安全管理措置 : セキュリティ機器の導入は法律上の義務なのか

先日セキュリティベンダーから「個人情報保護法が成立しましたので、セキュリティ機器を導入しなければ違法になりますよ」と言われました。本当でしょうか。

個人情報保護法23条では、個人情報の安全管理措置を取ることが個人情報取扱事業者の義務とされています。もっとも、どのような安全管理措置をとれば、この条文上の義務を満たしたことになるかは明確ではありません。各種のセキュリティ基準や、国や地方公共団体が定めたガイドラインを参考にして、セキュリティ確保のための措置を取っていくことになります。少なくとも現時点において、特定のベンダーの製品や、特定の機能を有する製品の購入・導入が義務づけられているわけではありません。

現在の通則編は、組織的・人的・物理的・技術的な安全管理措置や外的環境の把握を示しています。取り扱うデータの内容・量、事業規模、リスクに応じて選ぶもので、特定製品を購入すればそれだけで遵守になる制度ではありません。