個人情報の安全管理

要約: 「個人情報保護に関する基本方針」を定めて公表し、個人情報管理責任者を選任しています。取り扱う項目と利用目的はプライバシーポリシーに記載しています。漏えい等が起きたときの対応や、利用状況の記録、従業者への教育についても、規程で定めています。個人データを取り扱う区域の入退室を管理し、持ち運びや廃棄でも、定めた方法を採っています。

個人情報の取扱いについて、基本方針はありますか？この見出しへのリンク

はい。「個人情報保護に関する基本方針」を定め、公表しています。個人情報保護に関する基本方針をご覧ください。

基本方針には、何が書かれていますか？この見出しへのリンク

次の事項を記載しています。

名称、住所および代表者の氏名
個人情報の保護に関する法律その他の関係法令、個人情報保護委員会および総務省の定めるガイドラインの遵守。電気通信事業法の定める通信の秘密の保護についても、あわせて定めています
安全管理措置に関する事項。講じている措置の内容は、同じページに記載しています
開示等の請求および苦情の窓口

詳しくは個人情報保護に関する基本方針をご覧ください。

個人データの取扱規程はありますか？この見出しへのリンク

はい。個人データの取得から削除・廃棄までの取扱いの方法、責任者の役割および取扱いの状況の点検について、社内の規程を定めています。講じている措置は、個人情報保護に関する基本方針に記載しています。

個人データの責任者と取扱部署は決まっていますか？この見出しへのリンク

はい。個人情報管理責任者を選任し、氏名を個人情報保護に関する基本方針で公表しています。

取扱部署と責任者は、情報資産管理台帳の部署名欄と責任者欄で、情報資産ごとに定めています。

個人データを取り扱う従業者の役割は決まっていますか？この見出しへのリンク

はい。トップマネジメント、情報セキュリティ管理者、内部監査員および従業者の役割を規程に定めています。

取り扱う個人データの項目と利用目的は明確ですか？この見出しへのリンク

はい。取得する項目と利用目的を、プライバシーポリシーに記載しています。従業者に関する項目は、情報資産管理台帳に記載しています。

個人情報データベース等の一覧はありますか？この見出しへのリンク

はい。情報資産管理台帳に情報資産名を記載し、情報分類、媒体、保管場所および保管期間とあわせて管理しています。

法令違反や漏えいの兆候を見つけたとき、報告する体制はありますか？この見出しへのリンク

はい。情報セキュリティ事象を発見した従業者は、情報セキュリティ管理者にすみやかに報告します。

報告の対象には、次を含みます。

情報区分ごとに定めた取り扱いにそぐわない扱いを行った場合
媒体の紛失、メールの誤送信、外部からの情報漏えいに関する連絡

漏えい等が起きたとき、調査・報告・再発防止の体制はありますか？この見出しへのリンク

はい。二次被害の防止、原因の特定および被害範囲の特定に取り組みます。

情報セキュリティ管理者が、関係する省庁等へ連絡します。電気通信事業者としての報告先は、権限の委任を受けた総務大臣です。

対応結果と再発防止策をまとめ、責任者に報告します。

個人データの利用やアクセスの状況は記録していますか？この見出しへのリンク

はい。操作者の操作にかかる記録を、監査ログとして取得しています。社内システムおよびクラウドサービスについては、認証ログと監査ログを取得しています。

ログはアクセス制御により改ざんを防止し、時刻を同期し、定期的に点検・分析します。

従業者に個人データの取扱いの研修を行っていますか？この見出しへのリンク

はい。従業者に対し、個人データの取扱いに関する教育を定期的に実施しています。

個人データを取り扱う区域の入退室は管理していますか？この見出しへのリンク

はい。個人データを取り扱う区域について、入退室を管理しています。

書類や機器は、のぞき見や持ち出しを防ぐように保管していますか？この見出しへのリンク

はい。オフィスを一般エリアとセキュリティエリアに分け、クリアデスクを定めています。個人情報を含む紙は、施錠できるキャビネットで保管します。

個人データを持ち運ぶ・送るときの決まりはありますか？この見出しへのリンク

はい。

持ち運ぶ個人データは、暗号化またはパスワード保護を行います。
外部記憶媒体は申請制とし、外部記憶媒体貸出管理表に記入します。
機器・媒体を輸送する場合は、配達の記録が残るサービスを利用し、パスワードまたは暗号化による保護を行います。
個人情報を含むファイルをメールで送る場合は、クラウドストレージに置いて共有リンクを送付します。

書類・データ・機器を廃棄するときの方法はありますか？この見出しへのリンク

はい。

紙媒体: 不要となった紙媒体は、社内のシュレッダーで破棄します。
PCおよび記憶媒体: 媒体種別ごとに消去方式を定め、消去後に読み取りができないことを確認します。
機器・電子媒体: 情報セキュリティ管理者がデータの消去または破壊の措置を行い、外部業者に委託します。

外部業者へ廃棄を委託する場合は、廃棄証明書およびデータ消去の証明書を取得します。