図解入門ビジネス 最新プライバシー情報マネジメントシステム ISO 27701 認証のすべてがよ～くわかる本
編著者：打川 和男
執筆協力者：青野 日子
出版社：秀和システム
発行日：2021年9月25日
GDPR（一般データ保護規則）をはじめとする、各国のプライバシー規制において、個人情報保護に関するグローバル対応が重視され、プライバシー情報に対するリスクマネジメントをはじめ、組織による個人情報保護の取り組みに焦点があたるようになってきました。そのような状況の中で、プライバシー情報マネジメントシステム（PIMS）に焦点を当てた、ISO/IEC27000ファミリー規格として、ISO/IEC 27701が2019年8月に発行されました。
ISO/IEC 27701の認証取得を目指す企業の方々のために、ISO/IEC 27701の概要、規格要求事項や管理策の解説、プライバシー情報マネジメントシステム（PIMS）の構築及び認証取得のステップに関する実践的なノウハウを解説しました。
目次
- 第1章 ISO及びISOマネジメントシステム規格とは
- 1-1 ISO（国際）規格とは？
- 1-2 ISO（国際標準化機構）とは？
- 1-3 ISOマネジメントシステム規格とは
- 第2章 ISO/IEC 27001とは
- 2-1 ISO/IEC 27001とは
- 2-2 ISO/IEC 27001の附属書Aとは
- 2-3 ISO/IEC 27001の認証制度
- 2-4 ISO/IEC 27001の認証を取得するには
- 第3章 ISO/IEC 27000ファミリー規格とは
- 3-1 ISO/IEC27000ファミリー規格とは
- 3-2 ISMSの認証審査や監査のためのISO/IEC27000ファミリー規格
- 3-3 ISMSやISO/IEC 27001のガイダンス規格
- 3-4 ISMSのアドオン認証にも利用可能なISO/IEC27000ファミリー規格①
- 3-5 ISMSのアドオン認証にも利用可能なISO/IEC27000ファミリー規格②
- 第4章 ISO/IEC 27701とは
- 4-1 ISO/IEC 27701とは
- 4-2 ISO/IEC 27701の規格の概要
- 4-3 ISO/IEC 27701の認定・認証制度
- 第5章ISO/IEC 27701の規格要求事項を理解する①箇条5の要求事項
- 5-1 箇条5とは
- 5-2 5.2.1 組織及びその状況の理解
- 5-3 5.2.2 利害関係者のニーズ及び期待の理解
- 5-4 5.2.3 情報セキュリティマネジメントシステムの適用範囲の決定 / 5.2.4 情報セキュリティマネジメントシステム
- 5-5 5.4.1.2 情報セキュリティリスクアセスメント
- 5-6 5.4.1.3 情報セキュリティリスク対応
- 第6章ISO/IEC 27701の規格要求事項を理解する②附属書Aの管理策
- 6-1 附属書Aとは
- 6-2 A.7.2 収集及び処理の条件
- 6-3 A.7.2.1 目的の特定及び文書化
- 6-4 A.7.2.2 適法な根拠の特定
- 6-5 A.7.2.3 いつどのように同意を得るかの決定
- 6-6 A.7.2.4 同意の取得及び記録
- 6-7 A.7.2.5 プライバシー影響評価
- 6-8 A.7.2.6 PII処理者との契約
- 6-9 A.7.2.7 共同PII管理者
- 6-10 A.7.2.8 PIIの処理に関連する記録
- 6-11 A.7.3 PII主体に対する義務
- 6-12 A.7.3.1 PII主体に対する義務の決定及び履行
- 6-13 A.7.3.2 PII主体のための情報の決定
- 6-14 A.7.3.3 PII主体への情報提供
- 6-15 A.7.3.4 同意を変更又は撤回するための仕組みの提供
- 6-16 A.7.3.5 PIIの処理に対する異議申し立ての仕組みの提供
- 6-17 A.7.3.6 アクセス、修正及び/又は消去
- 6-18 A.7.3.7 第三者に通知するPII管理者の義務
- 6-19 A.7.3.8 処理されるPIIの複製の提供
- 6-20 A.7.3.9 要請の処理
- 6-21 A.7.3.10 自動化された意思決定
- 6-22 A.7.4 プライバシー・バイ・デザイン及びプライバシー・バイ・デフォルト
