I S Oで 進 化 する
組織紹介

株 式 会 社ドリーム・ア ーツ沖 縄

沖縄県で初めてISMS クラウドセキュリティを認証取得
2000 年代以降、目覚ましいスピードで進化し続ける IT 産業。その中でも早い段階に設立し、システム開発、開発コンテンツ制作やホスティング事業で成長を遂げ、現在では大企業向け IT ソリューション事業を展開する注目の企業があります。それが、今回ご紹介するドリーム・アーツ沖縄です。
同社は 2008 年に ISO/IEC27001 を認証取得。そして 2019 年には「DreamArtsクラウドサービス（DCS）」で、沖縄県内初の ISMS クラウドセキュリティを認証取得しました。 IT 業界の最先端を行くドリーム・アーツ沖縄とはどのような会社なのでしょうか。

急成長する IT 分 野を担う企 業として地元のニーズを受けて誕生
ー御社の設立の背景や事業概要についてお聞かせください。
勝連

設立は 2004 年、当時急成長していた IT 分野においてとくに WEB システム、モバイルシステムのインフラから開発・運用保守、コンテンツ運用を担う企業として誕生しました。当事の筆頭株主のほか沖縄電力、地元の地方銀行 3 行、テレビ局 3 社などの出資を受け、沖縄の地元企業として設立しています。私は設立の翌月に入社した一般社員第 1 号です。
設立から 4 年目頃にはいろいろなアウトソーシング事業、コールセンター業務などを行うようになり、那覇に 2 拠点、浦添 2 拠点、石垣 1 拠点と拡大していきました。
当初、サービスの提供先は首都圏の企業と沖縄県庁や市町村な

ドリーム・アーツ協育センター長
ドリーム・アーツ沖縄 代表取締役

どの官公庁という2 軸でやってきましたが、 2012 年に今のドリー

勝連 哲也氏か つ れ んて つやム・アーツグループの企業となり、親会社であるドリーム・アーツのお客様である大企業向けのサービスということで形を変えてきています。

1

クラウド化の波を読んで、 24 時 間 3 6 5 日稼 働 のクラウド監視センターを石垣島に設 置
ー 現在は県外にある大企業からのニーズが高まってきているんですね。
距離という不利な条件を越えて選ばれる理由は何なのでしょうか。
勝連

自社で石垣に 24 時間 365 日稼働のクラウド監視センターを持っていまして、 2014 年からノンストップでクラウド環境を監視していることも強味の一つだと思っています。当時クラウド化の波がくるだろうということで、そうなると地理的な問題はハンディキャップではなくなるので、那覇ではなくあえて南の象徴的なところである石垣に、市のサポートも受けてクラウド監視センターを設立しました。
沖縄の IT 関連企業というと、一般的にはやっぱり地理的に厳しいところがありまして、 2 次請け、 3 次請けの受託をされている会社さんが多いのも実情です。私たちはエンタープライズ向けということで直接数千名、数万名規模のお客様とやりとりをさせて頂いており、お客様から直接フィードバックを頂いてサービスの品質向上につなげることができますので、それも優位性だと思っております。

IT 企業の基本として求められる第三者機関からの認証
ー 2008 年に最初の ISMS、そして 2019 年に ISMS クララウドセキュリティを認証取得されていらっしゃいますね。きっかけは何だったのでしょうか。
豊見山営 業 活 動をして いる中、セキュリティにつ い て 聞かれるのが ISMS や P マークといった第 三 者 機 関からの 認 証を受けているかということでした。 P マークは取得していたのですが、ISMS は当時主軸だったホスティング事業に関して、親和性が高いことから設立から 4 年後に認証取得しました。
その後クラウドのニーズが急速に伸びてきて、ドリーム・アーツのエンタープライズ向け製品をクラウドで提供しようとなった時、お客様の中にセキュリティを懸念される声がありました。ISMS は持っていますとお話しすると、「ISMSクラウドセキュリティという規格が新たに出てきていますが、御社はどうされますか？」と尋ねられることも増えてきました。セキュリティ対策としては、専用線を引いて頂いたり、VPN（Virtual Private Network：仮想専用線）や利用者

事業基盤開発本部
情報整備グループ
サブリーダーとみや ままもる

豊見 山 守 氏のアクセス制限などの一般的な対応を実施してきたのですが、不足していることもあるかもしれないと思っていましたので、ISMSクラウドセキュリティで定められている管理策を実施し認証を得ることで、会社のメリットにもなるし、自社のセキュリティも担保できるということで、認証取得に向けて動き出しました。

