7-4 个人信息管理体制的认证制度 · 波仔的网络与信息安全课

📄 一句话概括

认证制度解决的是一个交易问题而不是技术问题：客户没法亲自进你公司查你到底怎么管个人信息，于是需要一个第三方替他看一遍、盖个章——这个章证明的是【你有一套体系】，不证明【你不会出事】。

📝 本节和前面几节的关系

7-1 到 7-3 讲的是【法律要求你做什么】，本篇讲的是另一个问题：你做的事情，别人怎么相信。它和 6-2 是同一件事的两个方向：6-2 讲的是 ISMS 怎么把安全管理做成一个循环，本篇讲的是这个循环怎么被外部机构检查并通过——一个对内，一个对外。

一、认证要解决的问题：看不见的部分怎么被看见

个人信息保护有一个天然的困境：它的大部分工作是【不做某事】——不乱收集、不乱给、不超期保存。不做的事情没有办法展示。

于是客户会问三个问题，而这三个问题都没法靠参观回答：

你的员工会不会把客户名单带回家？
委托出去的数据，你会不会去查受托方怎么管？
出了事，你会不会第一时间告诉我？

认证制度的做法是：把这些问题翻译成一张清单，让一个独立的第三方逐条核对，然后给一个结论。 它真正卖的不是安全，是【可核查性】。

这带来一个很重要的推论：认证的成本和收益，与你的业务形态强相关。

面向消费者收集大量个人信息的业务（EC、呼叫中心、外包）：客户不会来审你，但他们会在意标志；
只处理少量员工信息的公司：收益有限，成本照付；
面向大企业做供应商的公司：即使客户没提，采购清单里往往也写着。

二、隐私标记与 ISMS 的分工

日本的个人信息保护认证叫隐私标记（P マーク），它的对位产品是 ISMS。

对比项	隐私标记（P マーク）	ISMS（ISO/IEC 27001）
保护对象	个人信息本身	信息资产总体（含系统与网络）
依据标准	JIS Q 15001	JIS Q 27001
管的范围	个人信息保护管理系统（PMS）	信息安全管理体系
有效期	2 年更新一次	3 年更新一次
审查方式	书类审查＋现地审查（约 1 日）	书类审查＋现场审核
谁在乎它	消费类业务、外包与呼叫中心	几乎所有 B2B 采购

两者不是二选一：一个管【个人信息】，一个管【全部信息资产】。 同时接手客户数据外包业务的公司，往往两个都要。

两个标记的分工，正好对应两种提问：

客户问【你们会不会泄露我的数据】时，看的是 ISMS（因为泄露既可能来自管理，也可能来自系统）；
客户问【你们拿我的数据做什么】时，看的是隐私标记（因为它审的是利用目的、告知、本人权利这些流程）。

这也是为什么两个都做的公司很多，而不是重复投入。

三、动手 Demo：给 PMS 的八项构成做体检

隐私标记审的不是一句口号，是一套可以逐项翻出记录的体系。下面的 Demo 拿八项构成对照一家虚构公司的现状：

# 节选自本节 Demo 脚本 d4()：PMS 八项构成体检
items = [
    ("个人信息保护方针", True),
    ("个人信息管理台账", True),
    ("风险分析与对策记录", True),
    ("委托方评价记录", False),      # 缺
    ("教育与研修记录", True),
    ("内部监查记录", True),
    ("纠正措施记录", False),        # 缺
    ("管理评审记录", False),        # 缺
]
n_ok = sum(1 for _, ok in items if ok)
print("合规率 %.1f%%" % (n_ok / len(items) * 100))

实跑输出：

==================================================================================================
二、PMS 的八项构成：拿一份实际记录做体检
==================================================================================================
  构成要素                      本公司的记录  说明
  个人信息保护方针              有            合格
  个人信息管理台账              有            合格
  风险分析与对策记录            有            合格
  委托方评价记录                缺            ← 必须补
  教育与研修记录                有            合格
  内部监查记录                  有            合格
  纠正措施记录                  缺            ← 必须补
  管理评审记录                  缺            ← 必须补

