2017/10/26

平成29年度Ｐマーク
更新事業者向け説明会
1.トピック①OFFICE2007サポート切れ等②IPA2016年度情報セキュリティ調査
2.個人情報保護法改正と実施事項
3.その他
4.個別相談一般社団法人 中部産業連盟
Ｐマーク審査センター
1

Ｐマーク審査状況（2017年7月現在）• Ｐマーク認証件数• 全国：15,300事業者• 中産連：1,000事業者• 愛知県：650事業者• 岐阜県：90事業者• 三重県：50事業者• 石川県：90事業者• 富山県：40事業者• 他地域：• 中産連登録審査員• 30名• Ｐマーク審査センター
職員
• 7名

21

2017/10/26

2017年10月10日に Office 2007の延長サポートが終了• サポート期間終了後は、セキュリティ更新プログラムや有償サポートを含むすべてのサポートが受けられなくなります• セキュリティ更新をせずソフトウェアを利用し続けることは、脆弱性を解決しないままで使用し続けることになり、セキュリティ上、危険な状態になります
https://www.microsoft.com/jajp/office/2007/end-ofsupport/office.aspx

3

WINDOWS OSのサポート• サポート期間終了後は、セキュリティ更新プログラムや有償サポートを含むすべてのサポートが受けられなくなります• セキュリティ更新をせずソフトウェアを利用し続けることは、脆弱性を解決しないままで使用し続けることになり、セキュリティ上、危険な状態になります422017/10/26

IPA2016 年度中小企業（300人以下：4300人）における情報セキュリティ対策の実態調査（1/10）
セキュリティパッチ適用状況
45

42.1

40
35
30

26.1

25
20

16.3

15
10

6.4

9.2

50

常に適用し、適用状況も把握している
常に適用する方針・設定だが、実際の適用状況は不明
各ユーザに適用を任せている
ほとんど適用していない
その他• セキュリティパッチ適用状況－約40%の企業が、常に適用して、状況も把握している－パッチを適用しない理由－パッチの適用が悪影響を及ぼすリスクを避けるためいる－パッチ適用以外の手段が有効であるため－パッチを適用しなくても問題ないと判断したため
http://www.ipa.go.jp/files/000058502.pdf
5IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（2/10）

70

タブレット端末及びスマートフォンの利用状況
59.2

60
5040

• 約40%の企業が、利用している• 業種別で「利用している」と最も多く回答したのは• 情報通信業で61.3％• 次点は金融業・保険業で53.8％• 最も少なく回答したのは運輸業・郵便業で31.1％

40

30
20
100

利用している

利用していないその他

632017/10/26

IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（3/10）
タブレットやスマートフォンへの対策
70

64.3

60
50
40
30.8
30

23.1

20

15.4

12.3

• 役割別の回答• 経営層で最も多く回答したのは「端末のパスワードの設定」で64.1％• IT担当者では「端末パスワードの設定」で68.9％、次いで「セキュリティソフトの導入」が33.3％、• 一般社員では「端末のパスワードの設定」で61.0％• 業種別の回答

100

端末のパスワード設定
紛失・盗難時のデータ消去
セキュリティソフトの導⼊利用ルールの策定（アプリケーションの導⼊制限等）
特に実施していない• 「端末のパスワード設定」の割合が高かったのは金融業・保険業で93.5％、情報通信業で80.8％• 「実施していない」の割合が高かったのは卸売業で34.9％、次点は建設業
32.3％
7IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（4/10）
社員の私有端末（BYOD）の業務利用
4540• 小規模企業で「認めている」と回答したのは46.7％、中小企業（100 人以下）では32.7％、中小企業（101 人以上）では28.1％