2

インターネットに接続するだけで利用でき、保守・運用もお任せのオールインワンサービス
ー ISMS クラウドセキュリティ認証取得の対象となった「DreamArts クラウドサービス（DCS）」とはどのようなサービスなのでしょうか。
勝連 ドリーム・アーツのプロダクトをクラウド環境でもサービス契約でご利用いただけるサブスクリプション型のサービスです。具体的には大企業向け業務デジタル化クラウド「SmartDB」と大企業の働き方を変えるビジネスコクピット「INSUITE」を SaaS（Software as a Service）型のクラウド環境で利用でき、さらにインフラやアプリケーションの保守・運用もドリーム・アーツにお任せいただけるオールインワンのサービスとなっております。
当社はもともとホスティング事業を主軸としていた流れがあって、インフラに強い優秀なエンジニアによる高いセキュリティマネジメントシステムの運用ができるため、高品位なクラウドサービスをご提供できるところが特徴になります。

内部からのリスクにどう対応するか、会社全体での取り組みが必要
ー ISMS クラウドセキュリティ認証取得の際、最初に苦労された点は何ですか？
豊見山

ISMS が組織単位で取るのに対しクラウドの場合はサービス単位で取るため、最初に出てきたのは部署で区切ることが難しいという問題でした。
「DCS」には様々な部署が絡んで仕事をしているので、内容を見て初めは無理なんじゃないかと思いましたが、構築・運用といったサービスを提供する上での根幹となる「クラウドサービスオフィス」という部署が担っている業務に絞って取得することに決めました。

大城

仕事の権限を分散するとか、ちゃんと承認するなどの部分は「クラウドサービスオフィス」だけではなくて会社全体に関わります。最初にアセスメントして出した時に結構、内部からのリスクが大きかったので、そういうところでの環境づくりや、どう承認するのか、誰が責任者なのかというところで苦労がありました。

ドリーム・アーツ協育センター
クラウドサービスオフィス
グループリーダー
お お し ろけ ん ゆ う大城 賢勇氏豊見山

サービス約 款の変 更もありましたね。規 格 要 求 事 項に沿った文言をを明記するためには内部統制が必要で、役員の方々に関係先や各部門の調整をしていただきました。

3

ルールの根拠が明確になると、内部調整がしやすくなる一面もーこの認証を受けることによって会社自体のセキュリティレベルがグンと上がるという感覚がありますか？
大城

例えば開発者にとってはやりやすい方法が、意外とセキュリティ的には良くないことがあるんですね。何かルールがないとそれを止めることが難しいんですが、 ISMS クラウドセキュリティ認証取得によって、セキュリティをここまで担保しておくためにはどんなルールがあって、それ以上はできないというのを明確にしたことで、調整しやすくなりました。
ルールを踏まえた上で体制を組めば OK になることもあるので、今まではあまり根拠が明確になっていなかった状態でダメだとしていたことも「じゃあ、このルールに則ってここを変えればやれるんだな」と、道筋が見えたような感じです。

第三者機関によって認証されたことが、自社にとっても安心と自信につながる
ー 御社は ISMS クラウドセキュリティをプロバイダとカスタマーの両面で認証取得されているのですが、運用上ではどんな風に強化されている状態でしょうか。
大城

クラウドを意識した規格になっているので、認証取得への取り組みの中、利用するクラウドサービスが問題なくセキュリティ的にも担保されたものだと確認が取れるようになったことが、まず良かったと思います。
そして運用の中で定期的にチェックすることで、利用しているクラウドが引き続き問題ないことを確認するサイクルを作れた点が一番大きかったですね。

豊見山

今まで自分たちなりにこうやっていれば大丈夫だろうと思っていたことが、第三者機関が認めてくれたという安心感が持てるので、自信を持って提案活動に行くことができます。お客様からも「あそこは自信を持ってやっているから安心できる」と感じて頂けることでセールスにも役立ちますし、運用面でもいい結果が出てくるだろうと考えています。

4

「それがあれば大丈夫」
お客様にも抜群の信頼度
ー サービスを利用される側のお客様にとっても、認証取得によって運用上のセキュリティが高まるといった認識があると感じていますか？
松川それはありますね。金融機関のお客様などでは、まず「こういうセキュリティを満たしていますか？」といったチェックリストのようなものを頂くことが多いのですが、ISMS や ISMSクラウドセキュリティの認証を持っていることで、チェックリストへの回答が免除される項目もたくさんあります。そういった意味ではセキュリティレベルとしてきちんと認証を持っておくことの重要性を強く感じるところです。

勝連

去 年の中 頃くらいから「クラウドって大 丈 夫なんですか、迷っているんです」といったご相談が非常に増えてきましたので、ドリーム・アーツ協育センター副センター長
ドリーム・アーツ沖縄 取締役
ま つ か わま きこ

