プライバシーマーク要求解説④3.7.1「運用の確認」

プライバシーマークの要求事項の主だったところを5回に分けて解説いたします。今回は第4回、3.7.1「運用の確認」です。

第1回から5回の目次は次の通りです。

1. 第1回、3.4.2.5 個人情報を3.4.2.4以外の方法で取得した場合の措置
2. 第2回、3.4.3.2「安全管理措置」～スマートフォン等の管理措置～
3. 第3回、3.4.3.2「安全管理措置」～入退室管理～
4. 第4回、3.7.1「運用の確認」
5. 第5回、3.9「事業者の代表者による見直し」

PMSの運用確認とは？

PMS（個人情報保護マネジメントシステム）とは「Personal Information Protection Management Systems」の頭文字を取った表現で、個人情報保護のための仕組みのことです。PMSと言えば、個人情報を保護するためのルールや物理的な対策の集まりを指します。

JIS Q 15001では、このPMSの構築と運用を要求しており、運用確認もその中に含まれています。

プライバシーマークの要求の趣旨は「年に１回の内部監査だけではチェックが十分ではないので、運用状況を定期点検する」ということにあります。

確かに、セキュリティ対策の実施状況などを年に１回しか確認しないというのは、その実効性に疑問が残ります。高度な情報システムを導入して強制力の高い管理を実現出来ている大企業ですら例外ではないのに、そうではない多くの中小企業にとって、年に一度だけ「パスワードは決められた時期に変更しているか」「個人情報を適正に取得しているか」といった確認を、年１回しか確認しないことのリスクは、言わずもがなです。

プライバシーマークの要求を見ると「運用の確認」という言葉を使っているところから、マネジメントシステムのあらゆる側面、というよりは「運用上重要な側面」について、確認項目を設定する必要があります。

コンサルティングでご支援させていただく中で、「どんな項目を設定したら…」という点も、よくご相談を受けます。プライバシーマークの審査においては、確認項目の明確な審査基準はありませんが、例えば以下のような論点は、チェックリストを作成する場合に参考になるかもしれません。

• 実施頻度の高い運用（入退室記録、システムへのアクセスログチェック、バックアップの適正処理確認など）
• 担当者が、目で見て容易に分かる運用（個人情報の入った書類を丸めてゴミ箱に捨てていないか、パソコンの電源を切らずに帰宅している者がいないかなど）
• 内部監査や外部審査で、過去に不適合となったポイント
• リスク分析の結果、認識されたリスクに対応する安全管理措置

運用の確認において不具合やルール違反などが発見されたら？

なお、運用の確認において不具合やルール違反などが発見された場合は、きちんと「3.8是正処置」の手順に沿って原因分析や処置を行い、記録を残す必要があります。

コンサルティングをご依頼いただいた企業様には、プライバシーマークに関する詳しい情報を個別でご解説いたします。オンラインでの遠隔支援にも対応しています。詳しくは、プライバシーマーク取得支援コンサルティングをご覧ください。