この記事のポイント
- クラウドやパソコンの中の個人情報も、PMSと現地審査の対象になることが分かる
- アクセス権の設定など、オンラインの管理で求められる安全管理措置が分かる
- クラウドサービスを選ぶときと、審査の前に確かめておきたいことが分かる
はじめさん
まもる先生オンラインの管理も審査の対象になる（先に結論）
Pマークの個人情報保護マネジメントシステム（PMS）は、会社が事業で使っているすべての個人情報が対象です（構築・運用指針 J.1.4）。紙の書類だけでなく、パソコンやクラウドサービス、共有フォルダに保存した個人情報も含まれます。
現地審査では、個人情報を扱う業務ごとに、安全管理措置などの状況が確認されます。審査員から、運用の記録の提示を求められることもあります（現地審査（JIPDEC））。オンラインで管理している個人情報について、どんな対策を決め、そのとおりに運用しているかを説明できるようにしておきましょう。
PMSでのクラウドやパソコンの中の個人情報の扱い
台帳に保管場所・アクセスできる人を書く
PMSでは、個人情報を洗い出して台帳にまとめます。台帳には、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限、件数（概数でも可）などを書きます（構築・運用指針 J.3.1.1）。
クラウドに保存している個人情報なら、どのサービスのどのフォルダに保存し、誰が見られるのかを台帳に書いておきます。
求められる安全管理措置（アクセス制御、認証、不正アクセス対策）
構築・運用指針は、個人情報のリスクに応じて、法令に基づき必要かつ適切な安全管理措置を講じることを求めています（J.9.2）。個人情報保護委員会のガイドラインは、パソコンなどの情報システムで個人データを扱う場合の「技術的安全管理措置」として、次の4つを挙げています（ガイドライン（通則編） 10-6）。
| 措置 | ガイドラインの手法の例 | 中小規模事業者の手法の例 |
|---|---|---|
| アクセス制御 | 個人データを扱えるシステムや従業者を、アクセス権で限定する | 個人データを扱える機器と、その機器を使う従業者をはっきりさせ、不要なアクセスを防ぐ |
| アクセス者の識別と認証 | ユーザーID、パスワード、ICカードなどで識別・認証する | 機器に標準で付いているユーザー管理の機能で、使う人を識別・認証する |
| 外部からの不正アクセス等の防止 | ファイアウォール、セキュリティ対策ソフト、ソフトウェアの更新、ログの分析 | OSを最新にし、セキュリティ対策ソフトを入れて最新にする |
| 情報システムの使用に伴う漏えい等の防止 | 通信の暗号化、送る個人データのパスワード保護など | メールで個人データのファイルを送るときにパスワードを設定する |
ガイドラインでいう中小規模事業者は、原則として従業員100人以下の事業者です（扱う個人の数が5,000を超える場合や、委託を受けて個人データを扱う場合などを除く）。
どこまで対策するかは、会社のリスクに応じて決めます。JIPDECも、安全管理措置はリスクを分析した結果に応じて講じるもので、一律の対応が求められるのではないとしています（現地審査（JIPDEC））。
はじめさん
まもる先生Pマークの取得・更新でお困りなら、まずはご相談ください。
現地審査で見られること
業務ごとの運用状況の確認
現地審査では、申請担当者や個人情報保護管理者などに、事業の内容を詳しく聞いたうえで、業務ごとに個人情報の特定、リスクアセスメント、リスク対策、安全管理措置の状況が確認されます（現地審査（JIPDEC））。
オンラインで管理している個人情報についても、台帳やリスクアセスメントで決めた対策と、実際の運用が合っているかが見られます。
記録や設定の提示を求められることがある
審査員は、運用状況を確かめるために、PMS文書（内部規程や様式）や、実際の運用の記録の提示を求めることがあります（現地審査（JIPDEC））。
個人情報保護委員会のガイドラインは、規程に従った運用を確かめられるように、システムのログや業務日誌などで取扱いの記録を残すことを例に挙げています。たとえば、情報システムを使う担当者のログイン実績やアクセスログです（ガイドライン（通則編） 10-3）。
はじめさん
まもる先生クラウドサービスを使うときに確かめること
サービス内容を把握・評価して選ぶ
構築・運用指針は、外部サービスを使う場合で、サービス提供事業者が個人データを取り扱わないことになっているサービスを使うときも、適切な安全管理措置が図られるよう、あらかじめサービス内容を把握・評価したうえで選ぶことを求めています（構築・運用指針 J.9.2）。
サービス事業者が個人データを扱うなら「委託」
個人情報保護委員会は、クラウドサービスの利用が個人データの提供や委託に当たるかどうかは、サービス提供事業者が個人データを取り扱うことになっているかどうかで判断するとしています（Q&A 7-53）。
- 取り扱わないことになっている場合：契約で事業者がサーバの個人データを取り扱わないと定められ、適切にアクセス制御されている場合などです。提供にも委託にも当たりませんが、利用する会社は、自社の安全管理措置として適切な措置を講じる必要があります（Q&A 7-54）。
- 取り扱うことになっている場合：個人データの取扱いの委託に当たります。PMSでは、委託先の選定基準で選び、必要な事項を盛り込んだ契約を結ぶなど、委託先の監督が必要です（構築・運用指針 J.9.4）。
委託先との契約については「委託先との契約書は白黒のスキャンでもよい？」で説明しています。
外国にデータがある場合
外国で個人データを扱う場合は、その国の個人情報の保護に関する制度などを把握したうえで、安全管理のために必要かつ適切な措置を講じる必要があります（ガイドライン（通則編） 10-7）。使っているクラウドサービスのデータがどの国に保存されるかも、確かめておきましょう。
審査の前に準備しておきたいこと
オンラインで個人情報を管理している会社は、現地審査の前に次のことを確かめておくと安心です。
- 台帳に、クラウドや共有フォルダの保管場所と、アクセスできる人が書かれているか
- 台帳に書いた「アクセスできる人」と、実際のアクセス権の設定が合っているか（退職者や異動者のアカウントが残っていないか）
- ログイン用のパスワードの扱いなど、規程で決めた認証のルールが守られているか
- パソコンのOSやセキュリティ対策ソフトが最新になっているか
- 使っているクラウドサービスを選んだときの評価の記録や、委託に当たる場合の契約がそろっているか
審査で見られる点の全体は「Pマークの審査で見られるポイント」で説明しています。
まもる先生監修者のひとこと
審査員によって確認の範囲は異なりますが、アクセス権の設定や保管状況を確かめるために、実際の管理画面やフォルダの構成を見せるよう求められることがあります。審査の当日に画面を見せられるよう、準備しておきましょう。
まとめ
- クラウドやパソコン、共有フォルダの個人情報も、PMSと現地審査の対象です。
- 台帳に保管場所とアクセスできる人を書き、アクセス制御や認証、不正アクセス対策などをリスクに応じて決めます。
- 現地審査では業務ごとに安全管理措置の状況が確認され、運用の記録の提示を求められることがあります。
- クラウドサービスは、サービス内容を把握・評価して選びます。サービス事業者が個人データを扱うなら委託として監督が必要です。
