こんにちは。広報とISMS事務局と兼務しているshin3です。

昨年、ソニックガーデンは「納品のない受託開発」事業でISMS（情報セキュリティマネジメントシステム）認証を取得しました。取得までの舞台裏は、以前のブログ「信頼を守る仕組みを、自分たちの言葉で。広報担当が体験したソニックガーデンのISMS取得記」で公開しています。

あれから1年近くが経った2026年7月、私たちは認証の範囲を全社へ広げるための審査を受けました。

今は審査が無事に終わり、最終結果の通知を待っている状態ですが、忘れないうちに、この1年間の取り組みをブログとして公開しておきます。

全社に広げるにあたって私たちが取り組んだのは、大きく2つでした。運用の仕組みそのものをAI前提で作り直したことと、全社員で情報資産とリスクを見直す場をつくったことです。

ISMSはAIと相性がよかった

全社への拡大を目指すにあたって最大の問題は、文書管理の手間が面倒過ぎることでした。

ルールや台帳をドキュメントファイルで大量に作って、人がそれを読んで理解して回す、という運用は、正直かなりしんどいものでした。昨年は「納品のない受託開発」事業単体だったのでなんとか成立させられましたが、これから全社に広げていくとなると、同じやり方では立ち行かなくなりそうでした。

そこで私たちは、情報資産の台帳やリスクの一覧をGitHubで管理し、更新はClaude Codeに日本語で指示する形に切り替えました。ISMS取得のために言語化し構造化した大量の文書はAIとの相性が良く、最初の移行さえ乗り越えれば、すぐにAIが実用的なアウトプットを出せるようになりました。

※ソニックガーデンは、コーポレート部門含めてClaudeCodeを全社標準に採用しています。

関連記事：AIを組織で使うということ〜全社標準としてのClaude Code

 特にルール追加など運用を変える時には、文書を読み込んで影響調査した上で、直すべき箇所や、発生するタスクをきちんとピックアップしてくれて、私は感動しました。

具体的な仕組みとしては、リスク管理表や情報資産台帳のデータ本体をYAML形式でGitHubリポジトリに置き、人に見せるための一覧表（Markdown）はそこから自動生成する形に変えました。

編集する時は「このリスクを完了にして」「新しい情報資産を追加して」とClaude Codeに日本語で頼むだけです。裏側では「リスク追加」「再計算」「棚卸し」といった手順をリポジトリ内に決められたやり方として定義してあり、AIは思いつきではなくその手順に沿って動きます。リスク値は「発生可能性×影響度」で自動計算し、一定値以上は対策必須というルールも設定しました。

ドキュメントファイルとして管理していた頃は、変更履歴や承認履歴が追えなくなる、数式が壊れて計算ミスが起きる、台帳と一覧表を別々に管理していて食い違う、部門ごとに書式がバラバラ、といった問題を抱えていました。今の仕組みでは変更履歴が1件ずつGitに残り、リスク値の計算はAIが自動で行うのでミスが起きにくく、一覧表もYAMLから機械的に生成するので台帳とずれることもありません。

この仕組みの詳細は、制作した安達がブログ記事にまとめていますので、同じ悩みを抱えている方はぜひご覧ください。参考になれば幸いです。

ISMSの運用を、GitHub×Claudeで“ラクで楽しい”ものにする

全社員での「文書見直しイベント」

もう一つの取り組みとして、文字通り「全員でISMSに取り組む」場として、ほぼ全社員の60人ほどがオンラインで参加する「セキュリティDay」を企画しました。 

ISMSで各部門が取り組む重要な仕事は、「情報資産台帳」（どんな情報を持っているか）と「リスク管理表」（どんなリスクがありうるか）の作成です。この2つを部門のメンバー全員で見直そう、というイベントを開催しました。

当日はZoomのブレイクアウトルームを使い、部門ごとに分かれて自分たちの情報資産とリスクを見直しました。台帳は各部門の代表者が事前に作ったものですが、部門のメンバー全員の目で見直すと、「これも守るべき情報だったのでは」「こんなリスクもありうるのでは」という発見が次々に出てきます。

参加者からは、こんな感想が挙がりました。

「他人事になりやすいところ、自分ごととして全員でグループワークするのは良い機会でした。十分洗い出されているな、と思っていても、沢山出てくるもので、こういう絞り出す取り組みはとても良いです」

「リストを眺めていると『もうこれ以上ないやろ〜』と思っていたが、誰かが『そういえば』と口を開くと、『じゃあこっちも』というように、話題がいろいろと広がっていくことが興味深かった」

このグループワークの盛り上がりを見て、事務局メンバーでZoom越しに顔を見合わせて「来年からは毎年審査前にこれをやっても良いかも……」と話しました。本当にやるかもしれません。

ISMSのおかげで、全員が当事者になれた

この1年をふりかえると、ISMSの対象の全社への拡大を進めつつ、「AI化」と「全社員の巻き込み」を実現することができました。

この2つがうまくいったのは、ISMS取得というプロジェクトの性質のおかげでした。ISMS取得は、これまで暗黙知だった情報資産やリスクを言語化し、構造化するところから始まります。この手順を踏んだからこそ、AI+GitHub運用との相性が良くなりましたし、部門のメンバー全員が当事者として議論する土台を提供することができました。

ISMSをきっかけに、こうした状況を作れて本当によかったと思っています。今回作った土台を生かして今後の状況の変化にも柔軟に対応し、セキュリティへの取り組みを磨き続けていきます。