業界人の《ことば》から 第168回

TKCがDropboxに次いで認証取得

「3000万人のマイナンバー預かる企業」の必須条件

今回のことば

「クラウド事業者にとってPマークを取得していることが条件とされる案件が多いように、将来的にはISO/IEC 27018が、必須条件のひとつに組み込まれていくだろう」（TKC・角一幸社長）

　TKCが、パブリッククラウドサービスにおける個人情報保護の国際規格「ISO/IEC 27018」の認証を2015年10月に取得した。日本では初めての認証取得であり、世界的に見ても米Dropboxに次いで2社目。認証を取得した企業は、現時点で香港の企業を加えた3社だけだという。

　ISO/IEC 27018は2014年7月に公開されたもので、情報セキュリティーマネジメント実践のための規範として広く利用されている国際規格「ISO/IEC 27002」をベースとしている。このほか、情報セキュリティーマネジメントの国際規格である「ISO/IEC 27001」でカバーされていない個人情報保護についても網羅しているという。

　審査、認証を行なったBSIグループジャパン 営業本部大手法人営業部 営業マネージャーの登山 慎一氏は「ISO/IEC 27018は、個人情報保護におけるベストプラクティスを提供するものであり、事業者や利用者のニーズにマッチした認証制度である。クラウドプラットフォーム上で個人情報を適切に管理、運用していることを認証するものになる」と位置づける。

ISO/IEC 27018は、PII（個人情報）を保護するための実施基準を認証する国際規格だ

　クラウド事業者をPII（Personally Indentifiable Information＝個人情報）を扱うPIIプロセッサーと呼び、クラウドサービスを利用する企業や政府、自治体、コンテンツホルダーなどをサブコントラクテッドPIIプロセッサーと呼ぶ。ISO/IEC 27018はパブリッククラウドにおいて、PIIを保護するための実施基準を認証する。サブコントラクテッドPIIプロセッサーにとっては、安心してデータを預けることができるデータセンターであることを証明するものになるというわけだ。

　BSIグループジャパンの竹尾 直章社長は「クラウド事業者にとってはさらなるセキュリティーレベルの向上への取り組みが可能になり、ユーザーにとってはクラウドサービスを選択する際の指標にもなる」とする。

（次ページに続く）