スポンサー広告
■リスク分析・対策、監査チェックリストの確認
・社内PC関係についてのポイント
★クリアスクリーンについて
管理ゾーンであっても、打合せ場所などからPCの画面が見えるのはNGです。管理ゾーンの打合せ場所に外部の人が来て打合せする可能性があります。
離籍時（外出時）に起動しっぱなしにしない。
スクリーンセーバーの設定は必ずしておくこと
★ウィルス対策
ウィルス対策ソフトは必ず入れておくこと。また、ウィルス情報は常に最新にしておくこと。
■次回から、「安全管理規定」を作成していきます。
※安全管理規定サンプル参照
★P3「4.安全対策」
リスク分析・対策シートの「対策」に記入したことを転記していきます。これは、社内規定になるので、第三者（新入社員など）が読んでわかるように文章化しましょう。箇条書きはNGです。
★P5「(7)保管・バックアップ」
常時施錠し、鍵の管理者を決めておいてください。
★P6「(8)消去・破棄」
責任者を決めておいてください。
★P2「２．安全対策の組織体制」
以下の責任者を決めておいてください。
�〜澗里寮嫻ぜ�
��各部門の責任者
�０兮�先の責任者
�ぞ霾鵝次次次爾寮嫻ぜ圈�
★P2「３.入退室ーーー」
各事業所の間取り図（フロア図）の管理ゾーン／フリーゾーンを決めておいてください。
■「委託先選定シート」を作成します
STEP１＞選定基準を決める
STEP２＞選定する
STEP３＞選定した業者と覚書をわかす
STEP４＞委託先管理シートで委託先業者を管理する
※個人情報を扱う仕事は覚書を交わした業者にだけ依頼するように。
※選定シートは委託する業務内容（運送や製作など）によって作成します。またメインで使っている業者に絞ってください。
・社内PC関係についてのポイント
★クリアスクリーンについて
管理ゾーンであっても、打合せ場所などからPCの画面が見えるのはNGです。管理ゾーンの打合せ場所に外部の人が来て打合せする可能性があります。
離籍時（外出時）に起動しっぱなしにしない。
スクリーンセーバーの設定は必ずしておくこと
★ウィルス対策
ウィルス対策ソフトは必ず入れておくこと。また、ウィルス情報は常に最新にしておくこと。
■次回から、「安全管理規定」を作成していきます。
※安全管理規定サンプル参照
★P3「4.安全対策」
リスク分析・対策シートの「対策」に記入したことを転記していきます。これは、社内規定になるので、第三者（新入社員など）が読んでわかるように文章化しましょう。箇条書きはNGです。
★P5「(7)保管・バックアップ」
常時施錠し、鍵の管理者を決めておいてください。
★P6「(8)消去・破棄」
責任者を決めておいてください。
★P2「２．安全対策の組織体制」
以下の責任者を決めておいてください。
�〜澗里寮嫻ぜ�
��各部門の責任者
�０兮�先の責任者
�ぞ霾鵝次次次爾寮嫻ぜ圈�
★P2「３.入退室ーーー」
各事業所の間取り図（フロア図）の管理ゾーン／フリーゾーンを決めておいてください。
■「委託先選定シート」を作成します
STEP１＞選定基準を決める
STEP２＞選定する
STEP３＞選定した業者と覚書をわかす
STEP４＞委託先管理シートで委託先業者を管理する
※個人情報を扱う仕事は覚書を交わした業者にだけ依頼するように。
※選定シートは委託する業務内容（運送や製作など）によって作成します。またメインで使っている業者に絞ってください。
1
1■管理台帳の確認
＜シートの作成方法についての質問＞
（Q1）「保管期間」の考え方は？
（A1）保管期間を決めているという意味です。
だからといって、「永久に保管」ではなく、例えば「3ヶ月毎に破棄するかチェックする」という書き方にすること
作成した管理台帳は、承認欄にハンコを押して、ファイリングしておくこと。
■リスク分析について
・リスク分析とは何をするのかというと・・・
それぞれのライフサイクルに対して、どんなリスクがあってどんな安全対策をするのか？を決めていきます。
ここで大切なポイントは、必ずできる対策にすること。本やサンプルなどをそのまま使う場合は、きちんと内容を把握しておいてください。