  合规率                        5 / 8         62.5%

  三项缺失有个共同点：它们都是【别人做过的记录】——
  委托方评价要去找受托公司谈，内部监查要有独立于被查部门的人，
  管理评审要最高管理者参加。自己一个人补不出来的，正是这三项。

读这个输出：

62.5% 这个数字只是表面。真正值得看的是缺的那三项有什么共同点——它们都需要【另一个人】参与：委托方评价需要一个愿意配合的受托公司，内部监查需要一个独立的监查者，管理评审需要最高管理者出席。
这一点解释了为什么制度类的工作特别容易卡住：能一个人干的活（写方针、做台账、搞培训）都做完了；剩下的是需要别人配合的。而这些恰恰是制度真正的骨架——一个人补不出来的部分，才能证明这组织里有制度，而不是有个人。
判断一份体系做得实不实，有一个简单的问题：【最近一次内部监查是谁做的、查出了什么、后来改了什么】。答得上来的，体系在运转；答不上来的，文件都是现写的。

四、制度参数与两个常被问错的问题

项目	内容
取得所需时间	约 6 个月到 1 年（要跑完一个完整的 PDCA 循环）
更新周期	2 年（第 2 年做更新审查）
内部监查频度	每年至少 1 次（取得后也要做）
付与事业者数	17,000 家以上
申请费用	2026-10-01 起改定（费用不入审查机构，全国统一标准）
可否自己当内部监查员	不可以，监查对象部门的人不能监查自己

常被问错的两点：

【有 ISO/IEC 27001 就不用 P マーク了吗】——不是替代关系，客户要哪个就得有哪个。 两者的审查范围、标准、有效期都不同；而且现实里最经常发生的情形是【客户采购清单上写着两个】，那就要做两个。
【拿了标记就不会出事了吗】——它证明的是【有体系】，不是【不出事】。 出了事照旧要报告、要接受再审查，标记本身保不了任何一次事故。 这句话对所有的认证都成立：认证降低的是【客户判断你的成本】，不是【你被攻击的概率】。

五、⚠️ 2026 现状

【付费标记这件事，本身也在被重新定价】。 隐私标记制度公告：2026-10-01 起调整与付与相关的费用。预算这一年做认证的公司要留意时点——同一套流程，跨过 10 月 1 日可能就不是同一个价。
【在日本，除了隐私标记还有几条线并行】。 面向政府云采购要求 ISMAP，金融行业看 FISC 安全对策基准，医疗行业看医疗信息系统安全指南。所以【要不要做认证】这个问题其实应该改成【我的客户是谁】：政府、金融、医疗各有一套自己的清单，选错了标记等于白花钱。
【在 GDPR 时代，本地标记的边界更清楚了】。 隐私标记在日本国内被广泛认可，但它不是国际通用凭证——面向欧盟的业务，采购方更可能直接看 GDPR 合规证据或 ISO/IEC 27701（隐私信息管理）。实践中常见的做法是【本地标记＋国际标准】两套并行，用前者拿本地信任，用后者拿跨境信任。
【数字水印式的信任标志正在出现】。 2025-03 日本总务省为 e シール（电子封印） 建立了认定制度，2026-03-30 全面施行——它用密码学证明【这份电子数据确实来自这家公司、且没被改过】（7-11 展开）。这是一条从【组织级认证】走向【数据级认证】的新路：前者证明【这家公司的流程可信】，后者证明【这份文件本身可信】。

30 秒实验

今天做两个动作，各 15 秒：

打开任意一个网站，把页面拉到最底部找认证标志的图案。 大多数网站会放 ISMS、隐私标记这类标识，而且往往只放图标不放编号——能查到登记编号的才是真认证，只有图标的什么也证明不了。
再看一眼它旁边的【隐私政策】入口，点进去找【更新日期】。 三年前更新过的隐私政策，说明这份文件不是活的——而体系类认证审的第一件事，恰恰是这个文件的维护记录。

