私たちNTTPCコミュニケーションズは、セキュリティを事業活動の最重要事項と位置づけ、最良のセキュリティを積極的に追求してきました。私たちが提供するサービスは、大規模なインフラや高信頼な体制をベースに最適なネットワーク環境を構築するネットワーク事業、サービス・技術・製品を組み合わせてスピーディなベストソリューションを提供するオンデマンド事業、お客さまの会計業務の効率化を図る法人向け請求業務一元化事業、これらに関わるネットワーク構築、保守、システム開発等と多岐にわたっています。当社は従来より全てのソリューションにおいて、高度な情報セキュリティの確保に最大限努力するよう取り組んできました。そして、この最大限の努力を CSR（Corporate Social Responsibility) の一環として、より一層確固なる姿勢をステークホルダーに示すために2005年2月^*1にISMS認証を取得しました。当初の認証取得では、一部の組織を適用範囲（スコープ）といたしましたが、2007年の継続審査（サーベイランス）時に全社へと拡大し、CSRをベースにした高度な情報セキュリティを求め、スパイラルアップ活動を続けています。

私たちNTTPCコミュニケーションズでは、2005年にISMS認証取得してから3年が経ち取得すること以上にPDCAマネジメントサイクルを継続させていくことに大きな意義を感じておりました。しかしながら、この維持・継続していく中で、定期的に実施するリスクアセスメントの作業に膨大な対策工数が必要となり、このことがPDCAマネジメントサイクルにおける一つの課題でした。リスクアセスメント作業には、専門的な知識と多くの手間が必要です。知識という点ではリスク分析手法を変更するごとに、説明から始まり作業が振出しに戻ってしまいます。手間という点では、リスクアセスメント作業をペーパーや表計算ソフトなどを使用し、各部門毎に実施していましたので作業工数がかなりかかっておりました。また、業務分掌が複雑なため各部門への調整も支障をきたす原因でありました。もちろんリスクアセスメント作業は重要でありますが、ISMSを有効に機能させるためにISMSの内部監査や教育訓練などの多くのISMS活動を明確にし、運営管理していくことも重要なミッションですので、運用にかかる負荷が軽減できればより効果的な期待どおりの確実なISMS活動を実現できるという思いが強くありました。

2007年の継続審査（サーベイランス）後に、ISMS構築・運用するツール等を導入する話が持ち上がり検討しておりました。一般的にISMS関連のツールといえば文書管理に特化したものが多いですが、M@gicPolicyCoSMO はPDCAサイクルを基本としたISMS活動のリスクアセスメントや様々なISMS活動を網羅的に支援する機能を有しておりましたので、私たちが構築したISMSを引き続きトータル的に管理できるツールと判断して導入いたしました。

M@gicPolicyCoSMO は、社内ポータルサイトでISMS運用が実施できますので、リスクアセスメントにおいてもWeb上で情報資産の一元管理を行うことにより、情報資産の洗い出しが効率的に行うことができました。特に工数を要する情報資産の洗出し、資産価値の評価・グルーピング、脅威・ぜい弱性の識別・評価では、工数削減することができました。ISO／IEC27001の要求事項を満たすリスクアセスメントのプロセスと作業に必要な手法が搭載されていますので、標準化されたリスクアセスメントを適切に実施できたと思います。また、規格で要求されているリスクアセスメントの再現性についても、バラつきを最小限に抑制できたと思っております。作業の過程でリスクアセスメントの結果を様々な帳票で確認できるため、リスク受容基準や水準の決定を迅速に行うことができ、リスクアセスメントの結果に基づいた有効な管理策の選択、及び効率的なリスク対応計画が実現できました。

部門間の調整や様々な計画の進捗管理ですが、各部門に作業を依頼している場合、部門ごとの進捗・遅延部門へのサポートなどを随時管理することが重要になります。M@gicPolicyCoSMO では、ISMS活動で策定する様々なISMSの計画をイントラネットワーク環境下で支援する機能を有していますので、M@gicPolicyCoSMO 装備の機能をフルに活用することで責任者を明確にした計画のスケジュールを一括管理できました。各部門に実施させるタスクなどの管理や遅延部門の把握なども容易に把握することができ、運用がスムーズだと感じております。また、活動の記録に関しても一元管理できるので、社内外から要求があった場合、今までは資料の編集作業に時間がかかっていましたが、現在、M@gicPolicyCoSMO 内に保存されたデータを活用し、そのまま提示したり、必要に応じて加工できるため、作業工数を短縮できるようになりました。