・リスク分析の仕方
業務フローを見ながら進めます。
＜収集＞
例えば、営業が手渡しで個人情報を受け取る場合。
授受票を渡し、正当な手段で入手したこと（必ず、同意を得たものであるか）を確認すること。
FAXで頻繁に個人情報が入ってくる場合は、管理台帳をつけるといいでしょう。ただ、必ずだれかが取りにいき、受信した紙がほったらかしになることが無いのであれば、台帳は必要ないでしょう。
＜利用＞
例えば、社内での移動の場合。
「確実に手渡しする」「作業指示書の下にハンコ欄を追加し、受け取った際に捺印する」という運用が考えられます。
ここでのポイントは、新しく帳票を作るよりも、既存のものに少し追加するだけの対策にした方がよいでしょう。そのほうが、浸透しやすいのです。
また、個人情報を扱う作業指示書の用紙の色を変えたり、個人情報印のようなハンコを押すなど、目で見てわかる方法もよいです。
＜保管＞
キャビネットに保管する場合、そのキャビネットの扉がガラス張りで中が丸見えではいけません。ガラスではないキャビネットに変更するか、ガラスに紙を貼るなどして、中を見えなくしましょう。
＜委託＞
委託の場合は、覚書を交わす。データは返却してもらう。委託中の扱いについて報告してもらう。などの対策をしてください。
＜廃棄＞
だれがいつ破壊（消去）したのか、台帳を作成してください。
＜会社全体のリスク＞
会社全体のリスクとして、管理区域（管理ゾーン／フリーゾーン※１）を明確に分けてください。間取り図などに色分けしたものを作成するとよいでしょう。
■言葉の意味
※１ 管理ゾーン：会社の情報があり、外部の人が入らないスペース
フリーゾーン：個人情報に関する物は置かないスペース。
外部の人が入ってきても、社内の秘密が漏れないスペース。
■次回までの宿題
・個人情報取り扱い用の作業指示書や、個人情報専用のラベルなど、対策に含めたもののサンプルを作成しておく。
・個人情報専用のIDなども作成しておく。
・作成が間に合わない場合は、こんなイメージ･･･というレベルでもよいので、具体的に決めておくこと。
＜シートの作成方法についての質問＞
（Q1）「保管期間」の考え方は？
（A1）保管期間を決めているという意味です。
だからといって、「永久に保管」ではなく、例えば「3ヶ月毎に破棄するかチェックする」という書き方にすること
作成した管理台帳は、承認欄にハンコを押して、ファイリングしておくこと。
■リスク分析について
・リスク分析とは何をするのかというと・・・
それぞれのライフサイクルに対して、どんなリスクがあってどんな安全対策をするのか？を決めていきます。
ここで大切なポイントは、必ずできる対策にすること。本やサンプルなどをそのまま使う場合は、きちんと内容を把握しておいてください。
・リスク分析の仕方
業務フローを見ながら進めます。
＜収集＞
例えば、営業が手渡しで個人情報を受け取る場合。
授受票を渡し、正当な手段で入手したこと（必ず、同意を得たものであるか）を確認すること。
FAXで頻繁に個人情報が入ってくる場合は、管理台帳をつけるといいでしょう。ただ、必ずだれかが取りにいき、受信した紙がほったらかしになることが無いのであれば、台帳は必要ないでしょう。
＜利用＞
例えば、社内での移動の場合。
「確実に手渡しする」「作業指示書の下にハンコ欄を追加し、受け取った際に捺印する」という運用が考えられます。
ここでのポイントは、新しく帳票を作るよりも、既存のものに少し追加するだけの対策にした方がよいでしょう。そのほうが、浸透しやすいのです。
また、個人情報を扱う作業指示書の用紙の色を変えたり、個人情報印のようなハンコを押すなど、目で見てわかる方法もよいです。
＜保管＞
キャビネットに保管する場合、そのキャビネットの扉がガラス張りで中が丸見えではいけません。ガラスではないキャビネットに変更するか、ガラスに紙を貼るなどして、中を見えなくしましょう。
＜委託＞
委託の場合は、覚書を交わす。データは返却してもらう。委託中の扱いについて報告してもらう。などの対策をしてください。
＜廃棄＞
だれがいつ破壊（消去）したのか、台帳を作成してください。