39
33.5

353025• 役割別の回答

19.120• 経営層で「認めている」と回答したのは40.3％、IT担当者では33.3％、一般社員では36.7％15105• 企業規模別回答

6.9
1.60

認めている
現在、認めるかどうかを検討中認める予定はない
未検討
その他• 業種別の回答• 「認めている」と最も多く回答したのは農林漁業で54.2％、次点は不動産業・物品賃貸業で53.2％• 「認める予定はない」と最も多く回答したのは金融業・保険業で61.7％
842017/10/26

IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（5/10）
セキュリティパッチ適用（ローカルサー
バ（ファイルサーバ、プリントサーバ等）

40

28.7

20
9.7

8.7

10.5
6.1

8.1

• セキュリティパッチ適用なしの理由• パッチを適用しなくても問題ないと判断したため：49.7％• パッチの適用が悪影響を及ぼすリスクを避けるため：28.6％• 役割別の回答

0

ほぼ全サーバに適用している
アプリケーションに影響がないことを確認できたもののみを適用している
情報セキュリティ対策上重要なもののみを適用している
ほとんど適用していない
外部事業者に運用を委託しているので、自ら適用する必要がないわからない• 経営層は、「パッチを適用しなくても問題ないと判断したため」で50.0％、• IT 担当者は、「パッチの適用が悪影響を及ぼすリスクを避けるため」
で53.3％
9IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（6/10）• IT 投資額• １百万円未満：52.8％• １百万円～５百万円以下：29.1％

ＩＴ投資
47.82

47.8

47.8
47.78
47.76
47.74
47.72

47.7

47.7
47.68
47.66
47.64

実施した

• 企業規模別• 小規模企業では「１百万円未満」
71.4％• 中小企業（100人以下）では「１百万円未満」で42.3％• 中小企業（101 人以上）では「１百万円～５百万円以下」で26.4％

実施していない1052017/10/26IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（7/10）
委託先に対する情報セキュリティ対策
75.1

80
70

66.8
58.8

55.3

6050
40

32.6

32.6

3020

• 取り扱う情報の秘密保持：75.1％、• 情報セキュリティを確保するための体制の整備：66.8％• 運用・保守・点検における情報キュリティ対策の実施：58.8％

100

情報セキュリティを確保するための体制の整備
取り扱う情報の秘密保持
セキュリティ機能の装備
ぜい弱性対策の実施
情報セキュリティ対策の履行状況の確認
運用・保守・点検における情報セキュリティ対策の実施

11

IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（8/10）
情報セキュリティ業務の外部委託
70

65.1

60
50
40
30
20

11.4

10

8.1

0

委託していない• 委託内容• ウイルス監視サービス：44.0％• メールセキュリティサービス：40.2％• ファイアウォール運用管理/不正ア
クセス監視：28.0％• セキュリティ検査/監査：16%• セキュリティ/BCPコンサルティン
グ：12%• Webアプリケーションぜい弱性検査：9.3%

ほぼ全てを委託している
一部委託している1262017/10/26

IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（9/10）• 侵入経路ウイルス感染• 電子メール：64.6％• インターネット接続（ホームページ閲覧など）：36.3％• 自らダウンロードしたファイル：
12.3％• USBメモリ等の外部記憶媒体：6.7%

60
51.9
50
40
26.7

30
20
10

5.1

0

ウイルスをまったく発見しなかった・感染していな
いウイルスを発見したが、感染には至らなかった• 被害状況
• データの破壊：36.2％• パソコン単体の停止：32.9％• システム停止・性能低下：24.9％

ウイルスに感染した

13

IPA2016 年度中小企業（300人以下： 4300人）における情報セキュリティ対策の実態調査（10/10）• 手口

サイバー攻撃8072.6

70
60
50
4030
15.9

205.9100

サイバー攻撃をまったく受けなかった
わからないサイバー攻撃を受けたが、被害には至らなかった• 標的型攻撃：34.7％• DoS 攻撃：23.3％• ランサムウェア：14.1％• セキュリティパッチの未適用等を突かれた不正アクセス：9.5%• ID・パスワードを騙し取られて不正アクセス：6.5%• SQLインジェクション：3.4%• 被害状況
• 業務サーバのサービス停止、機能低下：28.6％• Webサイトのサービス停止、機能14低下：22.9%

