Claude Media
プライバシーマーク・ISMS取得企業がClaudeを導入するときの管理策の見直し点
ClaudeAnthropic解説

プライバシーマーク・ISMS取得企業がClaudeを導入するときの管理策の見直し点

PマークやISMS認証を持つ企業がClaudeを業務に入れるとき、台帳・委託先評価・教育記録のどこを更新するかを、DPAの条項とデータ保持の仕様に対応づけて並べます。

読了目安 約10分

プライバシーマーク(Pマーク)やISMSを取得している企業がClaudeを業務に入れるとき、見直す対象は認証そのものではありません。認証を支えている台帳、委託先評価、教育記録といった文書と運用です。

Claudeの導入は、認証を持つ組織から見ると「新しい外部サービスの追加」と「新しい情報の流れの追加」の2つです。既存の規程にこの2つを載せる手順を、Claude側の資料と対応づけて並べます。

二つの認証が見ているのは「サービス」ではなく運用の仕組み

どちらの認証も、特定のツールの安全性を認めるものではありません。見ているのは、組織が情報を扱う仕組みと、その運用です。

項目プライバシーマークISMS
運営プライバシーマークJIPDECISMSISMS-ACが認定した認証機関が審査
審査の土台プライバシーマークJIS Q 15001:2023をベースにした審査基準ISMSJIS Q 27001(ISO/IEC 27001:2022と追補1)
評価の対象プライバシーマーク個人情報保護マネジメントシステム(PMS)の運用ISMS自らのリスクアセスメントで必要なセキュリティレベルを決め、運用する仕組み
付与の単位プライバシーマーク法人単位ISMS認証書に書かれた適用範囲

Pマークの付与は法人単位です。部署を限定して「この部署だけ対象」と切り分ける制度ではないため、Claudeを使う部署が営業でも開発でも、個人情報を扱うなら同じPMSの管理下に入ります。

ISMSには、特定の分野に向けた認証もあります。クラウドサービス固有の管理策(ISO/IEC 27017)を加えるISMSクラウドセキュリティ認証、プライバシー情報マネジメントシステムを加えるPIMS認証、AIマネジメントシステムを対象にしたAIMS適合性評価制度です。自社がどの認証を持っているかで、見直す文書の範囲が変わります。

ここから導ける整理は1つです。審査で問われるのは「Claudeが安全か」ではなく、「導入前に自社の手順でリスクを評価し、その記録を残したか」になります。

Anthropicの認証は、自社の認証の代わりにならない

Anthropicは、ISO 27001:2022、ISO/IEC 42001:2023、SOC 2 Type IとType II、HIPAA対応の構成(BAAあり)を挙げています。ただしこの説明は、Claude for WorkやAnthropic APIといった商用製品向けです。Claude Free・Pro・Maxのような個人向け製品は別の扱いになります。

この認証は、委託先を評価するときの根拠資料として使えます。一方、自社の認証範囲の説明には使えません。Anthropicが持つISO 27001は、Anthropicという組織の仕組みに対する認証だからです。自社のISMSの適用範囲や、PMSの運用は、自社の文書で示す必要があります。

監査報告書の取り寄せ方はTrust CenterでSOC2・ISO27001の監査報告書を取得する手順にまとめています。ISO 42001が何を審査したかはISO 42001認証はAI事業者ガイドラインの何に対応するかで扱っています。