＜会社全体のリスク＞
会社全体のリスクとして、管理区域（管理ゾーン／フリーゾーン※１）を明確に分けてください。間取り図などに色分けしたものを作成するとよいでしょう。
■言葉の意味
※１ 管理ゾーン：会社の情報があり、外部の人が入らないスペース
フリーゾーン：個人情報に関する物は置かないスペース。
外部の人が入ってきても、社内の秘密が漏れないスペース。
■次回までの宿題
・個人情報取り扱い用の作業指示書や、個人情報専用のラベルなど、対策に含めたもののサンプルを作成しておく。
・個人情報専用のIDなども作成しておく。
・作成が間に合わない場合は、こんなイメージ･･･というレベルでもよいので、具体的に決めておくこと。
■宿題の確認
★業務フローと個人情報台帳の作成
＜シートの作成方法についての質問＞
（Q1）「件数」はどのように記入するか？
（A1）個人情報の件数か受注件数のどちらかに決めて記入しましょう。
個人情報の件数であれば、「1700件」。
受注件数であれば、「（過去6ヶ月で）30件」。
（Q2）保管期間・破棄方法が判断しにくい。
（Q3）「形態」はそのように記入するか？
「支給形態」「保存形態」「作業用媒体」
（A3）作業中、保存中などのデータの管理者がバラバラなのであれば、それぞれの項目を作成し（「作業CD」「保存CD」「支給CD」など）それぞれに管理者を決めるようにしましょう。
（Q4）複数の預託先があったり、場合によって預託先が違う場合はどのように記入するか？
（A4）預託先のケイ線をなくして1つのBOXにし、この預託先の場合は･･･という表にしましょう
（Q5）「特定日」とは何の日付を記入するのか？
（A5）業者が増えたときに追加していく台帳なので、個人情報として特定した日付を記入しましょう。
★次のステップはリスク分析です。
リスクを具体的に決めていきます。それには、業務フローと個人情報台帳を完成させておく必要があります。
＜他の質問＞
（Q1）個人情報の取り扱いだけをしっかりしていれば、机の上が汚くてもいい？
（A1）そう言えますが、監査の際に、審査員の印象が悪くなりますし、会社のモラルとして机の上が汚いと他の問題も発生しやすい状況になりますので、整理整頓したほうがいいです。
（Q2）できるだけ早くプライバシーマークを取得するには？
（A2）人選によります。弊社のコンサルしたお客様では、最短でも申請までに4ヶ月かかっています。
★業務フローと個人情報台帳の作成
＜シートの作成方法についての質問＞
（Q1）「件数」はどのように記入するか？
（A1）個人情報の件数か受注件数のどちらかに決めて記入しましょう。
個人情報の件数であれば、「1700件」。
受注件数であれば、「（過去6ヶ月で）30件」。
（Q2）保管期間・破棄方法が判断しにくい。
（Q3）「形態」はそのように記入するか？
「支給形態」「保存形態」「作業用媒体」
（A3）作業中、保存中などのデータの管理者がバラバラなのであれば、それぞれの項目を作成し（「作業CD」「保存CD」「支給CD」など）それぞれに管理者を決めるようにしましょう。
（Q4）複数の預託先があったり、場合によって預託先が違う場合はどのように記入するか？
（A4）預託先のケイ線をなくして1つのBOXにし、この預託先の場合は･･･という表にしましょう
（Q5）「特定日」とは何の日付を記入するのか？
（A5）業者が増えたときに追加していく台帳なので、個人情報として特定した日付を記入しましょう。
★次のステップはリスク分析です。
リスクを具体的に決めていきます。それには、業務フローと個人情報台帳を完成させておく必要があります。
＜他の質問＞
（Q1）個人情報の取り扱いだけをしっかりしていれば、机の上が汚くてもいい？
（A1）そう言えますが、監査の際に、審査員の印象が悪くなりますし、会社のモラルとして机の上が汚いと他の問題も発生しやすい状況になりますので、整理整頓したほうがいいです。
（Q2）できるだけ早くプライバシーマークを取得するには？
（A2）人選によります。弊社のコンサルしたお客様では、最短でも申請までに4ヶ月かかっています。
