりにも、それを鵜呑みにしておけば、合格点がもらえるのだろうと思っていたら、これが大きな間違い。そうではなく、ISMSは、その基本思想なり全体の骨格なりを理解していないと絶対に合格できない規格でした。

例えば、日本史の試験問題なんかで、「大化の改新は何年ですか」といったタイプの問題なら、大化の改新の意義など知らなくても、645年と答えておけばマルがもらえます。しかし、「大化の改新が日本史に与えたインパクトについて述べよ」という設問には、自分なりの日本史観がないと回答できないでしょう。

ISMSもそれと同じで、ISMSが求めるセキュリティ像を把握し、それを自分の言葉で説明できるようでないと、合格できないのです。でも、当時の私のセキュリティ理解は、「脆弱性って、何それ？」という、お話にならないレベルでしたから。

■　失敗理由その２：「事前作業のあまりの面倒さに音を上げた」

--　次のポイント、「情報資産の洗い出しからリスク分析作業のあまりの煩雑さに挫折した」というのは具体的には？

ISMSとは「社内の情報資産を管理するための手法、規格」とも言えます。ですので、まず最初に、社内の情報資産を洗い出し、リスク分析しなければならないのですが、この作業の繁雑さにはほとほと参りました。

--　「情報資産」の定義は何ですか？

社内に存在する「情報」で、「なくなったり不備があったりすると経営に支障をきたすもの」が「情報資産」です。ということは、サーバ内の顧客情報や、経理情報はもちろんのこと、見積書の控えや注文書の控えなども、情報資産に該当します。それら一つ一つにつき目録をつくり、管理の手法や保管の年限を定義しなければならない。面倒この上ない作業です。

--　例えば、どんなふうに面倒なのでしょうか。

そこの本棚に「わかるAccess97」という本がありますね。これも一種の「情報資産」と見なせます。この本の扱い方を例にしてご説明しましょう。もしこの本を、情報資産として扱おうとすれば、以下のような質問に答えなければならなくなります。

１．現在、社内のAccessは、Access2003である。Access97で作ったプログラムを納品することはない。だとすれば、なぜここにAccess97の本があるのか、理由を述べよ。

（これに対し、「単なる入門書ですから」とか「これでとりあえず概要をつかんで...」といったあいまいな回答は許されません）

２．（上記の質問に対し、「わかるAccess97」が必要な理由はかくかくしかじか...といった回答をした場合、次には以下のような質問が来ます）

「わかるAccess97」が業務に必要な情報資産であるというのなら、その管理方法を定義しなければならない。今後、何年間の間、どのような体制で保持管理するのか、管理方法を定義せよ。

（これに対し、「本なのだから本棚に入れておくだけです」といった回答は許されません）

３．「わかるAccess97」が業務に必要な情報資産であるというのなら、その本の中に誤字脱字、誤記述がどの程度あるのか、調査せよ。もし誤記述があるのなら、それが業務にどの程度、影響を及ぼすのか定義せよ。

（これに対し、「そんなの知るか！」と回答してはいけません）

■　失敗理由その３：「予備審査で、審査員にぼろくそに言われた」

--　最後のポイント「予備審査の時の審査員に、ぼろくそに言われて、精神的にもめげた」については。

ISMSの場合、一次審査に先立って予備審査を受けることが出来ます。予備審査は、本試験の前の模試みたいなものです。予備審査においては、審査員の質問に的確に回答できなければなりません。

しかしながら、このときの審査員の質問にはほとほと参りました。

--　どう参ったのでしょうか。

弊社のような中小企業がISMSを受けることは、彼にとっては非常識なことだったようです。何を回答しても否定されました。例えば、弊社では、経理や人事、総務などの管理業務は、すべて社長の私が行っていますが、これが彼の目には、理解しがたい野蛮な体制に映ったようです。

--　中小企業において、経理、人事、総務を社長が兼任するのは、しごくありふれた話だと思いますが...。

ところが、その審査員に言わせると、「そんな管理はありえない。それで企業が成り立つはずがない」といって、頑として認めない。そんなこと言ったら「じゃあ、アンタの目の前にある、このウッドベルという会社はどうなるんだ。こういう体制で十数年経営してきたオレはどうなるんだ」ということです。目の前の現実を認めようとしない、硬直した考えの審査員でした。

