2年で10→70人へ！スタートアップの情報セキュリティ課題と施策

by Mie Kobayashi

Slide 1

Slide 1 text

Slide 2

Slide 2 text

想定視聴者 ● 1人で情シス担当をしている人 ● スタートアップで働くメンバーやその経営者 ● 情シス担当者がいない企業のバックオフィス担当 ● 30〜60人程度の中小企業で情シスを担当している人 ● 100人程度で専任者不在の企業で働く人画面の向こうはこんな人！

Slide 3

Slide 3 text

ゴール ● 簡単な施策を始めてみる ● セキュリティ計画を立てたり予算を組む ● 利用しているSaaSを見直す ● セキュリティ強化の優先順位をつける ● 課題を見つめなおしてみる 1歩踏み出そう！

Slide 4

Slide 4 text

自己紹介【所属】株式会社カミナシ　Corporate unit　CorporateEngineer 小林美絵【略歴】東京農業大学を卒業後、金融業界へ入社しセールスを担当。その後、ネットワークエンジニア、カスタマーサポートを経て 2018年8月に株式会社カミナシへジョイン。インサイドセールスからカスタマーサクセスまで幅広く担当し、同社にてISMS（ISO27001）を導入したことをきっかけにコーポレートチームへ異動。現在はコーポレートエンジニアとして従事しています。

Slide 5

Slide 5 text

企業紹介創業：2016年12月事業内容：現場DXプラットフォーム「カミナシ」の提供全従業員数：116名（インターン、派遣、業務委託含む）　正社員数：72人 ※2023年1月1日時点株式会社カミナシ

Slide 6

Slide 6 text

就業形態と働き方 ● リモートワーク主体 ● チームまたは会社の指定した日に前泊なしで出社できれば、原則日本全国どこでもOK ○ チームポリシーにより採用条件は変化します ● 10〜15時をコアタイムとしたフレックス ● 貸与品 ○ MacBook ProまたはMacBook Air ○ iPad ○ 必要に応じてiPhone ハイブリット×フレックス ※全職種で採用強化中のため、気になる方はTwitter等でお声がけください

Slide 7

Slide 7 text

メンバー構成どんな人が働いている？【平均年齢】33.6歳　【男女比】約5：2　【出身企業】SaaSベンダー、Sler、メーカー、製造業など

Slide 8

Slide 8 text

会社の成長と従業員数の変化

Slide 9

Slide 9 text

バックオフィス会社横断フロントオフィスプロダクト労務財務・会計・経費精算採用勤怠法務総務・購買グループウェアコミュニケーションナレッジストレージ MDM MA SFA CRM サポートコーポレートサイト広告インフラコード管理デザインタスク管理 ※代表的なものだけ載せてます広報

Slide 10

Slide 10 text

歴史と施策

Slide 11

Slide 11 text

正社員10〜15人

Slide 12

Slide 12 text

〜2021年1月 ● 会社のメンバー構成 ○ プロダクト 4人 ○ ビジネス 8人 ○ コーポレートと役員 4人 ● 会社の状況 ○ 「ISO/IEC 27001」を取得 ○ シリーズA調達が決定 ○ スタートアップ登竜門「IVS LAUNCHPAD SaaS」で優勝さぁ！ここから売っていくぞ！期

Slide 13

Slide 13 text

● コスト ○ 法人カード導入とともに支払い方法の一元化 ● 運用 ○ PC購入ポリシーの策定 ○ 様々なものを法人契約へ変更 ● セキュリティ ○ アカウント付与のポリシー策定 ○ アカウントの管理権限をコーポレートにも持たせる ○ 正社員および業務委託のアカウント払い出しルールの策定および運用プロセス決定主な施策〜2021年1月

Slide 14

Slide 14 text

〜2021年1月 ● コスト ○ PCは好きなスペックを調達できる ○ 各種SaaSの決済方法が定まっていない ○ 社用携帯は値段だけで判断 ● 運用 ○ PC購入をはじめとした入社手続きタスク未整備 ○ 各チームの判断でSaaSを契約している ● セキュリティ ○ アカウント権限付与のポリシー未策定 ○ PCのセットアップは個人に任せているカオス！セキュリティよりは値段！ただし契約するSaaSの費用はザル！

Slide 15

Slide 15 text

正社員20〜30人

Slide 16

Slide 16 text

〜2021年11月 ● 会社のメンバー構成 ○ プロダクト 9人 ○ ビジネス 16人 ○ コーポレートと役員 5人 ● 会社の状況 ○ シリーズAで総額約11億円の資金調達を実施 ○ 「カミナシ」が経済産業省「IT導入補助金2021」の対象ツールに採択 ○ オフィス増床 ○ 東洋経済すごいベンチャー100掲載毎月コンスタントに人が増える！