松川 牧子氏ちょうどいいタイミングで取得できたと思います。
業界によって必須となる様々な認証取得や準拠すべきことがあるのですが、やはりISMS に加えて ISMS クラウドセキュリティを認証取得したという事実は、お客様のクラウド化への不安を一気に解消できるレベルで信頼度を引き上げる大きなきっかけになったのでは、と感じています。

コストや手間だけではなく、クラウド化は社員の働き方も変えるー やっぱりクラウド化は魅力があるとお考えの企業が多いということですね。
大城

ひと昔前のオンプレミスの使われ方というのは 5 年単位なんですが、そうすると 5 年間同じシステムを使い続けることになります。しかし、ここ最近の事情としては 5 年ずっと同じものを使っていたらちょっと遅れてしまうところも出てきます。
クラウドですと最新の環境をすぐに取り入れてサービスを受けられるのに対し、オンプレミスを使い続ける人たちはスマートフォンが使えなかったり、システムを使うにしてもズレが生じたりと、その辺りの危機感がお客様の中にも出てきています。

勝連

クラウド化することで、機器の入れ替えや保守などにかかるコストや手間が圧倒的に変わってきますし、実際にそれを担っているお客様の社内にある情報システム部門の働き方まで変えてしまうものになりますので、いい意味での影響はとても大きいですね。

5非エンジニアがやりたいこと素早く試せる「デジタルの民主化」を推し進めていく
ー 今、クラウドという形が一つ出てきて、今度の 5G もそうですし、 IT の世界はまた様相が変わっていくように感じられるのですが、今後の展開はどんな風に考えていらっしゃいますか。
勝連

テクノロジーの部分では回線もそうですし、ますます外でのモバイル利用も出てくると思います。エッジコンピューティングなども進んでくるとは思いますが、そこにさらされるのはお客様企業だけでなく日本社会全体だという考えがあるので、私たちはテクノロジーではない方向性で「デジタルの民主化」を推し進めています。
お客様企業にとっても、時代の変わり始めのところで期間とコストを投じて大きなシステムを導入するといったことをすると、またすぐに刷新しなくてはならないことになってしまうと思います。
ですから、まずはスピード重視のシステム導入によって、非エンジニアである業務部門の人たちが素早く自分のやりたいことを試していけるようなサービスを展開していこうと思っています。

豊見山

これまで会社や PC からだけしかアクセスできなかったところが、これからはどこでもどんなモバイルからでもアクセスできるといったことが求められてくると思います。
当社がいま提供している DCS でいうと例えばスマートフォンを使って、電車の中でも仕事や申請ができたり、管理職の方であればワークフローを承認したり電子承認をしたりといったことが可能で、その部分のセキュリティが重要になってくると感じているところですね。
さらにそのデバイスも日々変化していくと思うので、エンタープライズベースのコミュニケートツールとして様々な利用を想定しながら、セキュリティをどう担保していくのかを考えていかなくてはならないと思っています。

改善サイクルを回して堅実に運用しながら、グループでの認証取得領域を広げていく
ーこれから ISMS クラウドセキュリティを、社内でどのように活用していきたいですか？
豊見山

現在 ISMS クラウドセキュリティを認証取得しているのは、クラウドサービスオフィスだけですが、クラウドに関わりのある部署が今後も増え続けると思いますので、どの部署についても取れる仕組み、取れなかったとしても情報セキュリティという面で統一的なルールを作って守っていくような形にしていきたいと思い、少しずつ動いています。

勝連

良い取り組みはしっかりと着実に広げていきたいと考えています。まずは今持っている ISMS とISMS クラウドセキュリティ認証をちゃんと堅実に運用して改善サイクルを回していくことが一番。そし6

て、一昨年に当社で ISMS クラウドセキュリティ認証を取ろうと決めた時のように、時代の要請に駆られて出てくる新しい ISO 規格への準拠やセキュリティ施策を、今後も率先して積極的に導入していきたいと思います。

組 織 情 報会社概要社

名株式会社ドリーム・アーツ沖縄

所 在 地

沖縄県那覇市前島 3 丁目 25 番 1 号

電話番号098-870-5750 〈代表〉設2004 年 6 月 10 日

立

資 本 金

1 億円

株

主

株式会社ドリーム・アーツ

関連会社

株式会社ドリーム・アーツ

泊ふ頭旅客ターミナルビルディング 2 階

事業内容◦マーケティングデザイン◦ IT インフラ運用業務◦プロダクトサポート◦その他（ホスティングサービスなど）※クラウド監視センター

プ ロダ クト◦ INSUITE ： 大企業の働き方を変えるビジネスコックピット◦ SmartDB ： 大企業向け業務デジタル化クラウド◦ DCS（DreamArts クラウドサービス）：「SmartDB」と「INSUITE」をクラウド環境で利用でき、保守運用もすべてドリーム・アーツお任せのオールインワンサービス