7

2017/10/26

個人情報保護改正の背景• 2003年「個人情報の保護に関する法律」成立（2005年全面施行）• その後の情報社会の進展等による環境変化への対応が求められた• 個人情報に該当するかどうかの判断が困難な「グレーゾーン」が拡大• パーソナルデータを含むビッグデー
タの適正な利活用ができる環境の整備が必要• 事業活動がグローバル化し、国境を越えて多くのデータが流通している
現状• 行政 /医療 /エネルギー /交通 /防災・減災 /流通・小売等の分野において、パーソナルデータ利活用のためのデータ利用環境整備が喫緊の課題• 「定義の明確化」/「個人情報の適正な活用・流通の確保」/「グローバル化への対応」等を目的として、• 平成27年９月：改正個人情報保護法が公布• 平成28年１月：個人情報保護法の所管が、消費者庁から個人情報保護委員会に移管• 平成29年5月：改正個人情報保護法全面施行
15

個人情報保護法・ガイドライン体系
民間分野

公的分野

事業分野ごとのガイドライン（各主務大臣）
D分野
ｶﾞｲﾄﾞﾗｲﾝ
（dd省）

行政機関
個人情報保護法

独立行政法
人個人情報保護法

個人情報保護法ガイドライン（個人情報保護委員会）

対象：国の行機関

対象：独立行政法人

Ａ分野
ｶﾞｲﾄﾞﾗｲﾝ（aa省）

B分野
ｶﾞｲﾄﾞﾗｲﾝ（bb省）

C分野
ｶﾞｲﾄﾞﾗｲﾝ（cc省）

個人情報保護条例
対象：地方公共団体

個人情報保護法（４～７章：個人情報取扱事業者等の義務、罰則等）（対象：民間事業者）
個人情報保護法（１～３章：基本理念、国及び地方公共団体の責務・個人情報保護施策等）個人情報の保護に関する基本方針
1682017/10/26

個人情報保護法改正のポイント• 個人情報の定義の明確化• グレーゾーン解消のため、個人情報の定義に身体的特徴等が対象となることを明確化• 要配慮個人情報（本人の人種、信条、病歴など本人に対する不当な差別又は偏見が生じる可能性のある個人情報）の取得については、原則として本人同意を得ることを義務化• 個人情報の有用性を確保（利活用）するための整備• 匿名加工情報（特定の個人を識別することができないように個人情報を加工した情報）の利活用の規定を新設• いわゆる名簿屋対策• 個人データの第三者提供に係る確認/記録作成等を義務化• オプトアウト手続（＊2）により個人データを第三者提供する個人情報取扱事業者は、所要事項を個人情報保護委員会への届出を義務化、委員会はその内容を公表
https://www.ppc.go.jp/personal/preparation/optout/• 個人情報データベース等を不正な利益を図る目的で第三者に提供し、又は盗用する行為を「個人情報データベース提供罪」として処罰対象（1年以下の懲役又は30万円以下の罰金）
17

個人情報保護法改正のポイント• （＊2）オプトアウト手続き• 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止する場合、本人の同意を得ることなく第三者に個人データを提供することができる• →JISQ15001規格は個人情報保護法よりもその取扱いに厳しい点があり、上記の様なオプトアウトは認めていない

保護法• 個人情報保護委員会の新設• 個人情報取扱事業者に対する監督権限を各分野の主務大臣から委員会に一元化• その他• 取り扱う個人情報の数が5,000件以下の事業者も適用対象• 外国にある第三者への個人データの提供の制限、個人情報保護法の国外適用、個人情報保護委員会による外国執行当局への情報提供に係る規定を新設

