Pマークの安全管理措置は、ISMSの「情報セキュリティ管理規程」への参照で省略できますか？
弊社では「情報セキュリティ管理規程」を定めており、こちらで詳細にルール決めをしております。
個人情報取扱及び保護規程内の3.2.3物理的安全管理措置と3.2.4技術的安全管理措置に関する部分は「情報セキュリティ管理規程」に定める（または参照する）として省略できればと考えております。
可能な限り簡素化したいと考えているのですが、省略してしまっても問題ないものなのでしょうか？
結論から申し上げますと、「情報セキュリティ管理規程」へ詳細なルールを定め、個人情報保護規程側でそれを参照する形式に集約することは、全く問題ありません。
むしろ、ISMS（ISO 27001）とPマークを併用している組織や、IT統制を重視する組織においては、ルールの一貫性を保つための「推奨される手法」とも言えます。
以下の3つのポイントで、最新規格の要求事項と実務上の留意点を整理します。
1. 規格要求事項（JIS Q 15001:2023）との整合性
JIS Q 15001の「A.3.4.3.2 安全管理措置」では、具体的な管理策について「附属書Cを参照すること」と定めています。この附属書Cは、最新のISMS管理基準（JIS Q 27001:2023 / 27002:2022）の構造に沿って構成されています。
したがって、貴社の「情報セキュリティ管理規程」がISMS等の最新基準に準拠して詳細に策定されているのであれば、それをPMS（個人情報保護マネジメントシステム）の安全管理措置として適用することは合理的な判断です。
2. リスクアセスメント結果との連動
安全管理措置を定める際の最優先事項は、社内の規定が「リスク分析の結果」と紐付いていることです。
- 評価基準の統一：
「情報セキュリティ管理規程」で定める管理策が、個人情報のリスク分析で特定された脅威（紛失、改ざん、漏えい等）を十分にカバーできているかを確認してください。 - 資産価値の考慮：
資産の機密性・完全性・可用性の評価ランクに基づき、適切な強度の対策（物理的・技術的）が選択されていることが重要です。
3. 実務上の留意点
規程を簡素化・参照形式にする際は、以下の運用管理に注意が必要です。
- 文書管理の対象化：
参照先となる「情報セキュリティ管理規程」自体が、PMSの文書管理体系（承認、改訂履歴、最新版の配布等）に組み込まれている必要があります。 - 審査時の提示準備：
Pマークの審査では、「安全管理措置はどうなっていますか？」という質問に対し、個人情報保護規程だけでなく、参照先である「情報セキュリティ管理規程」をセットで提示し、説明できるようにしておく必要があります。 - 用語の整合性：
情報セキュリティ規程側で「情報資産」と呼んでいるものが、個人情報保護の文脈で「個人データ」を包含していることを明確にしておくと、審査がスムーズに進みます。
結論としての提案
「物理的安全管理措置」や「技術的安全管理措置」の内容を「情報セキュリティ管理規程」に集約することは、二重管理の手間を省き、社内ルールの矛盾をなくす非常に有効な手段です。
弊社の「プライバシーマークサンプル文書集」では、こうした複数規程の参照関係や、リスク分析結果との整合性を保ちやすい構造を採用しております。規程のスマートな統合に向けて、ぜひ雛形の構成を参考にブラッシュアップを進めてください。
