<img src="http://www.workstrust.com/example/images/002.jpg" width="150" height="64" alt="image" /><img src="http://www.workstrust.com/example/images/title-thumb.jpg" width="240" height="180" border="0" alt="image2" />プライバシーマーク　<a href="http://www.pmarkget.com/">自主取得コース</a>事例

企業向け研修・カウンセリングを行う株式会社キャリアプロジェクト（東京・豊島区）は、プライバシーマークの自主取得に挑戦をしている。ワークストラスト「プライバシーマーク自主取得コース」を受講したばかりの興津祥子社長と中村弘子氏に、受講の理由、受講後の感想などを詳しく伺った。

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

■　「プライバシーマーク自主取得コース」はどのように行われたか

―　では、実際に「プライバシーマーク自主取得コース」がどのように行われたのか伺っていきます。コース受講に当たって、何か事前準備は必要なのですか。
特に事前の勉強などの必要はなく、3人とも全くゼロの状態で受講の日を迎えました。ワークストラストからは事前にメールで「マニュアル」と「各種サンプル」が送られてきましたので、それを人数分印刷しておきました。

―　「マニュアル」とは何ですか」
プライバシーマークの文書テンプレートで、ワークストラストが通常のコンサルティングで使用しているものだそうです。これをテキストのようにし、どこを自社向けにアレンジしていくかというような具体的な話で進んでいきました。

―　講義のように一方的に話を聞くスタイルなのでしょうか。
いえ、講義という感じではなく、まず説明を受けてわからないことはその都度質問に答えていただく形式で行われました。

最初は、今後やるべき業務量の多さに圧倒されました。業務委託先の会社まで追いかけて個人情報の洗い出しを行わなければならないなどは初めて知ることで、思っていたよりもやることが多そうだなと。でも、大変だなと思う反面、これは会社にとって非常にいいことだとも思いました。

―　どのあたりが「非常にいい」と思ったのですか。
「個人情報の洗い出し」という作業は、業務整理、業務分析なのだということに気づきました。これをマニュアルに沿って行っていくことにより業務の標準化ができ、今後新入社員が入ったときの教育にも使えると思いました。そう考えれば一見面倒で後ろ向きに思える作業も、前向き、建設的な業務になり、楽しんでできるかもしれません。

午前、そして午後と時間が進むにつれ、最初「人ごと」のようにして聞いていたことが徐々に自分たちの具体的作業に置き換えて考えられるようになりました。するとどんどん疑問がわいてきて、かなりたくさん質問したと思います。コンサルタントさんにはその一つ一つに丁寧に、そして的確に答えていただきました。

―　コースは何時間行われたのですか。
朝10時に始まり、終わったのが20時半でした。最初は、10時から17時ぐらいまで、普通のオフィスアワーで終わるのかな、と思っていたのですが、20時を過ぎてしまったのは私たちが質問攻めにしたからかだと思います（笑）。

―　長時間で疲れませんでしたか。
終了後はさすがにちょっと疲れましたが、1日を有効に使えたという充実感のほうが大きかったです。受講前には漠然と「やらなければ」と思っていたことが、受講後は具体的な行動リストになり、プライバシーマークを取得までの見通しがつきました。後はそれをやっていくだけです。

■　「プライバシーマーク自主取得コース」受講のメリット

―　実際に受講されてみて、「プライバシーマーク自主取得コース」の受講のメリットは何だと思われますか。
「プライバシーマーク自主取得コース」を受けるメリットは3つあると思います。

メリット１：「時間が大幅節約できること」
たった1日でプライバシーマーク取得のためのすべてのプロセスの説明を受け、ポイントを学ぶことができました。それも一般論ではなく、自社向けのカスタマイズの方法を教えてくれました。

メリット２：「カスタマイズ箇所が一目でわかるマニュアル」
ワークストラストのマニュアルは、他のコンサルティング会社のものと比べて分量が少ないのでやりやすいということは聞いていましたが、それに加えてカスタマイズするべき箇所が赤字になっているところが非常に便利だと思いました。マニュアルのページをめくっていって、赤字になっているところを自社向けに書けばいいと思うと気が楽です。