JIS規格
18

9

2017/10/26

個人情報の保護に関する法律（目次）
第１章：総則（第１条-第３条）
第２章：国及び地方公共団体の責務等（第４-６条）第３章：個人情報の保護に関する施策等
第１節：個人情報の保護に関する基本方針（第７条）
第２節：国の施策（第８-10条）
第３節：地方公共団体の施策（第11-13条）
第４節：国及び地方公共団体の協力（第14条）

第４章：個人情報取扱事業者の義
務等
第１節：個人情報取扱事業者の義務（第15-35条）
第２節：匿名加工情報取扱事業者等の義務（第36-39条）
第３節：監督（第40-46条）
第４節：民間団体による個人情報の保護の推進（第47-58条）
第５章：個人情報保護委員会（第59-74条）
第６章：雑則（第75-81条）
第７章：罰則（第82-88条）
19

個人情報保護法の主な内容• 目的（法1条）• 個人情報保護法の目的は、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであること、その他の個人情報の有用性に配慮しながら、個人の権利利益を保護すること• 個人情報・個人データ・保有個人データ（法2条）• 「個人情報」とは、「生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの」• データベース化した個人情報は「個人データ」、そのうち、事業者が開示等の権限を有し6か月以上にわたって保有する個人情報は「保有個人データ」• 個人情報取扱事業者（法2条）• 「個人情報取扱事業者」とは、個人情報データベース等を事業活動に利用している者のことをいい、個人情報保護法に定める各種義務が課される• 改正後は、5,000人分以下の個人情報を取り扱う事業者についても個人情報保護法の義務の対象になった• 利用目的の特定（法15条）• 個人情報を取り扱うに当たっては、利用目的をできるだけ特定する• 目的外利用の禁止（法16条）• 原則として、あらかじめ本人の同意を得ずに、その利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは禁止
される
2010

2017/10/26

個人情報保護法の主な内容• 適正な取得（法17条）• 偽りその他不正な手段によって個人情報を取得することは禁止する• 取得時の利用目的の通知等（法18条）• 個人情報の取得に当たっては、取得前にあらかじめ利用目的を公表し、又は取得後に速やかに本人に利用目的を通知又は公表する• データ内容の正確性の確保（法19条）• データは正確かつ最新の内容に保つように努める• 安全管理措置（法20条）• 安全にデータを管理するため、従業者や委託先に対し必要かつ適切な監督を行う• 従業者や委託先の監督（法21・22条）• 個人データの漏えいや滅失を防ぐため、必要かつ適切な保護措置を講じる• 第三者提供の制限（法23条）• 原則として、あらかじめ本人の同意を得ずに本人以外の者に個人データを提供することは禁止• 委託、事業承継及び共同利用に該当する場合は、第三者提供の特例が適用される

21

個人情報の定義の明確化（「個人識別符号」法2条）• 個人情報の範囲に関するグレーゾーンを解消するため、個人情報の定義を明確化するため、情報単体でも個人情報に該当することとした「個人識別符号」という概念を新設• 個人識別符号とは以下のいずれかに該当するもので、政令・規則で個別指定• 身体の一部の特徴を電子計算機のために変換した符号：DNA情報、指紋・掌紋、声紋、顔、虹彩、手指の静脈、歩行の態様• サービス利用や書類で対象者ごとに割り振られる符号：公的な番号（旅券番号、基礎年金番号、運転免許証番号、住民票コード、マイナンバー、各種保険証番号等）• 「身体の一部の特徴を電子計算機のために変換した符号」については、個人情報保護委員会規則で定める「特定の個人が識別できる水準」に適合するものが該当する• クレジットカード番号や携帯電話番号等も、これら番号が氏名、住所などと一緒に管理されていたり、他の情報と照合することで特定の個人を識別できる場合には、「個人情報」に該当する• 個人識別符号は、それ単体で個人情報となるため、従来の個人情報と同様に、法令に基づき適正に取得/利用/保管/処分する

