Pマーク、ISOコンサル現場の声 〜誰も教えない個人情報保護JISQ15001要求事項を読み解こう 3.3.1 個人情報の特定 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.09.21(木)

Pマーク、ISOコンサル現場の声 〜誰も教えない個人情報保護JISQ15001要求事項を読み解こう 3.3.1 個人情報の特定

特集 特集

プライバシーマークやISO27001などの認証取得のコンサルティング業務の
一線で活躍するコンサルタントの、現場の生の声をお届けするコラムです。
(※このコラムはJMCリスクマネジメント社Webサイトからの一部抜粋です)

株式会社JMCリスクマネジメント
マネジメントシステムコンサルタント
浦名 祐輔
http://rm.jmc.ne.jp/service/pm/column10.html

こんにちは。今回は前回に引き続き、JISQ15001:2006の要求事項を読み解いてみたいと思います。
今回対象とする要求事項は、「3.3.1 個人情報の特定」です。

本要求事項の主旨は、「自社で取り扱っている個人情報を明確にしなさい」ということになります。
さて、なぜPマークを取るにあたりこのようなことを実施する必要があるのでしょうか?

それは、「保護の対象を明確にするため」です。
Pマークの対象はあくまで個人情報であり、認証を取るためにはそれらを適切に取り扱い、保護するルールを作る必要があります。

対象が不明確な状態でルールを作ってしまうと漏れがあるかもしれません。その結果、守るべき個人情報が守られていない状態になってしまうおそれがあるのです。
ですから、この要求事項を使って自社で取り扱う個人情報(=保護の対象)を明確にする必要があるのです。

ここまで説明すると、本要求事項で具体的に実施しなければならないことが分かってきます。
皆様がやるべきことは、自社にある個人情報(紙、電子媒体、デジタルデータ)を洗い出すことです。
履歴書、経歴書、名刺、健康診断の結果、株主名簿、顧客データベース、メルマガ購読者情報等々、社内には数多くの個人情報が存在しているはずです。それらを漏れなく洗い出し、まとめましょう。

この作業を実施するにあたり気をつけなければならないこととして、「個人情報の定義をはっきりさせる」ということが挙げられます。
特に現場に洗い出し作業を実施してもらう際は、「何をもって個人情報とするのか」を共通認識として持たせないと、洗い出しに漏れが出てしまいます。JISQ15001における個人情報の定義は、基本的に個人情報保護法と同じです。ただし、保護法と異なり、故人の情報も含まれるので注意が必要ですね。

また、本作業時にお客様から「社内の事務手続きで使用している申請書類等、細々したものも洗い出しの対象になるのですか?」という質問を受けることがあります。
この質問に対する答えとしては、規格を厳密に解釈すると「YES」になると思われます。
ただし、実際の審査においてはその辺りを大目に見てくれる審査員もいるようですので、結果的にはケースバイケースだと思います。
上記のようなことで悩んだ場合、そもそもの目的に戻りましょう。
保護の対象が明確になればよいわけですから、それができていればOKとし、そこから先は審査員に判断してもらえばよいのです。
完璧を求めるあまり、このフェーズに時間をかけすぎるのは非効率のような気がします。

さて、本要求事項ではもう1つ要求されていることがあります。それは、洗い出した個人情報の“ライフサイクル(入手〜保管・廃棄までの流れ)”を明確にするということです。
規格の本文にはそのようなことは書かれていませんが、規格の解説部分には、「特定した個人情報については、その取り扱い状況を一覧できる手段を整備する必要がある」と書かれています。

例えば、履歴書であれば以下のような感じです。

取得:応募者から郵送でいただく
一時保管:・面接まで人事部の施錠可能なキャビネットに保管
     ・面接終了後は廃棄までの間人事部の施錠可能なキャビネットに保管
利用(複写):面接官分コピーを取る
移送:・支社で受領したものは本社人事部にFAXで送る
   ・不合格者分は配達記録付きの郵便で応募者に送る
廃棄:シュレッダーで裁断する

このライフサイクルの洗い出しは、リスク分析のインプットになりますので、漏れがないように、かつ細かく洗い出すようにしてください。
細かくというのは、“誰が”という主体や、“どのように”という手段を明確にするという意味です。

そして最後に、これら洗い出しの結果は、定期的に見直す必要があるということです。
最近の審査では定期的な見直しの手順が抜けていると、指摘を受けることがあります。
時間の経過と共に社で取り扱う個人情報は変化するでしょうし、取り扱いプロセスも変わる可能性があります。
保護の対象である個人情報が網羅され、リスク分析が行われ、結果として適切な管理措置が講じられるように、見直しは必要なのです…

【執筆:浦名祐輔】

※このコラムはJMCリスクマネジメント社Webサイトからの一部抜粋です。
コラムの全文は、同社下記情報サイトから利用可能です。
http://rm.jmc.ne.jp/service/pm/column10.html
《ScanNetSecurity》

Scan PREMIUM 会員限定

もっと見る

Scan PREMIUM 会員限定特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

特集 カテゴリの人気記事 MONTHLY ランキング

  1. マンガで実感 !! サイバーセキュリティ 第1話「静かなる目撃者」

    マンガで実感 !! サイバーセキュリティ 第1話「静かなる目撃者」

  2. Heart of Darknet - インターネット闇の奥 第2回「五十兆円『市場』」

    Heart of Darknet - インターネット闇の奥 第2回「五十兆円『市場』」

  3. クラウドセキュリティ認証「ISO 27017」「ISO 27018」の違いとは? ~クラウドのよさを活かす認証コンサル LRM 社 幸松 哲也 社長に聞く

    クラウドセキュリティ認証「ISO 27017」「ISO 27018」の違いとは? ~クラウドのよさを活かす認証コンサル LRM 社 幸松 哲也 社長に聞く

  4. 工藤伸治のセキュリティ事件簿 シーズン6 「誤算」 第1回「プロローグ:七月十日 夕方 犯人」

  5. 工藤伸治のセキュリティ事件簿 シーズン 7 「アリバイの通信密室」 第1回 「プロローグ:身代金再び」

  6. ISMS認証とは何か■第1回■

  7. ここが変だよ日本のセキュリティ 第29回「大事な人。忘れちゃダメな人。忘れたくなかった人。誰、誰……君の名前は……セキュリティ人材!」

  8. [セキュリティ ホットトピック] 起動領域を破壊し PC を完全にロックするランサムウェア「Petya亜種」

  9. [セキュリティホットトピック] サイバー攻撃に対して備えるべき機能・組織・文書など、総務省が「防御モデル」として策定

  10. Man in the Browser と Man in the Middle 攻撃(CA Security Reminder)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×