こちらは、Out-Loop代表 芳賀 が、自身のnoteに過去に綴った記事の転用です。
芳賀のnoteは是非こちらからご覧ください♪：https://note.com/takafumi_haga/all
フォローもお待ちしています！

Out-Loopは、2026年4月に「ISMS（ISO27001）認証」を取得しました。
取得までの期間は約1年間（依頼する業者の選定を含めて）。通常の業務を行いつつ、情報セキュリティの整備をしていくのはベンチャー企業の我々にとっては一言で「しんどい期間」でした。

今回は、ベンチャー企業にとって避けては通れない、でも本音では「目を背けたい」と思っている「情報セキュリティ」について、ベンチャー企業のリアルを赤裸々に書いていこうと思います。

先日、PR TIMESでもプレスリリースを出させていただきましたが、これは私たちにとって、単なる「お墨付き」を得た以上の、非常に重みのある出来事でした。

▼PR TIMESのプレスリリースはこちら https://prtimes.jp/main/html/rd/p/000000021.000116034.html

過去のブログを読んでくださっている方はご存知かもしれませんが、私たちは第2期のタイミングで大口クライアントの解約や社内トラブルが重なり、一度は「倒産寸前」のどん底を味わいました。

だからこそ、これまで「なあなあ」になりがちだった情報セキュリティを、国際規格という物差しを使って体系的に整理し直すこと。

そして何より、あらゆる日常の業務、そしてこれから挑戦していく未来の業務の中に潜む「セキュリティリスク」を事前に想定し、組織として準備すること。今のタイミングだからこそ、必要な準備だと考えました。

だからこそ、私たちは会社が成長のアクセルを踏む今のフェーズで、およそ200万円前後という、ベンチャーにとっては決して安くない費用と、膨大な労力をかけてまで「ISMS」を取得する決断をしました。

ISMSの資格取得は、かなりの「時間」と「労力」を使います。
今回は、取得までの舞台裏をありのままにお届けします。

目次

1. ■ ISMS認証とは？（日本でどれくらい取得されているのか）
2. ■ フェーズ1（2025年8月〜9月）：想像を絶する「果てしない文書化」の始まり
3. ■ フェーズ2（2025年10月〜12月）：最大の難所。「終わらない修正ループ」と執念の作業
4. ■ フェーズ3（2026年1月〜3月）：「IT企業じゃないのに、素晴らしい」と評価された日
5. ■ おわりに：仕組みと文化の両輪で、「誠実」をカタチにする
6. ■ Out-Loop関連リンク

■ ISMS認証とは？（日本でどれくらい取得されているのか）

そもそもISMS（Information Security Management System）とは、情報セキュリティを管理する仕組みが国際規格（ISO27001）に適合していることを第三者機関が証明するものです。

ISMS全体構造

「それって、取得すると何がすごいの？」と思うかもしれません。 実際に調べてみると、現在日本全国には数百万社という企業が存在していますが、ISMS認証を取得しているのはわずか約8,500社程度（2026年時点）しかありません。

しかも、その取得企業の大半は、厳密な情報管理が求められる名だたる大企業や、システム開発を行うIT企業です。

私たちのような「従業員数十名規模の非IT系ベンチャー（インサイドセールス支援・展示会サポート事業）」が取得しているケースは、全体の割合から見てもごくわずか。まさに少数派中の少数派です。大企業なら専任のセキュリティ部門がありますが、リソースのない零細企業が取得するのは、率直に言って「狂気の沙汰」に近い労力がかかります。

それでも私たちが取得に踏み切った理由はただ一つ。 「お客様に絶対的な安心と信用を提供するため」です。

会社の名前もまだまだ知られていないベンチャー企業だからこそ、口先だけの「機密保持には気をつけています」という言葉は通用しません。第三者機関から証明された、圧倒的な「権威性」と「信頼の証」、付随した、情報セキュリティに関する「知見」と「仕組み」が絶対に必要でした。

■ フェーズ1（2025年8月〜9月）：想像を絶する「果てしない文書化」の始まり

2025年8月、コンサルタント（講師）の方の協力を得て、ついにプロジェクトをキックオフしました。 目標は「情報セキュリティの社内ルール明文化」と「認証取得」の2本柱。

最初は「まあ、今あるルールを整えればいけるでしょ」と甘く見ていました。 しかし、フェーズ1の「見えない脅威の可視化」から、早々に心が折れかけます。

まずは会社全体のフロア図、組織図、ネットワーク図の作成からスタートしました。 当たり前のように業務を行っていた神保町オフィスの環境を、セキュリティの観点で丸裸にしていく作業に追われました。これらをゼロイチで作る作業が……控えめに言って、地味でめちゃくちゃ面倒くさい。

「え、ルーターのパスワードって誰が管理してたっけ？」 「紙の書類の保管期限と廃棄フローはどうなってる？」 「誰がどのクラウドツールにアクセスできる権限を持ってる？」

日々の業務スピードを優先するあまり、社内に潜む「なあなあ」になっていた部分が、次々と浮き彫りになっていきました。

■ フェーズ2（2025年10月〜12月）：最大の難所。「終わらない修正ループ」と執念の作業

そして迎えたフェーズ2。ここがプロジェクトにおいて一番の苦労ポイントでした。 「情報資産の洗い出し」とリスクアセスメントの実施です。

各部署に分かれて情報資産管理台帳を作成しました。特にガイーネ事業部は立ち上げたばかりで、現場には外部の業務委託メンバーも多く関わります。委託先の管理も含めると、洗い出すべきリスクは膨大でした。

