世界基準の新規格「ISO27701プライバシー情報マネジメントシステム（PIMS）」とは

2020年末からいよいよ正式に国内でも認証制度が始まった「ISO27701プライバシー情報マネジメントシステム」。通称”PIMS（ピムス）”。個人的にもとても期待している規格です。

今回はこの規格について解説していきたいと思います。

この記事の目次

1 世界標準のプライバシーセキュリティマネジメント規格
2 技術的側面もケア
3 プライバシーマークとの違い
4 今後の展開

世界標準のプライバシーセキュリティマネジメント規格

PIMSはISO27001（ISMS）のアドオン規格として作られました。基本的なセキュリティ管理策のベースはISMSに準じます。そしてその中で個人識別可能情報（PII）マネジメントに必要な内容を付けくわえたものがISO27701となります。PIMSを認証してもらうためには、ISMSも認証取得することが前提条件となります。

PIMSの注目点は何より”世界標準”であること。国が違っても対応できるマネジメントシステムだということです。特に、附属書DとしてEU一般データ保護規則（GDPR）の条項と各要求事項との対応表もあり、GDPR対応準拠の目安として使うことも可能となっています。

また最近ではLINEの事件でも話題なりましたが、他の国に個人情報を移転すること（法域間でのPII移転）への対応も要求されています。

押さえておきたい「GDPR（EU一般データ保護規則）」企業に求められる対策とは？

2018.6.4

2018年5月25日、GDPR（EU一般データ保護規則）が施行されました。国内では、何となく「そんなに大したことじゃなかったんだなー」の雰囲気が流れているようです。正しく認識している方が少ないようなので、GDPRの内容とそれに関する国内の現

技術的側面もケア

PIMSでは、技術的な側面もしっかりケアしています。要求事項の7.4.6ではシステムプロセス上で生成された一時ファイルについての対応も「ガベージコレクション」の手順に従って特定するよう要求されています。

ISMSでの要求「トランザクションの保護」の意味を理解していない審査員やコンサルタント、果ては規格翻訳者の話をしたことがありますが、「ガベージコレクション」も同様になってしまいそうな予感がしています。

ただし、規格自体はそこまで要求していますので、正しく理解して運用すれば有効なものになりそうだ、ということはエンジニア系の方にも感じていただけるのではないでしょうか。

プライバシーマークとの違い

さて、国内では個人情報関連規格として「JISQ15001（プライバシーマーク）」が広く認識されていますが、これとの関係はどうなるでしょうか。

まず、プライバシーマークは日本固有のガラパゴス規格であり海外では通用しないという実態があります。海外では普通に意識されている「管理者（contorollers）」と「処理者（processors）」での責任の切り分けも明確になっていませんし、技術的な対応もあまり述べられておりません。

そもそもJISQ15001はその成立の過程や規格の内容から、「個人情報保護法準拠システム」と呼ぶべきものであり、「個人情報保護”マネジメント”システム」と呼ぶのは個人的には抵抗があります。おそらく、ドラッカーなどのマネジメント学にも触れてきた方には同意いただけるのではないでしょうか。

このような内容なので、プライバシーマークは経営マネジメントとの統合を常に図ってきたISMSやQMSのようなISOマネジメントシステムとは、あまり相性がよくありません。ISMSとプライバシーマークの統合は至難の業です。ISMSとプライバシーマーク両方を取得しているなら、PIMSに変えて統合した方が間違いなく運用は楽になるでしょう。

とはいえ、プライバシーマークは総務省系のJIPDECの所管ですから、自治体入札では、まだまだ取得要求がありそうです。よって、

自治体取引が主たる業務で
ISMSを取得しておらず
海外との個人情報授受が無い（クラウドを含む）

という状況であれば、引き続きプライバシーマークでも良いかも知れません。それ以外の組織であれば、プライバシーマークに代わってPIMSを推奨したいところですね

「JISQ15001」の改正は突っ込みどころ満載！今後のPマーク取得はどうなる？

2017.12.22

2017年12月20日、プライバシーマーク等のベースになる「JIS Q 15001」が改訂されました。これに基づき、審査も様変わりすると思われます。今回はこの改正内容について触れて行きたいと思います。

今後の展開

個人情報マネジメントシステムとしては、JISQ15001よりもずっと納得できることは間違いありません。個人的には全面的にプライバシーマークからPIMSに移行して欲しいと思っていますが、「入札条件」というのは企業として認証取得の大きな要因でしょう。ここがどう影響するかが一つのポイントでしょう。

とはいえ、規格の考え方は至極真っ当なものです。認証云々は後回しにして、まずはPIMSの考え方を導入していただきたいと考えています。個人情報管理が向上することは間違いないですから。

私自身、既にPIMSの審査に参加していますが、十分にマネジメントシステムとして納得の行くものですし、海外取引のある企業では取引先からの監査の手間が相当省けるであろうと感じています。まだあまり世間では認識されていませんが、今の日本の状況だからこそ、強く推奨できるマネジメント規格であると推奨しておきたいと思います。