To...取材で目黒に行ってきました。委託先の監督」に関する指摘事項の傾向と対策です。49)本日は「委託先の監督」の<運用>の続きです。<運用>前回は委託先を漏れなく特定しましょうという点を述べました。今回は、特定した委託先に対して実施すべきことを述べます。基づいて各委託先を評価します。・次は、各委託先に対して安全管理に関する契約を締結します。・データセンターは、個人情報に関する個別契約を結んでくれない可能性が高いです。これは経済産業省のガイドラインによって、「倉庫業、データセンター(ハウジング、ホスティング)等の事業において、当該情報が個人情報に該当するかどうかを認識することなく預かっている場合に、その情報中に含まれる個人情報は、事業の用に供しない」ことになっているためです。その場合は、何らかの形で守秘義務契約か非開示契約を締結するか残存リスクとして管理するなどの方策が必要と考えられます。個人情報の取扱状況に関する委託者への報告の内容及び頻度」も契約によって規定しなくてはなりません。これはJISが新しくなってから新設された項目なので、審査員は特に注意してチェックします。この条項が契約書に含まれていることを再度確認しましょう。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。委託先の監督」に関する指摘事項の傾向と対策です。社内で確立する必要があります。・選定基準は、全業者一律でなくてもよくて(逆に評価基準がひとつしかないと不適合になる可能性が大)委託する業種単位に作成するとよいでしょう。・これは、例えば、大量の顧客情報を委託するコールセンター業者と倉庫のように場所しか提供していない業者と同じ基準では評価できないだろう、という考えからです。・一般的には評価表などのようなものを策定し、それに基づくアンケートのような調査票を作成して委託先に送って返答してもらうという形を取り、合格した業者だけを利用するということになります。・次に、委託先が漏れなく特定されている必要があります。ようなもので委託先を一覧化するのがよいでしょう。記載されているようにします。機器メンテナンス会社等と、今日はここまでです。次は、委託先との契約の締結とそれに派生する様々な面倒くさい点です。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。委託先の監督」に関する指摘事項の傾向と対策です。49)いよいよこの項目ですね。ここは個人情報の特定、リスクなどの認識、分析及び対策の次くらいに厄介なところですね。いうわけで、これも2回に分けて書きます。<文書作成>・文書としてはガイドラインに書いてあることを規定すればいいはずです。「委託先選定基準を定める手順はあるが見直し(定期/臨時)の手順が定められていない。「委託先選定基準により委託先を再評価する具体的な時期(●月など)が明確でない。「a)〜g)の内容が盛り込んだ契約書を個人情報の保有期間にわたって保存する手順を定め締結する手順が定められていない。・この契約書を申請時に提出していない場合は、「現地にて確認」ということになります。ガイドラインをよく読んで、漏れがないように規定すれば文書の方は大きな問題はないと思います。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。「プライバシーマーク取得講座」〜最低限、これだけはおさえておきたい準備作業のポイント〜本日は弊社主催のセミナーのご案内です。※インターネット申込み特典として事前予約時の参加費は無料といたします。内3-5-1各線有楽町駅よりスグお申込みは以下のリンクから。(下部に申し込みフォームがあります。)http://www.optima-solutions.jp/seminar/090219.html(満席になり次第受付を終了します。)内容は以下の通りです。第1部なぜ御社は、Pマークを求められるのか?・Pマークとは何なのか?メリットは何か?Pマーク基本の「き」。第2部これなら、わかる!プライバシーマーク取得のツボ・Pマーク取得までの一連の作業内容を、順を追ってご説明。個人情報、プライバシーマークに関するご質問に何でもお答えいたします。当日有楽町で会いましょう。従業者の監督」に関する指摘事項の傾向と対策です。47)<文書作成>・「個人情報保護マネジメントシステムに違反した場合の措置に関する規定が整備されていること」というのがガイドラインにありますが、これは例えば、「当社は、個人情報保護マネジメントシステムに違反した従業者を就業規則に基づいて処分する」などとしておけばいいでしょう。・その他はガイドラインに書いてあることに基づいて規定すればいいでしょう。<運用>・全社員から個人情報の非開示契約を締結していることを示すことができればいいでしょう。<まとめ>・この要求事項に関する審査は上記の通りで、ガイドラインさえ見て対処していれば、引っ掛け的なことはないと思います。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。「プライバシーマーク取得講座」〜セキュリティ対策におカネをかけずにマークを取得する方法〜本日は弊社主催のセミナーのご案内です。※インターネット申込み特典として事前予約時の参加費は無料といたします。各線神田駅より徒歩6分お申込みは以下のリンクから。(下部に申し込みフォームがあります。)http://www.optima-solutions.jp/seminar/090209.html(満席になり次第受付を終了します。)内容は以下の通りです。第1部なぜ御社は、Pマークを求められるのか?・Pマークとは何なのか?メリットは何か?Pマーク基本の「き」。第2部これなら、わかる!プライバシーマーク取得のツボ・Pマーク取得までの一連の作業内容を、順を追ってご説明。