【用語集】個人情報保護マネジメントシステム（PMS）とは何ですか？

みなさま、こんにちは。今回の「分かりやすいセキュリティ用語集」は「個人情報保護マネジメントシステム（略称：PMS）」です。

【個人情報保護マネジメントシステム(PMS)】とは何ですか？

個人情報保護マネジメントシステムについて、プライバシーマークが準拠する規格では、下記の通り定義しています。

個人情報保護マネジメントシステムとは？
事業者が、自らの事業の用に供する個人情報を保護するための方針、体制、計画、実施、監査及び見直しを含むマネジメントシステム（JIS Q 15001より）

個人情報保護マネジメントシステム（PMS）は、企業や組織が個人情報を保護するための一連の仕組みを指します。個人情報をどうやって守るかという「個人情報保護方針」を策定して、PDCAサイクル（Plan: 計画 Do: 実施 Check: 見直し Action: 改善）を通して、個人情報保護方針通りに個人情報を管理できているか、継続的に改善していく仕組みのことです。

つまり、企業は個人情報を守るための体制を作り、それを実行し、さらに継続的に改善していく仕組みを持つ必要があるということです。

ちなみに、英語では「Personal information protection Management Systems」と表記するので、特にプライバシーマークの専門家であるコンサルタントや審査員が、この英語の頭文字を並べて「PMS」ということも多いようです。

PDCAサイクルは、もともと品質管理を行うために開発された手法ですが、今日では業務改善や情報セキュリティの取り組みにも広く用いられるようになっています。それを個人情報保護の取り組みに用いたのが個人情報保護マネジメントシステムとなります。個人情報を保護するために「目標を設定し、具体的な計画を立て(PLAN)」「計画にもとづいて実行し(DO)」「計画通り行われているか、目標は達成しているかを確認し評価する(CHECK)」「評価をもとに、さらに改善する(ACTION)」ことを繰り返していくのが、個人情報保護マネジメントシステムです。お分かりいただけますでしょうか？

個人情報マネジメントシステムとプライバシーマークの関係性

プライバシーマークは、「JISQ15001」に基づく適合性評価を受けた企業や団体に付与される認証制度のことです。
近年、個人情報の漏洩や不正流出といったトラブルが相次いでおり、これを踏まえて個人情報保護の必要性がますます高まっています。そのため、対策の継続的な運用と強化が求められています。
具体的には、まず保護すべき個人情報を明確化し、潜在的なリスクを洗い出したうえで、適切な管理策を講じることが重要です。さらに、従業員の意識向上を図る研修を実施し、定期的な監査を行うことで、保護体制を段階的に向上（スパイラルアップ）させていくことが必要となります。

個人情報保護マネジメントシステム（PMS）は具体的にどのようにすれば良いか

例えば、学校で学生の個人情報（名前、住所、成績など）を管理する場合を考えてみましょう。この情報が外部に漏れたり、勝手に使われたりしないようにするために、以下のようなことを行います。

1　方針の策定
まずは「私たちの学校は学生の個人情報をしっかり守る」という方針を決めます。

2　体制の構築
誰が個人情報を管理するか、責任者を決めます。

3　計画の作成
個人情報をどうやって安全に保つかの計画を立てます（例：デジタル情報はパスワードで保護する、紙の情報は鍵のかかる場所に保管する）など。

4　実施
計画に基づいて実際に個人情報を管理します。

5　見直し
ちゃんと計画通りに個人情報が守られているかを定期的にチェックします。

6　改善
監査の結果を元に、問題点があれば改善策を考えます。

個人情報保護マネジメントシステム（PMS）は、企業や組織が個人情報を守るための仕組みです。具体的には、方針を決め、計画を立て、実行し、監査し、見直して改善していくという一連のプロセスを繰り返すことです。これにより、常に最新の状態で個人情報を保護し続けることができます。

また、個人情報がどの範囲まで指すのか、についてはこちらの記事で解説しているのでお読みください。

プライバシーマーク（Pマーク）の注意点

Pマークの取得は、PMSを導入することによる大きな利点の一つです。これにより、取引先を含む外部に対して、自社が個人情報保護を重視し、適切な管理を行っている企業であることを効果的に示すことができます。
ただし、Pマークの取得・運用には、事前に理解しておくべき注意点もいくつか存在します。

業務の負担が増加する可能性もある

前述の通り、PMSの運用には、責任者の選任、各種書類の作成、申請手続きの整備、社員教育の徹底など、数多くの業務が発生します。特に、これまで個人情報保護対策に重点を置いてこなかった企業にとっては、新たに取り組むべき事項が多く、業務が煩雑になることが予想されます。
しかし、日本国内においても改正個人情報保護法の全面施行が予定されており、個人情報を厳格に管理すべきだという意識が高まっています。そのため、専門のコンサルタントを活用するなどして、業務の効率性を維持しつつ運用負担を軽減する工夫が求められます。また、一定のコストは必要な投資と割り切る姿勢も重要となるでしょう。