Ｐマーク更新への道程Vol.13

今週、Ｐマークの現地審査が完了しました。
審査員は２名、午前１０：００スタート、２０分のトップインタビューの後、審査は１７：００まで掛かりました。
指摘事項は以下の通りです。

【１】個人情報管理台帳の漏れ
・スキル表
・教育履歴
・同意書・誓約書
※紙ベースとデータは別々に記述すること（リスク分析・対策も異なるため）
【２】リスク分析
ライフサイクル別リスク分析にて「移送」の分析が甘い。現在の漏洩事故の多くは、「車上荒らし」であり、具体的に「車上荒らし」というキーワードを入れた上で対策を施すこと。
【３】間接的取得の個人情報
協力会社（開発委託先）の従業員の職務経歴書等は間接的な取得となるため、社員の個人情報とは別に特定した上で管理対象とすること。
システム開発にて使用するテストデータ等も間接的な取得であり、自社の直接取得ではないため、委託元が適正に取得したものであることを確認しておくこと。これは協力会社に委託する場合も同様であり、間接的に取得したものが適正に取得されたものであるか確認しづらい場合は、委託契約書に、その旨を盛り込んでおく等の措置を予め講じておくこと。また、その手順を具体的に記述しておくこと。
【４】機密保持契約
JISQ2006に準拠したもので取り直しておくこと。
【５】開示手続き
規程に即して、公表内容をホームページにて公開しているが、現在の２画面構成は分かりにくいので、１画面にまとめて記述しておくこと。
【６】システムのリモートメンテナンス
個人情報を不正に取得したり、漏洩するリスクの高いリモートメンテナンスについて、ID・パスワードの管理を規程に盛り込むこと。また退職者が出た場合の措置も規程しておくこと。
【７】外部記録媒体
「機密情報を含む外部記録媒体」について規定するのではなく、外部記録媒体自体の管理をルール化すること。特にデータ保管時のリスクと考え、禁止する、或いは会社管理のＵＳＢメモリを貸し出すこととし、それ以外は使用させないなどの対策を講じること。

以上のことをコンサルのpwさんに報告しましたら、「随分少ないね」と言っていました。審査員の方もおっしゃっていましたが、書類審査で「×」が一つというのは、本当に少ないらしく、普通は１０個くらいはあるものだそうです。現地審査も最低でも１０個以上はあるのが普通とのことで、指摘された内容も、かなり細かい部分を突かれているとのことです。

その日は夕方から打ち上げへ－
今回は、私の「しゃぶしゃぶ」が食べたいという要望が叶い、「岩崎」での打ち上げとなりました。社長のおごりです。

■白老黒毛和牛　岩崎
札幌市中央区南4条西5　つむぎビル4F
TEL 011-221-1181

この店は、白老牛のしゃぶしゃぶのお店で、日ハムの選手の色紙が沢山並んでいました。先月は「いしざき」のしゃぶしゃぶの記事を書きましたが、岩崎の肉も柔らかく、とてもおいしくいただきました。いい肉は、本当にアクが出ないものなんですね。ここは「ラーメン」で仕上げです。