個人情報、プライバシーマークに関するご質問に何でもお答えいたします。当日お待ちしております。安全管理措置」に関する指摘事項の傾向と対策の運用面です。44)<運用>・運用の審査については、審査員の技量や考え方によるところが大きいので、傾向らしい傾向はありませんが、少なくとも次の点は確認しておきたいです。・webからの入力フォームのssl化。・ウィルス対策ソフトのインストール及び最新に保つこと。Updateなど)が最新のものも適用されていること。・パスワードが定期的に更新されていること。・授受票の実績があること。・バックアップが取られていること。・バックアップを格納した媒体は、本体とは別の場所に保管されているのが望ましい。<コメント>・前述したように安全管理措置に関する指摘内容は、審査員の意見に大きく左右されます。(この是非はここでは語りません)・また、安全管理措置に関する指摘は、他の部分の指摘(例えば個人情報の特定漏れ)などと比べると、審査後の改善がとても簡単なことが多いです。・そのようなことから、安全管理措置についてはあまり無理せず、可能な範囲の実施に留めておき、審査員に指摘された部分だけ改善する、という作戦で望まれる事業者もあるようです。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。安全管理措置」に関する指摘事項の傾向と対策です。44)さて、安全管理措置です。Pマークでもこれが一番情報セキュリティらしいところですね。安全管理措置の部分は、事業者としては一番気になるところですが、審査的には事業者が思うほど細かくなく、指摘されても比較的対策が簡単なことが多いです。それでもやることはたくさんあります。安全管理措置」については「文書作成」と「運用」を分けて書きます。<文書作成>・既に自社に情報セキュリティ関係の規程がある場合は、それを使うか拡張するといいでしょう。これを参考にするといいでしょう。http://www.csaj.jp/pmark/hinagata.html・この雛形はわかりやすく簡潔でとてもよい雛形だと思います。(ただし、様式類は自分で考えて作らないといけない。)・この雛形でも中小の規模には実施するのがやや難しいところがあると思いますので、自社ではそこまでやりたくないという部分は単純化して書き換えるといいでしょう。・安全管理については、必ずしもガイドラインにあるものを全て規定する必要はありません。最低何を規定しないといけないかというと、上記の雛形にある項目だと思ってほぼ間違いありません。現地審査での指摘事項の傾向については次回書きます。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。正確性の確保」に関する指摘事項の傾向と対策です。43)ようやくここまで来ました。3.4.2関係(取得、利用及び提供に関する原則)が終わると一山超えた感がありますね。「正確性の確保」は、審査的には比較的気楽です。<文書作成>・ここは、ガイドラインにある3項目を文書化してしまえばいいでしょう。誤入力チェック個人情報の入力に際しては、2度視認するなどして誤入力を予防する。バックアップ個人情報のバックアップについては「安全管理細則」の手順に従って実行する。<運用>上記3つが実施されていればいいでしょう。明確に記述されていること。保存期間は「無限」とか「半永久」とか「未定」などは不明確とみなされるので避けるべき。1年」、「最後の取引後1年」などが望ましい。法定保管(保存)期間があるものは当然、それを網羅する形で定める必要があります。バックアップバックアップが実施されていること。(必ずしも全ての個人情報についてバックアップが必要ということではない)バックアップを記録した媒体が、本体とは同じ場所に保管されていないことが望ましい。そこまでする気がなければ、残存リスクとして管理すればいいでしょう。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。提供に関する措置」に関する指摘事項の傾向と対策です。41)<概要>まず、第三者提供がある局面を洗い出します。次の場合は、第三者提供になる可能性が高いです。・給与振込みサービスで社員の個人情報を提供する・業務受託等で、クライアント企業に自社または協力会社の社員の個人情報(スキルシートなど)を渡す(特にシステム開発系)・クレジットカード等で決済する場合で決済会社に購入者の個人情報を渡す・健康保険組合に社員の情報を渡す・webやパンフレットに社員の写真を掲載する・社員の出張や旅行に際して、旅行代理店に社員情報を渡すこう考えると、「当社は第三者提供を行わない」と断言できる会社は意外と少ないかもしれません。<文書作成>・ここは、ガイドラインにある手順を全て記述してしまうのがいいでしょう。※「手順」という場合、「誰が」、「何を」、「どのタイミングで」行うかという要素が含まれていれば大方問題ないようです。加えて、「どの様式で」、「誰が」、「誰の」承認を得るのかが明確になっていれば大方問題ないようです。本人から直接書面によって取得する場合の措置」で定めた明示文書に第三者提供に関する内容を加筆して、本人から同意を取り直すことになるのだろうと思います。(本人から直接書面で取得した個人情報の場合)・本人から直接書面で取得したのではない個人情報を第三者に提供する場合、何らかの形で自社が同意を取るか、上流で同意が取れていることを自社が確かめる必要が出てくると考えられます。15001:2006をベースにした個人情報保護マネジメントシステム実施のためのガイドライン—第1版—」を言います。以下からダウンロードできます。次の10件>>RSS取得このblogのコメントはendoの個人的な意見であり、いかなる団体の考えも代表するものではありません。