株式会社東京ドーム様 – 顧客事例 –

『TDポイントカード』の
サービスサイト

— ISMS認証取得に取り組み始めた経緯をお話下さい。

ポイントカードグループは従来より、『TDポイントカード』の運営業務を行う上で常に情報セキュリティを意識しながら、様々な施策を打っていました。ちょっとしたインシデントが発生しただけでお客様の信頼を失いかねません。会社の上層部も情報セキュリティに対して非常に敏感で、常々、注意喚起がなされていましたので、お客様の個人情報を扱う『TDポイントカード』の業務に携わる社員は、非常に慎重に対応してきました。

近年は特に、社会における情報セキュリティへの関心は高まっています。有名な企業での事故が報道される度に、「本当にうちは大丈夫か」と言われることが増えていました。

そのような声を受け、対応を議論する中、第三者機関が定めたフレームワークを活用すれば、網羅的にセキュリティレベルを高め、お客様に安心してご利用いただける環境を整備することが出来るのではないかと考えました。

— 認証取得に向け、具体的に動き始めた時期はいつですか。

2017年末ぐらいです。『TDポイント』の運営で最もクリティカルな情報は、会員様の個人情報です。そのため、当初はプライバシーマーク（以下、Pマーク）の取得を考えていました。しかし準備を進める中で、Pマークは企業単位での取得しか出来ないことがわかりました。会社全体となりますと、拠点は東京ドームシティ全体に及びますし、事業内容も情報の種類も多種多様で、やり始めたら収拾が付かなくなる不安がありました。情報セキュリティ体制を固めるためのフレームワークとしてPマークの他に何があるのかを調べ、ISMSが有効だろうと考えるに至りました。

— これまで取っていた対策の具体例をご紹介下さい。

以前から実施していたものには例えば以下のようなものがあります。

（1）誓約書の取り交わし
『TDポイント』の業務に携わる全てのスタッフに書いてもらっています。

（2）会員情報閲覧権限 の設定
社内システムで会員情報の閲覧・出力できる権限を分け、必要最低限の範囲で権限を付与しています。
会員情報を誰でもフリーで閲覧できたり出力できたりする状況にはなっていません。

（3）定期的なパスワード変更の義務化
業務システムのログインパスワードを定期的に変更することが義務化されています。

（4）委託先管理
委託先に対して定期的にアンケートを実施し、セキュリティへの取り組みを把握しています。

以上のような対策は、閲覧権限の設定など 内部統制に基づいたルールもありますが、多くの場合は情報漏洩事故など気になる出来事があった際に部内で話し合って決めていきました。

— 外部の規格を導入することにより業務負荷が大きくなるなどのリスクは感じておられませんでしたか。

業務負荷が増える可能性は感じていました。ただ、取り組む前の不安要素としては、自社の現状の対策が十分なものになっているかどうか、という問題の方が重要でした。本当にこれで足りているのか、もっと必要なことがあるのではないか、弱いところがあるのではないかという不安です。足りないところがあれば補う、すべきことはする、ということに対しては前向きに捉えていました。

— 取得期限は定めておられましたか。

当初は2月を目処にしていました。ただし、あくまでも基盤整備が目的でしたので、絶対いつまでに取得しなければいけないという縛りはありませんでした。リスクアセスメントにしっかり取り組んでいる間に繁忙期を迎えましたが、審査スケジュールを優先せず、引き続きリスクアセスメントに注力する判断をして、期間を延長しました。

文書作成は大変でしたがLRMのサポートでスムーズに出来ました
（IT戦略部情報システムグループ係長・早川眞弓氏）

— ISMS認証取得にあたっての社内体制をお話し下さい。

ISMS認証取得には、ポイントカードグループから4名、IT戦略部から4名の合計8名でISMS事務局を組織して取り組みました。

— コンサルティング会社は何社ぐらい比較されましたか。

3社です。インターネット検索でピックアップして来社していただき、説明していただいた上でLRMに依頼しました。

— LRMに依頼された決め手をお話し下さい。

LRMに依頼した理由は2つあります。

（1）現実的なルール構築
初期構築の段階では現実的な範囲でルールを構築し、運用しながら改善していくという方針が合致すると感じたからです。過度に負担がかかる状況は避けたいと考えていました。

（2）社風の一致
もう1つは感覚的な判断ですが、弊社と社風が近いと感じました。営業担当の藤居さんと話して信頼出来ると思いましたし、細かく対応していただけるのではないかという心証を得ました。藤居さんから「御社の雰囲気に合ったコンサルタントをアサインします」と言われたことも安心材料でした。前半は村田さん、後半は大谷さんと、お二人に担当していただきましたがどちらも話しやすく頼りになり、打合せの雰囲気は良かったです。

