１．Pマークのリスク分析とは

Pマークのリスク分析とは、個人情報の取扱フローに従ってリスクを特定して分析していくことです。

個人情報を取得したのちに、リスク分析を実施します。

個人情報の特定の段階で具体的な取得方法をイメージし、その場合にどんな事故や事件が起こりうるのかを検討してリスク分析・対策を検討していきます。

２．リスク分析の流れ

Pマークのリスク分析では、取得～廃棄までの流れを特定していきます。

具体的にどういう事を検討する必要があるのかを見ていきましょう。

「取得・入力」

　個人情報を本人から手渡しで取得，宅配便・ＦＡＸ・電子メールで取得やネット申し込みからの取得，取得した個人情報を紙媒体へ記入する，入力業務を委託する等があげられます。

「移送・送信」

　社内での持ち運び，社外での持ち運び，配送業者を利用し個人情報を郵送する，電子メールを送信する，ＵＳＢメモリなどの外部媒体を利用して送信する，ネットワークを介して送信する，ＦＡＸで送信する等があげられます。

「利用・加工」

　紙媒体に記録された個人情報を利用する，閲覧する，利用加工業務を委託する，サーバーやパソコンに保管された個人情報を利用する，連絡する等があげられます。

「委託・提供」

　○○○に委託する，第三者に提供する等があげられます。

「保管・バックアップ」

　キャビネットに保管する，パソコンに保管する，社内サーバーに保管する，社外サーバーに保管する，クラウドに保管する，外部媒体に保管する，媒体内に保管する（携帯電話，スマートフォン，ｉｐａｄ等）等があげられます。

「廃棄・消去」

　紙媒体を廃棄する，専門業者に廃棄してもらう，パソコンに保管された個人情報を消去する，社内サーバーに保管された個人情報を消去する，外部媒体に保管された個人情報を消去する，リース機器を返還する等があげられます。

このように特定した個人情報それぞれに対して、「取得・入力」から「廃棄・消去」までのリスク分析を行わなければなりません。

３．個人情報の洗い出し

Pマークの要求事項では、以下のように述べられています。

A.3.3.1 個人情報の特定

組織は、個人情報の項目、利用目的、保管場所、保管方法、アクセス権を有する者、利用期限、保管期限などを記載した、個人情報を管理するための台帳を整備するとともに、当該台帳の内容を少なくとも年一回、適宜に確認し、最新の状態で維持されるようにしなければならない。 組織は、特定した個人情報については、個人データと同様に取り扱わなければならない。

引用：「JIS Q 15001:2017 個人情報保護マネジメントシステム―要求事項A.3.3.1 個人情報の特定」

簡単に言うと個人情報が記載してある「個人情報管理台帳」を作成し管理しなければなりません。

詳しくはこちら：これさえ気をつければ簡単!?一からの個人情報管理台帳の作り方

４．リスク分析に必要な項目

　リスク分析、７つの必須項目は以下になります。

「個人情報管理台帳」から紐づけができる状態で、媒体や取り扱いプロセスを把握したのちにリスク分析ができる「リスク分析の様式」が良いでしょう。

リスク分析に必要な項目は以下です。

　『必要項目』

1. 個人情報名
2. 媒体
3. 個人情報取扱いプロセス
4. リスクの洗い出し
5. リスク対策
6. 関連規程
7. 残留リスク

５．リスク分析表

リスク分析のサンプルを説明していきます。

今回は名刺を例にします。

名刺を取得から廃棄までの流れを記載すると以下になります。その内容を反映したリスク分析表を、参考に掲載しております。

「名刺、個人情報Ａの場合」

（取得・入力）取引先の方から手渡しで名刺を取得する。

（移送・送信）取得した名刺を事務所へ持ち帰る。

（利用・加工）名刺を閲覧する。

（委託・提供）無し。名刺を委託業者へ委託しない。

（保管・バックアップ）鍵付きのキャビネットにて保管する。

（廃棄・消去）シュレッダーにて廃棄する。

※ 添付資料がリスク分析表のサンプルです。

６．よくある失敗事例

よくある失敗事例の紹介をすると、グルーピングできる物をグルーピングしていないことが挙げられます。

例えば、要求事項「3.3.3　リスクなどの認識、分析及び対策」への対応においては、リスクなどの認識、分析及び対策を把握する場合、ライフサイクルが同じものはグルーピングが可能です。

つまり、先ほどの名刺の例と全く同じ「取得・入力」から「廃棄・消去」までのリスク分析結果となる個人情報Ａがあるとします。

この個人情報Ａは名刺と同時にリスク分析を行ってもよいということになります。

このようにして1シートに1情報とすると膨大な量になり管理が出来なくなるため、グルーピングできる物はグルーピングして管理していきましょう。

まとめ

Pマークのリスク分析表は、個人情報の取扱フローに従って取得～廃棄までの流れでリスクを特定・分析していきます。

具体的な取得方法をイメージしたら、その場合にどんな事故・事件が起こりうるのかを検討してリスク分析表を作ります。

Pマークリスク分析表は個人情報管理台帳と整合させるような様式が良いが、管理をしやすくするためにグルーピングをすることをお勧めします。

ISO・Pマークについてのお悩みはありませんか？

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン
  相談予約

ISO・Pマークについてのお悩みはありませんか?

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン相談予約