メリット３：「プライバシーマーク管理ツール」
自主取得コースに申し込むとExcelベースの管理ツール（Pmark Plus）を付属でいただけるのですが、おまけのようなつもりでいたら、これがとても使いやすくて便利でした。こういうツールも込みでの受講価格なので、非常にリーズナブルに感じました。

―　逆に「もっとこうだったらいい」という要望はありますか。
サンプル文書の右肩あたりにインデックスをつけて欲しいと思いました。メールでいただくときにはフォルダごとになっているのですが、印刷してしまうとどの文書がマニュアルのどこに対応しているサンプルなのかわからず、受講時に文書を探すのにちょっと苦労しました。

※ワークストラストコンサルタントから一言
早速ご意見を反映させていただき、マニュアルとサンプル文書の対応ができるように工夫しました。貴重なご意見ありがとうございます。

■　自主取得の上で気をつけていくこと

―　キャリアプロジェクトではプライバシーマーク取得はいつ頃を予定していますか。
2008年12月の取得を目標としています。6月末までに個人情報を整理し、その後リスク分析を行っていく予定です。

―　今後自主取得を行っていく上で気をつけていくこと、心がけていることがあれば教えてください。
マイルストーンになるコンサルタントの定期訪問がない自主取得では、油断をすると作業がずるずる後回しになる可能性があります。それが私たちが一番気をつけなければならないことだと思っています。そうならないために、きちんとした作業プランを立て、それを必ず守っていこうね、と言っています。

また、メンタルヘルスの専門家としての立場で言えば、「取得業務を必要以上にストレスに思わない」ことも大事だと思っています。先ほど述べたように、個人情報の洗い出しやリスク分析を「自社の業務分析となる前向きな作業」として取り組みたいと思っています。

■　今後の期待

―　今後の期待があれば教えてください。
ワークストラストさんの丁寧なご指導には感謝しています。コースは終わってしまいましたが、私たちはこれからが本番です。良いご報告ができるように3人で頑張りたいと思います。ありがとうございました。

<img src="http://www.workstrust.com/example/images/case_12.jpg" width="150" height="64" alt="image" /><img src="http://www.workstrust.com/example/images/titlepioneer-thumb.jpg" width="240" height="180" border="0" alt="image2" />プライバシーマーク　<a href="http://www.workstrust.com/works/2006/07/basic.html">Basicコース</a>事例

-- まずパイオニアの業態についてお知らせください。

当社は、ロシア語とフランス語を得意とする翻訳会社です。初代社長が、ロシア極東のサハリンから、戦後に引き揚げてきて1973年に設立したのが始まりで、私は社長としては三代目です。

-- パイオニアがプライバシーマーク（以下Pマーク）の取得を検討するようになったのはどういう経緯から。

ある日、取引先A社から一通のアンケートが届きました。そこには、「パイオニアはプライバシーマークなどお持ちですか。もし持っていない場合は、以下の項目を厳守してください」といって、入退室管理、個人情報管理、ウイルス対策ソフトウエアの導入など、こと細かにセキュリティ項目が記してありました。

-- それは、｢プライバシーマークを取得しないと、今後、仕事を発注できるかどうか分かりませんよ｣という意味合いでしょうか。

そこまでの意図はなかったようですが、A社が情報漏洩に気を遣っているのはよく分かりました。過去に、A社の仕事をする中で、要人の名簿を取り扱ったこともありました。もしそれが漏洩したりすれば、A社の情報管理責任が問われることになります。

そう考えれば、A社が外注先に情報漏洩対策を促すのも当然です。これからは、いくら翻訳の質が良くても、情報管理体制が整っていない会社は信用されなくなるかもしれない。そう思いました。