- 6-23 A.7.4.1 収集制限
- 6-24 A.7.4.2 処理制限
- 6-25 A.7.4.3 正確性及び品質
- 6-26 A.7.4.4 PII最小化目標
- 6-27 A.7.4.5 処理終了時のPIIの非識別化及び削除
- 6-28 A.7.4.6 一時ファイル
- 6-29 A.7.4.7 保持
- 6-30 A.7.4.8 処分
- 6-31 A.7.4.9 PIIの送信の管理策
- 6-32 A.7.5 PIIの共有、移転及び開示
- 6-33 A.7.5.1 法域間でのPII移転の根拠の特定
- 6-34 A.7.5.2 PIIの移転が可能な国及び国際的な組織
- 6-35 A.7.5.3 PIIの移転の記録
- 6-36 A.7.5.4 第三者へのPII開示の記録
- 第7章ISO/IEC 27701の規格要求事項を理解する②附属書Bの管理策
- 7-1 附属書Bとは
- 7-2 B.8.2 収集及び処理の条件
- 7-3 B.8.2.1 顧客の合意
- 7-4 B.8.2.2 組織の目的
- 7-5 B.8.2.3 マーケティング及び広告のための使用
- 7-6 B.8.2.4 侵害的指示
- 7-7 B.8.2.5 顧客の義務
- 7-8 B.8.2.6 PIIの処理に関連する記録
- 7-9 B.8.3 PII主体に対する義務 B.8.3.1 PII主体に対する義務
- 7-10 B.8.4 プライバシー・バイ・デザイン及びプライバシー・バイ・デフォルト
- 7-11 B.8.4.2 PIIの返却、移転又は処分
- 7-12 B.8.4.3 PIIの送信の管理策
- 7-13 B.8.5 PIIの共有、移転及び開示
- 7-14 B.8.5.1 法域間でのPII移転の根拠
- 7-15 B.8.5.2 PIIの移転が可能な国及び国際的な組織
- 7-16 B.8.5.3 第三者へのPII開示の記録
- 7-17 B.8.5.4 PII開示要請の通知
- 7-18 B.8.5.5 法的拘束力のあるPIIの開示
- 7-19 B.8.5.6 PIIの処理に使用する下請負者の開示
- 7-20 B.8.5.7 PIIを処理する下請負者の関与
- 7-21 B.8.5.8 PIIを処理する下請負者の変更
- コラム 改正個人情報保護法のポイント
- 第8章プライバシー情報マネジメントシステム（PIMS）を構築する
- 8-1 PIMSの構築及び導入ステップ
- 8-2 PIMSの推進体制を確立する
- 8-3 PIMSの適用範囲を決定する
- 8-4 情報セキュリティ方針（プライバシー方針）を策定する
- 8-5 プライバシーリスクアセスメントを実施する①PII（個人情報）の処理に関する業務の整理
- 8-6 プライバシーリスクアセスメントを実施する②リスクの特定、分析及び評価
- 8-7 プライバシー情報マネジメントを確立するためのGap &Fit分析
- 8-8 プライバシー情報マネジメントを文書化する
- 8-9 PIMSの導入教育を実施する
- コラム EU圏の法規制「GDPR」とは
- 第9章プライバシー情報マネジメントシステム（PIMS）をレビューする
- 9-1 PIMS内部監査とは
- 9-2 監査のガイドライン
- 9-3 PIMS内部監査の体制確立
- 9-4 PIMS内部監査員に必要な力量
- 9-5 PIMS内部監査の計画
- 9-6 PIMS内部監査の準備①個別スケジュール表
- 9-7 PIMS内部監査の準備②内部監査チェックリスト
- 9-8 PIMS内部監査の実施① 情報の収集
- 9-9 PIMS内部監査の実施② インタビューの基本要件
- 9-10 PIMS内部監査の実施③ インタビューの方法
- 9-11 PIMS内部監査の報告
- 9-12 マネジメントシステムのレビュー
- 第10章 ISO/IEC 27701（PIMS）の認証審査を受ける
- 10-1 ISO/IEC 27701の認証取得のメリット
- 10-2 ISO/IEC 27701の認証取得を実現するためには
- 10-3 ISO/IEC 27701の認証審査を受審する
- 第11章 プライバシー情報マネジメント文例集
- 11-1プライバシー情報マネジメントマニュアル（PII管理者編）
- 11-2 プライバシー情報マネジメントマニュアル（PII処理者編）
- おわりに
- 索引