各種セミナーHomeプライバシーマークを取得しようプライバシーマークを取得しよう﻿プライバシーマークとはJaGraで取得することのメリットプライバシーマーク取得のメリットプライバシーマークとは一言でいうと消費者・お客様が、自分の個人情報を安心して提供できる企業・団体であることの「証明書」がプライバシーマークです。その基準はJISQ15001であり、そのレベルに達している場合にプライバシーマークが付与されます。(略称:JIPDEC)の認定を受けます。そのためには、JIPDECが指定した「審査機関」の認証を受ける必要があります。二年に一度、そのレベルが維持されているかどうかの審査を受け、更新していきます。JIPDECが認めた18審査機関のひとつJaGraは、JIPDECが認めた18審査機関の一つです。業態を熟知している6名の役職員審査員が、新規取得と更新の審査します。この業界の環境や諸条件を熟知した審査員が公正な判断をすることに意義があります。セキュリティ等について必要な情報が逐次提供され、研修会も開かれています。苦情・相談は、東グラが貴社と一緒に解決お客様からの苦情・相談には、東グラが個人情報保護法に基づき貴社と一緒に解決にあたります。プライバシーマーク取得のメリット信用の増大→取引の拡大プライバシーマーク制度は、BtoC対消費者だけではなく、実際はBtoB顧客との取引の信用・信頼の証しという性格が強くなっています。あなたの取引先がプライバシーマークの付与事業者であった場合、その取引先は、委託先であるあなたへの監督責任として、個人情報保護の安全性等を担保できているかどうかを必ず調査しています。取引の最初の段階でマークの有無を確認されるケースも増えてきているのです。官公庁の入札においても、プライバシーマークを条件にするものが年々拡大しています。これらの委託契約も、あなたがプライバシーマークを付与されていればスムーズに運びます。取引の拡大のためにこそ、プライバシーマークを活用しましょう。過去の情報漏洩の例を見ても、その犠牲は多大なものであり、情報が悪用され、その責任が膨大に拡大する危険もあります。情報漏洩の防止のために、プライバシーマークは明快な遵守事項を示してくれます。ITの時代を生き抜く強い従業員の育成を取得に当たっての従業員教育、そしてその教育を定期的に実施する。内部監査の実施、代表者の見直し=PDCAサイクルによって、従業員の意識の向上、社内環境の整備、安全性の確保がなされるという効果を生みます。事業者にとっては、ITリテラシーの高い従業員による社会の流れに即応した事業展開、それが継続されることが保証されるのです。個人情報保護の基本的な遵守事項プライバシーマークの基準であるJISQ15001は具体的にどんな内容なのか、その概要を説明します。安全管理については、これで充分という基準はありません。各局面に応じたリスクとその対策の一端を紹介していきます。外部のWebサーバを使う場合は、取得データを暗号化しますデータセンタなどを用いてWebサーバに個人情報を取得する場合は、データセンタの従業者などに内容を見られるリスクがあるため、データを暗号化しましょう。お客様ご本人にWeb等からデータ入力(重要なデータは再入力)してもらいます自分で入力することによる誤入力のリスクを回避するため、本人に直接入力してもらいましょう。Webから取得したデータへのアクセスは、端末と担当者を制限しますWebシステムにより取得したデータは、サーバ上に蓄積され、そのデータに不正アクセスされるリスクを回避するため、アクセスできる者は必要最小限の従業者に限定し、また、アクセスできる端末を限定しましょう。Webで取得する環境ではSQLインジェクション*1やクロスサイトスクリプティング(XSS)攻撃*2への対策を講じます。Webで個人情報を取得する際には、事前に外部からの攻撃への対策を講じましょう。SQLインジェクションとは、アプリケーションのセキュリティ上の不備を意図的に利用し、アプリケーションが想定しないSQL文を実行させることにより、データベースシステムを不正に操作する攻撃方法のこと。その攻撃を可能とする脆弱性のことです。クロスサイトスクリプティング(XSS)とは、Webサイトへの有力な攻撃(ハッキング)手法になり、簡単にいうと「他人のWebサイトへ、悪意のあるスクリプトを埋め込む」ことです。通信経路はSSL*1やVPN等でデータを暗号化する、あるいは専用線にしますオープンなネットワークでは盗聴のリスクがあるため、送信するデータの重要度に合わせて送受信するデータは暗号化する、あるいは盗聴のリスクの少ない専用線を利用しましょう。Layer)とは、インターネット上でデータを暗号化して送受信する仕組み(プロトコル)です。個人情報やクレジットカード情報などの重要なデータを暗号化して、サーバ~PC間での通信を安全に行なうことができます。