ISMSは分からない。情報資産の洗い出しは発狂寸前の面倒くささ。さらに予備審査ではぼろくそに言われる......。こんな面倒ならISMSなんか取れなくていいやと、すっかりやる気がなくなり、いったんは投げ出してしまいました。2005年の初め頃のことです。

■　二回目の挑戦で合格できた、その理由

--　そうしていったんは中断したISMSの取り組み。どういうきっかけで再開したのでしょうか。

やっぱり一度始めたことは最後までやり遂げなきゃなと、時を経るうちに、そんな気持ちになってきました。ワークストラストのコンサルタントである相馬さんと知り合ってたのは、その頃です。なかなか良さそうな方だったこともあり、よし、もう一度やってみるかという気になりました。これが2005年の初夏のことです。

--　そうして、約半年後の2006年4月には、見事ISMS認証に合格しました。今、振り返ってみて、合格の要因となったのは。

以下の４点が要因であったと思います。

１．相馬さんの指導が的確だったこと。
２．ワークストラストから提供されたリスクアセスメントツールが、「使えるソフト」であったこと。
３．自分自身、ISMSに対する理解が格段に深まっており、一次審査、二次審査において堂々と受け答えできたこと。
４．社員が、ISMS取得の必要性を理解してくれたこと。その上で情報資産洗い出しなどの面倒な作業も、一致協力して取り組んでくれたこと。

■　成功理由その１：コンサルタントの質

--　では一つずつお聞きしたいと思います。一つめのポイント「相馬さんの指導が的確だったこと」というのは具体的には。

相馬さんは、説明が上手い。論理を押しつけるのではなく、たとえ話など使って、相手に分かるように、流れをつくっていくタイプの説明でした。流れが見えれば、「全体像」もつかみやすい。一次審査、二次審査で、審査員の変化球の質問に堂々と答えられたのも、事前に、「全体像」を把握できていたからだと思います。

■　成功理由その２：リスクアセスメント ソフトウエア PRAM

--　次のポイント「ワークストラストが提供するリスクアセスメントツールが、『使えるソフト』であったこと」というのは具体的には。

先ほど述べたとおり、社内の情報資産の洗い出しからリスク分析まで、そして管理方法の定義には、非常な忍耐力を必要になります。しかしリスクアセスメントツールを使えば、そういう作業が簡単にシステマティックに行えます。これは助かった。リスクアセスメントツールがなかったら、また途中でいやになって投げ出していたかもしれません。本当に便利でした。

--　具体的にはどのように便利だったのでしょうか。

箇条書きで順々に述べるならば、以下のようになります。

１．一回入力した項目を転記せずにすむ。更新やメンテがラク。

２．次々と入力していくことで、無意識のうちにISMSに準拠した管理が出来る。

３．帳票まわりが充実している。極端に言うと、リスクアセスメントツールの出力画面を印刷すれば、それがそのままISMS審査機関に提出するドキュメントとして使える。

--　PRAMなしで作業を進めるとしたら、どうしていたでしょうか。

最初に取り組んだ時にはリスクアセスメントツールの様なツールを持っていなかったので、ExcelやWordを使って、力業で作業していました。そして以下の問題点が出てきました。先ほど述べたリスクアセスメントツールの長所と裏返しの問題点です。

１．Excel管理の場合、一回入力したデータを元に、別のドキュメントを作るときに「転記」が発生する。

２．転記が発生するということは、一つのデータが、複数箇所にコピーされてるということ。変更、修正はきわめて困難。

３．ExcelだとISMSを意識出来ない「作業」になってしまう。

４．提出ドキュメント（帳票）は自分で作らなければならない。打ち直し、入力し直し。

このようにExcelを使うと、大変な面倒を負うことになります。百歩譲って、もし試験を一回パスすればそれで終わりという話なら、ExcelでもOKです。要は、面倒だろうが何だろうが、忍耐と根性でドキュメントを作って、提出してしまえばよいからです。

しかし、ISMSの場合は、一回で終わりではありません。毎年の維持審査、三年に一回の更新審査があります。このたびに、Excelでいちいちドキュメントを作っていたのでは、疲労困憊です。

ISMSのリスクアセスメントにリスクアセスメントツールを使うか、それともExcelを使うのか。これは、経理において、弥生などの会計ソフトを使うか、それともExcelで力業で頑張るか、というぐらいに効率に差が出ます。

