ISO27001（ISMS）とプライバシーマークの違い

無料メルマガ登録でプレゼント！書籍「セキュリティ対策の基礎知識」

今回は、何かと比較されやすい２つの規格「ISO27001（ISMS）」と「プライバシーマーク」について考えてみたいと思います。

一般的なイメージとして、下記の様に誤解をされている方が多いと思います。

個人情報を守るのがプライバシーマーク
情報全般を守るのがISMS
プライバシーマークの発展形がISMS

これらの認識は全て間違いであり、２つの規格は“全く似て非なるもの”です。選択を間違えると後々不都合が出てくるケースもありますので、事前に見極めを行いましょう。

この記事の目次

1 ISMSとプライバシーマークの違い
2 どちらを選択するべきか
3 まとめ

ISMSとプライバシーマークの違い

根本的な違いとして、それぞれの設立の経緯を見ていきましょう。

プライバシーマーク設立の経緯

プライバシーマークは、「個人情報保護法」の意味を持ち合わせて導入されたものと考えて間違いありません。設立の経緯がそれを物語っています。

プライバシーマークは1998年に誕生しました。その翌年には、JSA（一般社団法人日本規格協会）により策定された日本工業規格である「JISQ15001」が制定され、プライバシーマークの準拠規格となります。

この1998年という時期がポイントです。

EUデータ保護指令による影響

1995年、windows95が発表され、インターネットの爆発的発展の萌芽が見られました。そして同年「EUデータ保護指令」というものが採択されます。これには、“個人データの保護体制が出来てない国やその国の企業には、EU内の個人情報を渡してはならない”といった内容が含まれており、そのタイムリミットは“採択後３年”とされていました。

これに対し、日本政府は慌ててしまいます。守秘義務に関する立法は、よく検討し質疑に耐えうるよう入念な準備を要します。1985年の「国家機密に係るスパイ行為の防止に関する法律案」（通称「スパイ防止法案」）が審議未了廃案となってしまった苦い経験もあります。

あと３年で個人情報保護法を策定するなんて無理だろう
対応しなければ日本企業はEUでの業務が不可能となるかもしれない

この様な状況の中、経済産業省は1997年に「個人情報保護のガイドライン」を発表し、翌1998年（EUデータ保護指令より３年目）にプライバシーマーク制度を発足させたのです。

個人情報保護法の“替わり”

そもそもが、個人情報保護法の替わりに作られたものですから、個人情報保護法の要求事項であるJISQ15001を取り込むのは当たり前ということです。

注意点として、JISQ15001は法律ベースですので、個人情報を徹底的に守ることが目的となります。その為、認証取得組織の都合はあまり考えられていません。組織の大小で項目に違いはなく、中小企業であっても、体制を構築するには大きなコストが掛かるのです。この点で、本来「組織のベストプラクティスを探る“マネジメント”」の意義からして、プライバシーマークを「個人情報保護“マネジメント”システム」と呼ぶことに抵抗を感じる人は、私を含め多いのではないでしょうか。

またもう一つの注意点として、個人情報の“全て”が対象ですので、組織内で取り扱わない人はいません。必ず全社単位で体制を構築しなければならないということです。