重要なメールについては、宛先を複数人で確認してから送信しますメールに添付するファイルにはPW(パスワード)を設定、かつ暗号化しますメールの誤送信や盗聴により、第三者が添付ファイルを取得しても利用できないようにPWを設定、かつ暗号化しましょう。リモートアクセスさせる場合は、複数の認証機能(具体的な装置等を記述)を設定します成りすましを防止するため、複数の認証機能により本人確認を厳格に行いましょう知らせる必要のない者同士でメールアドレスが漏えいするため、BCCの機能を使いますメールソフトの送信前確認機能を設定しますメールアドレスや内容の間違いは、送信直後に気づく場合が多いために、送信前確認機能を利用しましょう。利用・加工の局面データの操作場所には許可していない媒体(電子媒体、カメラ、スマホ等)を持ち込みませんデータのコピーを盗られないようにするため、許可していない媒体は利用場所に持込ませないようにしましょう。セキュリティパッチやウイルス対策ソフトのパターンファイル等は随時更新しますパッチやパターンファイルは随時更新し、不正アクセスやウイルス感染に対するリスクを低減しましょう。システムのログを取得しておき、万が一の際に追跡できるように保管しておきますID・PWは共有させないどの社員が利用したのか特定できなくなるため、IDは共有しない。どのIDでも利用できるようにしないため、PWは共有しないようにしましょう。PWを付ける際には、長さ、使う文字種などを規定に基づいて設定します総務省からは、英数記号混合で10ケタ以上ならば変更の必要はないとしています。アクセス権限は適切に設定し、定期的に見直しますユーザには必要以上の権限を持たせないようにするため、アクセス権限は適切に設定し、定期的に見直しましょう。ID・PWは他人に容易に知られないよう本人が管理します他人に知られないようにID・PWは自分自身で管理しましょう。データの削除・消去・誤り等を戻せるようにするため、データを戻せる仕組みを持たせます重要な操作を行う際には、誤操作をシステムで防止する仕組みを持たせます重要な操作には異なる認証機能を持たせます成りすまし防止や意思の確認を確実に行うため、重要な操作を行う際には、異なる認証を実施しましょう。重要な操作をしたときは、上長にいつ、誰が、何を行ったのかの記録を残します離席時はPC画面をロックする、ログオフする、PW付スクリーンセーバーを起動する等、第三者による盗み見や成りすましを防止しますサーバとのセッションを切る、端末を操作できないようにする、表示画面を見えないようにするなどの対策を行いましょう。リモートアクセスさせる場合は、複数の認証機能(具体的な装置等を記述)を設定します複数の認証機能により本人確認を厳格に行いましょう。無線LANを利用する時は、安全性を有する仕組みを導入します無線LANを利用する時は、ネットワークワークを切り分ける、安全な暗号方式を装備している装置を使いましょう。可用性リスクのためRAID技術(ミラーリング、分散記録等)を使います障害時でも業務の継続性を維持するために、RAID技術でデータを保持しましょう。データにはPWを設定する、もしくは暗号化しますファイルの中にどのような個人情報があるのかを見られる、あるいは盗まれて利用されることを防ぐため、PWの設定、もしくは暗号化の措置をとりましょう。ログを監視しますデータにアクセスした記録を取り、不正アクセスが無いか監視しましょう。バックアップは十分復元可能な世代分を取得しますデータの毀損やウイルス感染した場合の復旧のため、必要な過去の時点に戻れるように世代管理しましょう。作業者が行ったことを第三者が確認します確実に廃棄されたかどうか、第三者が確認するようにしましょう。バックアップから復元する手順書を作りますバックアップデータを迅速かつ適切に復旧し、事業を継続できるよう手順書を整備しましょう。完全に復元できない方法で消去を行いますデータを復元できないように、専用のソフト等で確実に消去しましょう。確実に廃棄されたかどうか、第三者が確認するようにしますチェックデータ等は作業終了後に消去します作業中に作成したチェック用のデータ等の消去は忘れがちであるため、忘れずに消去しましょう。誤操作しないように複数回確認します一度に大量のデータを消去できるため、操作する前に自身で複数回確認しましょう。誤操作してもデータを戻す仕組みがあります誤操作して消去しても、一定時間内であればその操作を取り消すことができる仕組みを作りましょう。廃棄記録をとりますいつ、誰が、どのような個人情報を廃棄したのか、後で追跡できるように記録を取りましょう。設備を外部に委託している場合は、消去記録(消去証明書を含む)を取ります漏えい等のリスクを回避するために、外部の専門業者に消去業務を委託する。委託に際しては消去記録(消去証明書を含む)を取りましょう。2.プライバシーマーク付与事業者が守る10の約束プライバシーマーク付与事業者は、個人情報の適正な管理と活用を行う努力(約束)をしています。その内の10項目を取り上げます。