見直しの順番

手順

認証を持つ企業のClaude導入前チェック

  1. 1

    使う部署と業務を決める

    どの業務の、どの情報を入力するのかを先に決めます。ISMSなら認証書の適用範囲に入る業務かも見ます。

  2. 2

    台帳とリスクアセスメントに追記する

    個人情報の台帳や情報資産台帳に、Claudeへの入力経路を1行追加します。

  3. 3

    委託先・クラウドサービスとして評価する

    契約形態を特定し、DPAや認証の資料で評価票を埋めます。

  4. 4

    技術的な管理策を設定する

    SSO、データ保持期間、監査ログなど、管理画面で担保できる項目を決めます。

  5. 5

    教育と内部監査に載せる

    利用者向けの教育記録と、内部監査のチェック項目に反映します。

  6. 6

    審査機関に変更の扱いを相談する

    申請事項の変更や次回審査での説明が必要かを、窓口に尋ねます。

台帳には「入力経路」を1行足す

台帳の更新が最初の作業です。Claudeは「個人情報を保管する場所」でもあり「外部へ送る先」でもあるため、既存の台帳の列に収まらないことがあります。

次は追記する項目の例です。列名は自社の台帳に合わせて読み替えてください。

対象サービス : Claude(Team/Enterprise など契約プラン名)
利用部署     : カスタマーサポート部
入力する情報 : 問い合わせ本文(氏名・メールアドレスを含む場合あり)
利用目的     : 回答文案の作成補助
保存先       : Claude側の会話履歴(保持期間は管理者設定に従う)
学習利用     : 商用製品の既定では入力・出力を学習に使わない
委託先評価   : 評価票 No.xx(DPAの条項と認証資料を添付)
リスク対応   : 氏名の匿名化 / 機密区分の入力制限 / 管理者による保持期間設定

「学習利用」の列を置く理由は、後述する評価ボタンの例外があるためです。既定値だけを書くと、台帳が実態と食い違います。

委託先評価はDPAの条項で埋められる

Claudeを委託先やクラウドサービスとして評価する票には、DPA(Data Processing Addendum)の条項がそのまま使えます。自社の契約にDPAが含まれているかを、先に契約書で確かめてください。

評価観点DPAの条項条文が定めていること
処理の範囲DPAの条項B.2条文が定めていることAnthropicは、サービス提供のためと顧客の文書化された指示に沿う場合に限り、顧客の個人データを処理する
再委託先(サブプロセッサー)DPAの条項C.1〜C.3条文が定めていること一般的な承認のもと、新しい再委託先は個人データに触れる前に通知される。顧客は通知から15日以内に異議を書面で出せる。出さなければ同意したものとみなされる
本人からの請求DPAの条項D.1・D.2条文が定めていること本人からの請求は顧客へ速やかに転送され、顧客の対応を支援する
監査報告書DPAの条項F.1条文が定めていること外部監査人による年次監査があり、書面で求めればSOC 2報告書などを提供する
立入監査DPAの条項F.2・F.3条文が定めていること顧客の費用負担で、条件を合意したうえで監査できる
事故時の通知DPAの条項G.1条文が定めていることセキュリティ侵害を知ってから不当な遅滞なく、遅くとも48時間以内に書面で通知する
契約終了後DPAの条項H.1条文が定めていること終了から30日以内に、求めに応じてデータの写しを返却し、全てのコピーを削除する。法令上の保存義務などは例外

見落としやすいのは再委託先の行です。異議の期限が15日と短いため、通知を受け取る連絡先を情シスの共有アドレスにしておかないと、同意したものとみなされます。評価票には「通知の受け取り担当」と「15日以内に判断する手順」を書く欄を足してください。

Pマーク側の委託先監督の具体的な要求事項は、JIS Q 15001とJIPDECの構築・運用指針に書かれています。自社の規程の条文番号と突き合わせて、この表の各行をどの要求に対応させるかを決めてください。表の右の列は、Claude側が何を約束しているかを示す材料です。

評価票を埋める全体の流れはClaudeの情シス導入審査チェック項目をTrust Centerの資料で埋めるに項目表があります。

契約形態でデータの扱いが変わる

台帳の「保存先」「学習利用」は、契約形態によって書く内容が変わります。

  • Anthropic APIでは、入力と出力は30日以内に自動削除されます。Files APIのように保持期間を利用者が管理するサービス、ZDR(ゼロデータ保持)の合意、利用ポリシーの執行、法令遵守のための保持は例外です
  • Claude for Workなど会話を保存できる商用製品では、会話は製品内に保持されます。利用者が削除すると、履歴からは即座に消え、バックエンドからは30日以内に削除されます
  • 利用ポリシー違反と自動判定された会話は、入力・出力が最大2年、分類スコアが最大7年保持されます。削除操作では消えない保持がある、という点が台帳の「保存先」の注記になります
  • 商用製品の入力・出力は、既定では学習に使われません。ただし、評価ボタン(親指の上下)でフィードバックを送ると、関連する会話全体が最大5年間保存され、学習を含む用途に使われうる、と説明されています

