課題Ⅱ 第２編① 組織的・人的セキュリティ ― 基本方針の策定からリスク管理・規程整備まで
個人情報保護を組織的に推進するための第一歩は、基本方針（プライバシーポリシー）の策定です。基本方針とは、事業者が個人情報をどのように取り扱うかを対外的に宣言する文書であり、組織の姿勢を示すものです。個人情報保護法そのものに策定義務はありませんが、ガイドラインや認証制度（プライバシーマーク、ISMS）では必須要件とされています。
The first step to organizationally promote personal information protection is formulating a basic policy (privacy policy). A basic policy is a document that externally declares how a business operator handles personal information, showing the organization's stance. The Personal Information Protection Act itself does not mandate its formulation, but guidelines and certification systems (Privacy Mark, ISMS) require it.
基本方針の記載事項
基本方針に記載すべき項目は以下のとおりです。第一に、事業者の名称と代表者名。第二に、関係法令・ガイドライン等の遵守を宣言する条項。第三に、安全管理措置に関する事項。第四に、苦情および問合せの窓口情報。第五に、継続的改善への取り組み。これらの項目を明確に記載した上で、ウェブサイト等を通じて外部に公表しなければなりません。プライバシーマーク取得企業では、JIS Q 15001の要求事項に沿った内容が求められ、ISMSでは情報セキュリティ方針との整合性が重要です。
The items that should be stated in the basic policy are as follows. First, the name of the business operator and its representative. Second, a clause declaring compliance with related laws, regulations, and guidelines. Third, matters regarding safety management measures. Fourth, contact information for complaints and inquiries. Fifth, commitment to continuous improvement. After clearly describing these items, it must be publicly announced through the website, etc. For companies with the Privacy Mark, content in line with JIS Q 15001 requirements is needed; for ISMS, consistency with the information security policy is important.
個人情報の洗い出しと台帳管理
基本方針を策定したら、次は組織が保有する個人情報をすべて洗い出し、個人情報管理台帳で一元的に管理します。台帳に記録すべき項目は、データ項目（氏名、住所、電話番号等）、利用目的、保管場所（物理/電子）、アクセス権限者、保管期限、管理責任者です。台帳により、どの部署がどのような個人情報をどこに保管しているかを正確に把握できるようになります。
After formulating the basic policy, the next step is to identify all personal information held by the organization and manage it centrally with a personal information management ledger. Items to record in the ledger are: data items (name, address, phone number, etc.), purpose of use, storage location (physical/electronic), authorized access persons, storage deadline, and the person in charge of management. The ledger enables accurately grasping which department stores what kind of personal information and where.
個人情報保護委員会のガイドライン通則編10-3（組織的安全管理措置）では、取扱状況を確認する手段として台帳（個人データ管理簿）の整備が明示的に要請されています。台帳は紙でも電子でも構いませんが、更新履歴が追えること、権限者のみが改訂できることが実務上の要件です。外部委託先に預けているデータも漏れなく記載し、委託先名・契約期間・提供範囲を明示します。
The Personal Information Protection Commission's General Rules Guidelines Part 10-3 (organizational safety management measures) explicitly requires the maintenance of a ledger (personal data management register) as a means of confirming handling status. The ledger may be paper-based or electronic, but practical requirements include: update history must be traceable, and only authorized persons may revise it. Data entrusted to external outsourcing destinations must also be recorded without omission, with the outsourcing destination name, contract period, and provision scope clearly specified.
ライフサイクル管理：各段階の管理
個人情報にはライフサイクルがあり、取得→利用→保管→提供→廃棄の各段階で適切な管理が必要です。取得段階では、利用目的の特定と本人への通知・公表が求められます。利用段階では、目的外利用の禁止を徹底します。保管段階では、暗号化や施錠管理で漏洩を防ぎます。提供段階では、第三者提供の制限と記録義務を遵守します。廃棄段階では、復元不可能な方法（シュレッダー、磁気消去、物理破壊）で確実に処分します。
Personal information has a lifecycle, and appropriate management is needed at each stage: acquisition, use, storage, provision, and disposal. At the acquisition stage, specifying the purpose of use and notifying/announcing it to the individual is required. At the use stage, prohibition of use beyond the stated purpose is enforced. At the storage stage, leakage is prevented through encryption and locked storage management. At the provision stage, restrictions on third-party provision and record-keeping obligations are complied with. At the disposal stage, information is reliably disposed of using irrecoverable methods (shredding, magnetic erasure, physical destruction).
