ビジネスコーチ株式会社は、LRM のサポートのもと、2026年2月にISO/IEC 27001（ISMS）認証を取得されました。
事業ごとに分社化しているため対象部署が多く、社内にISMSの実務経験者がいない状況からのスタートでした。
認証取得の背景や進め方、コンサルティング会社の選定基準、そして今後の運用方針について、同社の情報システム部ご担当者様にお話を伺いました。
ビジネスコーチ株式会社は、「あなたに、一人の、ビジネスコーチ」をコーポレートスローガンに、一人ひとりの多様な魅力、想い、能力の発揮を支援し、働く人が幸せを感じられる社会の持続的発展を可能にすることを存在意義として掲げています。日本経済新聞社との戦略的パートナーシップにより、「実行人財の創出」を共通の使命として、経営戦略と人材戦略の一体化を通じた人的資本経営をリードしています。エグゼクティブコーチングや管理職向けコーチング、1on1の定着支援など、ビジネスコーチングを主軸とした人材開発・組織開発の手段を、経営者や起業家、そこで働く社員の皆様に提供しています。
設立：2005年4月。本社：東京都港区。
企業の人事部門に向けて、研修やコーチング、eラーニングといった人材開発に関わるサービスを提供しています。
経済産業省などが進めるサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）が話題になった頃から、クライアント企業から届くセキュリティチェックシートの基準が上がりました。回答すべき内容もより詳細になっており、セキュリティ強化の必要性を強く感じていました。
経営層から、セキュリティ体制を整えたいという方針が示されたことが始まりです。外部から求められる水準が上がっていた時期でもあり、あらためて体制を整えたうえで、セキュリティにしっかり取り組んでいることを対外的に示せる状態にしたいと考えました。
プライバシーマーク（以下、Pマーク）を取得・運用していました。取得後に分社化したため、現在は本社のみがPマークを保有している状態です。Pマークにおける取り組みは、個人情報の管理が中心となります。今回は、当社のセキュリティ体制をより高度化するべく、情報セキュリティ全般を対象としたISMS認証取得を目指しました。
情報システム部です。Pマークの取得と運用は総務部が主導していましたが、ISMSは情報システム部が担当しました。
Pマークよりも対象となる情報の範囲が広く、技術的な知見が求められる領域があり、システム権限の面でも情報システム部でなければ対応できない点があったためです。
私自身を含め、社内にISMSの事務局や認証取得の経験者はおりませんでした。そのため、まずは自身でISMSについて調べ、社外の情報システム担当者のコミュニティが開催する勉強会にも参加しました。調べた情報や、勉強会で相談した方々のお話を踏まえ、自社のみで進めるのは難しいと判断しました。そこで社内に相談したところ、コンサルティング会社の活用を認めてもらえたため、依頼先を探し始めました。
6社ほどとお話ししました。当社は事業ごとに分社化しており、認証取得の検討範囲における部署数が非常に多く、それに加えて、部署に所属している担当者が1名のみという状況も少なくありません。そうした特殊な事情から、他社様では対応が難しいとお断りを受けたり、引き受けていただくための見積もりが高額になったり、進め方についても困難であると厳しい指摘を受けたこともありました。
最終的に2社が残り、うち1社はコンサルタント様がお打ち合わせに参加され「現場でのヒアリングも台帳・マニュアル作成もすべてこちらで対応するので、貴社は何もしなくてよい」というご提案でした。一任すれば取得はでき、通常業務の工数を圧迫せずに済むと考えましたが、認証取得後は自社で運用できるようにしたかったので、すべてお任せしてしまうと自社で運用ができなくなるリスクがあると判断しました。
一方でLRM様には、自社での運用を前提として、伴走してサポートいただけるご提案だったため期待が持てました。