洗い出したリスク管理表や各種マニュアル（セキュリティハンドブック等）をコンサルタントの方に提出するのですが、当然、一発で通るわけがありません。 10月中旬から12月上旬にかけて、コンサルタントの方からの厳しい指摘を受けながら、何度も再修正と最終調整を繰り返す「地道な執念の作業」の連続でした。

「これ、現実の業務フローと合っていませんよね？」 「その対策ではリスクを防ぐには不十分です」

何度も突き返されました。 ・PCやスマホ、USB等の外部記憶媒体の暗号化ルール ・Googleドライブの権限設定と整理 ・Amp TalkやZoom Phoneなどのクラウドツールのログ運用 ・在宅ワーク時のセルフチェック体制 ・退職時のアカウント削除の徹底……。

あらゆる可能性を想定し、「仕組み」としてルールを一つひとつ愚直に構築していく日々。 ベンチャー企業として「前に進む」「売上を立てる」ことばかり考えてきた私にとって、立ち止まってあらゆるリスクを想定し、「守りを固める」作業は、想像以上に頭と精神力を削られるものでした。
ただ、守りを強化する意味でめちゃくちゃ価値のある時間にもなりました。

■ フェーズ3（2026年1月〜3月）：「IT企業じゃないのに、素晴らしい」と評価された日

年が明け、2026年の1月から3月にかけて、いよいよ内部監査と外部機関による審査（第1段階・第2段階）を迎えました。

自分たちで血と汗を流して作ったルール（マネジメントシステムマニュアル）通りに、現場が本当に運用できているのか. 事務局、ソダテル事業部、ガイーネ事業部、管理部、すべての部門に審査員のメスが入ります。

細かな「改善の機会」こそ指摘されましたが、なんとか致命的な不適合を出すことなく、すべての審査を無事にクリアすることができました。

審査が終わった際、コンサルタントの方からいただいた言葉が、今でも深く心に残っています。

「Out-LoopさんはIT企業じゃないから、最初はどこまで対応できるか正直不安だったんですよ。でも、まるでIT企業のように迅速で的確に対応していただいて、本当に素晴らしい体験をさせてもらいました」

一見すると「めんどくさい」ことから逃げず、メンバー全員で本気になって取り組んだ日々が報われた瞬間でした。 「やらされる」のではなく、自分たちの会社を一段上のステージへ引き上げるために、自走して文句も言わずに食らいついてくれた千原や佐々木、そして運用を徹底してくれた社員メンバーたちには、本当に感謝しかありません。

1年目の大まかなスケジュール

■ おわりに：仕組みと文化の両輪で、「誠実」をカタチにする

ISMS取得は、決してゴールではありません。あくまで「社会的信用のある会社」になるためのスタートラインです。

ベンチャー企業が生き残るために、売上や利益を追い求めることは当然です。 しかし、「セキュリティは、お客様を守ることに直結する」。この事実を私たちは決して忘れてはいけません。

SaaS企業様をはじめとする多くのお客様から大切なリード（顧客情報）をお預かりし、インサイドセールス支援や展示会サポートを行う私たちにとって、情報漏洩やセキュリティ事故は「命取り」になります。お客様の事業成長を支援する私たちが、お客様のリスクになってしまっては本末転倒です。

だからこそ、セキュリティを守ることは、ベンチャー企業にとっての「義務」だと私は確信しています。

「めんどくさい」からこそ、本気でやることに価値がある。 以前の朝礼に関する記事でも書きましたが、この根底の考え方はISMS取得でも全く同じでした。誰もやりたがらない地道な基盤作りから逃げない企業だけが、本当に強い組織になれるのだと信じています。

そして、このISMS取得の過程で、私はもう一つ、非常に重要なことに気づかされました。

それは、「結局は『人』だからこそ、企業文化は大事」だということです。

いくら完璧な仕組みを整え、厳重なセキュリティルールを作ったとしても、実際にそれを運用し、対応しているのは私たち「人」です。人が関わっている以上、どうしてもヒューマンエラーは起こり得ますし、予期せぬ「想定外の出来事」は必ず起こります。

その「万が一」の時、あるいはルールの行間にある判断が求められる時。 組織として正しい行動をとれるかどうかを左右するのは、企業理念であり、そこに根付く組織文化そのものです。

ISMSの資格を取得した中で、私は改めて、この企業理念と組織文化の重要性を痛感しました。 体系的な情報セキュリティの「仕組み（ISMS）」を整え、その上で、正しい企業文化が醸成されていること。この両輪が揃って初めて、本当に「安心と信用」を提供できる組織になれるのだと思います。

Out-Loopは、これからも会社が掲げる理念、そして「誠実さ」を忘れずに、お客様へサービスを提供していくことをここに約束します。

属人性を爆発させる「攻めの営業力」と、ISMSと正しい文化に裏打ちされた「鉄壁の守り（ガバナンス）」。この最強の両輪を兼ね備えた、お客様から最も信頼されるトップティアの企業を目指して、私たちはこれからも走り続けます。

私たちの挑戦はまだまだ続きますが、引き続き応援よろしくお願いいたします！

■ Out-Loop関連リンク

• 芳賀崇史 X（Twitter）アカウント
• 1. https://twitter.com/Takafumi_Haga
• Out-Loop株式会社 コーポレートサイト
• 1. https://out-loop.co.jp
• インサイドセールス代行『ソダテル』
• 1. https://sodateru-sales.jp/
• 展示会サポート『ガイーネ』
• 1. https://gaeeene.jp/
  2. ※ガイーネの名前の由来（事例記事：Leaner Technologies様）はこちらからご覧いただけます。
• ウォンテッドリー（採用ページ）
• 1. https://www.wantedly.com/companies/company_2255170