■　どうせならPマークを取得してしまった方が…

--　パイオニアではA社のアンケートにどう対応したのですか。

Pマークを取得するか。それとも、Pマークは取らないがA社から指示されたセキュリティ項目は実行するか。二つの選択肢がありました。

当初は、後者の選択肢でも良いかも知れないと思いました。セキュリティについては私たちも自分なりに気を遣っていましたし、A社から指定があった項目も、それなりに実行できているような気もしたからです。しかし、やはり不安を感じました。

--　どういう不安を感じたのでしょうか。

「自分たちでは、必要十分なセキュリティ体制をとっているつもりだ。しかし、それは第三者から見ても大丈夫なレベルに達しているのだろうか」という不安です。この不安を払拭するには、Pマークのような公的認証を取るほかないと考えました。ただ、社内では反対論もありました。

■　Pマーク不要論

--　社内で、どのような反対論があったのですか。

単純な話、｢パイオニアのような社員15人の会社でそこまでやる必要があるのか｣という意見です。｢Pマーク取得となると、コンサルタントも頼む必要があるだろうし、申請費用、登録費用だってタダじゃない。そこまでコストをかけずとも、適切なセキュリティを自分たちで実行すればいいじゃないか。そうすれば費用もかからない｣という議論になりました。

このような議論が生じる一つの理由として、会社設立時の事情により、弊社が極度にコスト意識の高い会社、出費にきびしい会社になったことがあります。

-- どのような事情だったのでしょうか。

弊社は、初代社長が70年代初めにロシア極東のサハリンから引き揚げてから、苦労して作った会社です。設立当初は文字通りゼロからのスタートで、あらゆるコストを絞りました。その意識はいつしか社風となりました。裏紙は積極的に使います。1000円、2000円の備品であっても、これは本当に必要なのか、よく考えてからでないと買いません。

このような会社ですから、Pマークの取得やコンサルティングに何十万円も費やすことに如何に抵抗があったか、ご想像いただけると思います。

■　それでもPマークは取得するべき

--　社長としては、どういう経営判断の下に、今回のPマーク取得（およびワークストラストへのコンサルティング依頼）に踏み切ったのでしょうか。

今回のPマーク取得は、｢お客様の信頼を得るための投資｣と位置づけました。

パイオニアの節約を重んじる社風自体は、素晴らしいと思います。私も、もったいないことは嫌いです。しかし、翻訳会社は、お客様の大切な情報を扱う業務、信頼あっての業務です。信頼を左右する経費は節約してはいけないと考えています。

また、どうせやるなら、我流ではなく、しっかりコンサルタントをつけるべきだと考えました。

自分たちのセキュリティレベルが、本当に世間に通用するレベルに持っていくには、我流ではいけない。自分たちできまりを決めてちゃんとやっていますというだけでは、それが本当に世間並みなのかどうか分からない。やはり専門家に正しい指導を受けるべきだと考えました。

もう一つ本当のことをいえば、この際だから、コンサルタントの方に社内の反対派の説得を手伝ってもらおうと考えたこともあります。やはり第三者の専門家の意見の方が通りやすいですから。

■　不透明な会社が多かった

--　コンサルタント選びはどのように行ったのでしょうか。

まず検索サイトで｢プライバシーマーク｣などの検索を行い、そこでヒットした会社をリストアップしました。そうした会社のWebを見たり、電話で問い合わせたりしてみた結果、まず以下のことが分かりました。

１．値段を書いていない業者が多い。問いあわせると、かなり高い。

２．値段が安い業者もあるが、座学研修がほとんど。

--　最終的にワークストラストを選択した理由は。

まずワークストラストのWebには98万円というリーズナブルな価格が明記してありました。でもきっと他と同じように座学研修か、あるいは訪問回数が決まっているなど、サービスに制限があるのだろうと思い、電話して確認してみましたが、サービス内容は、大手コンサルティング会社がもっと高額で提供している内容とほぼ同じか、それ以上に手厚いと感じました。また、Webの内容も分かりやすく、電話対応も明朗で好印象でした。対応は全体的によかったと思います。

