プライバシーマーク認証取得支援サービス » プライバシーマーク

会社でTwitter利用を認めてもPマーク取得は可能

yukimatsu — Sat, 06 Mar 2010 10:16:19 +0000

昨年から日本でもTwitterが大ブームです。
Twitterは今までのソーシャルメディアに比べて利用者の年齢層が高い事が特徴に上がられます。
35歳～40歳ぐらいが一番の利用層のようです。

この年代ですと企業では中堅クラスであり重要なポストに就く人も多くなってきていると思います。

「Pマーク(プライバシーマーク）の取得を考えた場合に会社でTwitterを利用するのは大丈夫でしょうか？」
ということを先日聞かれました。

基本的には「大丈夫」です。Twitterを利用しているからPマークが取れないという事はありません。
会社が業務時間中にTwitterの利用を禁止している場合はPマーク取得の問題でなく、それ以前として利用してはいけません。
会社がTwitterの利用を認めている場合は、会社で決めたルールに則って運用すればOKです。

もちろん機密情報や個人情報をTweetするなんて事は禁止ですよ。

弊社のISMS取得サービスサイトでのブログでも記載しましたが
会社として大事なことは、企業として導入する場合や社員の利用を許可する場合は最低限の
ルールはしっかりと定めておかなければならないと思います。
（参考ブログ：会社でTwitterを使っているとISMS取得は不可能なのか？）

例えば、全社にiPhoneとTwitterを導入した企業で有名はECスタジオ社では
「機密情報はつぶやかない」という事をルールとしているようです。

現状は多くの企業でTwitterの公式アカウントが作れて実際に利用されていますが、情報漏えい等に関する大きな問題は起こっておりません。
Pマークは審査がありますので、審査員から何かしら言われるかもわかりませんが、毅然とした対応をとれば問題ありません。

個人情報の目的外利用を防ぐ難しさ

yukimatsu — Sun, 14 Feb 2010 16:05:40 +0000

先日、NTT西日本に総務省から業務改善命令が出されました。
ニュース等で既知の人も多いと思います。
電気通信事業者法の業務改善命令と、個人情報保護法の書面による厳重注意です。

個人情報の面ですと、今回のNTT西日本は「目的外利用」をしてしまったということのようです。

プライバシーマークでも代表的なリスクの1つに「目的外利用」が挙げられています。

企業として目的外利用を防ぐため、つまり「個人情報はその取得（同意）した目的のみに利用する」ことを徹底するにはどのようにしたら良いのでしょうか？

「教育する」「全従業員へ周知する」という事が考えられますが、これが徹底するのがなかなか難しいです。
ISMSも同様ですが、情報セキュリティを行う上で一番難しいのが全員への意識の浸透です。

今回のNTT西日本の件も、おそらく現場の社員の方は目的外利用をしていることを認識していなかったと思いますが、企業レベルで個人情報の取り扱いについて徹底するためには全従業員の認識を高めるために教育は必要だと思います。

PCの使い方のようにある程度はシステム的に制御できるところは良いのですが、それ以外のところでどのように統制をとっていくのかが難しいのです。

ケースによっては、個人情報が記された紙自体に「○○の目的以外の使用禁止」と記載している場合もあります。
上記の仕方ですと「利用しようとする時に、目に飛び込んで来てしまう」ので非常に有効です。

会社ごとで、または利用シーンごとで有効な方法は異なってくると思いますが目的外利用を防ぐ手段をそれぞれ真剣に考える良い契機になればと思います。

最近は更新対応が増えています

yukimatsu — Sat, 06 Feb 2010 14:13:52 +0000

最近は、Pマークの更新の依頼をよく頂きます。

取得してから運用をして、その運用内容等を審査で確認する更新審査ですが
やはり２年間の間に色々と変化があります。

規格(JIS Q 15001)自体は変化はないのですが
審査基準のようなものが少しずつ変わってきています。

もちろん前回と審査員が違ういうのもあると思いますが
全体的な傾向としても変化はあります。

企業側からすると「2年前OKで、今年はダメなの？」と思うかもしれませんが
情報セキュリティは時代とともに変わります。リスクも変化しています。

そういった「今の」状態にあったマネジメントシステムへの変更や
最新Tipsのようなものを伝える事が更新コンサルの時は多いです。

個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン改正

yukimatsu — Sat, 31 Oct 2009 05:38:59 +0000

Pマーク取得支援コンサルタントの幸松です。

Pマーク取得の際にも非常に参考になる
「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」
（以下、経産省ガイドライン）が改正されました。

今回の改正では共同利用に関する部分が大きく修正されていました。
今後、インターネット系サービス企業を中心にポイントサービスの共同利用がますます
進んでいくと思われますのでそういった点も記載されています。

後は、事業継承に関しての事項や、FAXやメール誤送信時の主務大臣への報告等に
ついて改正されている部分があります。

今からPマークを取得される企業はもちろんのこと
既にPマークを持たれている企業も必読です。

P.S.　審査時に外部文書として経産省のガイドラインを表記している企業が多いと思いますが
　　　　今回、改正しましたので外部文書の更新をしておきましょう。
　　　　そうしないと更新審査の際に指摘されてしまう可能性が大です。

[参照サイト]
個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン（平成１６年１０月２２日厚生労働省経済産業省告示第４号,平成２１年１０月９日改正）（PDF:328KB）