Everyday
GRC サービス
多くのコンサルティングは報告書を提出して終わります。私は、セキュリティが会社の運営に組み込まれるまで関与し続けたいと考えています。
セキュリティ責任者の外部委託
助言する人ではなく、セキュリティの責任者そのものをお引き受けします。社外CISO・バーチャルCISOと呼ばれる形態にあたりますが、実務上は情報セキュリティ責任者（マネージャー）の役割です。
セキュリティ関連の業務は途切れないものの、専任者を採用するほどの分量ではない。多くの企業がこの段階で悩まれます。そこにお応えするサービスです。御社のセキュリティの現状を把握し、次に何をするかを決め、それが実行されるまで見届ける。その役割を担います。
具体的には、審査の調整と審査機関への対応、リスクアセスメントの実施、取引先からのセキュリティ質問票への回答、エンジニアとの実装調整、文書・記録の維持、是正処置の完了確認、経営層への報告までを行います。セキュリティが「誰かがそのうちやる業務」ではなくなる、という点に価値があります。
主な支援内容：
- セキュリティプログラムの方向性設定と継続的な監督
- リスク管理および継続的なリスクアセスメント
- セキュリティ質問票・ベンダーレビューのオーナーシップ
- ガバナンス・ポリシー・文書整備のリーダーシップ
- 監査準備および認証取得の管理
- ステークホルダーへのコミュニケーション・報告
内部監査サービス
ISO 27001 またはプライバシーマーク（JIS Q 15001）に対する、スコープ固定の内部監査。両規格とも認証・維持審査の前に内部監査の実施が求められます。
内部監査は ISO 27001 およびプライバシーマークにおいて必須の要件です。独立した立場で監査を行える人材が社内にいない、あるいは外部審査の前に第三者の視点で確認したい——そうした場合に対応する、定額・スコープ固定のサービスです。方針・プロセス・管理策を体系的にレビューし、審査機関を迎える前に対応すべき点を明確にした報告書をお渡しします。
含まれる内容：
- 対象規格に対する独立した内部監査
- 方針・プロセス・管理策の実装状況のレビュー
- 不適合・観察事項の指摘（優先度付き）
- 審査基準に沿った、是正措置ガイダンス付きの報告書
- 日本語・英語のいずれにも対応
従業員100名を超える場合やスコープが複雑な場合は、着手前に費用を確定します。統合監査は両規格を一度の契約でカバーするため、統合マネジメントシステムをすでに運用されている場合は、個別に実施するより明確に安価です。
プライバシーマーク（Pマーク）取得支援
日本のプライバシー要件に対する準備と認証取得のプロセス全体を管理します。
プライバシーマークは、特にB2Bで個人情報を取り扱う日本国内の企業で取引条件として求められるケースが増えています。規格の理解から文書整備、社内プロセスの構築、認証取得と継続的なコンプライアンスの管理まで、全工程を主導します。
主な支援内容：
- Pマーク要件の確認とギャップ分析
- 個人情報管理体制の設計
- ポリシー・規程類の整備
- 内部監査の計画・実施
- 認証申請・審査対応の管理
ISO 27001 取得準備支援
不要な複雑さなしに、認証取得プロセス全体を主導します。
ISO 27001の認証取得は、過剰な文書作成や社内チームを疲弊させるプロセスなしに達成できます。審査員が認め、かつ組織が実際に運用・維持できる管理体制の構築に焦点を当てます。
必要に応じて、ISO 27001とJIS Q 15001（Pマーク）を統合し、重複を削減して継続的な運用を簡素化することが可能です。
主な支援内容：
- ISO 27001要件に対するギャップ分析
- 導入ガイダンスとハンズオンサポート
- ポリシー・文書の整備
- 内部監査の計画・実施
- 認証審査の管理・サポート
セキュリティが実際に機能するまで
多くのコンサルティングは問題の特定で終わります。報告書が提出され、社内チームには長い課題リストだけが残ります。ここでの重点は問題を特定することだけではありません。成果のオーナーシップを担うことです。
ビジネスの理解
アーキテクチャ、ステークホルダー、規制・顧客要件の把握。
リスクとギャップの特定
管理策、コンプライアンスのギャップ、業務上のリスクの洗い出し。
優先順位の決定
ビジネスへの影響度、発生可能性、対応工数を考慮した優先付け。
実装の推進
解決策の意思決定、アーキテクチャレビュー、ポリシー・ガバナンスのリーダーシップ。
成果のオーナーシップ
進捗管理、監査対応、継続的なプログラムリーダーシップ。
お力になれない可能性が高い場合
早い段階で分かったほうが、双方にとって無駄がありません。
次のような場合は、他をご検討ください：
- 規程類の作成のみをご希望で、その後の関与は不要な場合。テンプレートのほうが安価で、同じ結果が得られます。
- マネジメントシステムの運用は行わず、認証だけを取得したい場合。維持審査は毎年あり、その方針では最初の審査で行き詰まります。
- 常駐する大人数のコンサルティングチームが必要な場合。私は一人です。それが利点でもありますが、限界もあります。
- 時間を問わず即座に対応できる体制が必要な場合。既存のお客様に十分な時間を割くため、契約数を限定しています。