電話問い合わせの後、お願いするとすぐ説明に来て、いろいろ説明してくれました。Pマークや個人情報対策についての基礎知識の他、翻訳業界や、出版業界、人材派遣業界などでの取り組み動向についてくわしく教えてもらえました。

説明を聞いて、自分たちのPマークや個人情報保護についての知識が足りなかったことを実感しました。でも一社だけの説明で納得しても良いのだろうかと迷っていたところ、｢他のコンサルティング会社も見ておいた方が良いですよ｣との助言があり、これはかえって信頼できるなと感じました。

--　そうして、他のコンサルティング会社にも連絡してみて、いかがでしたか。

ワークストラストから聞いた情報をふまえながら他社にヒアリングしたところ、やはりワークストラストの説明の方が良いと思えました。

--　どの点が良かったのでしょうか。

説明の内容は、基礎知識ということもあって、どこもだいたい同じでしたが、説明のていねいさや、かけてくれた時間の長さなどはワークストラストが優れていました。

また、サービス内容についてもワークストラストが提供しているのと同じ内容を要求すると、値段が高くなりました。他の会社を調査したことで、かえってワークストラストにお願いしようという気持ちが強くなりました。

■　契約前に、もう一度よく考えた

--　そしてワークストラストとの契約を決めたと。

いえ、そこまで言っても、やはり弊社にとっては98万円のコンサルティングは、かなり高額なので、すぐにはお願いできませんでした。もう一度、よく考えましたが、それでもワークストラストで良いと判断できたので、ついに契約を決心しました。ワークストラストが良いと思った点は以下の通りです。

１．【　価格が、提供されるサービス内容と比べて、安い　】
他社は、ワークストラストと同等のサービスで高いか、あるいはワークストラスト以下のサービスで安いかのどちらかでした。

２．【　何回も来てくれる　】
ワークストラストより安いところがあり、そちらの会社にするべきか最後まで悩みました。ただし、その会社は訪問回数が10回と制限がありました。正直、私たちのように素人が、決まった訪問回数でこなせる自信はありませんでした。 実際、ワークストラストさんにはこまめに来て頂いていましたので、訪問回数の制限が ある会社にしなくてよかったと思っております。

３．【　フォローがある　】
コンサルティングの後は、きちんとフォローが欲しいところです。ワークストラストは、中溝さんと話していて、この会社なら細かいフォローがありそうだと感じました。

４．【　親しみがもてた　】
中溝さんは、相談しやすい人だと感じました。こちらの疑問にもきさくに答えてくれましたし、セキュリティ・コンサルティング業界の実情についても、ざっくばらんに語ってくださいましたし。

■　自主性と規律のバランス

--　これまでのワークストラストのコンサルティングへの感想はいかがでしょうか。

期待していたとおりの内容で満足しています。コンサルタントさんも親切で柔軟でした。でも作業の進め方で、一つ予想外だったことがありました。それは、こちらの自主性を尊重する部分が多かったことです。最初の予想では、コンサルタントに、これが足りません、あれが必要ですと事細かに指示されて、その通りにやるのかなと予想していました。しかし、実際には指示するというよりは、こちらが自主的に考えることを促すような内容でした。

このことには良い面があったと思います。それは、応用が利くようになったことです。指示に従うだけの詰め込み教育ばかりだと、何か予想外のことが起きた時、応用問題を解く必要が出てきた時に、対応できなくなります。普段から、自分で考える力を身につけておけば、対応できます。

一方で、一長一短の部分もありました。あまり自主性を尊重されていると、ついつい宿題を後回しにしてしまうこともあります。私たちの場合は、強めに指示された方が、よかった部分はありますね。自主性とプレッシャー。バランスが難しいですね。

■　今後の期待

--　ワークストラストへの今後の期待があればお聞かせください。

パイオニアは決して大きな会社ではありませんが、これからもお客様本位で、誠実に仕事をしていこうと思っています。今回のようなセキュリティの整備もその一環です。今後も、必要に応じて指導を受けながら、信頼される翻訳会社としてお客様のお役に立ちたいと考えています。折りに触れ、助力いただければ幸いです。

