BL-QE ISONET 2021.01.25

特 集

個人情報の取扱いにフォーカスした
ISMS-PIMS 認証がいよいよ始動
一般社団法人情報マネジメントシステム認定センター（ISMS-AC）
事務局長

星 昌宏 氏

認定審査員

郡司 哲也 氏ISMS（情報セキュリティマネジメントシステ
ム：ISO/IEC 27001）規格を拡張し、個人情報の 取 扱 い にフォーカ スし た ISMS-PIMS 認 証（ISO/IEC 27701 に基づく適合性評価）に向けての取り組みが、2020 年 12 月、始動した。
国内企業においても個人情報の取扱いへの関心は高く、その動向が注目されている。一般社
団法人情報マネジメントシステム認定センター

星 昌宏 氏（左） 郡司 哲也 氏（右）（以下、ISMS-AC）事務局長の星氏と、認証基準の策定に携わった郡司氏に、 ISMS-PIMS 認証の概要、取 得のメリット、認 証 取 得にかかわる今 後のスケジュールなどについて伺った。

高まる情報セキュリティへの関心

国内 6,000 以上の組織が ISMS を取得

ーー2020 年 12 月に、いよいよ個人情報の取扱いに特化した ISMS-PIMS 認証（ISO/IEC 27701 に基づくプライバシー情報マネジメントシステムの適合性評価）の認証機関の認定が始まりました。 ISMS-PIMS 認証は、ISMS（情報セキュリティマネジメントシステム：ISO/IEC 27001）の取得を前提とした認証であるということですので、まずは ISMS 認証取得の現状についてお聞かせください。
星

ISMS の認証は 2002 年にスタートしました。国内の認証取得組織は 2019 年 11 月に 6,000を超え、2021年1月13日現在で 6,323となっています。ISMS 認証は必ずしも全社での取得とは限らず、1 つの企業内の異なる部署等で複数取得されている場合もありますので、企業数ではこれより少なくなります。

ーー ISMS 認証を取得しているのは、どのような業種の企業が多いのでしょうか？
星

ISMS 認証の取得について、特に事業分野は指定していません。情報セキュリティは ITシステムを活用していれば必ず必要になり、IT はいまや特定分野に限らずほぼすべての分野で使われているからです。

1郡司

Amazon Web Services（AWS）、 Google、中国のファーウェイなど世界的にメジャーな企業も、率先して ISMS 認証を取得しています。

星国 内 の 状 況 に つ い て は、ISMS-AC が 認 証 取 得 組 織 を 対7,000

象にアンケート調査を行っており、6,000

これによってある程度業種を把握5000しています。最 新のアンケートは

ISMS 認証数の推移（各年度最終更新日の件数）

4,493
4,243
4,030
3,783
3,465
3,176

4,000

2018 年 3 月に実 施したもので、有効回答数は 1,180。これにより3,000ますと「情報技術」が半数以上を2,000占めており、さらにその内訳を見1,000

6,086
5,797
5,497
5,152
4,827
4,620

6,323

2,646
2,168
1,583

ると、システムインテグレーショ
ン や ソフトウェア 開 発 など が 挙

0144 423852

2002 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20年 年 年 年 年 年 年 年 年 年 年 年 年 年 年 年 年 年 年がっています。
個人的な印象ですが、出版・印刷業は全体で見ると 2.4％と小さな割合でありながら、近年増加傾向にあるように思います。同じく増加しているのが廃棄物処理業です。古紙や OA 機器などを取り扱いますので、 ISMS への関心が高いのでしょう。

ISMS 取得を前提に個人情報の取扱いに特化した管理策を追加
ーー ISO/IEC 27701 とはどのような規格なのでしょうか？
郡司

ISMS の管理対象が組織の資産全般であるのに対し、ISO/IEC 27701 は ISMS を拡張し、PII（Personally Identifiable Information：個人識別可能情 報 ）の取扱 いにフォーカスしたマネジメントシステムです。PII を個人情報と読み替えて、個人情報保護のためのマネジメントシステムと捉えていただいてもよいと思います。
もともとISMS の中にも個人情報（PII）保護に関する項目が存在しているのですが、それは一般的でざっくりしたものです。そのため個人情報（PII）の取扱いに特化した管理策が必要だろうということで、まずガイドラインとして ISO/IEC 29151（個人を特定できる情報保護のための実施標準）が作られました。ISO/IEC 29151 は、ISMSクラウドセキュリティ認証の基準となる ISO/IEC 27017 と同様、ISMS のセクター別ガイドライン規格です。さらにその後、ガイドラインだけではなく要求事項も含む規格が必要ではないかということで検討が進められ、2019 年 8 月に、要求事項とガイドラインを 1 つにまとめた ISO/IEC 27701 が発行される運びとなりました。 ISO/IEC の規格のタイトルが「プライバシー情報マネジメントのための ISO/IEC 27001 及び ISO/IEC 27002 への拡張―要求事項及び指針」
であることからわかる通り、あくまでも ISMS がベースにあり、その上に個人情報を取り扱う上で留意

