村山毅 Tim | ひとりISMS連載中

AI社員と運営する経理BPO会社を経営。
ソロ起業 ← freee CXO ← 起業（freeeが買収）← コンサル
#ひとりISMS 連載中

[村山毅 Tim | ひとりISMS連載中 @timtarou]

設立1年目のひとり会社で ISMS（ISO 27001）を取ります。

当社はAI社員と共に運営する経理BPOサービスを行っておりISMS取得によって信用力高めつつ、セキュアかつ運営効率の高い仕組みを作りたかったからです。

ISMSは一般にコンサルに依頼すると数百万円・6〜12ヶ月かかると言われます。専用SaaSを使っても最短4ヶ月かつ年間60万円〜数百万が毎年かかります。時間もコストもひとり会社には重すぎます。

なのでAI社員と二人三脚で取りに行きました。AIで設計から管理ツール構築までを丸ごと行い、実質工数は約3日（審査対応2.5日は別途）でした。コストは数千円のAI利用料のみ（審査費用別途）。既に審査を終え7月末頃に取得見込みです。取れなかったら笑ってください。

取得の通知が届く日まで、やってきたことを毎日1つずつ書きます。これから取得しようという方は参考にされてください。 #ひとりISMS #AIソロプレナー

[村山毅 Tim | ひとりISMS連載中 @timtarou]

ISMSを運用するアプリは、突き詰めると3つの機能でできています。

① すでに起きていることを、機械が集める
情報資産、アカウントの権限、開発と保守のプロセス。オンライン上にある情報と行動を、すべて自動で取得できるようにします。ここが最重要でした。人が調査する工数が消え、セキュリティの穴が瞬時に見つかります。

具体的には、IdP（Google）とGitHubのAPIから、アカウントと権限、リポジトリの状態を取得しています。ここは書き出すと長くなるので、別の回であらためて詳しく書きます。

規格でいえば A.5.9（資産目録）、A.8.1、アクセス管理の A.5.15〜5.18、そして 9.1（監視・測定）。VantaなどのGRCソフトがAPI連携でやっているのは、この部分です。

② まだ起きていないことに、ルールを置く
文書とは「まだ起きていないことに対するルール」です。ISO27001の各要求に対応する規程類がこれにあたり、審査で最も確認されるポイントでもあります。5.2（方針）、6.1.3 d）（適用宣言書）、A.5.1（方針群）。

ここにマネジメントの考え方と、それを実行するための仕組みが詰まります。改訂履歴と承認フローまで含めて、初めて機能します。

③ これから起こすことを、人が実行する
トレーニング（7.2 力量）、内部監査（9.2）、是正処置（10.2）、セキュリティ目標の設定（6.2）、マネジメントレビュー（9.3）。判断と行動が要る仕事を、漏れなく回すための仕組みです。

この3つは、実はマネジメントシステムの定義そのものです。現状を測り、あるべき姿と比べ、差を埋める。測る・定める・動かすの輪が回るから「システム」と呼ばれます。

肝はこれら3つを一本の鎖でつなぐことです。
情報資産 → リスク評価 → 管理策（SoA）→ 規程 → トレーニング・監査。

つながっていると、資産がひとつ増えたときに「どのリスクが増え、どの規程が効き、誰に何を教育すべきか」が自動でたどれます。実際、リスク資産の一覧をAI社員に作ってもらい、そこから情報資産ベースのリスク評価を生成しました。ISMSは文書システムになりがちです。このつなぐというのが最も大事にしたところでした。

明日は、皆さんが気になっているであろう審査会社の選び方と、かかった費用の話です。

#ひとりISMS

[桒谷 一成 | inovie株式会社 @gakutarou_pmf]

いやー、これもしできるならアツすぎます！！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

連載Vol.3｜AI社員に出した最初の指示

昨日の予告どおり、実際に出した指示を公開します。最初はこれです。

「ドキュメントを読んでISMSの要求事項を理解して、その上でVantaやDrataなどのGRCソフトがどんな機能を提供しているかを整理してください」

ポイントは後半です。規格を読ませるだけなら誰でもやります。そこに「既存のGRCソフトの機能に翻訳させる」を足すと、返ってくるのが画像の対応表になります。規格のこの要求は、ソフトのこの機能で満たす、という形です。

つまり「自分が何を作るべきか」が最初の一手で見える。AI社員に基礎知識を持たせるのと同時に、自分のキャッチアップにもなります。

次に自社の状況を渡します。全部を説明する必要はありません。ISMSの肝は情報資産の棚卸しなので、資産がわかる場所だけ渡せば十分です。うちはIdP（Google）とGitHubの権限をAI社員に渡して、調べてもらいました。

Google Workspaceなら、管理者アカウントで https://t.co/Oux7ZTlYPv → セキュリティ → APIの制御 を開くと、全社で使っているSaaSが一覧で出ます。ここを渡せば情報資産の大半は自動で埋まります。

これで「何を作るか」が固まりました。明日はアプリの作り方です。#ひとりISMS

[村山毅 Tim | ひとりISMS連載中 @timtarou]