-- 今日は貴重なお話を有り難うございました。

こちらの事例はpdfファイルでダウンロードできます。
こちらを右クリック「対象をファイルに保存」を選択してPCにダウンロードして下さい。

※ 翻訳センターパイオニアのWebサイト
※ 取材 カスタマワイズ
※ 取材日時 2006年7月

<img src="http://www.workstrust.com/example/images/ccc-thumb.jpg" width="150" height="64" alt="image" /><img src="http://www.workstrust.com/example/images/titlewoodbell-thumb.jpg" width="240" height="180" border="0" alt="image2" />ISO27001（ISMS）　<a href="http://www.workstrust.com/works/2006/06/basic_1.html">コンサルティング</a>

■　中小企業がなぜISMSを取ろうと思ったのか

--　ウッドベルシステム（以下　ウッドベル）の業態について教えてください。

受託開発を中心としたソフトハウスです。この際、ざっくばらんにいえば、まごうかたなきニッポンの零細ソフトハウスです。でも仕事の質には自信がありますよ。現在は社員26人で年商7億4000万円。お客様のお引き合いのおかげです。

--　ざっくばらんな自己紹介をいただいたので、では、こちらもざっくばらんに質問させてください。今回ウッドベルがISMS認証を取得したのは、ズバリ、「取引先や元請けの会社から、『ISMS取得を取引条件とする』と言われた」というのが理由でしょうか？

いや、ぜんぜん違います。ISMSを持っていなくても仕事はとれる。これは明言できます。

--　では、なぜISMSを取得しようと思ったのでしょうか。

これには二つの理由があります。

１．自分の性分として、取得したかった。

経営者としての私の性分として、セキュリティ体制など業務の手順がきっちり整っている状態が好きです。

２．長期的な経営計画の一環として、先手を打って取得するべきと考えた。

ISMSの取得を通じて、社内に、セキュリティという考え方を根付かせること。それは、今後、金融機関や公共団体の仕事を受注しようとするとき、重要視されるでしょう。こうした認証は、取引先に『言われたから』取得するというよりは、言われなくても自発的に取得するという方が、当然、印象も良いでしょう。ISMS取得は、弊社の長期的な利益にプラスになると考えました。

■　中小企業がISMSを取るなんて無理だとは思わなかったのか

--　率直に言って、ウッドベルの会社規模でISMS取得を目指すとは、またずいぶん敷居の高い規格に取り組んだ物だと思いました。なぜいきなりISMSだったのですか。

同じことを、色々な人から言われました。友人・知人に『今度、ISMSに挑戦するよ』と話すと『馬鹿言ってるんじゃないよ。あんな難しい規格、アンタのところみたいな零細企業が受かるわけないじゃないの。身の程を知らないと』といさめられました。

--　すみません。実は私も若干同じような感想を持っていました。あらためてお聞きします。なぜISMSだったのですか。

実はISMSがどれほど難しい規格なのか、当時はまったく分かっていませんでした。分かっていなかったから怖くもなかったのです。知人が偶然ISMSコンサルタントになっていたので、「じゃあ、そのISMSとかいうの、やってみるわ」という、軽いノリだったのです。

--　怖い物知らずだったのですね。

知識がないおかげで、恐怖心もおきませんでした。身の程知らずだからよかったのです。何のかんのといって、最後は合格しましたし。

■　最初のISMS挑戦が失敗した、その理由

--　ISMSは一発で合格したのでしょうか。

いえ、二回目の挑戦で合格しました。最初の挑戦は、はっきり言って大失敗。一次審査を受ける前の、予備審査の段階で、いやになってやめてしまいました。

--　どういう点で、いやになったのでしょうか。

いやになった要因は、以下の三点です。

１．ISMS規格そのものが理解不能。何がなんだか、さっぱりわからなかった。

２．情報資産の洗い出しからリスク分析作業の、あまりの煩雑さにくじけた。

３．現地審査の時の審査員に、ぼろくそに言われて、精神的にもめげた。

■　失敗理由その１：「規格の意味がさっぱりわからなかった」

--　では一つずつお伺いしたいと思います。最初の要因「ISMS規格そのものがさっぱりわからなかった」というのは具体的には。

ISMSにおいては、情報資産の扱い方について、いろいろと規定や要求があります。しかし最初の頃は、何が期待されているのか、どう応えればいいのか、さっぱりわかりませんでした。