2211

2017/10/26

個人情報の定義の明確化（「要配慮個人情報」法2条）• 要配慮個人情報とは、人種、信条、社会的身分、病歴、前科・前歴、犯罪被害情報に加え、その他本人に不当・偏見が生じないように特に配慮を要するものとして、政令で定めるもの• 病歴に準ずるもの：身体・知的・精神障害、健康診断等の検査の結果、保健指導、診療・調剤情報等• 前科・前歴に準ずるもの：被疑者または被告人として逮捕、捜索等、刑事事件手続が行われた事実と、非行少年またはその疑いのある者として、保護処分等の少年保護事件手続が行われたこと• 要配慮個人情報については、原則、取得・第三者提供時の本人同意が必要となる→これまでオプトアウトを利用して要配慮個人情報を第三者提供していた事業者の場合も、事前同意が必要• 例外規定あり（人の生命・身体・財産の保護に必要な場合等には、本人同意なく取得・第三者提供することが認められる等）• ある個人が宗教関連書籍を購入したという情報だけでは、その人の信条を推定できるだけであるため、要配慮個人情報（信条）には該当しない
23

第三者提供に係る確認・記録義務（法第25-26条）• 第三者との間で個人データを提供・受領する場合、提供先が提供元のデータ取得経緯等を確認して記録• 提供元/提供先が相互に相手の氏名/社名• 提供先が提供元のデータ取得経緯• 提供/受領の都度に確認/記録することでビジネスに支障が及ばない様に、以下の配慮• 第三者提供に関する本人同意がある場合、提供年月日の記録は不要• 記録の保存期間は原則3年だが、本人同意で第三者提供した場合は1年• 本人との契約等に基づく提供の場合は、既存の契約書等で代替可能• 反復継続して提供する場合は、包括的な記録で可• 以下の場合は、確認/記録義務がない• 法令に基づく提供• 本人による提供（SNS等に記載されている本人発信によるプロフィール）• 本人に代わって提供（銀行振込）• 本人側への提供（同席している家族）• 受領者にとって「個人データ」に該当しない（名刺１枚） 等

24

12

2017/10/26

第三者提供に係る確認・記録義務（法第25-26条）
提供者側の記録

受領者側の記録

オプトアウト 本人同意にによる提供 よる提供
提供年月日

〇

第3者の氏名等〇

本人の氏名
等
個人データの項目
本人の同意

オプトアウトによる提供〇

本人同意による提供

第3者の氏名等〇〇

本人の氏名等

〇

〇

〇

〇

提供年月日
〇〇

〇

〇

〇
〇

注：JISQ15001規格では、オプトアウトによる提供はない

個人データの項目
本人の同意
個人情報保護委員会の公表〇〇
25

匿名加工情報取扱事業者が遵守する義務等 法36-39条• 匿名加工情報とは、特定の個人を識別できないように個人情報を加工し、当該個人情報を復元できないような形にしたもの• 目的外利用や第三者提供の際の本人同意を不要とし、自由な利活用が可能で、データ利活用ビジネスの活性化が期待される• 個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）→個人情報取扱事業者又は匿名加工情報取扱事業者に適用• 匿名加工情報を取り扱う個人情報取扱事業者→匿名加工情報取扱事
業者

26

13

2017/10/26

匿名加工情報取扱事業者が遵守する義務等 法36-39条• 匿名加工情報の作成の際は、特定の個人が識別できず、元の個人情報が復元できないように、以下の措置を講ずる• 特定の個人を識別可能な記述等（氏名等）の全部または一部を削除• 個人識別符号の全部を削除• 個人情報と他の情報を連結する符号を削除• 特異な記述等（例：日本最高齢者であることが判断可能な実年齢）を削除• 匿名加工情報を作成したときは、加工方法等の情報の安全管理措置を講じる• 組織的安全管理措置• 人的安全管理措置• 技術的安全管理措置• 物理的安全管理措置