個人情報を取得する際には、その利用目的などを通知します。利用目的などについて本人の同意がなければ個人情報は取得しません(直接書面などで取得する場合)。本人と交わした約束通りに個人情報を利用します。利用目的などを変更する場合は、事前に通知し、同意を取り直します。停止などの求めがあればそれぞれの手続きの要件に基づき、対応します。取得した個人情報を安全かつ正確に管理します。他社に個人情報の取扱いを委託する場合は、自社と同等の個人情報保護体制ができている事業者を選びます。委託している間は、適正に管理と監督を行います。他社から個人情報の提供を受ける場合には、適正に取得したものかをあらかじめ確認します。「個人情報の取り扱いについて」などをホームページなどで公表します。プライバシーマークは個人情報保護法よりも厳しい基準を設けております。書面取得の場合は本人の同意を必要とします。同意なく取得した個人情報を利用して本人に連絡又は接触する際は、取得方法を通知した上で、その利用について本人の同意を得ます。本人から利用停止などの求めがあったときは、原則として応じます。一時的に保有しているに過ぎない個人情報についても開示などの請求に対応します。プライバシーマークは、事業者が個人情報保護について一定以上の水準にあることを客観的に証明します。組織的に管理・運用する仕組み(マネジメントシステム)であることの証明です。第三者による審査によって客観的な評価を受けています。大規模:JaGra会員企業に該当社はおりません。第3版」を改訂、発行しました。同パンフレットを参考に『情報セキュリティ対策の必要性』に対する理解を深めるために、対策が不十分なために起きる事故と、それにより企業が被る主な不利益を説明します。自社で起きかねない情報セキュリティ上の事故とは何か、どの業務にそのような心配があるか、経営上、最も懸念される事態は何か、などを具体的に思い描くことが、経営者が情報セキュリティ対策を認識する第一歩です。このような思考実験が経営者によるリスク認識の基礎となります。起こりうるリスクは次の三つです。以下説明していきます。取引先などから預かった機密情報や個人情報を万一漏えいさせてしまった場合は、取引先や顧客などから損害賠償請求を受けるなど、大きな経済的損失を受けることになります。した損害賠償などによる損失だけでなく、インターネットバンキングに関連した不正送金やクレジットカードの不正利用などで直接的な損失を被る企業の数も増えています。名)社内のパソコンやサーバがウイルスに感染し、数日間に亘った業務停止に至る障害が発生した。復旧のために徹夜で対応したが、その間の会社としての被害額は推計で数千万円に上る。原因は、被害が発生するまで、セキュリティ対策ソフトを全く導入していなかったことである。認証取得に取り組み、再発防止に努めている。重要な情報に関する事故を発生させると、その原因が何であれ、事故を起こした企業に対する管理責任が問われ、社会的評価は低下します。同じ製品やサービスを提供している企業が他にあれば、事故を起こしていない企業の製品やサービスを選択する顧客が増えるのは自然なことであり、事故の発覚直後には大きなダメージを受けることになります。大手メーカーのサプライチェーンに位置する企業の場合は、これまで継続してきた受注が停止に追い込まれることにもなりかねません。事故を起こした企業は再発防止に努め、事故を起こさずに事業を続けていくことが必要ですが、低下した社会的信用の回復には時間を要するため、事業の存続が困難になる場合もあります。名)従業員が顧客情報の入ったパソコンを持ち出した時に、紛失事故が発生した。顧客に対して、紛失の報告をしたが信用を失うこととなった。原因は、会社として情報セキュリティに対する意識が高くなかったため、持ち出しに関する明確なルールや手続きを定めておらず、従業員がパソコンを自由に持ち出せる環境であったことである。その後、情報機器の暗号化などの対策を実施するとともに、パソコンの持ち出しルールを含めた情報セキュリティ規程を整備して、従業員へ情報セキュリティ教育を行った。日常業務で使用している業務システムに事故が発生すると、原因調査や被害の拡大防止のために、運用中の情報システムを停止したり、インターネット接続を遮断しなければならないことがあります。その結果、電子メールが使えなくなるなど、業務が停滞し、納期遅れや営業機会の損失が生じるなど、事業全体に影響が出てしまいます。名)従業員がメールに添付されていたウイルス付きのファイルを不用意に開いたことで感染し、基幹システムで障害が発生した。システムベンダーの協力を得て障害対応を行ったが、復旧するまでの一週間、基幹システムが使用できなくなった。原因は、不審メールを受信した際の対処方法を詳しく教育していなかったことである。その後、朝礼などを利用して従業員へ情報セキュリティ教育を行うとともに、迷惑メール除去ツールを導入した。reserved.ページ上部へ戻る。