最初のイメージでは、ISMSという何かの細かい規則があって、わからないなりにも、それを鵜呑みにしておけば、合格点がもらえるのだろうと思っていたら、これが大きな間違い。そうではなく、ISMSは、その基本思想なり全体の骨格なりを理解していないと絶対に合格できない規格でした。

例えば、日本史の試験問題なんかで、「大化の改新は何年ですか」といったタイプの問題なら、大化の改新の意義など知らなくても、645年と答えておけばマルがもらえます。しかし、「大化の改新が日本史に与えたインパクトについて述べよ」という設問には、自分なりの日本史観がないと回答できないでしょう。

ISMSもそれと同じで、ISMSが求めるセキュリティ像を把握し、それを自分の言葉で説明できるようでないと、合格できないのです。でも、当時の私のセキュリティ理解は、「脆弱性って、何それ？」という、お話にならないレベルでしたから。

■　失敗理由その２：「事前作業のあまりの面倒さに音を上げた」

--　次のポイント、「情報資産の洗い出しからリスク分析作業のあまりの煩雑さに挫折した」というのは具体的には？

ISMSとは「社内の情報資産を管理するための手法、規格」とも言えます。ですので、まず最初に、社内の情報資産を洗い出し、リスク分析しなければならないのですが、この作業の繁雑さにはほとほと参りました。

--　「情報資産」の定義は何ですか？

社内に存在する「情報」で、「なくなったり不備があったりすると経営に支障をきたすもの」が「情報資産」です。ということは、サーバ内の顧客情報や、経理情報はもちろんのこと、見積書の控えや注文書の控えなども、情報資産に該当します。それら一つ一つにつき目録をつくり、管理の手法や保管の年限を定義しなければならない。面倒この上ない作業です。

--　例えば、どんなふうに面倒なのでしょうか。

そこの本棚に「わかるAccess97」という本がありますね。これも一種の「情報資産」と見なせます。この本の扱い方を例にしてご説明しましょう。もしこの本を、情報資産として扱おうとすれば、以下のような質問に答えなければならなくなります。

１．現在、社内のAccessは、Access2003である。Access97で作ったプログラムを納品することはない。だとすれば、なぜここにAccess97の本があるのか、理由を述べよ。

（これに対し、「単なる入門書ですから」とか「これでとりあえず概要をつかんで…」といったあいまいな回答は許されません）

２．（上記の質問に対し、「わかるAccess97」が必要な理由はかくかくしかじか…といった回答をした場合、次には以下のような質問が来ます）

「わかるAccess97」が業務に必要な情報資産であるというのなら、その管理方法を定義しなければならない。今後、何年間の間、どのような体制で保持管理するのか、管理方法を定義せよ。

（これに対し、「本なのだから本棚に入れておくだけです」といった回答は許されません）

３．「わかるAccess97」が業務に必要な情報資産であるというのなら、その本の中に誤字脱字、誤記述がどの程度あるのか、調査せよ。もし誤記述があるのなら、それが業務にどの程度、影響を及ぼすのか定義せよ。

（これに対し、「そんなの知るか！」と回答してはいけません）

■　失敗理由その３：「予備審査で、審査員にぼろくそに言われた」

--　最後のポイント「予備審査の時の審査員に、ぼろくそに言われて、精神的にもめげた」については。

ISMSの場合、一次審査に先立って予備審査を受けることが出来ます。予備審査は、本試験の前の模試みたいなものです。予備審査においては、審査員の質問に的確に回答できなければなりません。