7情報セキュリティ基本方針
６．監視・監査各情報セキュリティ責任者は、情報資産が適切に管理されているかどうかを常に監視します。また、
ISMS 管理責任者は、情報セキュリティ関連ガイドライン等に基づき情報資産の管理が適切に行われているかについて、内部監査又は第三者による監査を定期的に実施します。

１．目的
当社は、重要な情報資産を安全かつ効率良く活用・維持するためには、適切で十分な情報セキュリティ対策を実施することにより高度な情報セキュリティ水準を達成することが必要不可欠と考えています。このため、情報セキュリティの包括的な対策として、JISQ
27001 お よ び JIP-ISMS517（JISQ27017）に基づく情報セキュリティマネジメントシステム（Information Security Management System）を構築いたします。本システムは、当社の経営資産である情報資産をあらゆる脅威から保護するために必要な情報セキュリティの確保を目的とし、システムとマネジメントの両面から防衛に取り組みます。
本情報セキュリティ基本方針は、当社の情報資産を利用する全ての者が、情報セキュリティを確保するにあたって遵守すべき基本的な指針を定めたものです。

７．事故報告情報セキュリティに関連する事故が発生した場合又は発生するおそれが生じた場合には、発見者は速やかに ISMS 管理責任者及び情報セキュリティ責任者にその内容を直ちに報告します。ISMS委員会は、事故原因の分析を実施し、必要があると判断した場
合は、事業継続計画等に沿って速やかに対策を講じます。 ISMS 管理責任者が重大事故と判断した場合には、経営者に報告し対策を講じます。

２．適用範囲本情報セキュリティ基本方針は、当社の情報資産を対象とし、それらを取り扱うすべての役員及び従業員に適用します。

８．教育・訓練
ISMS 管理責任者及び ISMS 委員会は、当社のすべての従業員に、職務に応じて必要な情報セキュリティの教育・訓練を定期的に計画し実施します。

３．情報セキュリティの組織と活動
当社は、情報セキュリティマネジメントシステムの構築・維持・改善のため、情報セキュリティ事項を総括するISMS 管理責任者を任命します。また、 ISMS活動における様々な審議・調整を行う機関として環境整備委員会内に ISMS 委員会を設置します。 ISMS管理責任者及び ISMS 委員会は、内部監査計画の策定と実施、情報セキュリティ関連文書の作成、改訂、廃棄の審議並びにそれらに関連する重要事項の決定等を行い、関係部署への通達、調整を行います。
また、各部門における遵守状況の監視も行います。

９．リスクマネジメント及びリスクアセスメント
ISMS 委員会は、情報資産に対するリスクの分析・評価の一定の基準を設けます。各部門は、その基準に従って運用を行います。
１０．法令等の遵守
当社の役員及び従業員は、「個人情報保護法」、「不正競争防止法」、「不正アクセス禁止法」などの情報セキュリティに係わる法的要求事項並びに、契約上のセキュリティ義務を遵守します。
１１．継続的改善
当社は、情報セキュリティに関係する社会的変化、技術的変化、法令等の変更に対して適切に対応するため、情報セキュリティマネジメントシステムを定期的に見直し、継続的な改善を図ります。

４．情報資産の取扱い
当社は、情報資産に対する閲覧権限を与えられた者のみが、その情報資産の内容を閲覧することを認め、情報資産に対する変更権限を与えられた者のみが、その情報資産の内容を変更することを認めます。
各情報資産には、情報セキュリティ責任者を設定し、適切に権限を与えられた者のみが、閲覧もしくは変更を行えるよう、情報資産を適切に管理します。

１２．罰則
情報システムを利用する全ての従業員は、当社情報セキュリティマネジメントシステムを遵守しなければなりません。そのため、当社情報セキュリティマネジメントシステムの違反者に対しては、厳正なる処置を講じます。

５．クラウドセキュリティ
当社は、クラウドサービスオフィスが行う「DreamArts クラウドサービス（DCS）」の基盤構築、運用、監視について、 JISQ27001 および JIP-ISMS517（JISQ27017）に基づいてクラウドサービス固有のリスクを識別し、適切なセキュリティ対策を実施することによって、クラウドセキュリティに係るリスクマネジメントを実現するとともに、その維持を図ります。

株式会社 ドリーム・アーツ沖縄
代表取締役 勝連 哲也

8