■キックオフ
対象：全社員（パート、アルバイト、役員、取締役など・・・とにかく全員）
■目的
これからPマークを取得するにあたり、社員全員の意識の統一。
「余分な仕事」ではなく、「企業価値を上げる為」という意識になってもらう為。
■内容
・最近のPマーク
最近、取得企業数が劇的に増えてます。
これは、個人情報保護法が前面施行されたということもありますが、企業価値を上げるために取得する企業も多いのです。
Pマークを取得している企業には、安心して個人情報を預けられるというイメージがあります。
・ところでPマークって何か？
･･･という話の前に、そもそも個人情報保護法って何か？という話をしておきます。
→個人情報保護法で対象となる個人情報の範囲
個人が特定できる情報であれば、全て個人情報です。
例えば、名刺。名前だけでは同姓同名の可能性があるので個人情報には含まれませんが、これに、会社名や住所などが追加されると、たちまち個人情報になります。
ちなみに、顔写真だけでも個人情報になるんですよ。
→罰則規定がある？
もし、個人情報が漏れたら？？
所轄の官庁から指導を受けて、3ヶ月以内に対応しなければ罰則をうけます。
3ヶ月以内に対応したとしても、お客様からの信用を失うことになるのです。
→個人情報保護法って何を定めているのか？
「個人の権利」です。
・本人には、使われ方の開示、削除などの権利があります
・企業は、本人が希望すれば、それに従う義務があります
・個人情報保護法が分かったところで、Pマークって何か？を説明。
Pマークは、第三者認証機関によって認定されます。
この認定には、まず書類審査があり、それに合格すると審査員が２名、半日かけてチェックしに来ます。これに合格して、やっとPマークがもらえます。
また、担当者が頑張れば取得できるものではなく、全社員で頑張らないと取得できません。
例えば、毎年1回全社員で個人情報についての教育を受けないといけません。また、同じく毎年1回の監査を行わないといけません。
・Pマークの考え方
預かったデータは自社の責任。
（紛失、漏洩、改ざんしてはいけない）
法令を守らなければいけない。
（業界、大阪府、などの法令を守らなければいけない）
P（計画）→D（実行）→C（チェック・監査）→A（見直し）のサイクルを最低１年単位でまわさないといけない。
※審査員はここを厳しくチェックする
JISQ15001：2006を全て満たさなければいけない。
・Pマーク取得するために、しなければいけないこと
【特定】会社で扱っているデータのうち、何が個人情報なのか特定する
【リスク分析】どんなリスクがあるのか、洗い出し、対策を考える。
【教育】全社員に理解してもらう
【文書管理】
・・・などなど、やらなければいけないことは沢山ありますが、
�，泙困蓮�体制をつくる
�⊆蟒隋θ蛎Г覆匹瞭睇�規定をつくる（自社オリジナル）
�Ｄ�票などをつくる
�し兮嚇�につづける。（運用→点検→見直し→改善→運用･･･）
という流れで進めていきます。
・申請までのプロセス
だいたい１０ヶ月くらいです。
取得するまでは、審査機関の混み具合が影響してくるので分かりません。
■考察
全社員に理解してもらうっていうのが大変。
多分、参加されてた社員のみなさんは「これから、この人達がちょくちょく会社に来るんだろう」的な感覚だったと思う。
まぁ、それでも「Pマーク」っていうキーワードが頭に残っていれば充分かな。
対象：全社員（パート、アルバイト、役員、取締役など・・・とにかく全員）
■目的
これからPマークを取得するにあたり、社員全員の意識の統一。
「余分な仕事」ではなく、「企業価値を上げる為」という意識になってもらう為。
■内容
・最近のPマーク
最近、取得企業数が劇的に増えてます。
これは、個人情報保護法が前面施行されたということもありますが、企業価値を上げるために取得する企業も多いのです。
Pマークを取得している企業には、安心して個人情報を預けられるというイメージがあります。
・ところでPマークって何か？
･･･という話の前に、そもそも個人情報保護法って何か？という話をしておきます。
