ISMS, プライバシーマークおよび商品に関する質問と回答をご紹介

ISMSをPMSと併用するときのうまい入れ方とかいい方法などありましたらお伺いしてもよろしいでしょうか。

2015/05/07

この記事は、内容が古い可能性がありますのでご注意ください。

弊社はすでにPMSを運用してまして、さらに個人情報以外にも社内のセキュリティシステムを固く守って運用できるようISMSも併用で取ろうしている状況です。

そこで、ISMSをPMSと併用するときのうまい入れ方とかいい方法などありましたらお伺いしてもよろしいでしょうか。

PMSは、ISMSから見た場合、システムの一部となります。
既にご存じかと思いますが、以下のURLにもあるように、個人情報は、情報資産の一部となります。

ちなみに、ISO/IEC 27002:2013(情報技術-セキュリティ技術-情報セキュリティ管理策の実践のための規範)の「18.1.4 プライバシー及び個人を特定できる情報(PII)の保護」という項においても、規定されています。
よって、既存のPMSに合わせるというよりは、ISMSを構築した中に、PMSで組み入れるという形になるかと思います。

ISMS要求事項の中には、PMSと同じような要求事項(文書管理や内部監査など)がありますが、国内規格と国際規格といった違いがあり、内容も若干異なっています。
仮に、社内規程としてPMSとISMSを統一される場合は、それぞれの規格改訂にも、注意が必要です。

プライバシーマークは国内規格であり、ISMSは国際規格であるため、通常、審査機関は異なります。

審査機関が異なれば、統一されたマネジメントシステムで、それぞれ別の指摘を受けたときの対応が難しい場合もあります。

組織の情報資産を守るシステムとして国際規格のISO/IEC 27001に準拠したISMSを構築し、情報資産の中でも「個人情報の保護および取扱い」に関しては、国内規格のJISQ15001に準拠したPMSを構築、運用するといった体制イメージをされた方が良いかと思います。