京セラドキュメントソリューションズ株式会社 – ISO27001&ISO27017同時取得 –

京セラドキュメントソリューションズ株式会社は、クラウドビジネス拡大に向け、ISMS/ISO27001認証、およびISO27017/ISMSクラウドセキュリティ認証を同時取得しました。今回の取り組みは、自社の現行ルールを第三者視点で再評価する機会にもなったと言います。LRMにコンサルティングを依頼した理由や認証取得に至る経緯、今後の取り組み課題などについて、ISMS事務局の上之郷陽氏、梅永明宏氏、實克洋氏、荒木理仁氏の4名にお話を伺いました。

（京セラドキュメントソリューションズ株式会社 について）

モノクロおよびカラーのプリンター、複合機、ドキュメントソリューション、アプリケーションソフトウェアなどの開発・製造・販売を行う企業。京セラグループ全体の主力部隊として約4分の1の事業規模を有する。京セラドキュメントソリューションズグループとしては世界に71社を展開する。主力のプリンター『ECOSYS（エコシス）』と複合機『TASKalfa（タスクアルファ）』は世界140か国以上で販売され、特にドイツ、ロシア、イタリア、スペインなど多数のエリアでシェアNo.1を獲得している。最大の特徴は、優れた環境性と経済性にある。『ECOSYS』ブランドのプリンターは、1992年の販売開始当時から、高い環境意識のもとで開発され、1997年にはページプリンター業界初となるブルーエンジェルマーク（世界で最も厳しいとされるドイツのエコマーク）を取得。また、アメリカのBLI（ドキュメント機器に関する独立調査機関）からも、毎年高い評価を受けている。2016年のG7伊勢志摩サミットに続き、2025年日本万国博覧会誘致委員会のオフィシャルパートナーとして協賛している。
設立；1948年。2012年より現社名。グループ社員数；約21,000名（2017年12月現在）。本社；大阪市中央区。

— LRMへのご依頼内容をお話し下さい。

弊社は、LRMにISMS/ISO27001（以下、ISMS）認証とISO27017/ISMSクラウドセキュリティ（以下、ISMSクラウドセキュリティ）認証の同時取得コンサルティングを依頼しました。また、オプションとしてCSA STAR登録のサポートも依頼しました。

LRMのコンサルティングがスタートしたのは2017年2月です。LRMの担当者は、幸松さんと井崎さんです。

ISMSおよびISMSクラウドセキュリティの認証取得と、CSA STAR登録は並行して準備を行いました。そして同年5月にCSA STAR登録を終え、続いて11月中旬、ISMSとISMSクラウドセキュリティの両認証を取得しました。

— ISMSおよびISMSクラウドセキュリティ認証の適用範囲をお話し下さい。

ISMSおよびISMSクラウドセキュリティ認証の適用範囲は、弊社が提供するクラウドサービスの開発運用を担う3つの部署です。現在、弊社が販売会社にグローバル提供しているクラウドサービスは「KYOCERA Fleet Services」と「KYOCERA eAppsMaker」の2つで、それぞれの開発運用は、サービスごとにチームに分かれて行っています。
まずは最小限必要としているこの2つのチームを適用範囲として両認証を取得しました。

— CSA STAR登録についてご説明下さい。

CSA STAR（Security, Trust & Assurance Registry）は、クラウドサービスのセキュリティレベルを評価するための基準です。クラウドサービスプロバイダにおける情報セキュリティ対策の透明性を確保することを目的とする非営利国際団体・CSA（Cloud Security Alliance、本部：米国）が開発・公開しています。

CSA STARの中でも、今回、クラウドセキュリティレベルの評価の取り組みに利用した「CAIQ」と呼ばれるドキュメントには、約300項目のベストプラクティスが記載されています。クラウドプロバイダは、そこで公開されているベストプラクティスの各項目に自社サービスが準拠出来ているかを「Yes」か「No」で回答していくことで自己評価することが出来ます。また、評価レポートをCSAに提供し、登録することが出来ます。登録が完了するとレポートがCSAのウェブサイトで公開され、それによって、ユーザーに対し、自社サービスのセキュリティレベルを判断する材料を提供することが可能となります。

— CSA STARは認証制度ではないのですか。

BSIグループジャパンが認証サービスも提供していますが、認証取得まで視野に入れるとISMS以上の期間が必要となります。また、世界で利用されている多くのメジャーサービスも登録までにとどめていますので、前例に倣う形で、セルフアセスメントの実施と登録をゴールに設定しました。

