株式会社favy様 – 顧客事例 –

お客様が抱える課題とISMS構築アプローチ

• 公募事業にノミネートされたため、年内まで(約5か月)に認証を取得したい
• 認証運用のためにフットワークを重くしたくない
• 取得の際の工数が不明瞭で不安

• クラウドサービスの活用方法は禁止事項を細かく設けるのではなく、利用前に情シスに一報いれるルールに
• ガチガチに縛るのではなく、負担の少ないルールを構築
• 普段の業務内容から情報資産やリスクを洗い出すことで、各従業員がスムーズに台帳を作成

LRMコンサルティングサービスへの感想

• コンサルタントの層が厚く、選択肢を与えてくれた
• チャットによる連絡で密にコミュニケーションがとれた
• 『セキュリオ』のeラーニング機能は受講管理も圧倒的に便利

（株式会社favyについて）

「飲食店が簡単に潰れない世界を創る」というビジョンを掲げ、デジタルマーケティングと食、それぞれの専門家が集まって設立された。最新テクノロジーを活用し飲食店の収益性改善に繋がる仕組みを開発・提供している。全国の美味しい店を応援する分散型グルメメディア『favy』、飲食店のデジタルマーケティングを自動化するためのプラットフォーム『favyページ』を中心に、斬新なサービスを続々と展開中である。飲食店のマーケティングを実証する実店舗を運営し、そのノウハウをサービスに反映している。2019年6月には、飲料メーカーや食材納入業者などとの提携による飲食店特化型サブスクリプションサービス『favyサブスク』を開始。リリースから1年で約1,000店舗の飲食店に導入され、累計流通総額1億円、登録者数1.5万人を突破。飲食店のDXを推進するソリューションとしてマスメディアなどでも注目を浴びている。
設立；2015年7月。本社；東京都新宿区。従業員数；50名（2021年1月現在）。

— LRMへのご依頼内容をお話し下さい。

株式会社favyは、2020年7月、LRMにISMS/ISO27001（以下、ISMS）認証新規取得コンサルティングを依頼しました。担当者は三崎さんと石濱さんのお二人です。7月中にキックオフをして、11月に第2段階審査を終え、年内にISMS認証を取得しました。

–ISMS認証取得に向けた社内体制をお話し下さい。

情報システム部門から2名、法務から1名の合計3名でISMS事務局を組織し、必要に応じて現場にも協力してもらいました。

— ISMS認証を取得した理由をお話し下さい。

弊社がISMS認証を取得した理由は、事業規模の拡大に備えた体制を整えるためです。特に、2019年6月『favyサブスク』をスタートさせたことがターニングポイントになりました。飲料メーカーを初めとする大手企業との取引が発生するようになり、一般ユーザーの個人情報や課金情報なども預かるようになりました。そこで情報漏洩のような事故が起きてしまえば事業継続が出来なくなります。そのような事故を未然に防ぐ体制整備が必要な時期を迎えていると考えISMS認証を取得しました。

— 認証取得の期限は定めていましたか。

ISMS認証取得に向けた準備をスタートした時期と重なり、東京都の公募事業にノミネートされたため、急ぐ必要が生じました。担当者からISMSかプライバシーマーク（以下、Pマーク）のどちらかを取得していないと委託しづらいというお話がありましたので、年内取得を目指しました。

— ISMS取得の取り組みを始めるにあたって心配されていたことはございませんでしたか。

懸念していたことは2点あります。（1）フットワークが重くなる、（2）取得までの負担が大きい、この2点です。

（1）フットワークが重くなる
外部の規格に沿ったルールを作ることでフットワークが重くなるという心配はありました。ISMSについては良く知りませんでしたが、Pマークを取得している企業の話を聞いたり事例を読んだりしていると、がんじがらめになる印象を持っており、ISMSも同じようなものだと思っていました。弊社は基本的に、社内ルールを敷いて、それを従業員に守らせるというスタイルは好きではありません。また、こういったルールは形骸化しやすい性質もあると思っていました。

（2）取得までの負担が大きい
ISMSやPマークを取得するには、各部署への調整やドキュメント作成など、手間暇のかかる作業を行わなければいけません。どれぐらいの負担をしなければいけないかわからないという不安はありました。

こういったマイナス要素も考慮しましたが、会社自体がなくなるかも知れないという最大リスクを考慮すればメリットが上回ると判断し、取得に踏み切りました。

— ISMS認証取得に向け、最初に取り組まれたことは何でしょうか。

まずはコンサルタント探しからスタートしました。こういった認証を受けるための作業は、素人だけでやると必ず手戻りが発生します。メンタル面の負担や時間的なコストを考えれば、実績のある専門家のサポートを受けた方が、総合的なコストは軽減出来ます。

— コンサルティング会社の選定基準をお話し下さい。

料金や取組期間中の連絡手段など、色々な項目を挙げて比較表を作って検討しました。我々が最も重視したのはコンサルタントとの相性です。

各社とも商談は営業が担当しますが、実際に作業を進める際のサポートを担当するのはコンサルタントです。
そこで各社にお願いして、実際に担当していただけるコンサルタントと実際に話をさせていただき、半年間二人三脚で一緒にプロジェクトを動かしていける相手かどうかを吟味させていただきました。

