第110回 プライバシーマークとＩＳＭＳの違い（3）
プライバシーマーク制度（Ｐマーク）と、情報セキュリティマネジメントシステム適合性評価制度（ＩＳＭＳ）の違いを、考えてみたいと思います。
■審査機関
Ｐマークは、財団法人日本情報処理開発協会(ＪＩＰＤＥＣ)と５指定機関の計６つが実施します。（第105回「プライバシーマークは、誰が認定する？」）
みなさんの会社が指定５機関に所属するなら、その指定機関にＰマークの認定を申請します。そうでない多くの会社は、ＪＩＰＤＥＣに申請します。自分の都合で、審査機関を選ぶことはできません。
ＩＳＭに関しては、ＪＩＰＤＥＣは審査登録機関を認定する機関であり、事業者に対するＩＳＭＳ認証登録は行いません。
事業者は認定された審査登録機関の中から、どこに申請するか自分で決めることができます。2005年7月現在、19の機関が認定登録されています。
人気ある審査員がいる機関は予約でいっぱいだそうです。
・財団法人 日本品質保証機構 マネジメントシステム部門
http://www.jqa.jp
・日本検査キューエイ株式会社
http://www.jicqa.co.jp/
・株式会社ケーピーエムジー審査登録機構
http://www.kpmg.or.jp/
・ビーエスアイジャパン株式会社
http://www.bsi-japan.com
・財団法人 日本科学技術連盟 ISO審査登録センター
http://www.juse.or.jp/iso_center/
・財団法人日本規格協会 審査登録事業部
http://www.jsa.or.jp
・株式会社日本情報セキュリティ認証機構
http://www.jaco-is.co.jp/
・デット ノルスケ ベリタス エーエス DNV認証事業 日本支社
http://www.dnv.jp/
・株式会社中央青山審査登録機構
http://www.chuoaoyama.or.jp/isms/
・社団法人 日本能率協会 審査登録センター
http://www.jma.or.jp/JMAQA/
・ペリージョンソン レジストラー 株式会社
http://www.pjr.jp/
・財団法人電気通信端末機器審査協会 ＩＳＭＳ審査登録センター
http://www.jate.or.jp/
・株式会社トーマツ審査評価機構
http://www.teco.tohmatsu.co.jp/
・テュフ・ラインランド・ジャパン株式会社
http://www.jpn.tuv.com/jp/index.php
・株式会社 マネジメントシステム評価センター
http://www.msac.co.jp/
・株式会社 ジェイ－ヴァック
http://www.j-vac.co.jp/
・ビーブイキューアイジャパン株式会社
http://www.bvqi.jp/
・財団法人 防衛調達基盤整備協会 システム審査センター
http://www.bsk2000.com/
・ロイド レジスター クオリティ アシュアランス リミテッド
http://www.lrqa.or.jp
認定された審査登録機関は、どの業種の事業者でも審査できます。ただし、審査する際に専門的な知識が必要とされる場合は、事業者が審査を申請しても、審査登録機関が審査を受け付けない場合があります。
■審査の方法
Ｐマークの審査は、書類審査と現地審査の２ステップあります。書類審査の条件として、個人情報保護について下記が要求されます。申請する企業が増加し、書類審査での指摘事項が増えています。
（書類審査）
・社内の責任と役割分担を明確化し、体制整備している。
・申請までに1回以上コンプライアンス・プログラム（ＣＰ）の教育研修を実施。
・申請までに1回以上監査と見直しがされている。
・消費者などの相談窓口の常設と、外部に明示している。
・外部からの侵入と内部漏えいを防ぐ、安全管理措置を講じている。
・委託業務には責任分担や守秘の契約を締結し、保護措置を講じている。
（現地審査）
提出したコンプライアンス・プログラムの通りに体制が整備され、運用されているか確認されます。
・代表者へのインタビュー
・運用状況の確認
・現場での実施状況の確認
・総括
ＩＳＭＳ審査は、原則として文書審査(ステージ1)と実地審査(ステージ2）の2段階で行われます。
文書審査(ステージ1)
準備された文書をもとに組織のＩＳＭＳを審査して、準備状況を鑑（かんが）みてステージ2の焦点を定めるものです。
実地審査(ステージ2）
構築されたＩＳＭＳの基本方針、目標、手順などの運用状況を確認して、経営者との面談、文書の確認などを行います。
■登録の維持
Ｐマークは、２年に１回更新審査が行われます。認定時と同様の審査が行われ、最新版のＣＰなどの申請書類を提出し、現地審査も実施されます。
本年9月9日現在、70社がＰマークの使用を中止しており、更新が続けられないなどの理由で辞退する会社も多い様です。
・更新辞退で中止 29社（41.4％）
・合併などで組織変更のため 31社（44.3％）
ＩＳＭＳは、３年に１回更新審査が行われます。更新審査では、認定時と同様の審査が行われ、文書審査と現場審査が行われます。これに加え、通常1年に1回、維持審査（サーベイランス）が行われＩＳＭＳ変更点の確認や、前回指摘事項の改善状況の確認等が行われます。