27

組織的安全管理措置/• 組織体制の整備• 個人データを取り扱う従業者が複数いる場合、責任者と従業者を区分する• 個人データの取扱いに規律に従った運用• あらかじめ整備された取扱方法に従って個人データが取り扱われていることを、責任者が確認する• 個人データの取扱状況の確認手段の整備• あらかじめ整備された基本的な取扱方
法に従って個人データが取り扱われていることを、責任者が確認する• 漏えい等への対応体制の整備• 漏えい等の事案の発生時に備え、従業者から責任者に対する報告連絡体制等をあらかじめ確認する• 取扱状況の把握及び安全管理措置の見直し• 責任者が、個人データの取扱状況について、定期的に点検を行う

人的安全管理措置• 従業者教育については、• 個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う• 個人データについての秘密保持に関する事項を就業規則等に盛り込む28

14

2017/10/26

技術的安全管理措置/• アクセス制御• 個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する• アクセス者の識別と認証• 機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）により、個人情報データベース等を取り扱う情報システムを使用する従業者を識別・認証する• 外部からの不正アクセス等の防止• 個人データを取り扱う機器等のオペレーティ
ングシステムを最新の状態に保持する。
• 個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする• 情報システムの使用に伴う漏えい等の防止• メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する

物理的安全管理措置• 個人データを取り扱う区域の管理• 個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないようにする• 機器及び電子媒体等の盗難等の防止• 個人データを取り扱う機器、記録された電子媒体又は記載された書類等を、施錠できるキャビネット/書庫等に保管する。
• 個人データを取り扱う情報システム機器をセキュリティワイヤー等により固定する• 電子媒体を持ち運ぶ場合の漏えい等の防止• 個人データが記録された電子媒体又は個人データが記載された書類等を持ち運ぶ場合、パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐ• 個人データの削除及び機器、電子媒体等の廃棄• 個人データを削除し、又は、個人データが記録された機器、電子媒体等を廃棄したことを、責任者が確認する
29

匿名加工情報取扱事業者が遵守する義務等 法36-39条• 匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表する• 匿名加工情報を作成した後、遅滞なく、インターネット等で公表する• 個人情報取扱事業者が委託を受けて匿名加工情報を作成した場合は、委託元が公表する• 事例）「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で 、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として 作成した場
合の公表項目は、「性別」、「生年」、「 購買履歴」である• 匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示（電子メール又は書面等）する• 匿名加工情報を利用するときは、元の個人情報に係る 本人を識別する目的で、加工方法等の情報を取得し、又は他の情報と照合することを行ってはならない• 匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努める
30

152017/10/26

外国の第三者への個人データの提供（法24条）• 以下のいずれかの条件で、国内と同様に外国の第三者への個人データの提供が可能• 外国にある第三者へ提供することに対し、本人が同意している場合• 外国にある第三者が、個人情報保護委員会の定める基準に適合している場合• 外国にある第三者が個人情報保護委員会の認めた国に所在する場合（現在、該当する国はない）• 個人情報保護委員会で定める基準• 提供を受ける者の個人データの取扱いが、個人情報保護法の趣旨に沿った措置（OECDプライバシーガイドラインやAPECガイドライン等）の実施が確保されている• 個人データを受ける企業が、個人情報保護の国際的な枠組み（APEC CBPR等）に基づく認定を受けている• 個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）
31個人情報保護委員会（法第59-74条）• 沿革• 平成26年1月：特定個人情報保護委
員会 設置• 平成28年1月個人情報保護委員会
設置 （特定個人情報保護委員会から改組）• 所掌事務• マイナンバー制度に関する事務（監視・監督、特定個人情報保護評価）• 個人情報保護法に関する事務及同法に基づく監視・監督業務（個人情報保護法を所管）• 上記に関する広報・啓発、国際協力等• 組織• 委員長1名・委員8名の合議制（行政委員会）• 委員長・委員は独立して職権を行使（任期5年）• 委員会事務局の職員数：97名（平成28年8月現在）

