ISO27001とPマークを並行運用するときに重複しやすい管理項目

ISO27001とPマークを別々に運用すると何が重複するのか

ISO27001とPマークを別々に運用している会社では、同じような管理を別々の担当者が進めていることがあります。
Pマークは総務や人事、ISO27001は情報システム部門が担当し、それぞれが文書、台帳、教育、内部監査、レビュー、事故対応を持っている状態です。

この状態では、社員にとっても事務局にとっても分かりにくくなります。
個人情報に関する教育と情報セキュリティ教育が別々に行われる、委託先評価がPマーク用とISMS用で二重になる、事故報告ルートが個人情報事故とセキュリティインシデントで分かれる、内部監査チェックリストが似ているのに別々に実施される、といった負担が出やすくなります。

別々の認証である以上、すべてを同じにする必要はありません。
しかし、共通化できる管理まで分けたままにすると、運用工数が増え、社員もどのルールを見ればよいか迷います。
まずは、何が重複しているかを見える化することが出発点です。

イソログに寄せられたリアルな声

ISO27001とPマークの並行運用に関する相談では、「Pマークは総務、ISMSは情シスで別々に管理している」「似た台帳が複数あり、どれを更新すればよいか分からない」「社員教育が二重になっている」といった声が多くあります。

特に、個人情報を扱う部門とシステムを管理する部門が分かれている会社では、ルールの重なりが見えにくくなります。
総務や人事は従業員情報や採用応募者情報を管理し、営業は顧客担当者情報を扱い、情シスはアカウント、端末、クラウドサービス、ログを管理します。
どの情報がPマーク側の対象で、どの情報がISMS側の対象なのか、現場では混乱しやすいところです。

ここでは、イソログに寄せられる相談傾向をもとに、ISO27001とPマークを別々に運用している会社で起きやすい悩みを整理します。

ISO27001とPマークの並行運用で起きやすい重複や混乱を、担当者の相談傾向として整理しました。

ISO27001とPマークは何が違うのか

ISO27001とPマークは、どちらも情報の取り扱いに関する認証として見られますが、管理の対象と目的が違います。
ISO27001は、適用範囲内の情報資産全体を対象に、情報の機密性、完全性、可用性を守るためのマネジメントシステムです。
個人情報だけでなく、営業資料、設計情報、契約情報、システム構成情報、アカウント、クラウドサービスなども対象になり得ます。

Pマークは、個人情報保護マネジメントシステムとして、法人内で取り扱う個人情報や特定個人情報の適切な取扱いを重視します。
取得、利用、提供、委託、保管、廃棄、開示等対応、本人対応、法令やガイドラインへの対応などが重要になります。
個人情報以外の機密情報は、Pマークの直接の中心対象ではありません。

この違いを理解しないまま共通化すると、Pマークで必要な本人対応や取得同意が抜けたり、ISMSで必要な情報資産全体のリスク分析や管理策が弱くなったりします。
並行運用では、対象範囲の違いを前提に、共通の管理と固有の管理を分けます。

両方に共通するPDCAと管理項目

ISO27001とPマークは対象や要求の細かさに違いがありますが、マネジメントシステムとしての基本的な流れは共通しています。
方針を決め、リスクを確認し、ルールや管理策を実施し、教育を行い、内部監査で確認し、マネジメントレビューで見直し、是正処置や改善につなげるというPDCAです。

この共通部分は、並行運用でまとめやすい領域です。
文書管理、記録管理、教育計画、内部監査計画、マネジメントレビュー、是正処置台帳、年間スケジュール、変更管理、インシデントの初動報告などは、一つの仕組みで扱える可能性があります。

ただし、共通化するのは管理の器です。
教育記録は一つにしても、教育内容にはPマーク固有の個人情報の取得・利用・開示等対応と、ISMS固有の情報資産、アクセス制御、クラウド、ログ、脆弱性対応などを入れる必要があります。
監査やレビューも同じ考え方です。

重複しやすい管理項目の全体像

ISO27001とPマークの並行運用では、個人情報管理台帳、情報資産台帳、リスク分析、委託先評価、教育、内部監査、マネジメントレビュー、インシデント対応、文書管理、記録管理が重複しやすくなります。
これらは、どちらの認証にも関係するため、担当者が別々に動くと似た資料が増えやすい領域です。