Slide 17

Slide 17 text

● コスト ○ なし ● 運用 ○ プライバシーフィルターを全社配布 ● セキュリティ ○ MDMの導入 ○ Google WorkSpaceの2段階認証設定 ○ SSO利用の普及 ○ SlackとNotionについてドメイン限定化 ○ SlackのログインをSSO限定へ ○ セキュリティ教育の拡充主な施策〜2021年11月

Slide 18

Slide 18 text

〜2021年11月 ● セキュリティ ○ 端末管理ができていない ● カルチャー・リテラシレベル　←　NEW ○ 各種SaaSの多要素認証をやっていない人がいる ○ セキュリティリテラシーのばらつきがみられる ○ SSOとは？がわからない人がいる ○ 外出先でもディスプレイにプライバシーフィルタをつける習慣がない当たり前が違う？多要素認証？？？

Slide 19

Slide 19 text

正社員30〜50人

Slide 20

Slide 20 text

● 会社のメンバー構成 ○ プロダクト 12人 ○ ビジネス 30人 ○ コーポレートと役員 8人 ● 会社の状況 ○ 初の新卒社員入社 ○ JR東日本スタートアッププログラム2021で優秀賞を受賞 ○ 「BOXIL SaaS AWARD 2022」にて「SaaS トレンド大賞ノーコード・ローコードトレンド2022」を受賞 ○ 第34回中小企業優秀新技術・新製品賞ソフトウェア部門において優秀賞を受賞名前と顔が一致しない〜2022年4月

Slide 21

Slide 21 text

● 運用 ○ リモートワークのルール策定 ● コスト ○ SaaSのコスト最適化 ■ 182万円の削減！？！？！ ● セキュリティ ○ パスワード管理マネージャー導入主な施策〜2022年4月

Slide 22

Slide 22 text

● コスト ○ SaaSのコスト管理ができていない ○ 同じようなSaaSを複数使っている ● 運用 ○ リモートワーク時の明確なルールがない ● セキュリティ ○ パスワード管理ができていないなんとなくが通じない〜2022年4月 Google Meet Zoom

Slide 23

Slide 23 text

正社員50〜70人

Slide 24

Slide 24 text

● 会社のメンバー構成 ○ プロダクト 22人 ○ ビジネス 39人 ○ コーポレートと役員 9人 ● 会社の状況 ○ CTO就任 ○ プロダクトローンチ2周年 ○ 『カミナシ』導入現場数5,000箇所を突破 ○ 「第16回 ASPIC IoT・AI・クラウドアワード 2022」社会業界特化系ASP・SaaS部門において、経営改革貢献賞を受賞問い合わせ対応もつらくなってきた〜2022年12月

Slide 25

Slide 25 text

● コスト ○ Windwos PCの廃止 ○ 社の公式MTGツールをGoogle Meetへ ● 運用 ○ 備品購入やデバイスの在庫管理ルール策定 ○ ISMSのルールについて大規模改定 ● セキュリティ ○ Boxの導入 ○ Google WorkSpaceのプランアップ ■ 共有ドライブ利用開始主な施策〜2022年12月

Slide 26

Slide 26 text

● コスト ○ Windows PCの管理ができていない ● 運用 ○ 備品購入やデバイスの在庫管理ルールがない ○ ISMSのルールが現状の業務に則していない ● セキュリティ ○ 社外へドキュメント共有をする時のルールがない ○ Google WorkSpaceのマイドライブを社内で共有しながら仕事しているルールが定まっていないと迷う人がいる〜2022年12月

Slide 27

Slide 27 text

これは成功したと思えるもの

Slide 28

Slide 28 text

やってよかった ● 自分が恩恵を受けた ○ Jamf Proの導入 ○ PC購入ポリシーの策定 ● 会社にとってよかった ○ Keeperの導入 ○ SaaSの管理権限をコーポレートへ付与 ○ Zoomの全社利用廃止自分もよかったし、会社のセキュリティレベルも上がった

Slide 29

Slide 29 text

失敗した施策

Slide 30

Slide 30 text

やらなきゃよかった！？ ● 誰が得する！？ ○ Windows PCの廃止 ● 時期が間違った ○ Google WorkSpaceのプランアップ今それは必要ですか？

Slide 31

Slide 31 text

まとめ

Slide 32

Slide 32 text

NEWゲーム始める？ ● 知る ○ まずは会社の状態を把握し、優先順位を決める ● メンバーの人数や状態 ○ too muchじゃない？ ○ セキュリティ強度が不足してない？ ● 当たり前の違い ○ 会社の状況や各メンバーのバックグラウンドや構成、平均年齢など様々な要素を考えて組織の状態にアラインしてセキュリティ構築することが大事セキュリティを考える時に気をつけたいこと第一領域第二領域第三領域第四領域緊急緊急でない重要重要でない