リスク対策のシステム要件について

初めまして、フォーサイト・マネジャーの田中です。
まずは会社の設立おめでとうございます。
私はＩＴプロジェクトのＰＭ専門会社を経営しております。
プライバシーマークの取得をいずれということですが、
個人情報を多く預かる必要性のある企業という認識で宜しいでしょうか？

いずれにしろ、初めに行っておくべきリスク管理としては、
情報管理規定の準備かと思います。
すでに社員の方がいるかと思いますので、就業規則と別に
情報管理規定は作られた方が良いかと思います。（もう準備済であればすみません）
つまり顧客から預かる機密情報の管理方法や
社内の機密情報の管理方法（権限など）について、
責任者も含めた明確な規定を作り、社員も含めた運用ルールの徹底が重要かと思います。

ルールを作っただけで、実際は形骸化するケースが多くあります。
セキュリティ関連は強化すればするほど、煩雑な作業が伴うものです。
まずはシンプルなルール作りを行い、セキュリティの重要性を認識させ、
運用していくうちに少しずつ改善していけば良いかと思います。

私も前職は大手ＩＴ企業に在籍しておりましたが、やはり情報漏えいの問題は
大きな企業リスクにもなっていました。
モバイルＰＣを業務で使う場合には顧客情報を入れたまま紛失などは、
発生確立の高いリスクとなります。
まぁいいやという考えが大きな損失を招くことになりますので、
まずは情報管理規定をきちんとされるところから行ってはどうでしょうか？
親会社の方にはそういった規定があるかと思いますので、それをベースとして
新会社ようにアレンジされるのが良いかと思います。

ご検討下さい。

ご質問の内容を拝見しましたが、何をしたいのか？が漠然としているのではないでしょうか？

要件定義というのは、何をしたいのか？を明確にすること。
そして、どこまでをシステムで行い、どこまでを人間が実施するか。システム境界を定めることです。

これをやるためには、システム導入の目的は何か？を明確にする必用があります。

また、システムの目的が明確化されたとしても、業務フローが明確でなければ、システム化できません。

会社が立ち上がったばかりとなると、まずは、業務フローを明確にしなければならないのでは？とも思います。

逆に、フローが決まっていれば、どの部分をシステム化し、何に備えるべきか？が見えやすくなります。


したがって、まずは、定型業務をマニュアル化し、業務フローを明確化する。
その中で、セキュリティ対策の必要な箇所を洗い出し、システム化の目的を定義する。

その後、システム導入後の業務フローを書いて、システムと人間の仕事の境界を決める。

そうした流れで備えるのがよいのでは？と思います。

ご参考になれば幸いです。

有限会社 インテリジェントパークの荒添と申します。

◆ リスク管理と業務効率のバランス
◆ 会社の成熟度に比べ、高すぎる要求

この2点は、ルール自体を形骸化する要因でもありますし、多くの方がお悩みです。


親会社の担当役員の方の要求は、プライバシーマークとは離れて、
通常のＪＳＯＸや会社法で要求されている内部統制に沿って、
または、親会社自体のシステム運用規程に従って出されているものと思います。


まずは、御社内でのソフトとハードの購入基準を作ることをおススメします。
たとえば、経理のソフトは○○
メーラーは○○（アウトルックなどの指定）
ブラウザは○○（ＩＥの９など）
これは、御社内の責任者が妥当と判断したという位置づけです。

これで、何のチェックもされていないソフトのインストールは、回避される状況であることを示します。


要件定義をしたとしても、実際のリスク管理には寄与しませんので、インストール基準を先に設定して、担当役員の方へお示し下さい。

また、要件定義が必要であれば、中小企業基盤整備機構や中小企業支援センターなどの専門家派遣を活用されますと、安価にコンサルを活用できるかと思います。


詳細の内容をお教え頂ければ、また、具体的な助言も可能ですので、お気軽にご相談ください。