個人データの棚卸し
個人データの棚卸しとは、台帳の内容が実態と一致しているかを定期的に確認する作業です。新規業務の開始や組織変更に伴い、台帳に未登録の個人情報が発生していないか、利用目的が変更されていないか、保管期限を過ぎたデータが残っていないかを点検します。棚卸しは年に一回以上実施することが推奨されます。
Data inventory (棚卸し) is the task of periodically confirming whether the ledger content matches the actual situation. It inspects whether unregistered personal information has emerged due to new business operations or organizational changes, whether purposes of use have been modified, or whether data past its storage deadline remains. It is recommended to conduct an inventory at least once per year.
リスクの認識と特定
リスクの認識とは、個人情報のライフサイクルの各段階において、漏洩・滅失・毀損がどのように発生しうるかを特定することです。例えば、取得段階では不正取得や同意不備、保管段階では不正アクセスや媒体の紛失、廃棄段階では復元可能な状態での廃棄などがリスクとして挙げられます。脅威（外部攻撃、内部不正、自然災害）と脆弱性（対策の不足）の両面から洗い出します。
Risk recognition means identifying how leakage, loss, and damage can occur at each stage of the personal information lifecycle. For example, at the acquisition stage: unauthorized acquisition or consent deficiencies; at the storage stage: unauthorized access or loss of media; at the disposal stage: disposal in a recoverable state, and so on. Risks are identified from both the perspective of threats (external attacks, internal fraud, natural disasters) and vulnerabilities (insufficiency of countermeasures).
リスクアセスメントは国際規格ISO 31000で体系化されており、「リスクの特定（identification）→リスク分析（analysis）→リスク評価（evaluation）」の3段階で構成されます。特定段階では情報資産台帳を元に脅威と脆弱性を列挙し、分析段階で発生可能性と影響度を見積もり、評価段階で受容基準（リスク受容レベル）と比較します。受容基準を上回るリスクは対応が必須、下回るリスクは受容（保有）として文書化します。
Risk assessment is systematized in the international standard ISO 31000, consisting of three stages: risk identification → risk analysis → risk evaluation. In the identification stage, threats and vulnerabilities are enumerated based on the information asset ledger; in the analysis stage, likelihood of occurrence and impact are estimated; in the evaluation stage, results are compared against acceptance criteria (risk acceptance level). Risks exceeding the criteria require treatment; risks below the criteria are documented as accepted (retained).
リスク分析：定性的分析と定量的分析
特定したリスクを分析する手法には、定性的分析と定量的分析の2つがあります。定性的分析では、リスクを「高」「中」「低」のように段階で評価します。定量的分析では、金額で算出します。代表的な計算式がALE（年間予想損失額）= SLE（1回あたりの予想損失額）× ARO（年間発生率）です。例えば、1件の漏洩で500万円の損害が見込まれ、年に0.1回発生するなら、ALE = 50万円となります。
There are two methods for analyzing identified risks: qualitative analysis and quantitative analysis. Qualitative analysis evaluates risks in levels such as "high," "medium," and "low." Quantitative analysis calculates in monetary amounts. The representative formula is ALE (Annual Loss Expectancy) = SLE (Single Loss Expectancy) × ARO (Annualized Rate of Occurrence). For example, if one leakage incident is estimated to cause 5 million yen in damage and occurs 0.1 times per year, ALE = 500,000 yen.
リスク評価と優先順位
リスク評価では、分析結果をもとに優先順位をつけます。一般的に、影響度（被害の大きさ）と発生可能性（頻度）の2軸で評価します。影響度が大きく、発生可能性も高いリスクから優先的に対策を講じます。リスクマトリクスを作成し、視覚的に整理することで、経営層への説明にも活用できます。
In risk evaluation, priorities are assigned based on the analysis results. Generally, risks are evaluated on two axes: impact (magnitude of damage) and likelihood (frequency of occurrence). Countermeasures are prioritized for risks with high impact and high likelihood. By creating a risk matrix and visually organizing it, it can also be utilized for explanations to management.