まずは、現在使っている文書や台帳を一覧化します。
同じ目的のものが複数ないか、同じ部署に同じ時期に依頼していないか、社員が同じような教育を複数回受けていないか、同じ委託先を別々に評価していないかを確認します。

重複しているからといって、すぐに削除するのは危険です。
Pマークで必要な項目、ISMSで必要な項目、社内ルールとして必要な項目を分け、共通化できる部分から整理します。
共通化の目的は、証拠を減らすことではなく、同じ情報を二重に管理しないことです。

個人情報管理台帳と情報資産台帳はどう整理するか

個人情報管理台帳と情報資産台帳は、ISO27001とPマークの並行運用で最も重複しやすい台帳です。
顧客リスト、従業員情報、採用応募者情報、問い合わせ情報、会員情報などは、Pマークでは個人情報として管理し、ISMSでは情報資産としても扱うことがあります。

完全に一つの台帳へ統合すると、項目が多くなりすぎて使いにくくなる場合があります。
一方で、完全に別々にすると、同じ情報を二重入力し、更新漏れが起きやすくなります。
現実的には、情報名、主管部門、保存場所、媒体、利用目的、保有期間、アクセス権、委託有無などの共通項目をそろえ、個人情報固有欄と情報資産固有欄を分ける方法が使いやすいです。

個人情報固有欄には、本人区分、取得方法、利用目的、同意・通知の有無、開示等対応の対象、第三者提供の有無などを入れます。
情報資産固有欄には、機密性・完全性・可用性の評価、リスク、管理策、資産所有者、システムやクラウド利用の有無などを入れます。

リスク分析と安全管理措置の重複を減らす方法

Pマークでは、個人情報の取扱いに関するリスクを認識し、必要な安全管理措置を講じることが重要です。
ISO27001では、情報資産に対するリスクを評価し、必要な管理策を選び、実施し、有効性を確認します。
どちらもリスクに基づく管理ですが、対象と評価の観点が異なります。

重複を減らすには、まず対象を分けます。
個人情報に関するリスクは、取得、利用、保管、委託、提供、廃棄、開示等対応、本人対応などの流れで確認します。
ISMSのリスクは、情報資産、脅威、脆弱性、業務影響、管理策という観点で確認します。
同じ顧客データでも、Pマークでは本人への通知や利用目的の観点、ISMSではアクセス権やバックアップ、漏えい時の影響の観点が必要になります。

評価表は完全に別々にする必要はありません。
共通のリスク台帳を使い、分類欄でPマーク、ISMS、共通を分ける方法があります。
重要なのは、Pマーク側の個人情報取扱いリスクと、ISMS側の情報セキュリティリスクの両方が説明できることです。

委託先評価を二重にしないための整理

委託先評価は、ISO27001とPマークで重複しやすい管理です。
給与計算、採用管理、名刺管理、メール配信、クラウドサービス、システム保守、データ保管、コールセンターなど、同じ委託先が個人情報と情報資産の両方に関係することがあります。

Pマークでは、個人情報を委託する場合に、委託先の選定、契約、監督、再評価が重要になります。
個人情報の取扱い、秘密保持、再委託、事故時の報告、返却・廃棄などを確認する必要があります。
ISMSでは、委託先や外部サービスが情報資産に与えるリスクを見て、アクセス権、サービス停止、ログ、バックアップ、クラウドの管理、セキュリティ要求などを確認します。

二重管理を減らすには、委託先一覧を一つにし、評価表にPマーク確認欄とISMS確認欄を設けます。
個人情報を委託しているか、重要な情報資産を扱うか、システムやクラウドに関わるかで、必要な確認項目を変えます。
同じ委託先に複数回アンケートを送らないよう、評価時期も合わせると運用しやすくなります。

教育を1回にまとめるときの注意点

ISO27001とPマークを並行運用している会社では、個人情報保護教育と情報セキュリティ教育を別々に行っていることがあります。
どちらも重要ですが、社員から見ると似た内容に感じられ、受講負担が増えやすくなります。
共通部分は一つにまとめ、固有部分を分ける設計にすると、教育の意味が伝わりやすくなります。

