セルフサービスステーション（プライバシーマーク・ISMS取得　制度と流れ）

Pマーク/ISMSの制度について

Pマークとは？ Pマーク（プライバシーマーク制度）とは、経済産業省の外郭団体である「財団法人日本情報処理開発協会（JIPDEC）」が運営しており、JIS Q 15001（個人情報保護に関するJIS規格）に適合したマネジメントシステムを整備および運用している事業者を、第三者機関（JIPDECもしくはJIPDEC認定の付与機関）が評価・認定し、その証としてPマーク（プライバシーマーク）の使用を許諾する制度のことです。この制度は、取得する事業者にとっては、「消費者に対して、個人情報の保護に関する信頼獲得へのインセンティブを提供」し、消費者にとっては、「事業者の個人情報の取扱いの適切性を容易に判断できる材料（マーク）の提供」を目的としています。 →Pマーク認定制度の流れ ISMSとは？ ISMS適合性評価制度とは、企業や組織が自身の情報セキュリティを確保・維持するために、個別の問題ごとの技術対策のほかに、組織のマネジメントとして自らのリスク評価により、必要なセキュリティレベルを定め、計画し、そのルールに基づいたマネジメントシステムを運用していることを、国際規格であるISO27001（JIS Q 27001)に適合しているかどうかを第三者（審査登録機関）が審査、認証する制度です。ISMSの認証取得を希望する事業者は、指定された審査登録機関に申請を行い、審査員によるISMS審査の結果、審査機関からの報告を受けて、ISO27001規格に適合した組織体制を整えているという認証され、認証企業として登録されます。 →ISMS認証制度の流れ
	→ISMS認証制度の流れはこちら

Pマーク/ISMS 制度の流れ

　1.申請書類の
　　　作成と申請

プライバシーマーク制度にかかる費用は、企業規模に応じて既に決められており、JIPDECのホームページにも公開されています。プライバシーマークでは、「プライバシーマーク付与認定申請チェック表及び申請書」や「会社概要」、「実在を証する公的書類」、「取扱う個人情報の概要」、「文書一式」に加え、「教育及び監査実施記録」などの実施記録の提出を合わせて要求されます。ISOやISMSが認証取得活動の開始と同時に申請するのに対して、プライバシーマークは、構築及び運用後の申請となります。

　2.申請書類の
　　　受理・審査

記載内容及び申請資格の確認及び受理。個人情報保護の行動指針を定めた規程類の整備状況の視点から審査が行われます。
■審査における重要な条件
「個人情報管理者の指名及び個人情報を適切に取り扱う体制の整備」
「申請までに年1回以上、周知徹底措置（教育、研修等）の実施」
「申請までに1回以上、個人情報保護状況の内部監査」
「個人情報保護に関する窓口が常設され、かつ消費者への明示」
「外部及び内部からの個人情報漏えいに対する適切な安全措置」
「外部への個人情報の提供、委託を行う際の適切な保護措置」

　3.現地調査

現地調査では、実際に審査員が現地に赴いて、以下のようなことを実施します。
1.代表者へのインタビュー
2.運用状況の確認
3.現場での実施状況の確認
4.総括

　4.認定可否の
　　決定と通知

書類審査及び現地調査の結果に基づき、プライバシーマーク付与認定の可否を決定し、申請者へ審査結果の通知が送付されます。

　5.使用許諾証の交付

プライバシーマークの使用許諾契約書とともに、使用許諾証が交付されます。プライバシーマークの使用に関する契約期間は2年間となっているため、2年後の契約が切れる際に、更新審査を受けることになります。

　6.更新審査

更新審査では、ほぼ初回の審査と同じ手続きを行うことになります。ただ、費用に関しては、初回審査の約３／４程度となっています。

→トップへ戻る

→Pマーク認定制度の流れはこちら

ISMS認証制度の流れ

　1.審査機関への
　　　問合せ・見積り

ISMS（ISO27001）は国際規格であるため、Pマークと異なり、ISMSの審査にどれぐらいの費用がかかるのか、また手続きはどのようにすれば良いのかは、各審査登録機関により若干異なります。ISMSの構築開始前に各審査登録機関に問い合わせ、見積もりをとるなどしましょう。
ISMS審査登録機関に関しては、日本情報処理開発協会（JIPDEC）のホームページ（http://www.isms.jipdec.jp/）もしくは、日本適合性認定協会（JAB）のホームページ（http://www.jab.or.jp/）よりご覧ください。

　2.申請手続き

審査を依頼する機関が決定したら、審査依頼の手続きを行います。申請には、申請料金がかかります。申請書には、各機関の指定様式があり、会社概要、組織体制、情報セキュリティに対するレベルなどを記載することになります。

　3.予備審査

審査機関により、オプションとして予備審査を実施するところもあります。これは、実際の審査ではありません。審査に耐えうる状態にあるか、審査を受ける準備ができているかを調査するといった目的で通常実施されます。予備審査は、オプションであるため受審するかどうかは、あくまでも組織の判断に任せられています。組織としては、実際の審査がどの様に行われるのかを予め経験しておこうという目的で受審される場合もあります。

　4.初回認証審査

初回認証審査は、第2段階に分かれて実施されます。第1段階では、「事前確認：見積用アンケートの内容等の確認」「ISMSのフレームワーク確認：フレームワーク、範囲、リスクアセスメント、リスクマネジメント、適用宣言書等の確認」「セキュリティーポリシー及び手順確認：セキュリティポリシーとポリシーを支える主要な手順等の確認」などが実施されます。第2段階では、「ISMSの実施状況に関する確認」が実施されます。なお、第1段階審査の結果によっては、第2段階の審査工数変更が提案される場合もあります。審査の結果、審査員より不適合の指摘があった場合は、是正処置を指定期日までに実施し、審査登録機関へ報告することとなります。

　5.認証書発行

審査の結果、ISMS認証基準への適合性が認められると審査登録機関より判断されると、認証書が発行されることになります。認証には、手続き費用が発生します。なお、認証書の発行には、各審査機関が定めた審査議会により判定されるため、ISMSの審査が終わったからといってすぐに発行される訳ではありませんので、ご注意ください。

　6.維持審査

認証書を維持するためには、定期的に継続審査を受けることが必要となります。維持審査は、年1回（更新審査まで2回）または年2回（更新審査まで4回）の継続審査を実施します。なお、維持審査の回数は、審査機関により異なります。

　7.更新審査

認証は、3年（有効期間）にて満了するため、認証を更新する際は、満了前に認証更新の適切性を確認する更新審査を受審する必要があります。更新審査後、3年間の有効期間を得ることになり、「維持審査」を受審することになります。ISMSの認証取得を証明し続ける場合は、この「維持審査」と「更新審査」の手続きを繰り返し行うことになります。

→トップへ戻る