ISMS、Pmark、TURSTeの比較

質問

取得された方々のお話をいろいろお聞きしたいです。
3つの認証のなかでなぜISMSにしたのか、なぜTRUSTeにしたのか、積極的な理由があればぜひおしえてください。

回答No.3

techbrain

私の所属する会社ではISMSとプライバシーマークの２つを認証取得しています。(SI企業です)

理由としては、TRUSTeについては、NPO法人の提供する民間規格であるのに対して、ISMSは英国規格BS7799やISO17799との関係性があり、単に国際規格への昇格が期待されるだけでなく、１）日本国内規格であるISMSがこれらに対しても先進的な部分を持つ有効な規格であること、２）企業間取引においてISMS取得が取引先選定の基準になる場面が多く出てきていること、などが挙げられます。
（事実、TRUSTeについてはオンラインゲーム会社くらいしか大手の認証取得者はいないように思われます。(気のせい？)　すいません、この点についてはキチンと調べていません。ごめんなさい。）

一方、プライバシーマークに関しては、JIS Q 15001というJIS規格によるものですが、ISMSと同じ日本情報処理開発協会による基準提示ということもあり、ISMSと対象の重ならない範囲での個人情報保護に役立つものということで導入が決定されました。
事実、プライバシーマークは原則全社対応であるのに対して、ISMSは事業単位でOKなどの面があり、さらに保護の対象が異なります。
Pmark：組織が取扱う個人情報を特定し、個人情報の保護対策を実施します。
ISMS：組織が保護すべき情報資産を識別し、セキュリティ対策を実施します。
また、管理範囲も異なります。
Pmark：安全管理策を実施するだけでなく、管理する個人情報について情報主体の権利に対応することも含まれる。情報収集の際には事前に利用目的等を伝えた上での本人の同意が必要で、収集後も本人からの修正・削除などの要望に応じる等の必要がある。
ISMS：組織の事業活動全般及びリスク全般を考慮し、事業上の要求事項、法的又は規制要求事項に対するリスクアセスメントによりセキュリティ対策（管理策）を実施する。

プライバシーマークが、企業が具体的に個人情報の保護に関して、業務上の手続き・仕組みを持っていることを示すのに対して、ISMSは企業が情報セキュリティに関して管理手法・リスク分析・セーフガードなどをもっており、「こういう管理を行っていれば大丈夫(な筈)」というものである、と認識しています。
個人情報保護とセキュリティという一部重なっているけど、中身・意味がまるで違うものですから、当然２つ必要だったわけですし、上記のことからもプライバシーマークは個人情報保護の業務が出来る証であるのに対して、ISMSが情報セキュリティに関する企業品質の保証でしかない、という点も重要だと思います。
但し、ISMSは元々ISO17799だけでなく、リスク分析などISO13355の内容も包含しているので、企業としては取得によって、その業務に必要なフローの洗い出しが出来れば十分に元が取れる、という判断もあります。

つまり、相互活用が可能であったこと、今後の取引先選定に対応すること、今までのISO(9000シリーズ、14000シリーズ)認証の際のノウハウが活用できること、２つともSI企業に重要なファクター(情報セキュリティと個人情報保護)であり、かつ完全には重複しないこと、が認証を取得した主な積極的理由でしょう。
どれか１つだけを取得する、ということであれば、自社の業態がB2C(個人顧客相手のビジネス)であればプライバシーマークを、B2B(企業顧客相手のビジネス)であればISMSを取得する、というのが一般的ではないでしょうか？（以下の参考サイトにもその情報は記載されています。）

参考URL）
情報セキュリティマネジメントシステム(ISMS)適合性評価制度
http://www.isms.jipdec.jp/
Ｑ1202．ISMS制度とプライバシーマーク制度との関係を教えて下さい。（同上FAQより）
http://www.isms.jipdec.jp/faq/faq1.html#12
プライバシーマーク制度
http://privacymark.jp/

プライバシーマーク制度と ISMS 制度との違いは？（個人サイト）
http://www.prisec.org/pm/isms.html

回答No.2

zem

ISMS が ISO 化される予定があるため ISMS を導入するケースがあると思います。ISMS は ISO 9000(品質マネジメント)、ISO14001(環境マネジメント)などのように ISO 規格の１つとなれば、企業価値・評価のアップにつながると思われるからではないでしょうか。

他の2点については申し訳ありません、私は不詳です……。

参考URL：

http://www.asahi-kasei.co.jp/amidas/iso/isms/

回答No.1

hiko-onochan

始めまして

それぞれの認証の特徴というか性格を見ると
どの認証が自分の会社に合っているか判断が
つくと思うのですが・・・

ISMSとプライバシーマークについては
ダブル取得している企業も多々見受けられます。

ISO9000シリーズやISO14001などと同様に
見直しや監査が必要になり従業員には
負担が増えるだけで維持していけない
ことになりかねません。

どこまで従業員が協力できるかというのが
大きいのではないでしょうか？