— ISMSとISMSクラウドセキュリティについて伺います。両認証取得の準備を進めるための社内体制をお話し下さい。

LRMとの打ち合わせはISMS事務局が担い、社内での作業はISMS事務局と開発部門が連携して行いました。

— 両認証取得の準備はどんな風に進みましたか。

重点的に行ったのがベースライン分析です。約半年かけてISMSの管理策114項目と、ISMSクラウドセキュリティの管理策79項目を順番に検討しながら、現行ルールとのギャップアンドフィットを行い、その後、文書体系をまとめていきました。ベースライン分析は、ISMSとISMSクラウドセキュリティでそれぞれ分けて行いましたが、文書体系はバラバラではなく、1つにまとめてもらいました。

ここまでがルールを固める作業であり、ISMSとISMSクラウドセキュリティの両認証取得に向けた活動のメインです。その後は、従業員教育、内部監査、マネジメントレビュー、そして審査という順番で進みました。

— 現行ルールを最大限に活かす方針を決めてLRMにコンサルティングをご依頼されたわけですが、その方針に対する結果はいかがでしたか。

方針通りの結果となりました。今回、新規に作成した文書類は、ISMSマニュアルやISMSクラウドセキュリティのガイドラインです。その他は既に存在している文書を活かしました。

— ベースライン分析の結果、現行ルールに変更を加えた点はありませんでしたか。

全社で運用している現行ルールは、ISMSの旧規格であるISO27001:2005のフレームワークに沿って構築したものです。ISMS認証を取得するには最新版のISO27001:2013に準拠する必要があります。そのために改善すべき箇所は、現行ルールの運用を担うIT部門と相談し、今回の認証適用範囲とした部門のローカルルールとしてチューニングしました。例えば、端末やサーバーなどにログインする際の様々なパスワードの管理ルールや、外出先でのWi-Fi利用に関するルールなど最新版の規格に合わせる形で補足して明文化しました。

ISMSクラウドセキュリティに関しては、既存のセキュリティホワイトペーパーを確認し、規格の要求に対して不足する部分を追記しました。また、サービス自体が新しいため、バックアップやログの台帳など、文書化が後回しになっていたところがあったため、この機会に整備しました。

— 御社側で担った作業内容をお話し下さい。

ベースライン分析で検討した内容を文書類にまとめていく作業はLRMに担っていただきました。弊社側の作業は主に以下の3つです。

（1）持ち帰り検討事項の精査

ベースライン分析を進める中で、ISMS事務局メンバーだけでは決めかねる箇所がいくつもありました。打ち合わせの場で決められない場合は、社内に持ち帰り、開発部門を交えて検討して対応を決めました。
また、ISMSクラウドセキュリティ認証にかかる作業では、CSC（サービス利用者）側の対策としてサービスのクラウド基盤に利用しているマイクロソフト『Azure』のセキュリティ仕様について、利用規約を確認したり、マイクロソフト社に問合せを行ったりしました。

（2）文書類の吟味と追記

ベースラインに基づいてLRMが作成した文書類の内容をISMS事務局が吟味し、必要があれば追記していきました。

（3）情報資産台帳の作成

開発部門が中心となって情報資産を洗い出し、情報資産台帳を作成しました。また、ISMS事務局の立場からは、現場でメンテナンスができる情報資産台帳を作るために意見を交わし、一緒にレビューを繰り返していきました。

— それらの作業をする中で苦労したことはありましたか。

苦労したのは、最も時間をかけたベースライン分析です。当初は隔週で打ち合わせをしていましたが、数か月たった時点で、予定よりも遅れはじめていることがわかり、毎週打ち合わせをするようになりました。

予定以上に時間がかかった理由は2つあります。

1つは現行の全社ルールとのギャップアンドフィットに手間がかかったことです。弊社の全社ルールは、ベースにグループ全体のルールがあるため、規格の要求に合わせる際に、ISMS事務局メンバーだけでは即答できないことが多くありました。

もう1つは勉強をしながら作業をしていったということもあります。認証取得後は自分たちで運用することになるため、表面上の理解だけで終わらせたくない気持ちがあり、ベースライン分析の中で不明な点があれば、疑問がなくなるまでLRMに質問しました。

打ち合わせ後は必ずISMS事務局メンバー同士でその日の打ち合わせ内容を振り返りましたが、その中でさらに疑問が生じると、次回の打ち合わせ時に聞こうということになりました。そのためLRMとの打ち合わせは毎回、前回の復習から入りました。2時間の打ち合わせのうち、毎回、冒頭の約30分間は前回の復習に充てていました。それに対して幸松さんと井崎さんも丁寧に応えてくれたため、大変勉強になりました。