32

16

2017/10/26

個人情報保護委員会（法第59-74条）

33

JIPDECの対応方針/FAQ抜粋（平成29年6月26日更新）• JIS Q 15001:2006では、法令への遵守が要求されていて、Ｐマーク付与事業者は法令等の改正に適切に対応できるマネジメントシステムを構築/運用されていて、改正個人情報保護法施行後もＰマークは有効• 改正個人情報保護法の全面施行に伴い、必要な措置の実施が必要• 改正個人情報保護法の全面施行に伴い、審査の基準は変わらない• 改正個人情報保護法を遵守するための必要な措置を取っていなかった場合、リスクに応じた措置を講じる様に是正を求める• 改正個人情報保護法の全面施行に伴い、プライバシーマーク付与事
業者が個人情報保護方針を変更しなくてもよい• 個人識別符号/要配慮個人情報/
匿名加工情報は、管理台帳等に登34
録する17

2017/10/26

JIPDECの対応方針/FAQ抜粋（平成29年6月26日更新）• 個人識別符号/要配慮個人情報/ • 匿名加工情報を取り扱う予定や第匿名加工情報は、リスク分析表
三者提供時の予定もない場合は、等に記録する
予めPMS規程に匿名加工情報の取り扱いの手順を規定しなくてもよ• 個人識別符号/要配慮個人情報/
い匿名加工情報は、安全対策する• PMS規程にある個人情報の定義 • 同意書面等の明示又は通知事項（3.4.2.4、3.4.2.8等）は、変更しなくを変更しなくともよいてもよい• 要配慮個人情報を取得する場合、特定の機微な個人情報と同様に • 「個人情報の保護に関する法律についてのガイドライン」（個人情報取り扱う保護委員会）の通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編の特定する
35

その他• 中産連HPでの情報提供• 改正法令情報/過去の説明会情報• 引用/参考情報• 個人情報保護委員会• https://www.ppc.go.jp/• 改正個人情報保護法の準備について• https://www.ppc.go.jp/personal/preparation/• JIPDEC• https://privacymark.jp/• IPA（情報処理推進機構）• http://www.ipa.go.jp/security/fy28/reports/sme/index.html
36

18

2017/10/26【追加】「Firefox」や「Google Chrome」で、httpページに対して安全性の警告表示• GoogleがHTTPページへの警告表示を強化へ--10月リリース予定の「Chrome 62」から

https://japan.cnet.com/article/35100589/• Firefoxも、既に実施• 自社サイトを確認して、対策して下さい

37

JIPDEC情報(他)• JIS改正に関連したプライバシーマーク付与
適格性審査の対応方針について• 改正されたJISの公示後、速やかに新たな審査のための基準（以下、新たな審査基準という。）を公表します。
• 新たな審査基準による審査開始日は、基準公表後、少なくとも6か月以降の日とし、基準公表時に併せて公表します。
• 既にプライバシーマークを付与されている事業者については、新たな審査基準による審査開始後、移行期間を設けます。
• 新たな審査基準公表後、速やかに各種案内、事業者向けのセミナー開催等を予定しています。
https://privacymark.jp/info/kaisei_info/index.html

WPA2

【追加】
• 平成28年度「個人情報の取扱いにおける事故報告にみる傾向と注意点」について• 843付与事業者より2,044件の事故報告⇒
事故報告事業者の割合は5.5％ （前年度は796付与事業者1,947件）• 事故原因は、「メール誤送信」（20.7%）が最も多く、次いで「紛失」「宛名間違い等」の順• 事故原因の「その他漏えい」は、前年度に比べ割合が大幅に増加（6.9%⇒13.8%）• 特に、『プログラム/システム設計・作業ミス』による漏えい、『不正アクセス・不正ログイン』による漏えいの報告件数が2倍強に増加• 盗難・紛失の媒体は、書類、スマホを含む
携帯電話、ノートＰＣ・モバイル端末の順に件数・割合共に多い
https://privacymark.jp/news/2017/0828/index.html 38

19