また、LRM様の営業担当・佐藤様が当社の複雑な状況を丁寧に聞いてくださり、組織や状況が変わるたびに親身に寄り添いご相談に応じてくださったことも決め手のひとつです。契約段階では担当いただくコンサルタント様にはまだお会いしていませんでしたが、佐藤様と同じように向き合ってくださるはずと期待して、LRM様にご依頼いたしました。
実際にお会いした担当コンサルタント・増元様は、いつも親身に相談に乗ってくださいました。また、とても論理的で説明が分かりやすい方で、増元様とお話ししていると、自分の中で思考が整理されて、規格の理解しづらい内容もすっきりと理解できる感覚がありました。相談しやすく、非常に信頼しています。
まず、情報資産やリスクを管理するための台帳作成から始めました。全社に展開する前に、まずは自部署で台帳を作り、どのような資料かを把握したうえで、各部署に作成を依頼しました。台帳作成と並行して、既存の社内マニュアルを参照しながら、ルールの検討と文書作成も進めていきました。ミーティングやメールなどで、LRM・増元様に作成物について都度確認してもらい、次に取り組むべき課題の認識を合わせながら準備を整えていきました。その後、内部監査を実施して、審査を受けたという流れです。
マニュアルが完成したのは年末で、翌1月に一次審査、2月に二次審査という日程でした。社内のルールを決める際に、分社化しているために確認を取るべき関係者も多く、想定より時間がかかっていました。そのため、マニュアル完成後から審査までは短い期間での対応を迫られました。しかし、「何をどこまで文書として決めておくか」という線引きの判断は、運用しやすさに直結します。無理なく自社で運用していくためにも、時間をかけるべきだと判断しました。
台帳作成は各部署の協力もあり、スケジュールにも滞りはありませんでした。すべての情報資産や業務内容を私が把握しているわけではないので、各部署で作成する形にしました。ただ、対応した人によって記載の粒度に差が出やすいので、全体の基準をそろえるための確認・調整作業がもっとも大変でした。初年度はLRM・増元様にもご確認いただいたため、修正するポイントをつかむことができました。
各部署の担当者に、LRM・増元様による説明会に参加いただき作成を進めてもらいました。あわせて、参加できなかったメンバーや台帳入力を担当する現場メンバーに向けて説明会動画を各部署に共有し、作成方法の概要やポイントをテキストで案内しました。動画と案内をもとに、各部署の担当者が手探りながら対応してくれたおかげで、根本的な認識のずれはかなり抑えられたと思います。また、作成で困りごとなどがあれば相談してもらえるように、メールやオフィスで社内に呼びかけることで、必要なコミュニケーションがすぐに取れるように心掛けました。
基本は、LRM様が提供するフォーマットをもとに整備を進めました。フォーマットを読み合わせつつ自社の状況をヒアリングしてもらい、既存ルールをそのまま反映できる部分はそのまま活用し、ルールが存在しない部分や、より高度に設定すべき部分は新たに策定しました。社内のセキュリティに関するルールをあらためて整備できましたし、必要な時に情報を探しやすくなったと思います。
社内ルールの大きな改定については、その都度全社に発信し、変更点の共有および対応の徹底を依頼してきました。こうしたルールの浸透は、引き続き行っています。
教育については、認証取得時にはeラーニングを実施しました。今年度は新しいeラーニングの研修に加えて、自社の独自ルールに基づく研修を全社で実施しました。当日参加できなかった従業員もいるため、録画とテキストデータをeラーニングシステムから共有し、内容の定着測定のためにテストを受講してもらう形式をとりました。
実は、認証取得の取り組み時には、こうしたルールの浸透や教育について難しさを感じていました。ISMS事務局に、複数部署を横断的に兼務しているメンバーが途中から参画したことで、社内への働きかけがスムーズになり、推進力が上がりました。
今年度からはセキュリティ委員会も発足し、ISMSの運用と絡めつつ各部署と連携を取りながらPDCAを回し、質の向上を図っています。