■　成功理由その３：自社に合わない規格は理由をつけて拒否

--　ISMSを取る際の適用範囲は二通りに分かれます。部門だけを適用範囲にするのか、それとも、営業や経理など全社全部門を適用範囲にするのか。今回、ウッドベルは、全社適用を選んでいますが、これは部分適用に比べて、準備作業も多くて大変だったと思うのですが、なぜあえてキツイ道を選んだのでしょうか。

ウチのような小さな会社で、部分的にISMSを取得してもあまり意味がないという、正論が理由の一つ。もう一つの理由としては、社長である私の名刺や、営業マンの名刺に「ISMS取得済み」と刷りたかったということがあります。

--　全体適用でないと、ISMS取得済みと名刺に刷れないのでしょうか。

例えば、情報システム部門を適用範囲としてISMSを取得した場合、「ISMS取得済み」と名刺に刷って良いのは、情報システム部門の社員だけです。社長や営業マンの名刺に「ISMS取得済み」と刷るのはルール違反です。

でもISMSを会社の信用拡大につなげたいのなら、外に出て行く立場、つまり社長や営業担当の名刺に書けないと意味がありません。こういう事を考えても、中小企業がISMSを取得するなら、全社を適用範囲にしないと効果が薄れると思います。

■　ISMS規格の中で、自社の業務体制に合わない規格が合ったときには、どうするか

--　とはいえ、営業部門をISMSの適用範囲にするのは躊躇しませんでしたか。率直に言って、営業部門をセキュリティでがんじがらめにすると、仕事にならなくなる、つまり売り上げが上がらなくなると思うのですが...。。

いや、それは大丈夫です。ISMS規格のうち、自社の営業体制に合わないものは、採用を拒否すれば良いのです。

--　でも拒否したら認証がもらえないのでは。

そのようにみなさん思いこんでいますし、そういう指導をしているコンサルタントもいるようですが、単なる勘違いです。ISMSには127の管理案がありますが、実はこれら全てを受け入れなくても、審査に合格することは可能です。ただし、その場合は、審査員を十分に納得させるだけの理由を説明できなければなりませんが。

--　つまり、「自社に合わない決まり」に対しては「受け入れません」と宣言してしまえばよいと。

宣言するだけではだめです。拒否するからには、それなりの理由が説明できなければなりません。理由を聞かれて口ごもるようなら、そこで不合格です。

--　では、審査員にこう聞かれたらこう答えるといった、「想定問答集」を準備しておく必要があると。

いや、そういう問答集はたぶん役に立たないでしょう。審査員もプロですから、おざなりの回答はすぐに見抜きます。「あなたは今＊＊と言いましたが、では、＊＊の場合はどう対処しますか？」というように、様々な角度から、応用質問を投げかけてきます。それに堂々と答えられないと合格できません。

--　今回、鈴木社長は、審査員の前で堂々と理由を述べて、見事合格したわけですね。

まあ、何とかなりました。これは相馬さんのコンサルティングに負うところも大きかった。事前にISMSの全体像をしっかり把握できていたので、余裕を持って本番に望めました。審査員の応用質問、ひっかけ質問に堂々と対応するには、全体像を骨太に把握しておくことが必須ですから。

また、堂々と答えるだけでなく、論理的に答えなければなりません。論理的に答えるためには、自社の情報資産の状況、リスク分析情報を「論理的、体系的に」把握していなければなりません。この点においては、リスクアセスメントツールが大いに役立ちました。リスクアセスメントツール上では、社内のリスク状況を、論理的、体系的に表現されています。リスクアセスメントツールにデータを登録していけば、ごく自然に体系的な理解が進みます。

■　ISMS取得を目指す企業に一言

--　今後はワークストラストとどのように関わっていく予定でしょうか

現在、ワークストラストのコンサルタントと共同で、ISMSの継承規格であるISO27001を取得する活動をしています。ISO27001は、ISMSとほぼ同等ですが、それでもいくつか差分の項目があります。そこを効率よく、学習するために、やはりコンサルタントの協力、そしてリスクアセスメントツールの活用が必要になるでしょう。現在のセキュリティレベルを今後も維持していくのは、なかなか大変なことですが、しかしせっかく取得したISMS。継続しなければ意味がありません。その意味でもワークストラストの今後の支援に期待したいところです。