2

すべき具体的な要求事項や管理策が追加されたという建て付けです。
ちなみに“ISMS-PIMS （アイエスエムエス ピムス）”は、 ISMS-AC が定めた呼称です。 ISMS
認証ファミリーの 1 つであり、個人情報に配慮した保護対策ができている ISMS であるという意味で、ISO/IEC 27701 に対する適合性評価制度のことを「ISMS-PIMS 認証」と呼んでいます。

ーー個人情報保護の方策として、日本では 1998 年からプライバシーマーク制度の運用が行 われて います。プライバシーマーク制 度（ 以 下、 P マーク）と ISMS-PIMS 認証の違いはどこにあるのでしょうか。
郡司

同様の質問をよくいただきます。決定的な違いは、 ISMS-PIMS 認証に用いられる認証基準（ISO/IEC 27701）は国際規格であり、 P マークの場合は国内規格（JIS Q 15001）だということです。
JIS Q 15001の本文には、個人情報に関する法規制、すなわち、日本の個人情報保護法に従いなさいということが明示されています。JIS Q 15001 は、日本の法規制と密接にリンクしています。ですからP マークを取得していれば、個人情報保護法をはじめとする日本の法令に順守しているということを、顧客や取引先に対してアピールすることができます。
一方、国際規格である ISO/IEC 27701 は、特定の法とリンクしているわけではありません。ですから認証を取得する組織は、 ISO/IEC 27701 に加えて、事業を行う国や地域のガイドラインや法令を確認し、それに則って業務を遂行することになります。例えば日本では個人情報保護法のほか、PPC（個人情報保護委員会）が発行しているガイドライン、米国であれば NIST（National Institute ofStandards and Technology）のサイバーセキュリティのガイドライン、欧州 で あ れ ば GDPR（General DataProtection Regulation：一般データ保護規則）などですね。
また、 P マークは法人単位で付与される認 証なのに対して、 ISMS-PIMS
認証は必ずしも全社での認証ではないという点も、違いのひとつです。事業所、あるいは部署ごとに認証の取得が可能です。

ーー ISO が個人情報の取扱いに特化した規格が必要だと判断した背景には、どのような事情があったのでしょうか。
郡司

SNS の利用拡大などによって個人情報を含む大量の情報が流通するようになったという背景があります。例えば米国大統領選では以前から SNS が活用されていますが、それに伴う社会問題も起きました。このような状況下で欧州では、消費者の人権保護を組織に対して強く求める GDPR が、32018 年 5 月に発効されました。これをきっかけに、世界的にプライバシー保護の動きが加速したと考えられます。 ISO/IEC 27701 はこの GDPR をかなり意識して作られています。

個人情報の取扱いに関して具体的管理策に踏み込んだ審査を実施
郡司

ISO/IEC 27701 の特徴には、個人情報（PII）を取り扱う役割として PII 管理者と PII 処理者という2 つを定義しているという点もあります。日本の個人情報保護法では、個人情報を取り扱う会社を個人情報取扱事業者としてひと括りに定義しているのに対し、 ISO/IEC 27701 では PII 管理者と PII処理者という役割を別々に定義して、それぞれに個別の手引きを提供しています。世界的には、この 2 つを分けて定義するのがスタンダードになっています。
個人情報の取り扱いにおいて最も重要なポイントは、利用目的と利用方 法 、それらに対 する個 人からの 同意です。どのようなパーソナルな情報を収集し、どのように使って、どのようなアウトプットをするのか。それを決める組織が PII 管理者です。 PII 管理者は、個人情報を提供した人々に対する責任をとる立場にあります。
PII 処理者はそれらを自分たちでは決めずに、PII 管理者の指示や依頼に基づいて実行する組織です。
PII 管理者から氏名や住所のデータを渡されて、ダイレクトメールを送付する事業者などは、 PII 処理者ということになります。 PII 処理者であることを積極的にアピールして、業務委託につなげたいという事業所もあるでしょう。しかし、 PII 管理者は PII の処理をしないということはなく、 PII 処理者も兼ねている（役割として包含している）ケースが多いのではないかと思われます。

星ダイレクトメールの発送代行を請け負うという立場では PII 処理者だけれども、自社の社員の個人情報を取り扱っているという面では PII 管理者だというケースもあるでしょうね。

ーー企業にとって ISMS-PIMS 認証を取得するメリットは何でしょうか？
郡司

認証基準となる ISO/IEC 27701 は国際規格ですので、特に海外で事業を展開している組織、海外企業と取引がある組織にとっては、信頼性の高さをアピールするために有効だと思います。
すでに ISMS を取 得している組 織であれば、これに追 加 するかたちで個 人 情 報の取 扱 いに対 する管理体制を整えればよいので、一から構築するよりはるかに短期間・低コストで ISMS-PIMS 認証を取得することが可能です。逆に言いますと、 ISMS（ISO/IEC 27001）を取得していないセクションを含めて ISMS-PIMS（ISO/IEC 27701）認証を取得したいという場合には、まず ISMS の適用範囲をそれらのセクションにも広げる必要があります。まだ ISMS 認証を取得していないという場合には、ISMS 認証と ISMS-PIMS 認証の同時取得を目指すことも可能です。