内部監査は、LRM様に監査員をご担当いただき、実施しました。LRM・増元様と上田様の2名体制で、各部署の担当者と細かく確認を進めていただきました。対象部署数が多く日程調整の難航が予測されたため、あらかじめスケジュールを共有したところ、全員が参加できました。
基本的にはLRM・増元様と上田様にご来社いただき実施しましたが、一部の部署はオンラインで実施しました。審査の直前に、もともとご対応いただく予定だった審査員の方がお怪我をされてしまい、急遽、代理の方にご担当いただく運びとなりました。事前に当社の情報はお送りしていたものの、突然の交代でしたので、代理の審査員の方が当社の状況を把握する時間は限られていたと思います。そのため審査当日は、冒頭に当社の体制や分社化している組織構成を説明する時間をしっかりと確保しました。ハプニングはありつつも、無事に認証取得に至ることができたので安心しました。
しっかり準備してきたものの、「無事に取得できるだろうか」という精神的なプレッシャーがありました。
社内メンバーから「必要なものはそろっているから、きっと大丈夫」と声をかけてもらえたことや、LRM・増元様からも事前確認をしてもらい、「大丈夫です」と励ましてもらえたことが支えでした。まずは無事に審査を終えられて取得のご報告ができてよかったです。審査では、想定よりも細かく確認される場面もありましたが、厳しくご確認いただけたことで、社内体制の改善につなげられたと思います。
まずは、自社で運用できる状態を目指しています。認証を取得しただけでは、運用の継続や改善といった点においては十分なナレッジが蓄積されません。実際に運用を回してみて、維持審査を何度か経験していくことで、知見を積み上げたいと考えています。
また、ISMS運用において、LRM様のお力も引き続きお借りしたいと思っており、現在は「セキュリティ顧問」サービスを契約させていただいています。当社でもAIを導入しており、運用に迷ったとき、AIによって選択肢を得ることはできます。
しかし、何を実施するかを最終的に判断し、責任を持つのは、担当者や経営層となります。適切な判断をしていくためには、現場での経験や知見も豊富な専門家の伴走が必要だと実感しています。
「何が今取り組むべき課題なのか」「どう解決に導くのが最適か」を自ら見極められるようになるには、やはり何年か運用を重ねる必要があると考えています。LRM様にご支援いただきながら、担当者として、ISMSをしっかりと回せるように成長していきたいです。
当初はISMSの取り組みを事務局経験がない自分が担うことになり、孤独感もありましたし、ISMSについて調べれば調べるほどうまく進むのだろうかという不安が強くありました。認証取得に向けた定期的なミーティングのなかで、LRM・増元様には毎回親身に相談に乗っていただきました。
細かな確認も丁寧にお答えくださり、理解や納得をして進めることができました。ずっと伴走していただけたことで「一人ではない」と思えましたし、一人で進めていたら心が折れていたと思います。初年度にLRM様に伴走していただいた基盤があるため、今年度は自分主導でISMSの計画、運用を進められています。LRM・増元様と上田様のお二人と一緒に仕事ができたことは、私にとって財産となりました。
初めての取得では、分からないことも不安も多いと思います。私自身も、経験がなく、社内に専門の人材もいない状態から取り組みを始めました。LRM様にプロジェクト発足から次年度まで、PDCAサイクルを伴走していただけたことで、ISMSを運用していく感覚をつかむことができました。不明点を都度確認でき、不安な面も相談に乗っていただけたため、進めていくうちに道筋が分かり、運用の土台が社内に残りました。
信頼できる専門家と一緒に進めることで、単なる「認証取得」で終わらせず、自社で継続運用できる体制を築くことができました。一人で抱え込まず、伴走してくれる専門家と一緒に進めることをおすすめします。
ビジネスコーチ株式会社様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。
ご相談は無料です。
現状の課題やご要望をお聞かせいただければ、
最適なプランと概算のお見積もりをご提案いたします。