--　最後に、現在ISMS取得を目指している全国中小企業にひとこといただければ。

ISMSを恐れることはない。中小企業でも、やる気になれば取れる。それを声を大にしてお伝えしたいですね。相馬さんのような良いコンサルタントに巡り会え、リスクアセスメントツールを利用すれば、本番でも堂々と説明できるようになります。やればできます。がんばってください。

--　今日は貴重なお話を有り難うございました。

こちらの事例はpdfファイルでダウンロードできます。
こちらを右クリック「対象をファイルに保存」を選択してPCにダウンロードして下さい。

※ ウッドベルシステムのWebサイト
※ 取材 カスタマワイズ
※ 取材日時 2006年3月

-- まずの業務内容についてお聞きしてよろしいでしょうか。

私たちは、廃棄物の収集、運搬を業としております。いわゆる「ごみ屋」と呼ばれる
仕事です。

-- 他の廃棄物収集会社と比べての、春江の特色は何になるでしょうか。

廃棄物収集業は、きつい、きたない、３K職業という視線で見られることの多い職業です。また、そうした視線への反動からなのか、収集業者の中には、「ごみを取ってやっているんだ」というような、無頼な態度を取る者もいると聞き及んでいます。

弊社では、廃棄物収集業者として、顧客と社会に真に貢献し、「ごみ収集」という仕事を誇りをもって遂行するために、全社をあげて「質で日本一」を目指しています。この取り組み姿勢が、春江の大きな特色であると自負しております。

-- 「質で日本一」を実現するために、現在、どのような取り組みをしているのでしょうか。

具体的には以下の三点に注力しています。

1.従業員教育の徹底

2.顧客満足を実現するための設備投資

3.顧客満足を実現するためのしくみ作り
（今回のISMS取得は、この部分に相当します）

-- では一つずつお聞きいたします。最初のポイント「従業員教育の徹底」というと具体的には。

弊社では、お客様と社会に対し、常に感謝の気持ちを忘れないようにするために、従業員に以下のような教育を行っています。

1.収集先では、お客様に笑顔で挨拶する。常に感謝の気持ちを忘れないようにする。

2.ごみ収集車が道路を通行する際、においなどで迷惑を周囲に与えることのないよう、毎日必ず収集車を洗車する。

3.ごみ収集の後は、必ず収集場を掃き掃除をして、きれいにして立ち去る。「思いやり」を持って行動する。

この他、あらゆる場面で、「ごみ収集を通じて社会に貢献する企業の一員」にふさわしい、誇りある態度を常に取るよう社員全員で心がけています。

-- 次のポイント、「顧客満足を実現するための設備投資」とは具体的には？

個人情報保護法の施行などを受けて、お客様の方で、「機密性の高い廃棄物、すなわち閲覧済み履歴書や重要書類、期限切れの法定帳票（あるいはCDなど電子メディア）などを、安全に収集、廃棄したい」というニーズが高まってきました。こうしたニーズに応えるために、機密処理施設などの設備を新たに購入いたしました。

-- 最後のポイント「顧客満足を実現するためのしくみ投資」とは？

これが今回、渋谷先生のコンサルティングを受けて取得したISMSに相当する部分です。機密性の高いごみを安全に収集、廃棄するためには、機械設備に加え、安全、確実な業務プロセスが不可欠です。この業務プロセスを社内に徹底させるためにISMS認証を取得することにしました。

また、「自社の業務プロセスの確実さ」は、自分で宣伝しても説得力がありません。お客様に分かりやすい形でアピールするには、やはり ISMSという第三者認証が必要だと考えました。

-- 続いて、春江がISMSをどのようにし取得したのかについてお聞きしたいと思います。

一般的に言って、企業がISMSを取得する場合、以下の四つの手法があると思います。

1.自分で努力して取得する。

2.集合研修などでグループコンサルを受けながら取得する。

3.コンサルタントの個別指導を受けながら取得する。

4.コンサルタントに丸投げして取得する。

-- 今回、御社では、渋谷氏のコンサルティングを受ける道、つまりパターン３の手法を選んだわけですが、このパターンを選んだ理由は何だったのでしょうか？

概論で申しますと、コスト、運用の手間、コンサルの質（親密度）の三要素を考えた場合、「コンサルタントの個別指導を得る道」がいちばんバランスが良かったのです。それぞれの手法の一長一短を図示すると以下のようになります。

-- では、この図をもとに、なぜパターン３の個別コンサル以外の方法では駄目だったのか、お聞きしたいと思います。まず手法１「自力習得」は、どういう点が春江にとって不適切だったのでしょうか。