星

ISMS 認 証 で は、主 に 法 順 守 の 仕 組 みができて いるかという観 点 からの 審 査を行 います が、ISMS-PIMS 認証ではさらに具体的な管理策に踏み込んで審査しますから、個人情報の取扱いに関す

4

るリスクマネジメントを明確な基準に則って実施しているということを、対外的に証明することができるようになりました。
ISO/IEC 27701 には個人情報の取扱いに関する具体的な対応策が示されていますから、すでにISMS 認証を取得している、あるいは個人情報を取り扱っている組織は、必ずしも認証を目的としないまでも、マネジメントシステムをブラッシュアップするために、一度この規格の内容を確認しておかれるとよいと思います。

事業の海外展開を図る企業を中心に国内 300 組織の取得を見込むーー ISMS-PIMS 認証はどういった組織で取得が進むと想定していらっしゃいますか。
星ISMS-PIMS 認証の認証基準である ISO/IEC 27701 がグローバルスタンダードであることを考えると、やはり最も関心が高いのは、事業を海外展開している企業ではないかと思います。
先ほど紹介した ISMS 認証取得組織を対象としたアンケート調査では、ビジネスの海外展開についても聞いています。それによると、 ISMS 認証取得組織のうち海外展開しているところは 20.4% と、約 5 分の 1 です。さらにこの 20.4% の組織に対して、 ISMS について過去に海外の取引先からどのような評価を受けたかについて尋ねた設問では、「ISMS 認証の取得を確認されてプラス評価を得た」が20.7％、「特にプラス評価はされなかったが ISMS 認証の取得を確認された」が 13.7％、「確認されたことはない」が 65.6％となっています。プラス評価をされたところ、つまりISMS 認証取得全組織のうち4～5％の組織は、ISMS-PIMS 認証に最も高い関心を示すと考えられます。 ISMS 認証取得組織は現
在 6,000 以上に上りますので、それに当てはめれば、約 300 の組織が直接的な候補になると考えています。

郡司

ISMS-PIMS 認証がいよいよ始まるらしいという情報が出始めた当初から、すでに何件かお問い合わせをいただいています。電気通信事業者やネット通販など、もともとISMS認証への関心が高かったところは、先陣を切って ISMS-PIMS 認証取得への取り組みを始めていると思います。
将来的には、例えば海外の通販モールの 出 店 の 条 件として、 ISMS-PIMS 認 証の取得が義務付けられるといったケースが出現する可能性もあると思います。国内でも、例えば PII 処理者としての業務を受託するような場合においては、 ISMS 認証にプラスして ISMS-PIMS 認 証 の 取 得を検討する組織が出てくるかもしれません。

5

ISO の認定基準発行を前に世界各国で認証がスタート
ーー ISMS-PIMS 認証に関するスケジュールは？
星ISMS-AC では 12 月 15 日に ISMS-PIMS 認証を行う認証機関の認定について申請受付を開始し、その旨のニュースリリースを出しました。同時に ISMS 認証の認定を受けている認証機関には、認定基準と認定を受けるための手順等を記した文書をお送りしております。
実は ISO/IEC 27701 の適合性評価を実施する認証機関に対する認定基準については、 ISO ではまだ審議中なのです。当初の予定では、認定基準は 2020 年 12 月 1 日に発行される予定と聞いていましたが、修正コメント対応等により、発行が後ろ倒しになりました。世界では、英国の認定機関である
UKAS（ユーカス

United Kingdom Accreditation Service：英国認証機関認定審議会）などが先行して独自の基準で認定を始めています。 ISMS-AC でもISO の規格策定状況を注視しつつ、先行する各国の認定基準も参考にしながら、独自基準によって、認証機関の認定を開始いたしました。

ーー ISMS-PIMS 認証の周知を図るためのキャンペーン展開等は計画されていますか。
星

ISMS-AC は認定を専門に行う機関であり、自らキャンペーン展開やユーザーズガイドの作成・発 行 、セミナーの 開 催 等 の 普 及 啓 発 活 動 は 行って いませ ん 。 I S M S 認 証に関しては、 J I P D E C（ 一 般 財 団 法 人日本 情 報 経 済 社 会 推 進 協 会 ）がそれらの 普 及 啓 発 活 動を行ってきて います ので、ISMS-PIMS 認証に関しても同様の扱いとなる見込みであり、ISMS-AC もこれに協力してまいります。

ーー今 後 に 期 待して おります。わ れ わ れ ベターリビングも IS M S -P IM S 認 証 機 関 の認 定を受けるべく準備を進めているところであり、この認証を通じて企業の皆様のより安全かつ有意義な個人情報の取り扱いを支援していく所存です。本日はありがとうございました。

6