这一节要带走的一句是：认证是把【看不见的日常】做成【可以被检查的记录】——它最贵的部分不是审查费，是那些需要别人配合才做得出来的记录。

常见误区

错误：我们是小公司，做认证纯属浪费钱。——纠正：要不要做，取决于【谁在问你要】，不取决于公司大小。判断方法很直接：把你最近三次客户问卷或采购要求翻出来，看里面有没有出现 ISMS、隐私标记这类字样——出现了就是商业要件，没出现就是成本。 另一种更隐蔽的情形是【上游要求传递】：大企业被要求提供供应链合规证明时，会把要求往下压给供应商——这时认证从【选择】变成了【入场券】。
错误：审查是走过场，资料做漂亮就能过。——纠正：现地审查会直接找人问话，而且问的是最具体的东西——【上次内部监查是哪天、谁查的、发现了什么】，这类问题一旦是补写的资料，现场就会露馅。 更关键的一点：审查不是为了让你过关，是让客户放心——如果资料是编的，那么你花了钱买到的只是【一个迟早会掉下来的标记】。判断一套体系是真还是假，看它能不能报出最近一次改动的细节。
错误：拿到标记之后，日常就照旧运行，两年后再说。——纠正：这个标记是 2 年更新，而且中间每年要求至少 1 次内部监查。更要紧的是【更新审查会看这两年里你都做了什么】——没有记录可看，更新时就等于从零开始，前面省下的功夫会加倍还回去。 这件事的通用形态是：所有【周期性认证】都在用同一个方法逼迫组织持续投入——你不做，下次审查就会知道；而改造成本永远比维持成本高。
错误：有认证就等于合规了。——纠正：认证审的是【体系有没有按标准运行】，法律问的是【实际行为合不合法】。这两件事可以一正一负：一家体系运行得很好的公司，完全可能因为某次违规的对外提供而被处罚——体系只保证【这件事有流程可走】，不保证【这个决定是对的】。 所以正确的关系是：认证是合规的必要辅助条件，不是充分条件。 7-1 那句【合规是安全的上位约束】，在认证这里可以改成：法律是认证的上位约束。

自测三问（点开对答案）

1. 为什么【委托方评价记录】这类需要第三方配合的项目最容易缺失？ —— **因为它同时需要【对外协调】和【留痕意识】**。写方针、做台账、办培训这三件事，**一个项目经理在自己的工时里就能完成**；但**去评价受托方，意味着要和另一家公司坐下来谈它的管理状况**——这件事既不方便（会显得不信任合作伙伴），又没有直接的业务收益，于是被无限期推后。**但从审查角度看，这一项恰恰最能说明问题**：**个人信息泄露的很大一部分发生在委托链条上**（6-1 讲过例外与台账的价值）。**换言之：容易缺失的地方，往往正是风险集中的地方，这不是巧合。** 2. 隐私标记和 ISMS 的区别，能不能用一句话记住？ —— 可以：**ISMS 回答【你的东西会不会被弄丢】，隐私标记回答【你拿别人的东西做什么】**。**前者的关键词是资产、威胁、脆弱性**（1-2 那张三词表），**后者的关键词是目的、告知、本人权利。** **两者问的问题不同，所以审查内容和有效期也不同**（2 年 vs 3 年）。**判断自己需要哪一个，问自己一句话：客户最担心的是【我们数据被偷】还是【我们数据被乱用】。** **大多数面向消费者的公司，答案是后者；大多数面向 B2B 的公司，答案是前者。** 3. 【拿了认证不代表不会出事】——那认证到底有什么用？ —— **它降低的是【别人判断你的成本】，也就是交易成本**。**想象一下没有认证的世界**：**每个客户都要派人来你公司实地审一遍，中小公司根本接不到大单**。**认证把这个成本从【n 次审核】压成【一次审核＋n 次验证编号】**——**这是它真正的经济学意义。** **所以判断一张证书值不值得做，标准是【它能不能替代某次具体的审核】**：**能替代，就是省钱；不能替代（客户仍要自己审），就只是成本。** **这也解释了为什么同一种认证，在不同行业的价值差别巨大**——**差别不在标准本身，在采购方是否承认它。**

☐ 下一节（7-5 日趋严格的欧盟个人信息管理）