以下の三点がその理由になります。

1.ISOやISMSなど認証関係を担当している環境室は、現在2名体制。しかもごみ収集など現業との兼務。この人手状況を考えると、独力でのISMS取得はやはり非現実的に。

2.ISMS取得においてはIT系の話が避けて通れない。しかし春江のような廃棄物収集業の場合、正直言ってほとんどの社員はIT系が不得意である。この前提を考えると、やはり自力取得は困難。

3.かつてISO14001（環境関係の規格）を取った際も、コンサルタントの個別指導を得ながら取得た。やはりコンサルタントの指導を受ける方が、安心である。

-- パターン４の「丸投げ」が不適切な理由は？

単純な話、丸投げすると数百万円のコストがかかり、費用が高いという問題があります。また費用以外にも以下のような問題点があります。

1.廃棄物収集業はいろいろな面で特殊な業態である。ISMSコンサルタントはISMSについては専門家だが、我々の業について熟知しているわけではない。丸投げが成立するとは思えない。

2.丸投げしたのでは、社内にノウハウが蓄積されない。

-- 続いてパターン２の「集合研修」が不適切だった理由は？

実は当初はこのパターンで行こうと考えていました。ISMSの研修について、ネットなどで調べてみると、有名なコンサルティング会社が主催する8～10回ぐらいの集合研修が、160万ぐらいで受けられるとのことでした。

最初の頃は、やはり大手の研修が、確実・堅実で良いだろうと思っていました。しかし、もう一度よく考えた結果、やはり集合研修ではだめだなという結論に達しました。

-- なぜ、そういう結論に達したのでしょうか。

以下の二つが理由となります。

1.集合研修は、9時～5時位の時間帯で、いろいろな業種の会社が一部屋に集まっての「座学」であるとのことだった。そうなると、一般論で考えて、「親密度」はどうしても低下する。春江の場合、廃棄物処理業という特殊な業態である。親密な個別相談なしに、ISMS取得は難しいと思われた。

2.もともと社員のITスキルが高い会社なら、集合研修だけでもISMS取得は可能かも知れない。だが春江は、ITが不得手な会社である。ということは集合研修だけでは、心もとない。

-- ここまでで「自力取得」、「集合研修」、「丸投げ」が春江にとって不適切である理由が分かりました。では、翻って、春江が最終的にパターン2の「個別指導」を選んだ理由は何だったのでしょうか。

個別指導が適切である理由は、今まで述べてきたことの裏返しになります。1)：費用が手頃で、2)：廃棄物収集という特殊な業態にも対応でき、3)：我々の弱点であるITについてもテコ入れしてもらえ、4): 要所要所で親密に相談できる、という条件を考えると、やはり「個別指導」が最も適切だと思われました。

-- では、数ある個別指導コンサルタントの中から、特に渋谷コンサルタント（ワークストラスト）を選択した理由は。< /p>

ワークストラストさんが提示してきたコンサル価格が非常に手頃であった。要する安かったという、この点は非常に大きいですね。集合研修の費用とほとんど変わらない費用でした。個別コンサルが、集合研修と同じ値段で受けられるのなら、これはトクです。また価格のみならず、コンサルタント本人である渋谷先生も、第一印象からして良い方であるように思えました。

-- どういう第一印象だったのでしょうか。

「あ、この人は、エンジニアだな」というのが第一印象でした。

-- エンジニアだとなぜ良いのでしょうか？

ISMSコンサルタントにも色々なタイプがあります。中には、今セキュリティが流行っているから、お金になりそうだからISMSコンサルタントをやっている、商売本位のタイプもいます。あるいは自社でISMS取得したので、そのノウハウを外販していこうという副業型のコンサルティング会社もあります。しかし、渋谷先生は、そういう人とは根本的に違う印象がありました。どうも、この人は、システム理論や情報セキュリティ構築などが、根っから好きな人、エンジニア型のISMS専門家であると思われました。
やはり生活のための即席ISMSコンサルタントよりも、根っから好きで取り組んでいる専門コンサルタントの方が、コンサルティグの品質が高いことが期待できます。

その後、詳しく話を聞いていくうちに、渋谷先生は、元はネットワーク構築会社に勤務しており、ISMSコンサルティングについても 2001年の試験運用が始まった当時から取り組んでいたということでした。やはり第一印象どおりの経歴でした。

