セキュリティチェックシートとは(委託元の側)

セキュリティチェックシートとは、委託元が委託先に配り、委託先の安全管理措置(個人データを守るために行う対策)を書面で確かめる質問票です。法令上の名前ではなく、実務で使われている呼び名です。ここでは配る側を扱います。答える側の視点はクライアントのセキュリティチェックシートへの、運用代行会社の答え方にあります。

何のために配るのか

根拠は、個人情報保護委員会のガイドライン(通則編)3-4-4(1) にあります。個人データの取扱いを委託する事業者は、委託先を選ぶときに、別添「講ずべき安全管理措置の内容」の各項目が委託する業務に沿って行われることを確かめます。これは「あらかじめ確認しなければならない」とされています。確認の方法としては、個人データを取り扱う場所に出向くか、それに代わる合理的な方法(口頭による確認を含む)が挙げられています(※3)。チェックシートは、この確認を書面で行う手段の一つと読めます。ガイドラインがこの形を求めているわけではありません。

選定時の一度きりではなく、契約後の取扱状況の把握(3-4-4(3))にも使えます。同じ設問を定期的に配れば、選定時の回答との違いから変化を追えます。委託先の監督の全体は委託先の監督とはにまとめています。

何を聞くか

設問は、別添の項目に沿って作ると、委託先も対応づけて答えられます。ガイドラインは、例示の全てを行わなければならないわけではなく、適切な手法は例示に限られないとしています。そのため、設問は「例示どおりか」ではなく「どう行っているか」を聞く形にします。アカウントの管理に関わる設問の例を挙げます。括弧は、その設問が当たる別添の項目です。

1. 個人データを扱うシステムに入れる人を、業務に必要な範囲に限定しているか(技術的安全管理措置 (1) アクセス制御)
2. ID とパスワードを複数人で共有していないか。共有しているならどのアカウントか(技術的安全管理措置 (2) アクセス者の識別と認証)
3. アクセス権(そのシステムに入って操作できる権限)を持つ人の一覧があるか(組織的安全管理措置 (3) 取扱状況を確認する手段の整備)
4. 退職・担当交代のとき、その人のアクセス権をいつ誰が外すか(技術的安全管理措置 (1) アクセス制御)
5. 誰がいつシステムに入ったかの記録(ログイン実績など)を残しているか(組織的安全管理措置 (2) 規律に従った運用)
6. 受けた業務を別の会社や個人に出しているか。出しているなら、その人はどのアカウントを使うか(3-4-4(3) 再委託)

委託先に自社のアカウントを使わせている場合は、「当社が発行した ID を、御社の誰が使っているか」のように対象を名指しすると、答えが具体的になります。

答えをどう読むか

「はい」「いいえ」の欄だけでは、選定の判断にも後の把握にも使えません。設問ごとに、誰が・いつ・何で確かめているかを備考に書いてもらう形にします。

共有 ID があると答えた委託先には、4 点(対象のアカウント・パスワードを知っている人の範囲・担当交代時の変更手順・誰がいつ使ったかを残す方法)を備考に書いてもらいます。この 4 点が書けていれば、共有があること自体は管理された状態と読めます。書けていなければ、その委託先では誰が操作したかを絞れない状態と読めます。共有しているアカウントが自社の渡したものなら、解消できるのは自社の側です。渡し方の選び方は委託先に自社のアカウントを使わせるときの管理にあります。