— LRMのコンサルタントはどういった点が良かったですか。

まず、LRMはコンサルタントの層が厚い分、選択肢がありました。その中で弊社の主担当を務めて下さった三崎さんは、インプットが早いと思いました。弊社のビジネスは複雑で、説明が難しいと思っていましたが、理解が早いため、ややこしい説明を割愛することが出来ました。また、LRMは過去のサポート事例が豊富で、その中には我々が知っている会社へのサポート実績も多数掲載されていましたが、三崎さんが担当した事例も数多く乗っていましたので、安心してお任せ出来ると思いました。

コンサルタントとの相性以外には、プロジェクト期間中の連絡にチャットツールを使えるという点も、スムーズに進行出来る重要なポイントになると思いました。弊社は社内では『Workplace』を使っていますが、協力会社との連絡には『Slack』を使っていますので、今回も『Slack』を使用しました。

— ドキュメント作成以外にも従業員教育や内部監査といったタスクがありますね。まず従業員教育についてお話し下さい。

従業員教育は、LRMの情報セキュリティ教育クラウド『セキュリオ』のeラーニング機能を使いました。

— eラーニングを使うメリットは感じましたか。

圧倒的に便利でした。誰が受講しているか、受講していないかがすぐに把握出来ますし、受講していない社員には催促が出来ます。また機能的にシンプルなので管理社側は使い易いと感じました。

ただし、このeラーニングだけでは社内ルールの浸透は難しいと思いました。あくまでも一般知識のチェックには便利なツールだと思います。数学を学ぶには算数をしっかり学ぶ必要があるのと同様、最低限のレベルを全社で揃えていくために、初期段階に利用するツールだと感じました。

— ルールの浸透には、別途、実施されたことがおありですか。

現場を巻き込んだことが、意識の醸成に繋がったと考えています。もちろん情報資産やリスクを洗い出すには現場の力が必要ではありましたが、そういった作業を通して当事者意識を持つことに繋がります。実際、インシデントとまでは言えない、ちょっとした不注意が見つかった時に「ISMSを取得している会社なのだからしっかりやりましょう」といった声が、社員から出るようになりました。ISMS認証取得企業としての自覚は、社内に芽生えているように感じています。

— 内部監査員代行についてはいかがでしょうか。

社内の人間だけで内部監査を行うことは大変リスキーだと思いました。まずどういう観点で何をチェックすれば良いのか、素人には全く把握できません。また社内だけで実施すると、問題があっても慣れてしまっているから気付きにくいという弊害もあります。さらに社内の関係性があるので問題があっても指摘がしにくいなど、公正さが失われる危険もはらみます。情報資産管理台帳やリスク管理台帳の不備を補ったことを含め、LRMに内部監査員を代行していただいたことで、適正な内部監査を実施することが出来ました。審査にもしっかり事前準備をした上で臨むことが出来ました。

— ISMS認証取得により、外部との接点で変化はございますか。

自治体や国とのコミュニケーションが圧倒的に楽になりました。第2段階審査が終わった後、Go To イートの取り組みの中で農水省から情報管理体制について質問がありました。従来は時間をかけて細かく説明する必要がありましたが、ISMSの認証書を待っている状態である旨を伝えただけで終わりました。コロナ禍に関連したものを含め、公共の案件が増えている状況ですが、ISMS認証取得は、各案件をスムーズに進められる要因の1つになりました。
これを機に、さらに積極的に公共領域の案件を広げて行きたいと考えています。

— ISMSの活動に関する今後の課題がございましたらお話し下さい。

目前の課題としては、リモートワークへの対応があります。もともと弊社はリモートワークを推奨しておらず、対面の方が効率的であるというスタンスで会社を運営してきました。しかし、コロナ禍の解決が見込まれない以上、働き方自体を根底から変えていく必要に迫られており、リモートワークも許容せざるを得ません。今もリモートワークを禁止しているわけではありませんが、基本は会社で仕事をすることを前提にルールを構築していますので、リモートワークを前提にしたリスクアセスメントを追加するなど、状況に合わせて刷新をしていく計画です。

— LRMのコンサルティングを受けたご感想をお話し下さい。

他社との比較は出来ませんが、一体感のある取り組みが出来ました。また、オンラインミーティングやメッセンジャーツールによるコミュニケーションを受容していただけたことで、コロナ禍においても密なコミュニケーションが実現しました。社内でドキュメントを作成する際の文面上の表現で困った時に、『Slack』に質問を投げておけば、大体は翌日に回答していただけましたので、滞りなく作業を進めることが出来ました。

— 今後の御期待がございましたらお話し下さい。

リモートワークへの対応を含め、ISMSを運用していく上で、LRMのサポートを受けられないのは困ります。相談窓口として継続的にサポートしていただくため、ISMSの運用支援サポート『情報セキュリティ倶楽部』の年間契約をしたいと考えています。

株式会社favyの皆様、お忙しい中ありがとうございました。
今後ともよろしくお願いいたします。

※ 株式会社favy様のWEBサイト
※ 取材日時 2021年1月