-- 渋谷コンサルタントとは次にどのような話をしたのですか。

まず、春江の業態と現況を伝えました。さらにネットや本などで勉強した知識なども元にして、「自分としては、春江の業態やコンピュータスキルの現況を考えると、ISMS取得は、～のようなかたちを取るのがよいと思う」という具合に、自分の考えを述べ、「この考えをどう思うか。私の構想は可能か」と質問をぶつけました。これに対する、渋谷先生の返答も良かったですね。

-- どう良かったのでしょうか。

私の経験では、このような「～は可能かどうか」という質問への、コンサルタントの反応は以下の三通りになります。

1.できます、大丈夫ですよと、安易に即答するコンサルタント
（このタイプのコンサルタントは、どんな質問に対しても「良い考えですね。大丈夫、できますよ」という虫の良い返事をする）

2.「できます」、「できません」を明確に答えず、会話が成立しないコンサルタント
（集合研修の講師などで多いパターンらしい。答えにくいのは分かりますが、もう少し親身さが欲しい）

3.「可能です」、「できません」の返事の後に、自分の考えを述べるコンサルタント
（このタイプのコンサルタントが最も望ましい。「その考えは間違っていないし、可能だが、こういうやり方もあるのではないか」、「それは可能だが、現状ではやらない方がいい。なぜならば...」というようなコメントを加えてくれるので、自然に議論が深まる）

渋谷先生は、三番目の最も望ましいタイプでした。こちらの事情、現況をよく考慮して、春江にとって最も望ましいやり方を提案してくれました。今回、弊社がISMSを無事に取得できたことは、渋谷先生の親密、緊密な指導姿勢に負うところが大きいと思います。

-- 今回、渋谷コンサルタントと実際につきあってみての印象、感想はいかがでしょうか。

ざっと、以下のような感想を持っています。

1.指導が一貫して、親身、親切、丁寧であった。

2.態度が自信に満ちていて、頼もしい。頼りになる。
（認証を取る側の我々はけっこう不安で弱気なものです。そういう時に、コンサルの先生に自信に満ちた態度で「だいじょうぶですよ」と言っていただけると、こちらとしても自信が持てます）

3.意外に融通も利いた。
（ISMS取得作業の中で、時には我々の進捗がはかどらず、コンサルティングが暗礁に乗り上げることもありました。しかし、そうして計画が崩れた時も、柔軟かつ適切にスケジュールを組み直してくださり、助かりました。頑固なところは頑固ですが、要点では、意外に融通が利くのだなと思いました）

-- 今、全国の中小企業の中に、かつての春江と同じように、「社内のITスキルは決して高くない。だがISMSを取得しなければならない」という会社が多くあります。そうした会社に対し、すでにISMSの取得を経験した御社として、「コンサルタントと組むときにはここを気をつけておいた方がいい」という、一種の『コツ』のようなものをお知らせいただければ幸いです。

自分の経験だけに基づいた偏った話でよいのなら、という前提で申し上げますと、以下の二つが『ISMSコンサルタントと組む時のコツ』になると思います。

1.社内の責任者を明確にした方がよい。

2コンサルには、思い切って、質問をぶつけた方がよい。
（その質問への反応で、コンサルタントの『質』が分かる）

-- 最初のポイント「社内の責任者を明確にした方がよい」というのは具体的には。

責任者をきっちり決めないと、コンサルタントとの間に手応えのある関係を築くことは難しいでしょう。コンサルタントに、親密、緊密な関係を求めるのなら、求める側も、それなりの体制を整える必要があるということです。

-- 次のポイント「コンサルには、思い切って、質問をぶつけた方がよい」というのは具体的には。

これは重要なポイントです。どこの会社でもISMS取得について『何がなんでも半年以内に取りたい』とか『業務全体ではなく、一部分だけISMS認証を得たい』といった希望があると思います。その希望をコンサルタントにすべて正直に『ぶつける』ようお勧めいたします。

-- するとどういう効果が見込めるのでしょうか。

あなたが思い切ってぶつけたその質問に、そのコンサルタントがどう反応してくるか。それは無理ですと素っ気なく却下するのか。大丈夫です、できますよと虫の良いことを言うのか。それとも自分なりの意見や見解を交えて誠実に議論しようとするのか。そうした反応パターンにより、そのコンサルタントの熱意や親密度、あなたとの相性が分かります。これは、感覚的にほとんど一瞬で把握できます。ですから、こんなこと聞いてもいいのだろうかと恥ずかしがったりせずに、まっすぐに質問をぶつけてみることをお勧めします。

