Pマーク取得に必要な設備とは？鍵・シュレッダー・入退室管理は必須？
Pマーク
「Pマークを取得するには、入退室システムや高額なセキュリティ設備が必要ですか？」
という質問をいただくことがあります。
結論として、特定の設備を一律に導入すればPマークを取得できる、という制度ではありません。
大切なのはリスクに合った対策
例えば同じ「個人情報を保管する」という業務でも、
数十件の紙資料を扱う会社と、数百万人分の個人データをクラウドで管理する会社では必要な対策が異なります。
Pマークでは、自社の個人情報とリスクを把握し、そのリスクに応じた安全管理措置を考えます。
1．入退室管理
誰でも自由に入れる場所に大量の個人情報を保管している場合は問題があります。
一方ですべての会社にICカード式の入退室管理システムが必要という意味ではありません。
2．紙の個人情報
鍵付きキャビネット、保管場所、持ち出しルール、廃棄方法などを確認します。
3．パソコン
パスワード、画面ロック、OS更新、ウイルス・マルウェア対策、端末紛失対策などを行います。
4．アクセス権限
全社員がすべての個人情報を見られる状態にせず、業務上必要な人だけがアクセスできるようにします。
5．クラウドサービス
Microsoft 365、Google Workspace、各種SaaSなどを使用する企業では、
管理者権限
多要素認証
退職者アカウント
共有設定
委託先管理
なども重要です。
6．バックアップ
ランサムウェアや機器故障なども考慮し、重要な情報について復旧できる状態を作ります。
7．廃棄
紙をそのままゴミ箱へ捨てたり、パソコンをデータが残った状態で処分したりしないよう、廃棄方法を決めます。
個人情報保護委員会も、安全管理措置としてアクセス制御や不正アクセス対策、端末上の個人データの保護などを示しています。
「設備を買う」ことが目的ではない
Pマーク取得で重要なのは、
高額な設備を導入することではなく、自社のリスクに対して合理的な対策ができていること
です。
現在の設備を確認して、不足している部分だけを改善する方が、取得後も無理なく運用できます。
テレワーク・スマートフォンの対策
自宅での書類保管、家族等による端末利用、画面の覗き見、紛失時の連絡を確認します。持ち出しを認める情報と端末を決め、スマートフォンにも認証・更新・返却の管理を適用します。
鍵・シュレッダー・入退室システムは必須？
特定の機器を全社一律で購入するという判断ではなく、情報を保護できる手段を選びます。紙の廃棄を適切な外部業者へ委託する方法などもありますが、委託先と処理方法を確認し、処理の完了を把握します。代替策があることは、対策を省略してよいという意味ではありません。
投資が必要か判断するチェックリスト
守る情報は何か、誰が触れられるか、漏えい・紛失時の影響はどの程度か、既存対策は有効か、代替手段で同等の保護を実現できるかを確認します。費用だけでなく日々の運用と点検のしやすさも比べ、導入後は設定と利用状況を見直しましょう。
参考情報
Column
Pick Up
記事がありません