昨日のNetの某紙で、「プライバシーマーク制度とは」との説明が。
その効果は、2年に1回の更新時に、第三者機関が、社内の情報管理体制を審査して、認定の信頼性を担保している、と。
その動向として、大量の流出事故を受け、規定を強化している、と。
更に、制度改革を検討しており、大企業の現地審査は、従来の1日から数日に強化している、と。
一方で、民間の格付会社(アイ・エス・レーティングのこと)が、民間独自のやり方で管理レベルを証明しようとする動きが盛んになるにつれ、
「プライバシーマーク制度の存在意義は低下していく可能性もある」
との意見が書かれていた。
民間の格付会社による格付けが出来たから、Pマーク制度の存在意義が低下する、とは一体どういう考えなのであろうか。
民間の格付けは、昨年春の衝撃的なアナウンスの際に、日本から発信する国際標準、と意欲的な考えが示されていたが、最終的な形になるには、相当な時間が掛かるものと思われる。
現に、昨年7月の創設以来、5社(団体)が格付けされたに過ぎない。
難しいし、人手と金が掛かるのだろう。
こういう機関や制度が必要であることは、充分に理解しており、これを云々するつもりは、更々ない。
国際標準のISMS(ISO27001)にしても、現時点で3000社強に過ぎない。
一方、プライバシーマークは、既に、1万社を超えている。
この差の理由は簡単である。
取得(更新)と運用に掛かる手間と費用の違いだと思う。
大企業は、人材も金もあるから、より信用度の高い認定を狙うことになる。
特に、外国との取引を想定すれば、国際標準は必須要件であろう。
しかし、中小企業にとっては、プライバシーマーク(Pマーク)が、正に、「ちょうど いい」ものなのである。
Pマークは、目的は「個人情報保護」という範疇かも知れないが、その取得運用においては、内部統制そのものが出来上がっていないと、認定されない仕組みになっている。
会社全体が、どういう考え方で、個人情報を中心とした情報のセキュリティに取り組んでいるかを、考え方、文書類、具体的な施策、予算管理、人材確保、教育、監査、契約、委託先管理、BCPなど、全ての経営要素として策定していかなければならないのである。
指定機関のJISAは、他に比べて難しい、と云われている。
更新申請の受付期日が、他の「4ヶ月前、3ヶ月以内」に対して、「6ヶ月前、3ヶ月以内」であることを考えれば、確かに厳しいのかも知れない。
ガイドラインが他に類を見ないほど分厚い、という現実もある。
6/30に、経産省から「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」の改正案が、7月一杯のパブコメに掛けられている。
JR西日本の鉄道事故や新型インフルエンザでも問題になった「過剰反応」も、この改正に結びついている、という。
ガイドラインの共通化にも対応している、という。
新旧対比表も出されているので、熟読していただきたい。
プライバシーマークの存在意義は低下するどころか、中小企業を中心として、今後益々、その価値を高めていくものと思っている。