ISO/IEC 27701(PIMS)
コラム
前回の「ISO/IEC 27701及びプライバシー情報マネジメントシステムの概要や国際規格化の背景」の解説に続き、今回の解説では、ISO/IEC 27701を理解する上で鍵となるポイントについて、認証取得に必要な規格要求事項やPII管理者向けの管理策、PII処理者向けの管理策を紹介します。
第２回
プライバシー情報マネジメントシステムの国際規格
第２回
プライバシー情報マネジメントシステムの国際規格
ISO/IEC 27701の規格要求事項及び管理策
■ISO/IEC 27701の規格要求事項
ISO/IEC 27701の認証を受ける際に満たすべき規格要求事項は、以下の3つとなります。
- 箇条5 ISO/IEC 27001に関連するPIMS固有の要求
- 附属書A（規定）PIMS固有の管理目的及び管理策（PII管理者）
- 附属書B（規定）PIMS固有の管理目的及び管理策（PII処理者）
■箇条5 ISO/IEC 27001に関連するPIMS固有の要求
箇条5は、プライバシー情報マネジメントシステム（PIMS）の固有の要求事項が規定されており、5.2 組織の状況から5.8 改善は、ISO/IEC 27001:2013の規格要求事項の4 組織の状況から10 改善に対応しています。
このうち、追加要求事項が規定されている要求事項は、5.2 組織の状況と5.4 計画に規定された、以下の６つとなっています。
- 5.2.1 組織及びその状況の理解
- 5.2.2 利害関係者のニーズ及び期待の理解
- 5.2.3 情報セキュリティマネジメントシステムの適用範囲の決定
- 5.2.4 情報セキュリティマネジメントシステム
- 5.4.1.2 情報セキュリティリスクアセスメント
- 5.4.1.3 情報セキュリティリスク対応
■附属書A（規定）PIMS固有の管理目的及び管理策（PII管理者）
附属書Aは、ISO/IEC 27001:2013の附属書A (規定) 管理目的及び管理策を拡張したものであり、PII管理者として活動する組織のためのPIMS固有の管理目的及び管理策が規定されています。
- A.7.2 収集及び処理の条件
- A.7.3 PII主体に対する義務
- A.7.4 プライバシー・バイ・デザイン及びプライバシー・バイ・デフォルト
- A.7.5 PIIの共有、移転及び開示
■附属書B（規定）PIMS固有の管理目的及び管理策（PII処理者）
附属書Bは、ISO/IEC 27001:2013の附属書A (規定) 管理目的及び管理策を拡張したものであり、PII処理者として活動する組織のためのPIMS固有の管理目的及び管理策が規定されています。
- B.7.2 収集及び処理の条件
- B.7.3 PII主体に対する義務
- B.7.4 プライバシー・バイ・デザイン及びプライバシー・バイ・デフォルト
- B.7.5 PIIの共有、移転及び開示
次回では、ISO/IEC 27701の認証制度や認証取得のポイントを解説します。
次回では、ISO/IEC 27701の認証制度や認証取得のポイントを解説します。