しかしながら、このときの審査員の質問にはほとほと参りました。

--　どう参ったのでしょうか。

弊社のような中小企業がISMSを受けることは、彼にとっては非常識なことだったようです。何を回答しても否定されました。例えば、弊社では、経理や人事、総務などの管理業務は、すべて社長の私が行っていますが、これが彼の目には、理解しがたい野蛮な体制に映ったようです。

--　中小企業において、経理、人事、総務を社長が兼任するのは、しごくありふれた話だと思いますが…。

ところが、その審査員に言わせると、「そんな管理はありえない。それで企業が成り立つはずがない」といって、頑として認めない。そんなこと言ったら「じゃあ、アンタの目の前にある、このウッドベルという会社はどうなるんだ。こういう体制で十数年経営してきたオレはどうなるんだ」ということです。目の前の現実を認めようとしない、硬直した考えの審査員でした。

ISMSは分からない。情報資産の洗い出しは発狂寸前の面倒くささ。さらに予備審査ではぼろくそに言われる……。こんな面倒ならISMSなんか取れなくていいやと、すっかりやる気がなくなり、いったんは投げ出してしまいました。2005年の初め頃のことです。

■　二回目の挑戦で合格できた、その理由

--　そうしていったんは中断したISMSの取り組み。どういうきっかけで再開したのでしょうか。

やっぱり一度始めたことは最後までやり遂げなきゃなと、時を経るうちに、そんな気持ちになってきました。ワークストラストのコンサルタントである相馬さんと知り合ってたのは、その頃です。なかなか良さそうな方だったこともあり、よし、もう一度やってみるかという気になりました。これが2005年の初夏のことです。

--　そうして、約半年後の2006年4月には、見事ISMS認証に合格しました。今、振り返ってみて、合格の要因となったのは。

以下の４点が要因であったと思います。

１．相馬さんの指導が的確だったこと。
２．ワークストラストから提供されたリスクアセスメントツールが、「使えるソフト」であったこと。
３．自分自身、ISMSに対する理解が格段に深まっており、一次審査、二次審査において堂々と受け答えできたこと。
４．社員が、ISMS取得の必要性を理解してくれたこと。その上で情報資産洗い出しなどの面倒な作業も、一致協力して取り組んでくれたこと。

■　成功理由その１：コンサルタントの質

--　では一つずつお聞きしたいと思います。一つめのポイント「相馬さんの指導が的確だったこと」というのは具体的には。

相馬さんは、説明が上手い。論理を押しつけるのではなく、たとえ話など使って、相手に分かるように、流れをつくっていくタイプの説明でした。流れが見えれば、「全体像」もつかみやすい。一次審査、二次審査で、審査員の変化球の質問に堂々と答えられたのも、事前に、「全体像」を把握できていたからだと思います。

■　成功理由その２：リスクアセスメント ソフトウエア PRAM

--　次のポイント「ワークストラストが提供するリスクアセスメントツールが、『使えるソフト』であったこと」というのは具体的には。

先ほど述べたとおり、社内の情報資産の洗い出しからリスク分析まで、そして管理方法の定義には、非常な忍耐力を必要になります。しかしリスクアセスメントツールを使えば、そういう作業が簡単にシステマティックに行えます。これは助かった。リスクアセスメントツールがなかったら、また途中でいやになって投げ出していたかもしれません。本当に便利でした。

--　具体的にはどのように便利だったのでしょうか。

箇条書きで順々に述べるならば、以下のようになります。

１．一回入力した項目を転記せずにすむ。更新やメンテがラク。

２．次々と入力していくことで、無意識のうちにISMSに準拠した管理が出来る。

３．帳票まわりが充実している。極端に言うと、リスクアセスメントツールの出力画面を印刷すれば、それがそのままISMS審査機関に提出するドキュメントとして使える。

--　PRAMなしで作業を進めるとしたら、どうしていたでしょうか。

最初に取り組んだ時にはリスクアセスメントツールの様なツールを持っていなかったので、ExcelやWordを使って、力業で作業していました。そして以下の問題点が出てきました。先ほど述べたリスクアセスメントツールの長所と裏返しの問題点です。

