— まず、キッズコーポレーション様の事業について教えてください。

当社は保育サービスを展開しており、創業者は元幼稚園教諭です。創業当初から、子ども主体の保育を大切にしてきました。現在は、都内を中心とした認可保育園に加え、全国で病院内保育園や企業内保育園などの運営を受託しています。

— セキュリティ・個人情報保護体制についてお伺いしていきます。今回どのような体制でPマーク取得に取り組まれましたか。

今回の再取得では、総務部がPマーク事務局となり、次のような体制で取り組みました。

• 総務部長（個人情報の管理責任者）：取り扱う個人情報を法令に基づき適切に管理し、事業の信頼性と継続性を支える、経営基盤を構築する役割を担う
• 総務マネージャー（法務領域もあわせて管轄）：個人情報漏えいのリスクを踏まえ、ルールに沿った管理体制の整備を担う
• 総務チームメンバー：総務部長の指示を受け、社内発信や進捗確認、情報のとりまとめ・精査などの事務局業務を通じて体制構築を担う

— 保育業界において、特に意識すべき情報漏えいのリスクはどのようなものでしょうか。

保育業界においては、園児や保護者の重要な個人情報を多く取り扱っているため、各場面に応じた情報漏えいリスクへの対応が重要だと認識しています。日々の保育現場では、誤送信や紛失といったヒューマンエラーによるリスクがあり、システム化の進展により一定程度は抑制されているものの、引き続き注意が必要です。一方で、本部では、アクセス権限やアカウントの管理など、人の入れ替わりが比較的多い業界特性に起因するリスクも存在しています。こうした特性を踏まえ、園を基盤としながら組織全体で、ルールを整備し適切に運用していくことが重要だと考えています。

— 取り組み前と現在とで、社内の意識や体制は変わりましたか。

大きく変わったと感じています。当社は過去にPマークを取得していた時期があり、しばらく間が空いてからの新規取得でした。以前の名残はありつつも、今回あらためて基盤を整え直すことができたと感じています。

— かつて取得されていたPマークを、今回あらためて取得し直された経緯をお聞かせください。

社内で検討し、当時の事業環境や運用状況を踏まえ、Pマーク認証の維持は一度見送る判断をしました。ただ、その後、園数が大きく増え、各所で個人情報の漏えいや事故への意識も高まってきたなかで、大切なお子様や保護者様の個人情報を扱う事業者としてより一層個人情報を守らなければならないという想いが強くなりました。加えて、自治体や企業からの受託において、信頼性を客観的に示す重要性が高まってきたこともあり、これらを踏まえて再取得を決めました。

— 保護者の方や保育の現場は、個人情報の取り扱いを気にされるものでしょうか。

今は非常に意識が高まっていると感じています。個人情報をどのように扱うのか、利用目的や管理方法について丁寧に確認される保護者の方も増えています。また、保育園の運営においては、自治体や企業などさまざまな委託元との関係の中で、適切な個人情報の取り扱いやコンプライアンス体制が整っているかどうかは、安心して任せていただくための重要な要素になっています。

— コンサルを入れず、自社だけで取り直す選択肢も検討されましたか。

2013年の新規取得時も別のコンサル会社にご支援いただき、その後は2年目以降を自社で運用してきた経緯があります。ただ、今回の取得に際しては、社内体制や外部環境も当時とは大きく変わっている部分も多く、自社だけで進めることに難しさを感じていました。そのため、複数のコンサル会社の話を聞くこととし、最終的には5社ほど比較したうえでLRMの選定にいたりました。

— 5社をどのような観点で比較されたのですか。

まずコスト面を確認したうえで、「どこまで一緒にやっていただけるか」という伴走型の支援であるかを重視しました。1年目・2年目で事務局がしっかりとノウハウを吸収し、自分たちで自走・運用できる体制を構築したいという前提がありましたので、「一緒に汗をかける」スタイルを選びました。また、教育面ではセキュリオが利用できる点も大きく、教育や内部監査が、私たちが目指すセキュリティ水準で無理なく実施できるかという点も重要な判断基準となりました。

— 率直に、コンサル選びはいかがでしたか。

会社によって本当に違いがあると感じました。LRMは営業の方も親身にいろいろ聞いてくださり、その点が印象的でした。一方で他社については、費用が高いケースもあれば、比較的抑えられていても対応範囲が限られていると感じるケースもありました。たとえば教育のシステムが用意されていないところや、内部監査については進め方の説明のみで実施は自社に任せる形のところもありました。そのような点も踏まえ、サポート内容と費用のバランスを考えた結果、LRMを選択しました。

— 体制構築にあたり、かつての文書や様式を流用されたのでしょうか。それともゼロベースでしょうか。

ほぼゼロベースです。既存の文書は古くなっていたため一新し、フォーマットはLRMコンサルタント・田中さんにお任せして新規で作成いただきました。一方で、個人情報管理台帳など内容変更が少ない部分については、旧資産を一部参照しました。

弊社コンサルタント・田中　PMS（個人情報保護マネジメントシステム）の構築・運用基準が、御社のPマーク運用終了後に2回改訂されており、既存文書の手直しと整合性を考えると、刷新した方がよいと判断しました。ただし、おっしゃっていただいたように個人情報管理台帳など利用できる部分は引用し、効率的に刷新を進めました。