確かにそれもできそう

[メガベンチャーの憂鬱 @march_ITgyoukai]

ISMS認証のBPOサービス。

[村山毅 Tim | ひとりISMS連載中 @timtarou]

連載の始まり（Vol.1）はこちらです
https://t.co/GUNhjLYRXd

[村山毅 Tim | ひとりISMS連載中 @timtarou]

設立1年目のひとり会社で ISMS（ISO 27001）を取ります。

当社はAI社員と共に運営する経理BPOサービスを行っておりISMS取得によって信用力高めつつ、セキュアかつ運営効率の高い仕組みを作りたかったからです。

ISMSは一般にコンサルに依頼すると数百万円・6〜12ヶ月かかると言われます。専用SaaSを使っても最短4ヶ月かつ年間60万円〜数百万が毎年かかります。時間もコストもひとり会社には重すぎます。

なのでAI社員と二人三脚で取りに行きました。AIで設計から管理ツール構築までを丸ごと行い、実質工数は約3日（審査対応2.5日は別途）でした。コストは数千円のAI利用料のみ（審査費用別途）。既に審査を終え7月末頃に取得見込みです。取れなかったら笑ってください。

取得の通知が届く日まで、やってきたことを毎日1つずつ書きます。これから取得しようという方は参考にされてください。 #ひとりISMS #AIソロプレナー

[村山毅 Tim | ひとりISMS連載中 @timtarou]

連載Vol.2｜AI社員の理解を深めて設計可能な状態にする

まずやったことは書籍の購入です。ISO27001の要求事項をAIに読んでもらいました（書籍はリプ欄に）。それと専用SaaSの調査です。私はどんなドメインにおいても海外SaaSをベンチマークするようにしています。G2というサイトでGRC（ガバナンス・リスク・コンプライアンス）の特化SaaSにおけるリーダーをピックしてAIに調査をしてもらいます。これらの正典とソリューションを学習すればあらゆるドメインをキャッチアップできます。なお、G2とはSaaSの評価サイトで評価4.5以上はベンチマークすべきです。

調査が完了したら自社で利用しているSaaSの情報を渡します。LLMが直接読めないものもありますが何を使っているかは瞬時にわかります。ここでおすすめは、ログインを Google ログインなどの IdP に集約しておくことです。SaaSの登録をGoogle認証（IdP）に集約していれば情報資産の大半を書き出す必要もないです。また全社員が使っているSaaSを一発で把握でき、不正な利用を即発見できます。

これで自社の環境を踏まえつつISMSへどう対応すべきかを計画できるようになりました。明日は具体的にどんな指示をしたかを公開します。 #ひとりISMS

[村山毅 Tim | ひとりISMS連載中 @timtarou]

購入した書籍はこちらの2つです。JIS Q 27001:2023 と、その追補1（2025）。これをそのまま AI に読ませるのが出発点でした。

https://t.co/2tXHHspn1C

https://t.co/n9C9hjBNx4

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@miffy_4n5 ありがとうございます！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

設立1年目のひとり会社で ISMS（ISO 27001）を取ります。

当社はAI社員と共に運営する経理BPOサービスを行っておりISMS取得によって信用力高めつつ、セキュアかつ運営効率の高い仕組みを作りたかったからです。

ISMSは一般にコンサルに依頼すると数百万円・6〜12ヶ月かかると言われます。専用SaaSを使っても最短4ヶ月かつ年間60万円〜数百万が毎年かかります。時間もコストもひとり会社には重すぎます。

なのでAI社員と二人三脚で取りに行きました。AIで設計から管理ツール構築までを丸ごと行い、実質工数は約3日（審査対応2.5日は別途）でした。コストは数千円のAI利用料のみ（審査費用別途）。既に審査を終え7月末頃に取得見込みです。取れなかったら笑ってください。

取得の通知が届く日まで、やってきたことを毎日1つずつ書きます。これから取得しようという方は参考にされてください。 #ひとりISMS #AIソロプレナー

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@with291 どこかでそういった機会もつくりたいなと思います！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@with291 参考にしていただけるようできる限り詳細まで書きたいと思います！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@shibuyaMandA 楽しんでいただけるように頑張ります！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@An_yhl それが書かなくて良いんです！
やることは設計と判断だけ

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@shun_tanak @kakazuyoshi ありがとうございます！ご質問お待ちしてます！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@shocolt www
拡散いただき助かりました！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@shin_chan_ai ありがとうございます！
突っ込みお願いします！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

AIでISMS構築したい方、どんなこと知りたいですか？連載に書きますよ

[中村 知良 / Nexaflow CEO @kakazuyoshi]

@timtarou ちょうど弊社も同じアプローチで進めてまして、投稿楽しみにしております！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@kakazuyoshi これは絶対おすすめです！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@mitchy_marche ありがとうございます！！
あのときは色々お世話になりました！

[村山毅 Tim | ひとりISMS連載中 @timtarou]

@kandmybike AS400懐かしいですね！