認証取得を最優先課題としていなかったことは、コンサルティング会社選定にも影響しました。内部の体制をきちんと整備するためのパートナーとなり得るコンサルティング会社を探した結果、最終的にLRMに依頼しました。

LRMのリードに従って作業していたらいつの間にか出来ていました
（営業推進部ポイントカードグループ・岩瀬昭子氏）

— 取り組みの成果をお話し下さい。

私達の目的としていた体制整備が出来ました。

（1）チェックリストが出来て管理がしやすくなった
特に良かったことは、情報資産台帳やリスク管理台帳を始めとした台帳類が整備されたことです。チェックリストが出来て管理が楽になりました。委託先管理台帳を例に取ると、従来、委託先へのアンケートは実施していましたが、台帳までは作成していませんでした。委託先管理台帳としてリスト化したことで漏れなくチェックできるようになりました。

（2）ルールの共有・浸透がしやすくなった
また体系的なマニュアルを作成したことでルールの共有や浸透がしやすくなりました。
これまでマニュアルはありましたが、分散し、体系的に集約はされていませんでした。
そのため従業員教育は、外部の情報漏洩事故などが話題になった際に、口頭で注意喚起する程度に留まっていました。ISMSの年間タスクには従業員教育の実施が含まれていますが、それだけに留まらず、作成したマニュアルから現場の社員が気をつけなければいけない箇所を抜粋してわかりやすい表現にしたハンドブックを作成し、従業員が必要な時に振り返ることが出来るようにしました。ハンドブックは、新しいメンバーが入ってきた際の研修にも活用することが出来ます。

— 今回の取り組みで新たに取り入れた施策はございましたか。

例えば、以下の施策があります。いずれも2019年5月のオフィス移転に伴う対策です。

（1）書類の廃棄ルール
ポイントカードグループが発足して10年間、書類は全て保存していましたが、必要がないものを処分し、今後の文書管理については廃棄する期限を決めました。

（2）入り口の防犯対策
オフィスの入り口にセコムを導入し、モニターつきのインターホンを設置しました。従来のオフィスは、ビルに警備が敷かれていましたが、移転先にはありませんでした。ISMSでは扉があれば十分ですが、＋αの対策を打ちました。

— 社内システムで整備されたことはありましたか。

自動化により強化した箇所がいくつかあります。例えば、社内システムにログインする際のパスワードポリシーに関連した整備があります。従来は変更期日が来ると個別に連絡していましたが、期日までにパスワードを変更しないと自動的にロックされる仕組みを導入しました。

私達にとって運用しやすいルールになっている実感が持てました
（営業推進部ポイントカードグループ係長・有光美代子氏）

— 全体を通して苦労なさった点はありませんでしたか。

文書類の整備は大変でしたが、LRMのサポートがありましたので、比較的スムーズに出来ました。

— 文書類の整備を大変だと感じられたのは、どのような点ですか。

自分の業務を見直して台帳を作っていく作業は、慣れない作業だったこともあり時間がかかりました。ただ、継続してサイクルが回るようにすることを目指していたため、時間がかかってもしっかりやろうという意識で取り組みました。リスクアセスメントをして業務を見直す工程には特に時間をかけました。ここまでやる必要があるのか、もっとシンプルな情報管理ができないかメンバー全員で検討しました。

— LRMはどのようなサポートをしてくれましたか。

専門家の視点で弊社の現状をチェックして、アドバイスをしていただきました。LRMのリードに沿って一生懸命やっていて気がついたら出来上がっていた印象です。

まず、プロジェクトの冒頭で詳細なヒアリングを通して弊社の実態を把握していただいたことで、現状に沿ったマネジメントシステムが構築出来ました。また、ルール策定で悩んだ際の質問にも丁寧なアドバイスをいただきました。
取り組みの最中では実感出来ませんでしたが、マニュアルが一通り出来上がった際に読み返してみると、私達自身にとって運用しやすいルールになっていることが実感出来ました。

進捗管理のサポートもしていただきました。例えば打ち合わせの場で決められず保留したことも何回かありましたが、文書類の中で明確に把握できるようにまとめていただいたおかげで、後々忘れてしまうということはありませんでした。

さらにルール構築や文書類作成以外では、従業員教育、内部監査のサポートもしていただきました。従業員教育は、LRMの情報セキュリティ教育クラウド『セキュリオ』のeラーニング機能が基本メニューですが、弊社はオプションで集合研修も依頼しました。 また、内部監査では内部監査員を代行していただきました。