— かつての文書と比べて、使いやすさはいかがでしょうか。

今回ご提供いただいた方が作りやすかったです。以前の文書は記載量が多く、やや複雑な印象がありました。LRMフォーマットはシンプルで扱いやすく、特に不便に感じる点はありませんでした。

— セキュリティ教育はどのように実施されましたか。

本部と園とで分けて実施しました。本部にはセキュリオを活用して教育を行いました。園側では日常的に社内ポータルを活用している点や、多様な雇用形態の職員が在籍している点を踏まえ、現場に馴染みやすく業務の合間にも無理なく受講できるように、別のアプローチを選択しました。具体的には、ポータル上で田中さんに作成いただいた研修動画を配信し、アンケート機能を用いて受講確認を行いました。

— 内部監査はどのように実施されましたか。

内部監査も本部と園に分けて実施しました。本部はLRMコンサルタント・田中さんに来社いただき実施しました。園側は、田中さんに内部監査に関する説明会を実施していただき、その中でチェック表の記入方法のレクチャーを受けたうえで、各園を担当するエリアパートナーやスーパーバイザーが、監査を行う形で進めました。

— 内部監査を通じて得られたものはありましたか。

セキュリティハンドブックの内容を実際の運用に落とし込む難しさや、園ごとの対応のばらつきが見えてきました。本部でも、個人情報の取り扱いについてあらためて棚卸しできた点は、非常に良かったと感じています。内部監査は、運用ルールに無理が生じていないか、また最新の状況に即しているかを確認できる良い機会となりました。

— 指摘に対して、現場から反発のような声はありませんでしたか。

反発はありませんでした。むしろ「どう改善すればいいですか」とアドバイスを求める声が多くみられました。それは日頃から、園児・保護者の大切な個人情報をお預かりしているという意識が浸透しており、その責任を前提に業務に向き合っているためだと感じます。

— マネジメントレビューはどのように実施されましたか。

代表が出席する会議の場で、これまでの運用状況等を報告しました。代表からは、アクセス権限の最適化や退職者対応に関するルールの見直しなど、いくつかの改善点について指示がありました。

— 外部審査はいかがでしたか。内部監査では見えなかった気づきはありましたか。

非常に勉強になりました。過去にPマークを取得していた際には、4回の更新審査を通じてさまざまな審査員の方にご対応いただいてきました。今回の審査員の方はとても丁寧で、制度に適合しているかどうかという観点だけでなく、個人情報保護を組織としてどのように実効性を持って運用していくかという、より本質的な視点でご指摘やアドバイスをいただいたと感じています。また、指摘事項についても単なる指摘にとどまらず、次に何をすべきかというネクストステップまで示していただきました。

文章の体裁など細かな指摘もありましたが、それも含めて納得感がありました。1日かけた審査でしたが、扱う個人情報の特性を踏まえると、相応の時間をかけて丁寧に見ていただいたのだと感じています。

— 取得を終えて、従業員の意識や運用面で具体的に変わったことはありますか。

取り組み前は、セキュリティよりも利便性を優先した業務プロセスが一部に残っていました。ですが今回の取り組みをきっかけにルールを見直し、現場での運用にまで落とし込むことができました。これまで慣習的に行ってきた業務についても、セキュリティとのバランスを踏まえて見直す意識が根づいてきたと感じます。

あわせて、個人情報に関する問い合わせも大きく増えました。「こういった対応をしたい場合、どのように利用目的を記載すべきか」「どのような点に留意すべきか」といった相談が、以前は各部で完結していたところ、Pマーク事務局まで上がってくるようになりました。問い合わせ先を明確に周知したことで相談が集まり、従業員が迷わず判断できる環境づくりにつながった点は、リスクを低減する一つの形になっていると考えています。

また、報告フローに沿って内容を整理し、どこで発生したのか、どのような原因だったのかを把握したうえで、再発防止策まで検討できるようになりました。これは会社にとって非常に大きな変化です。

ルールと意識の両面が変わってきていると感じています。ただ、取得して終わりではなく、2年目以降が重要です。本部・園それぞれに対して、個人情報保護の意識を高めるための分かりやすい周知や、事務局からの継続的な発信が、今後の鍵になると考えています。

— 今後の個人情報保護体制について、展望をお聞かせください。

当社は、園児・保護者という大切な個人情報を数多くお預かりしています。今後は事故ゼロを目指し、事故の発生をできる限り未然に防ぐことに加え、万が一発生した際にも迅速に対応し、再発防止につなげていく体制のさらなる強化を図っていきます。最終的には、「お子様・保護者の方が安心して預けられる園」であり続けるため、個人情報の適切な取り扱いが現場で着実に実行されるよう、取り組みを継続し、定着を進めていきたいと考えています。

— 最後に、当社サービスへの率直なご感想をいただけますか。

担当コンサルタントが田中さんでよかったと感じています。田中さんだったからこそ、この期間でスムーズに認証取得までたどり着くことができました。

田中さんは、非常にコミュニケーションが取りやすく、安心して多くの質問をさせていただきました。初歩的なことや的外れかもしれない質問に対しても、その背景や意図を一切省略せず、丁寧に説明してくださいました。そのおかげで、私たちも十分に納得・理解したうえでプロジェクトを進めることができました。当社に合った形で取り組むことができたと感じています。田中さんはもちろん、LRMとしての支援体制にも安心感があり、今回ご一緒できてよかったと思っています。本当にありがとうございました。