|
問い合わせで知ったのですが、
プライバシーマーク の審査で、
何かリスク管理について何か厳しくなった(？)とかという話です。
2003年の７月以降(辞めた後)の話はわからないのですが、
2002年夏は個人情報に関する事故が多くなってきたため、
というような項目を増やしたことはあります。
原因追求や連絡体制とか、避難訓練的なシミュレーションとか、
事故が起きた場合、速やかに
プライバシーマーク事務局
に報告するとかなどなど、
いくつかのパターンでヒアリングしてました。
そもそも事故(リスクの顕在化)を100％防ぐことは不可能であり、
時系列的にも随時変化しますので、
- リスクが顕在化しないようにどうするか？
- リスクが顕在化したらどうすうるか？
- リスクが顕在化していないかどうか確信するには、定期的に何をするのか？
と３つが基本になるのではないかと思います。
例えば、コンピュータウィルスで言うと、
(1) 感染しないように対策ソフトを導入し、
(2) 感染したら、速やかにネットワークを切り離して駆除する。
(3) 感染しないことを確かめるためにも、
日々定義ファイルのチェックをして、
定期的にフルチェックをかけたり、
バックアップをとることを行われているかと思います。
また、事故が起きた場合の対処としては、
どう連絡をするのか等の行動が挙げられますが、
それ以前に「事故が起きたとわかったら、隠さず報告する」
というような“社内雰囲気”や
教育 が前提になるでしょう。
会社の文化
にも関連することですが、
上司が「怒らないから言ってみ」とにこやかに言えることは、
リスク対策の上でもすごく重要かと思います。
リスク対策のためには、まずリスクの洗い出しが重要なポイントになります。
リスク対策というと、真っ先にファイアウォールや第三者の
入退管理 を思いつくかもしれません。
リスクとしては、第三者からのものだけでなく、
委託 や
輸送中 についてもありますし、
破棄や削除などにおいての消し忘れなど、
スタッフのヒューマンエラー(オペレーションエラー)もあるでしょう。
人間工学(ソーシャル・エンジニアリング)的に成り済まされたりして、
他人の個人情報を引き出されるリスクもあるかもしれません。
リスクの洗い出し方については、
以下のような業務フローを辿ってリスクを拾い上げることをすると、
リストアップの漏れが少ないかと思います。
- 収集(取得) → 保管・利用 → 委託／返却／提供
- 情報主体(本人)からの要求 → 開示・訂正・削除
最近でもよく
ニュース
では電車の網棚に置き忘れたとか、
車に置きっぱなしで車上荒らしに会ったとか報道されています。
また、同意を得てない個人情報の利用や提供
に関するニュースも多いようです。
そういう訳で、
個人情報
の収集(取得)から、破棄／削除／返却まで、“ライフサイクル”を通じて、
場面場面の個人情報のリスクを捉えることが重要になると思います。
なお、業務フローを辿る際に、
JIS X 5080 や
GMITS、
旧通産省の基準、
旧郵政省の基準
などの実施基準を参考にして、チェックすると、漏れが更に少なくなると思います。
また、ウェブに関しては、
日々いろいろ状況が変わったりするので、
情報収集が重要なポイントになるかと思います。
セキュリティ対策については“性悪説”で臨むのが得策とされてますが、
性善説／性悪説に関わらず、“最悪のケース”を考えてみて、
リスクを想定するのがよろしいかと思います。
もちろんリスクを 100％無くすことは不可能なので、
費用対効果の面でも 残存リスク が出るのは仕方ないとは思います。
ただ、残存リスクの管理をどのようにするのかも併せて検討しないといけないでしょう。
|