-- 最後にワークストラストと渋谷コンサルタントに一言あれば、お願いいたします。

今回、懇切な指導をいただき、おかげさまで無事、ISMSを取得できました。今後も、情報セキュリティに関しては、お客様や行政体などから、さらに高度の要望が出てくると予測されます。そうした要望に確実に応え、真にお客様と社会とに貢献できる会社になりたいと考えております。今後も渋谷先生には、折りにふれ、指導をお願いすることもあるかと思いますが、何卒のご協力をいただければ幸いです。

-- 今日は貴重なお話を有り難うございました。

こちらの事例はpdfファイルでダウンロードできます。
こちらを右クリック「対象をファイルに保存」を選択してPCにダウンロードして下さい。

※ 春江のWebサイト
※ 取材 カスタマワイズ
※ 取材日時 2006年1月

アートスキャナは、商業印刷の工程の中の、「製版」という工程を受け持っている会社です。化粧品のポスター、旅行のパンフレット、レストランのメニュー、牛乳パックなど様々な印刷物の製版を手がけています。

--　アートスキャナの強みは何ですか。

「美しい色の版を作ること」です。化粧品のポスターでが、モデルさんの肌の色が美しく見えねばなりません。旅行ポスターにおいては、旅先の景色の「空気感」までも再現し、旅心を誘うようなポスターを作れねばなりません。

アートスキャナの技術者は、「色の職人たち」です。デジタル印刷においては、色には番号が振られています。技術者に、色を見せると、たちどころに色番号を言い当てます。ほとんどの色の色番号を暗記しているのです。

■　ISMS、MIS、QMSが果たす役割 ～　素晴らしい会社になる。強い会社になるための仕組み。

MISは、製版を行うための基幹システムです。そのMISの取り扱い手順を標準化するための規格がQMS、ISMSという位置づけになります。

製版も製造業であり、このオフィスは「工場」と同じです。工場では、普通、生産管理システムを導入し、進捗管理や、原価計算を行います。印刷業にとってのMISは、工場にとっての生産管理システムに相当します。そしてISMS、QMSは生産管理システムを正しく使って、良い製品を製造するための、標準業務手順に相当します。

■　MIS（経営情報システム）の導入で実現したかったこと

--　アートスキャナがMISの導入により実現したかったことは何ですか。

以下の三点です。

1. 工程管理、原価計算などの徹底
   
   
2. 工程の完全ペーパーレス化（作業の手戻りの根絶）
   
   
3. 進捗、受発注の明確管理（理不尽な注文への"泣き寝入り"の防止）

--　第二のポイント、「工程の完全ペーパーレス化（作業の手戻りの根絶）」とは具体的には。

弊社が独自開発したMIS（「柔ら@貝」では、紙はいっさい出力しません。作業員の机の上に、帳票が置かれることはありません。すべての作業指示情報は、JDF（Job Discription Format：作業記述標準形式）という規格に則り、各作業員のパソコンに電子的に配信されます。

作業内容の変更も、すべてMISへの入力を通じて行います。変更内容はMISを通じて、すべての作業員にリアルタイムに伝わります。転記ミスや入力漏れは原理的にありえません。

これにより、作業の混乱、手戻りは最小限となり、原価の高騰を防止することができます。顧客満足の向上と粗利の確保が、同時に実現できます。

■　MISの効果　～　"泣き寝入り"しない体制作り

--　「進捗の明確管理（それを通じての"泣き寝入り"の防止）」とは

印刷の営業マンは、若い頃、一度は苦い経験をします。

ある日、得意先がとつぜん電話で超短納期の仕事を依頼してくる。使用する用紙はちょっと特殊で、しかも大量に必要。あわてて用紙業者に電話で発注して、納期に間に合わせようとする。そんな時に限って、用紙が納入された後になって「あの仕事はボツになりました」とあっさりキャンセルをくらう。そして「この分はこんど他で埋め合わせるからさー」と意味不明のやりとりが続く。

これは、飲食店で焼き肉定食を注文し、料理が出来上がる頃になって、やっぱりラーメンに変更と言い直すのにも等しい、不条理な事態です。この不条理がまかりとおるのが、印刷業界の遅れている点です。