最後の例外は、教育の内容に直結します。評価ボタンを押した会話は、機密や個人情報を含んでいても保存の対象になります。TeamまたはEnterpriseプランのOwnerは、組織設定の「Rate chats」でこの送信を無効化できます。

保持期間を組織で設定する手順はClaude Enterpriseのデータ保持期間を管理者がカスタム設定する手順に、ゼロデータ保持が効く契約形態はClaude Zero Data Retentionが有効になる契約形態の切り分けにあります。

管理画面で担保できる管理策を、規程の文言にそろえる

認証の審査では、規程に書いたことが実際に運用されているかが見られます。規程に「アクセス権限を管理する」と書くなら、Claude側の設定とログで示せる状態にします。

  • アクセス制御: SSOで入退社と権限を連動させる。設定はClaudeのSSO設定手順を参照
  • 記録の保存: 監査ログはEnterprise組織だけが使え、OwnerがData and Privacy設定から過去180日分を書き出せる。ダウンロードリンクの有効期間は24時間
  • 保持期間: 自社の記録保存規程の年限と、Claude側の設定を比べる

監査ログの書き出しが180日分に限られる点は、記録保存規程との差になりやすい項目です。規程の年限が1年なら、180日を超えないうちに定期的に書き出す運用が要ります。見方はClaude監査ログの見方にあります。

教育・内部監査・事故対応に反映する

Pマークの取得までの流れには、運用のあとに「教育・内部監査の実施」の段階があります。Claudeの導入は、この2つに載せる材料が増える変更です。

教育に足す内容の例です。

  • 入力してよい情報の区分と、入力前に外す情報(氏名、口座番号など)
  • 評価ボタンを押した会話は保存の対象になること
  • 個人用アカウントを業務に使わないこと
  • 出力の誤りを前提にした、人による確認の手順

内部監査には、台帳の更新日、委託先評価票の有無、DPAの通知窓口の稼働を確認項目に加えます。

事故が起きたときの手順も更新対象です。JIPDECのサイトには「事故等の報告」「申請事項の変更手続き」の案内があります。Claude経由で個人情報が漏えいした場合の報告ルートは、審査機関に確認して規程に書いておくと、判断が現場に任されません。

個人情報保護委員会の生成AI注意喚起との対応は個人情報保護委員会の生成AI注意喚起を、Claudeの契約・設定に対応づけるで扱っています。中小企業向けの規程文言は中小企業の情報セキュリティ対策ガイドラインに生成AIの項を足すが参考になります。

よくあるつまずき

Anthropicの認証書をそのまま自社の説明に使う

審査で問われるのは自社の運用です。Anthropicの認証は評価票の添付資料に留め、自社の台帳・教育・監査の記録を別に残します。

個人向けプランで業務を始めてしまう

認証の説明も保持の説明も、商用製品を対象にしています。個人向け製品は別ページに分かれるため、業務利用の契約形態は先に決めてください。

更新審査の直前にまとめて直す

Pマークの有効期間は2年間です。導入時点で台帳・評価票・教育記録を残しておけば、更新時に「いつ、誰が、何を判断したか」を示せます。

まとめ

認証を持つ企業がClaudeを入れるときの作業は、新しいルールを作ることではなく、既存の台帳・評価票・教育記録にClaudeを1件載せることです。

載せるときの材料は、Anthropicの認証資料とDPAの条項で多くが揃います。残るのは、条項を自社の規程の要求事項にどう対応させるかという判断で、これは審査機関に早めに相談するのが確実です。

この記事を共有:XはてブLinkedIn

関連する記事

Claude をもっと見る →