WORKS
実績

そこで敢えて、3つのグループを均等にサンプリング。業界のリーディング企業、認証取得企業（ISMSまたはプライバシーマーク）、認証を取得していない企業。それぞれを15社強選んで、調査を開始した。

よって当該企業との関係性から立ち入った監査が困難な場合が多かった。認証取得企業については、認証を持っていることとセキュリティレベルが相関しないことがわかった。整った規程が存在し、教育・監査を実施していても大半の企業が十分な対策をおこなえていると言い難い状況だった。この結果からいくつかの対策が浮かび上がってきた。

監査の結果からいくつかの対策が浮かび上がってきた。

・1万件以上の個人情報を委託している先に対する、監督レベルを強化する。
・リーディング企業以外の会社に上記案件を委託している場合には立ち入り調査を実施する。
・認証取得はセキュリティ強度と相関しないと考え、認証を持っているから調査不要という規程を見直す。

委託先監督の仕組みについて、プライバシーマークは形式的な要求ばかりしてきて、ISMSは殆ど要求していない。当社が本件含め様々な事案から学んだことではあるが、委託先の10％程度に対しては、立ち入り調査をおこなうべきだろう。