このような不条理を無くすためにも、印刷業者側で、業務手順、発注手順を明確定義し、理論武装、情報武装する必要があります。

■　ISMSとQMSの役割　～　MISという仏に魂を入れる

--　ここまででMISの位置づけと効果が分かりました。続いて、ISMS、QMSの位置づけと効果についてお聞きかせください

仏作って魂入れずという言葉があります。MISという情報システムを作っただけで、すべての問題が魔法のように解決するわけではありません。業務手順、運用手順を明確に定義し、その実行を周知徹底させて、はじめてMISの導入効果が上がります

--　なぜQMSとISMSの二つが必要なのですか。

しかしQMS（品質管理標準）は、コンピュータが一般化する以前に作られた規格なので、情報の品質確保の概念がありません。その部分は、ISMSで補わねばなりません。

■　ISMS導入のコツ　～　規定でガチガチにしなくても合格できる

--　アートスキャナは、今回、どのようにしてISMSに対応したのですか。

ISMSの導入で、業務を『がんじがらめ』にしないよう気をつけました。ISMSというと、「ガチガチに規制する」というイメージがありますが、実際は、柔軟性が高い規格です。自社に合った業務手順を自分の頭で考え、それが事業の継続性やセキュリティレベルを十分に担保するものであれば、許容されます。

--　「ISMSの導入で、業務を『がんじがらめ』にしないよう気をつけた」...。何かの実例を教えていただけますか。

入退室管理のセキュリティの例でご説明します。今日、みなさんに社内に入っていただきました。しかし、みなさんは胸に「VISITOR」の名札をつけることもなければ、入室時に社名や名前を紙に書いたりもしませんでしたよね。

--　言われてみればそのとおりです。そんな、ゆるい運用で、ISO27001を取得できたとは意外です。

何を以て「ゆるい」と定義するかです。弊社では、お客様にオープンに接したいと考えているので、名札や入室者名簿は使いたくありませんでした。そのかわり、「社内に外部の人が来た場合は、必ず誰かがアテンドする」、「知らない人がいたら挨拶する」というきまりを設けました。こうすればセキュリティレベルとお客様コミュニケーションをバランス良く両立させられます。

要は、自分の頭で考えて、自社に合った仕組みをつくればよいのです。ISO27001はそれを受け入れてくれる柔軟な認証制度です。

■　ISMS導入のコツ　～　USBメモリは絶対に有害

--　ISMS導入に伴い、禁止した行為はありますか。

USBメモリは全面禁止にしました。悪意を持った人間は、USBメモリを積極活用します。あまり公にされていませんが、重要なデータが持ち出されるケースのほとんどの場合は、手のひらに隠れる、USBメモリが媒体になっているようです。

インターネットは「悪意を持った人は利用しないこと」を前提にしたシステムです。裏を返せば、ひとたび悪意を持つならば何でもできてしまう恐ろしいインフラです。

USBは便利ですが、特別な許可がない限り、持ち込みや使用を禁止することにしました。

■　ISMSは社内でどれぐらい遵守されているか

--　今、ISMS業務手順は、社内でどのぐらい遵守されていますか。

ISMSやQMSという言葉を社員が意識することはほとんどありません。ISMS(QMS)は、それほど日常の業務手順に溶けこんでいます。

新入社員が入社し、業務手順を習ったとします。業務は、かならずMISを使って行います。MISの使用方法は、ISMS（QMS）に準拠しています。つまり、その新入社員は、無意識のうちにISMS（QMS)に準拠した動きを会得することになります。いきなり審査員が抜き打ちでやってきたとしても、その新入社員は合格点をもらえるでしょう。

■　ISO27001を取得して良かったと思うこと ～　普段、考えたくないことをあえて考えさせられた

--　その他、ISO27001を取得して良かったと思うことはありますか。

ISMSでは「事業継続」が重要なキーワードになります。地震が起きても、火事が起きても、雷が落ちても、台風が来て近くの神田川が増水して、地下一階のこのオフィスに水が流れ込んだとしても、それでも事業が継続できるよう、業務手順を明確化しないとISO27001を取得できないのです。

このような「大事なことだが、普段は考えたくないこと」を、無理矢理考えさせられる機会が得られたのは、良かったと思います。

■　部屋全体がクリーンルーム

--　ところで、上条さんの後ろにあるそのマウントラックはもしや...