共通教育では、情報の重要性、守秘義務、社内ルール、文書・記録の扱い、メール誤送信防止、持ち出し管理、事故時の報告、委託先やクラウド利用時の注意などを扱えます。
Pマーク固有教育では、個人情報の取得、利用目的、同意、第三者提供、開示等対応、本人対応、法令・ガイドラインを扱います。
ISMS固有教育では、情報資産、リスク、アクセス権、パスワード、ログ、端末管理、クラウド、標的型攻撃、インシデント対応を扱います。

教育を1回にまとめる場合でも、記録には実施日、対象者、内容、教材、理解度確認、未受講者対応を残します。
PマークとISMSのどちらの要求に対応する教育なのか、教材や教育記録から説明できるようにしておきましょう。

内部監査を共通化するときの進め方

内部監査は、ISO27001とPマークの重複を減らしやすい領域です。
同じ部門へPマーク監査とISMS監査を別々に行うと、現場対応、監査報告、是正処置が二重になります。
統合監査にすれば、一つの監査計画の中で、個人情報保護と情報セキュリティの両方を確認できます。

進め方としては、まず対象部門と対象業務を整理します。
人事部門であれば、従業員情報や採用応募者情報の取扱い、アクセス権、保存場所、委託先を確認します。
営業部門であれば、顧客担当者情報、名刺管理、メール送信、クラウド利用、持ち出しを確認します。
情シス部門であれば、アカウント管理、端末管理、ログ、バックアップ、インシデント対応を確認します。

チェックリストは、共通項目、Pマーク固有項目、ISMS固有項目に分けます。
共通項目には文書・記録、教育、事故報告、委託先管理などを入れます。
Pマーク固有項目には個人情報の取得、利用目的、本人対応、開示等対応を入れます。
ISMS固有項目には情報資産、リスク、管理策、アクセス制御、システム運用を入れます。

マネジメントレビューをまとめるときの確認項目

ISO27001とPマークを並行運用している場合、マネジメントレビューや代表者による見直しも重複しやすくなります。
別々の会議にすると、経営層への報告、議事録、改善指示が二重になります。
一つの会議で扱えば、個人情報保護と情報セキュリティを会社全体のリスクとして見やすくなります。

レビューで扱う内容は、共通議題、Pマーク固有議題、ISMS固有議題に分けます。
共通議題には、前回レビュー結果、内部監査結果、教育結果、事故・インシデント、是正処置、委託先管理、苦情・問い合わせ、法令・契約要求の変化などがあります。
Pマーク固有議題には、個人情報管理台帳、開示等対応、本人対応、利用目的、委託先の個人情報管理を入れます。
ISMS固有議題には、情報資産、リスクアセスメント、管理策、有効性、アクセス権、システム運用、クラウド、脆弱性対応を入れます。

会議をまとめる場合でも、アウトプットを曖昧にしないことが大切です。
経営層が何を判断し、どの改善を指示し、どの資源を投入し、どのリスクを継続管理するのかを記録します。

インシデント対応・事故報告の重複をなくす

インシデント対応は、ISO27001とPマークを別々に運用していると混乱しやすい領域です。
メール誤送信、書類紛失、端末紛失、アカウント不正利用、マルウェア感染、クラウド設定ミス、委託先での事故などは、個人情報事故でもあり、情報セキュリティインシデントでもある場合があります。

最初から報告先を分けすぎると、現場はどこへ連絡すればよいか迷います。
初動では、一次報告窓口、報告様式、受付記録を共通化するのが有効です。
その後、個人情報を含む事故であればPマーク側の本人対応、外部報告、法令・ガイドライン対応を確認し、システムや情報資産に関わる事故であればISMS側の原因分析、管理策、有効性確認、再発防止を確認します。

記録も、事故受付、影響範囲、初動対応、原因、対策、再発防止、外部報告、本人対応、効果確認を一つの様式で管理し、分類欄で個人情報事故、セキュリティインシデント、両方該当を分けると扱いやすくなります。