→個人情報保護法で対象となる個人情報の範囲
個人が特定できる情報であれば、全て個人情報です。
例えば、名刺。名前だけでは同姓同名の可能性があるので個人情報には含まれませんが、これに、会社名や住所などが追加されると、たちまち個人情報になります。
ちなみに、顔写真だけでも個人情報になるんですよ。
→罰則規定がある？
もし、個人情報が漏れたら？？
所轄の官庁から指導を受けて、3ヶ月以内に対応しなければ罰則をうけます。
3ヶ月以内に対応したとしても、お客様からの信用を失うことになるのです。
→個人情報保護法って何を定めているのか？
「個人の権利」です。
・本人には、使われ方の開示、削除などの権利があります
・企業は、本人が希望すれば、それに従う義務があります
・個人情報保護法が分かったところで、Pマークって何か？を説明。
Pマークは、第三者認証機関によって認定されます。
この認定には、まず書類審査があり、それに合格すると審査員が２名、半日かけてチェックしに来ます。これに合格して、やっとPマークがもらえます。
また、担当者が頑張れば取得できるものではなく、全社員で頑張らないと取得できません。
例えば、毎年1回全社員で個人情報についての教育を受けないといけません。また、同じく毎年1回の監査を行わないといけません。
・Pマークの考え方
預かったデータは自社の責任。
（紛失、漏洩、改ざんしてはいけない）
法令を守らなければいけない。
（業界、大阪府、などの法令を守らなければいけない）
P（計画）→D（実行）→C（チェック・監査）→A（見直し）のサイクルを最低１年単位でまわさないといけない。
※審査員はここを厳しくチェックする
JISQ15001：2006を全て満たさなければいけない。
・Pマーク取得するために、しなければいけないこと
【特定】会社で扱っているデータのうち、何が個人情報なのか特定する
【リスク分析】どんなリスクがあるのか、洗い出し、対策を考える。
【教育】全社員に理解してもらう
【文書管理】
・・・などなど、やらなければいけないことは沢山ありますが、
�，泙困蓮�体制をつくる
�⊆蟒隋θ蛎Г覆匹瞭睇�規定をつくる（自社オリジナル）
�Ｄ�票などをつくる
�し兮嚇�につづける。（運用→点検→見直し→改善→運用･･･）
という流れで進めていきます。
・申請までのプロセス
だいたい１０ヶ月くらいです。
取得するまでは、審査機関の混み具合が影響してくるので分かりません。
■考察
全社員に理解してもらうっていうのが大変。
多分、参加されてた社員のみなさんは「これから、この人達がちょくちょく会社に来るんだろう」的な感覚だったと思う。
まぁ、それでも「Pマーク」っていうキーワードが頭に残っていれば充分かな。
『はい、これ。２時間で読んでおくように』
そう、師匠に渡された本。
プライバシーマークについては全く何にも知らなかった私。
パラパラ中身を確認すると、けっこう分かりやすい！
これなら通勤中の電車で読めば２日くらいで読破できるぜ。
楽勝っ！！
と思ったのは、かれこれ数週間前・・・(ーー;)
でも、本当に分かりやすいんです！
過去にもプライバシーマーク取得の本を読んだことがあるけど、これはプライバシーマークの超初心者にはオススメです。
従業員教育にも使えるんじゃないかと思います。
逆に、ちょっと知ってる人には物足りないかもしれません。
そう、師匠に渡された本。
プライバシーマークについては全く何にも知らなかった私。
パラパラ中身を確認すると、けっこう分かりやすい！
これなら通勤中の電車で読めば２日くらいで読破できるぜ。
楽勝っ！！
と思ったのは、かれこれ数週間前・・・(ーー;)
でも、本当に分かりやすいんです！
過去にもプライバシーマーク取得の本を読んだことがあるけど、これはプライバシーマークの超初心者にはオススメです。
従業員教育にも使えるんじゃないかと思います。
逆に、ちょっと知ってる人には物足りないかもしれません。
 | 2時間でわかる図解プライバシーマーク取得の手順―全社で個人情報を守る 白潟 敏朗、岡崎 航一 他 (2004/07) 中経出版 この商品の詳細を見る |