DX時代のプライバシーを守るISO27701について、取得支援を始めます。

こんにちは、UPFの藤田です。

弊社では、DX時代の顧客プライバシーを厳密に守るISO27701について、取得支援をはじめます。

弊社が得意とするプライバシーマーク（通称Pマーク）の取得ノウハウを横展開し、ISO27701を取得していただくための構築サービスです。

ただし、現時点（2020年12月）においてはまだ日本国内での審査が始まっておりません。

なので、今すぐこの認証を取得するには海外から審査員を招いて認証審査を受けるしかありません。

※プライベート認証を受けるという方法もありますが、意味的にあまりお勧めはできません。

おそらくもうすぐ日本のいくつかのISO審査機関も審査を開始すると思いますので、その際にすぐに申請できる準備を完了し、運用（構築したルールを実走）は今から始めても宜しいかと存じます。

今回は、そもそもISO27701とは何なのか。そして取得するにふさわしい企業とは、さらにDX時代の企業のセキュリティのあり方などについてお話します。

ISO27701とは？

そもそもISO27701とは、国際規格のISOであり、プライバシー保護の規格です。といっても、ISMSというISO27001、27002の追加（アドオン）認証となります。

いま、DX化が世界中で進んでおり、同時に企業が頭を悩ませているのがプライバシーと情報漏洩の問題です。世界では日本に限らず、EU圏での他国へのGDPR対応要請、ハッキングや事故によってさまざまなセキュリティインシデントが発生しており、国境を超えた世界規模でのセキュリティ意識の向上が求められています。

そこでISO27701が登場し、利用者のプライバシーを十分に守った上でのデータ運用が求められているのです。取得することで、世界展開をするビジネスにおいて、迅速かつ基準を満たしたプライバシー法制への準拠が満たされるとされます。

グローバル展開を前提にするのであれば絶対に取っておきたい認証の一つです。

ISO27701を取得するにふさわしい企業は、海外展開するにあたって現地のプライバシー法制をきちんと守り法的リスクを避けたい。といった場合に非常におすすめです。

また、リモートワークの急速な普及によりDX化がどこの企業にも求められる時代です。

DXとはデジタル・トランスフォーメーションの略で、日本では2018年頃総務省が、2019年には経済産業省が推進し、2020年には菅政権がDX化を進めると宣言したことでますます話題となっているバズワードです。5G、IoT、クラウドなどを組み合わせることで、新しい価値を創出していくのがDXだといえます。

しかし、そこで問題になるのが個人情報の取り扱いです。

流出事故は多く、非常に増えていますし、これからの流出を起こさせないためにも、企業はますますセキュリティ意識を高めなければなりません。そのためにISOもセキュリティ基準を準備し、ISO27701等によって、利用者保護に努めています。

DX時代に、個人情報の取り扱いはますます大切です。

個人情報を漏洩してしまうと、何がやっかいかというと犯罪に使われかねないという点です。個人情報とは、名前・住所・生年月日・性別のことで、基本4情報とも呼ばれます。

それ以外にも、個人の識別が可能になってしまう情報は何でも個人情報たり得ます。

基本4情報だけでなく、たとえばブラウザの閲覧履歴なども、個人情報なのです。

“名寄せ“をして個人が特定されてしまうのであれば、それらはすべて個人情報に該当し、保護されるべきものです。しかし世の中はあまり個人情報の保護に関して意識が高いとはいえず、たくさんの流出事故が起っています。ハッキング、故意、売買、など、ときに犯罪になってしまうこれらの事故では、事故元の会社の信用が揺らいでしまう事態になりかねません。最も大切な信用という価値が、毀損されてしまうのです。

このように、会社の根幹を揺るがす事態を起こしかねない個人情報流出事故。弊社サイトでもたくさんの事故事例を情報としてご提供しています。（弊社の事故はゼロです）

プライバシーを保護し、利用者を守ることが、ひるがえって会社の利益や信用を守ることになるのです。

そのため、ISO27701を取得し名実ともにプライバシーをしっかりと保護する会社であることを示しましょう。世界的にも公式に認められた認証機関よりプライバシー保護の認証を受けていることを宣言するISO27701の取得はうってつけなのです。

弊社では、ISO27701の取得支援を行っています。

DX時代に、顧客の情報を最大限守るのは、企業の意識改革からスタートしなければなりません。そのお手伝いをさせていただいております。

ISO27701（PIMS）とは

ISO/IEC 27701は、ISO27001（ISMS）の要求事項を拡張する形で策定された、プライバシー情報管理システム（PIMS：Privacy Information Management System）に関する国際規格です。ISMSが情報セキュリティ全般を対象とするのに対し、ISO27701は個人情報（PII）の管理に特化し、PII管理者・PII処理者それぞれの立場に応じた管理策が定められている点が特徴です。

EUのGDPRをはじめ、各国で個人情報保護に関する法規制が強化される中、ISO27701の認証は、国際的な取引先に対して自社の個人情報管理体制を客観的に説明する手段として活用されています。すでにISMSを構築している企業であれば、既存のマネジメントシステムに追加の管理策を組み込む形で対応できるため、比較的効率的に導入を進められる点もメリットの一つです。

ISO27701導入までの一般的な流れ

ISO27701の導入は、既存のISMSの仕組みを土台に、PII（個人を特定できる情報）の取り扱いに関する追加の管理策を組み込んでいく形で進められます。一般的には、まず個人情報の取得・利用・保管・提供・廃棄のプロセスを棚卸しし、PII管理者・PII処理者としての役割を明確にした上で、必要な管理策を選定し、既存の文書体系に追加していく流れとなります。

すでにISMSを運用している企業であれば、リスクアセスメントの手法や内部監査の仕組みをそのまま活用できるため、一から個人情報保護の体制を構築する場合に比べて、比較的短期間での導入が期待できます。

よくある質問（FAQ）