Pマーク側で分けて残すべき管理

ISO27001とPマークを共通化するときに、Pマーク側で分けて残すべき管理があります。
個人情報の取得、利用目的、本人同意、第三者提供、委託、開示等対応、本人対応、法令・ガイドライン対応、個人情報管理台帳、特定個人情報の取扱いなどです。

これらは、情報セキュリティ一般の管理に置き換えることができません。
たとえば、アクセス制御や暗号化ができていても、個人情報の利用目的が本人に適切に通知されていなければ、Pマーク側の管理としては不足します。
委託先のセキュリティ評価をしていても、個人情報委託に必要な契約や監督の確認が抜けていれば、Pマークの説明として弱くなります。

共通台帳や共通教育の中で扱うことはできますが、Pマーク固有の証拠は見える形で残しましょう。
個人情報保護管理者、個人情報管理台帳、本人対応記録、開示等対応記録、法令等管理台帳、苦情相談記録、委託先管理記録は、どこにあり、誰が更新するかを明確にしておきます。

ISMS側で分けて残すべき管理

ISMS側にも、Pマークと共通化しても分けて残すべき管理があります。
情報資産台帳、リスクアセスメント、適用宣言書、管理策、アクセス制御、ログ管理、バックアップ、脆弱性管理、システム運用、クラウドサービス管理、事業継続や可用性に関わる管理などです。

これらは、個人情報保護の取扱いルールだけでは説明できません。
たとえば、個人情報の利用目的や同意が適切でも、システムのアクセス権が過剰であればISMSのリスク管理として問題になります。
Pマークの個人情報管理台帳が整っていても、機密情報、技術情報、営業資料、ソースコード、システム構成情報などの情報資産が管理されていなければ、ISMS側の説明として不足します。

ISMS固有の管理は、情報資産とリスクを起点に考えます。
どの情報資産にどの脅威や脆弱性があり、どの管理策で低減し、どの証拠で実施を確認するのかを残します。
Pマークと台帳や教育を共通化しても、情報資産全体を見ていることが分かるようにしておきましょう。

総務・人事・情シス・営業・事務局の役割分担

ISO27001とPマークを並行運用するときは、部門ごとの役割分担を明確にする必要があります。
Pマークは総務や人事が中心、ISMSは情シスが中心という会社は多いですが、実際には営業、開発、サポート、管理部門、経営層も関係します。
担当部門が分かれたまま共通化すると、誰が台帳を更新し、誰が教育を実施し、誰が事故対応を判断するのかが曖昧になりやすくなります。

役割分担では、情報の主管部門、台帳の更新担当、ルールの承認者、教育の実施担当、内部監査の担当、委託先評価の担当、事故受付の担当、経営層への報告担当を決めます。
総務や人事は従業員情報や採用応募者情報、営業は顧客担当者情報や名刺、情シスはアカウントや端末、クラウド、ログ、事務局は全体スケジュールや文書・記録管理を持つ形が現実的です。

重要なのは、部門ごとに分けるだけでなく、横断会議や定期確認の場を作ることです。
Pマーク担当とISMS担当が別でも、台帳、教育、監査、事故対応、委託先評価の状況を共有すれば、重複や抜け漏れを減らせます。

ISO27001とPマークを無理なく並行運用したい会社へ

ISO27001とPマークを無理なく並行運用するには、すべてを一つにまとめるのではなく、重複している管理を見える化し、共通化できるものと分けて残すものを整理することが大切です。
台帳、教育、内部監査、マネジメントレビュー、委託先評価、事故対応は共通化しやすい一方で、個人情報の取得同意や開示等対応、情報資産リスクや管理策は固有の管理として残す必要があります。

最初に取り組みやすいのは、台帳と年間スケジュールの整理です。
どの情報が個人情報であり、どの情報資産でもあるのか、誰が主管するのか、どの教育・監査・レビューで確認するのかを一覧化します。
そのうえで、教育、内部監査、レビュー、委託先評価を段階的に共通化します。

自社だけで判断が難しい場合は、ISMSとPマークの両方に対応できるISOコンサル会社へ相談する方法もあります。
現在の文書や台帳、教育、監査、委託先評価、事故対応を確認してもらうと、どこから共通化すべきか、どこは分けて残すべきかを整理しやすくなります。

よくある質問