例えば、ISO27017には、クラウドサービス提供者として「ログ機能を利用者に提供しましょう」という管理策がありますが、具体的に、どんなログを提供すればよいかまでは記載されていません。また、クラウドサービスの利用者に、バックアップの機能に関する情報を提供するよう求められていますが、こちらも、具体的にどのような情報か、までは特定されていません。それらはビジネスやサービスによって変わるものです。弊社としてどう規定すれば良いかという判断で、非常に悩みました。そのような時はLRMに相談し、アドバイスをもらい、落としどころを探っていきました。

— 従業員教育を実施したのはいつですか。

従業員教育は、2017年8月、LRMの情報セキュリティ教育クラウド『セキュリオ』のeラーニング機能を活用して実施しました。

— 内部監査はどのように行いましたか。

内部監査に関しても今回は勉強の機会とし、LRMに内部監査員を代行してもらって実施しました。その中で注意喚起や改善点をご指摘いただき、現場にフィードバックをしたことで、例えば、「ログをきちんと取る」ことの重要性を再認識するなど、現場の意識向上につながりました。

また審査前には、ISMS事務局向けの内部監査も実施してもらいました。文書類をチェックし、どんなことを聞かれるのか、どのような回答をすれば良いかを一通り整理していきました。ドキュメントの各項目がどの管理策に該当するのかを示すマッピングも用意してもらいました。審査を迎えるにあたって不安がありましたが、直前に確認が出来たことで、安心して審査を迎えることが出来ました。

以上の経緯を経て、9月に第２段階審査を受け、11月中旬にISMSおよびISMSクラウドセキュリティの両認証を無事に取得しました。

— LRMのコンサルティングを受けたご感想をお話し下さい。

契約時に期待した通り、LRMには、弊社に合わせてカスタマイズしたコンサルティングをしていただきました。
ISMS認証とISMSクラウドセキュリティ認証の同時取得プラスCSA STAR登録は、他のコンサルティング会社ではまず実現できなかったと感じています。

基本的にコンサルティングというサービスは、線引きをしなければ成り立たないビジネスではないかと思います。
クライアントの要求を全て聞いていては、収拾がつかなくなる危険があります。コンサルティングを受けたことがある多くの経験者から話を聞いた限りでは、その線を崩さないコンサルタントが多いと感じていました。

しかしLRMにはそのようなとっつきにくさは感じません。例えば井崎さんは、現行ルールを読み込んで弊社の社員と同等のレベルでルールを把握した上でコンサルティングに臨んでくれたり、ISMSクラウドセキュリティの管理策の解釈に悩む我々向けに、自分なりの解釈を文書にまとめて提供してくれたり、壁を感じさせない対応をしてくれました。
そういった対応が、相談や質問のしやすさにもつながっていると思います。

定型化されたやり方を押し付けるのではなく、認証取得企業の事情に合わせてサポートできることがLRMの最大の強みではないでしょうか。

— 今後の課題などがあればお話し下さい。

今後ISMS事務局として目指していることは、今回LRMに依頼したことを、出来る限り内製化していくことです。
特に内部監査は全て代行していただいたので、自社内で対応できる体制を整備していく必要があります。ISMS事務局のメンバーだけでは全部門に対応できないので、将来的には内部監査員の育成も課題となるでしょう。

また、ISMSとISMSクラウドセキュリティの両認証を維持していくだけの活動にとどまっていては組織としての発展性がありません。将来的には、セキュリティを維持するプロセスだけではなく、技術面やビジネス面を含め、開発部門に対するアドバイスや支援をワンストップでできる組織に発展させたいと考えています。

— LRMへのご期待をお話し下さい。

「内製化＝脱コンサルタント」ではありますが、今すぐ独り立ちすることはできません。特に次の維持審査では認証範囲の拡大も予定していますので、専門家のサポートが必須です。そこでLRMのISMS運用改善サービス『情報セキュリティ倶楽部』を契約しました。新規取得の際は、LRMが我々の前に立ってリードしてくれましたが、次の維持審査に向けては、後ろから支援をおこなうことで、自立を促していただければと考えています。

京セラドキュメントソリューションズ株式会社様、お忙しい中、有り難うございました。
今後ともよろしくお願いいたします。

※ 京セラドキュメントソリューションズ株式会社様のWEBサイト
※ 取材日時 2017年12月