リスク対策の4つの手法
リスク対策には4つの手法があります。第一は回避で、リスクの原因となる活動そのものを中止します。例：不要な個人情報の収集を廃止する。第二は低減（軽減）で、技術的・組織的な対策でリスクを小さくします。例：暗号化の導入、アクセス制御の強化。第三は移転（転嫁）で、リスクを他者に移します。例：損害賠償保険の加入、専門業者への委託。第四は受容（保有）で、対策費用が被害額を上回る場合等に、リスクをそのまま受け入れます。費用対効果を考慮して最適な組み合わせを選択します。
There are four risk treatment methods. First is avoidance: ceasing the activity that causes the risk. Example: abolishing unnecessary collection of personal information. Second is reduction (mitigation): making the risk smaller through technical and organizational countermeasures. Example: introducing encryption, strengthening access control. Third is transfer (shift): transferring the risk to others. Example: enrolling in liability insurance, outsourcing to specialist contractors. Fourth is acceptance (retention): accepting the risk as-is when, for example, the cost of countermeasures exceeds the potential damage amount. The optimal combination is selected considering cost-effectiveness.
規程文書の階層体系
個人情報保護を確実に実行するためには、規程文書を体系的に整備する必要があります。文書体系は階層構造で構成されます。最上位に基本方針（プライバシーポリシー）、第二層に個人情報保護規程（管理規程）、第三層に実施手順書・マニュアル、第四層に様式・記録（申請書、チェックリスト、台帳）を配置します。
To reliably execute personal information protection, regulation documents must be systematically developed. The document system is composed in a hierarchical structure. At the highest level: the basic policy (privacy policy); second layer: personal information protection regulations (management regulations); third layer: implementation procedure manuals; fourth layer: forms and records (application forms, checklists, ledgers).
個人情報保護規程に盛り込む事項
個人情報保護規程には、以下の事項を盛り込みます。個人情報の取扱いの範囲（対象業務、対象データ）、責任者の役割と権限、取得・利用の手順、安全管理措置の具体的内容、委託先管理基準、事故発生時の対応手順です。これらの規程は全従業者に周知し、閲覧可能な状態にしておかなければなりません。
The personal information protection regulations incorporate the following matters: the scope of personal information handling (target operations, target data), roles and authority of responsible persons, procedures for acquisition and use, specific content of safety management measures, contractor management criteria, and incident response procedures. These regulations must be disseminated to all workers and kept in a browsable state.
規程文書は改訂履歴を明確に管理しなければなりません。版番号・改訂日付・改訂内容・承認者を文書冒頭に記載し、旧版は一定期間保管した上で廃版表示とします。現行版と旧版が混在することを防ぐため、文書管理台帳で一元的に管理し、全従業者が常に最新版を参照できる体制を整えます。イントラネットや文書管理システムでの集中管理が望ましいとされています。
Regulation documents must clearly manage their revision history. Version number, revision date, revision content, and approver are stated at the beginning of the document. Old versions are stored for a fixed period, then marked as obsolete. To prevent coexistence of current and old versions, documents are managed centrally via a document management ledger, establishing a system where all workers can always reference the latest version. Centralized management via intranet or document management systems is considered desirable.
PDCAサイクルによる継続的改善
規程文書の運用にはPDCAサイクルを適用します。Plan（計画）：規程の策定・改訂。Do（実行）：規程に基づく日常運用。Check（点検）：内部監査や自己点検による適合性の確認。Act（改善）：不備の是正、法令改正や社会環境の変化に対応した見直し。このサイクルを継続的に回すことで、個人情報保護の水準を維持・向上させます。特に、法令改正時には速やかに規程を改訂することが不可欠です。
The PDCA cycle is applied to the operation of regulation documents. Plan: formulation and revision of regulations. Do: daily operation based on regulations. Check: confirmation of conformity through internal audits and self-inspections. Act: correction of deficiencies, review in response to legal amendments and changes in the social environment. By continuously turning this cycle, the standard of personal information protection is maintained and improved. In particular, it is indispensable to promptly revise regulations when laws are amended.
規程を整備しただけでは不十分で、内部監査と経営層による見直し（マネジメントレビュー）で実効性を確保します。内部監査は独立性を保つため、被監査部門以外の者が実施します。指摘事項は是正処置報告書にまとめ、期限を定めて改善を完了させます。マネジメントレビューでは経営層が監査結果・事故発生状況・法令改正を受け、資源配分や方針変更を決定します。
Merely developing regulations is insufficient; effectiveness is secured through internal audits and management-level reviews (management review). Internal audits are conducted by persons outside the audited department to maintain independence. Findings are compiled into corrective action reports, and improvements are completed within set deadlines. In management review, executives decide on resource allocation and policy changes in light of audit results, incident occurrence status, and legal amendments.