運用代行会社の ISMS・P マーク審査で、クライアントから預かったアカウントをどう説明するか

運用代行会社は、クライアントから SNS・広告・EC のアカウントを預かって運用しています。ISMS や P マークの審査では、このアカウントも説明を求められる対象に入ると読めます。ISMS では、守る対象の資産として適用範囲(認証の対象とする組織や業務の範囲)に入れることになります。P マークでは、受託した個人情報がある場所として台帳に載ります。いずれも JIPDEC の公開資料からの読み方です。審査で示すのは、アカウントの一覧、使える人、使った記録、外した記録と、契約や規約で約束していることの一覧です。

ISMS の適用範囲にどう入れるか

JIPDEC の ISMS ユーザーズガイドは、適用範囲の決め方(規格の 4.3)を説明しています。その中で、守るべき重要な情報と、それに関連する資産は、適用範囲に含めなければならないとしています。運用代行会社にとって、預かったアカウントは事業そのものに使う資産です。ガイドが挙げる基準は守るべきかどうかで、持ち主が誰かではないと読めます。ガイドは、適用範囲の外に置く資産があれば、その資産と理由を適用範囲の文書に書くことが望ましい、ともしています。

同じガイドは、法令や規制の要求と契約上の義務も、利害関係者の要求に含まれるとしています。利害関係者とは、取引先や従業員など、組織の取組みに関わる人や組織です。クライアントとの契約にあるアカウントの扱いの約束は、この要求として洗い出す対象です。媒体の利用規約やヘルプがログイン情報を他人と共有しないよう求めている場合も、同じく洗い出す対象になります。その媒体で ID を共有しているなら、求められていることと運用のずれとして、自社で把握しておく必要があります。

預かりアカウントの一覧は、管理の責任者の欄を足せば、資産の一覧の一部に使えます。一覧の項目は運用代行のクライアントアカウント管理で挙げています。ガイドは、資産の管理の責任者の多くがリスク所有者(その危険への対応を決める責任と権限を持つ人)でもあるとしています。

P マークの台帳にどう書くか

P マークの審査では、JIPDEC の「構築・運用指針」(JIS Q 15001:2023 準拠 ver1.0)を使います。指針は、対象を「自らの事業の用に供している全ての個人情報」としています。受託した個人情報を除く書き方はしていません。J.1.2 の留意事項は、利害関係者の例に「委託元(及び委託元の顧客)」を挙げています。受託した個人情報も、指針の中で扱う前提になっています。同じ留意事項は、利害関係者の要求事項に、取引先との契約上の義務などを含めてもよいとしています。

預かったアカウントの中には、個人情報が入っているものがあります。SNS の DM、キャンペーンの応募者の情報、広告に使う顧客リスト、EC の受注情報などです。こうした個人情報は、台帳(J.3.1.1)に載せることになると読めます。その場合、保管場所はクライアントのアカウントです。「アクセス権を有する者」を氏名で書くか役割で書くかは、指針に定めがありません。共有 ID で預かったアカウントは ID 名だけでは誰が入れるか分からないので、使う担当者の氏名を、台帳か台帳から参照する一覧に書きます。台帳の項目と確認の頻度はプライバシーマーク(JIS Q 15001)でアカウント管理について求められることで、どこまで書くかは個人情報の管理台帳に、アカウントとアクセス権をどこまで書くかで扱っています。

審査で何を見られるか

P マークの現地審査について、JIPDEC のページは 4 つの段階を示しています。代表者への聞き取り、運用状況の確認、現場での確認、総括です。運用状況の確認では、個人情報を扱う業務ごとに状況を確かめます。挙がっているのは、個人情報の特定、リスクアセスメント、リスク対策、安全管理措置などです。リスクアセスメントはどこにどんな危険があるかを見積もること、リスク対策はその危険ごとに対応を決めることです。安全管理措置は、個人情報を守るために実際に行う対策です。その際、実際の運用の記録の提示を求めることがあるとしています。更新では、有効期間が終わる 8 か月前から 4 か月前までに申請し、そのあとの審査は新規と同じ流れです。指摘を受けたら、指摘事項文書の日付から 3 か月以内に改善報告書を出します。

ISMS は、ISMS-AC のパンフレットによると、認証の有効期限が 3 年です。その間も年 1 回以上の審査(サーベイランス審査)があり、3 年ごとに更新のための全面的な審査があります。審査の前に一覧を作り直すやり方では、その作業が審査のたびに発生します。日々の運用で一覧と記録を更新していれば、そのまま見せられます。

説明に使う記録と、預かり方による違い

管理策は、規格の附属書 A にある対策の項目です。その名称は、日本規格協会が公開する JIS Q 27002:2024 の目次で確かめられます。管理策の本文は有料なので、何を求めているかは規格を入手して確かめる必要があります。審査で示すものごとに、関わる管理策と項番を並べると次のようになります。対応づけは規格や指針の記述ではなく、名称から読んだこの記事の読み替えです。

表の最後の行は、運用の一部を在宅のフリーランスなど社外の人に任せる場合です。業務委託の契約で任せているなら、今度は自社が委託する側になります。指針の J.9.4 は、全ての委託先を漏れなく特定し、8 つの事項を盛り込んだ契約を結ぶよう求めています。クライアントの個人データを扱うアカウントを使わせているなら、委託先の一覧にその人を載せることになると読めます。自社の指揮監督の下で働いてもらっている場合は、従業者として J.9.3 の監督の側で扱うと読めます。ISMS では、ユーザーズガイドが JIS Q 27000 の注記を引いています。外部に任せた作業は適用範囲の中に残り、任せた先の組織は外にある、という注記です。

預かり方によって、この表のうち示しにくい行が変わります。ID とパスワードを共有して預かっているアカウントでは、「使える人」と「使った記録」の 2 行が示しにくくなります。一覧からある担当者を外しても、パスワードを変えるまではその人は入れるので、一覧と実際の状態がずれます。媒体の記録は ID 単位なので、担当者ごとの作業記録を別に付けていなければ、誰が使ったかを示せません。共有で預かるアカウントが残るなら、一覧に 2 つを書き添えておきます。パスワードを知っている人の範囲と、人を外したときにパスワードを変えた日です。

権限付与(担当者ごとに招待を受ける形)で預かっているアカウントでは、媒体のユーザー一覧が使える人の一覧になります。使った記録も、媒体が履歴を残す範囲で担当者ごとに残ります。アクセス管理ツールは、パスワードを担当者に見せず、ツールを通してログインさせる仕組みです。この形で預かる場合も、ツール上の使える人の一覧と担当者ごとの利用の記録を、そのまま 2 行の説明に使えます。