プライバシーマーク_3.3.7 緊急事態への準備

プライバシーマークの準拠規格であるJIS Q 15001の各要求事項について解説していきます。今回は「3.3.7　緊急事態への準備」です。

Pマーク審査に合格するための対応

「緊急連絡先」の一覧を作成します。社内の連絡先としては個人情報保護管理者、システム管理者、代表者の3名が入っていれば問題ないでしょう。
社外の連絡先については、JIPDEC、審査機関、監督官庁（経産省等）が記載されていれば問題ないです。
万が一事故が起きた場合の報告様式についてもPMSの要素とする必要があります。これについては、JIPDECのウェブサイトに掲載されているフォーマットをそのまま使用すると良いです。
この要求事項は本当に重要なのですが、審査員はその程度しか見てきません。というより見る力がないのです。

実効性を考えた場合の対応

ISMSをベースにしつつ、CSIRT構築をイメージすると良いと思います。
まずはレポートラインを作る。その上で、レポートラインの結節点で事象の切り分け（トリアージュ）をおこなう体制を敷く。
例えば、事象、インシデント、重大インシデントのように3つにレベル分けする基準を作った上で、どこまで報告を上げるのか、誰が意思決定をするのか、専門機関に支援を仰ぐ必要があるのか、事実を公表する必要があるのか、など対応についてのレベル分けを予め決めておきます。
まずは外部の専門家にすぐに相談できる体制を持つことが最も重要です。全体設計をおこなうコンサルタント、原因究明をおこなうフォレンジック業者、マルウェア解析の専門家、外部CSIRT、リスクコミュニケーションの専門家など。また、監督官庁に対してもパイプを持っておくと対応がスムーズに進むことがあります。