１．Excel管理の場合、一回入力したデータを元に、別のドキュメントを作るときに「転記」が発生する。

２．転記が発生するということは、一つのデータが、複数箇所にコピーされてるということ。変更、修正はきわめて困難。

３．ExcelだとISMSを意識出来ない「作業」になってしまう。

４．提出ドキュメント（帳票）は自分で作らなければならない。打ち直し、入力し直し。

このようにExcelを使うと、大変な面倒を負うことになります。百歩譲って、もし試験を一回パスすればそれで終わりという話なら、ExcelでもOKです。要は、面倒だろうが何だろうが、忍耐と根性でドキュメントを作って、提出してしまえばよいからです。

しかし、ISMSの場合は、一回で終わりではありません。毎年の維持審査、三年に一回の更新審査があります。このたびに、Excelでいちいちドキュメントを作っていたのでは、疲労困憊です。

ISMSのリスクアセスメントにリスクアセスメントツールを使うか、それともExcelを使うのか。これは、経理において、弥生などの会計ソフトを使うか、それともExcelで力業で頑張るか、というぐらいに効率に差が出ます。

■　成功理由その３：自社に合わない規格は理由をつけて拒否

--　ISMSを取る際の適用範囲は二通りに分かれます。部門だけを適用範囲にするのか、それとも、営業や経理など全社全部門を適用範囲にするのか。今回、ウッドベルは、全社適用を選んでいますが、これは部分適用に比べて、準備作業も多くて大変だったと思うのですが、なぜあえてキツイ道を選んだのでしょうか。

ウチのような小さな会社で、部分的にISMSを取得してもあまり意味がないという、正論が理由の一つ。もう一つの理由としては、社長である私の名刺や、営業マンの名刺に「ISMS取得済み」と刷りたかったということがあります。

--　全体適用でないと、ISMS取得済みと名刺に刷れないのでしょうか。

例えば、情報システム部門を適用範囲としてISMSを取得した場合、「ISMS取得済み」と名刺に刷って良いのは、情報システム部門の社員だけです。社長や営業マンの名刺に「ISMS取得済み」と刷るのはルール違反です。

でもISMSを会社の信用拡大につなげたいのなら、外に出て行く立場、つまり社長や営業担当の名刺に書けないと意味がありません。こういう事を考えても、中小企業がISMSを取得するなら、全社を適用範囲にしないと効果が薄れると思います。

■　ISMS規格の中で、自社の業務体制に合わない規格が合ったときには、どうするか

--　とはいえ、営業部門をISMSの適用範囲にするのは躊躇しませんでしたか。率直に言って、営業部門をセキュリティでがんじがらめにすると、仕事にならなくなる、つまり売り上げが上がらなくなると思うのですが…。。

いや、それは大丈夫です。ISMS規格のうち、自社の営業体制に合わないものは、採用を拒否すれば良いのです。

--　でも拒否したら認証がもらえないのでは。

そのようにみなさん思いこんでいますし、そういう指導をしているコンサルタントもいるようですが、単なる勘違いです。ISMSには127の管理案がありますが、実はこれら全てを受け入れなくても、審査に合格することは可能です。ただし、その場合は、審査員を十分に納得させるだけの理由を説明できなければなりませんが。

--　つまり、「自社に合わない決まり」に対しては「受け入れません」と宣言してしまえばよいと。

宣言するだけではだめです。拒否するからには、それなりの理由が説明できなければなりません。理由を聞かれて口ごもるようなら、そこで不合格です。

--　では、審査員にこう聞かれたらこう答えるといった、「想定問答集」を準備しておく必要があると。

いや、そういう問答集はたぶん役に立たないでしょう。審査員もプロですから、おざなりの回答はすぐに見抜きます。「あなたは今＊＊と言いましたが、では、＊＊の場合はどう対処しますか？」というように、様々な角度から、応用質問を投げかけてきます。それに堂々と答えられないと合格できません。