【日本版DBS】「情報管理措置」と「情報管理規程」の違いとは？混同しやすい2つの用語を整理

こんにちは。行政書士・情報処理安全確保支援士の毛利です。
日頃のちょっとした悩みに行政書士がお答えする、教えてもーりーのコーナーです。
今回は、情報管理措置と情報管理規程というよく似た用語についてのお話です。

似てるけれど全然違う！

こども性暴力防止法について調べていると、「情報管理措置」と「情報管理規程」という、よく似た2つの言葉が出てきます。

「情報管理規程を作ったから、もう情報管理措置は完了している」と誤解してしまう事業者様が少なくありません。
しかし、この2つは指している範囲が異なります。
混同したまま対応を進めると、対応漏れにつながってしまいます。

この記事では、行政書士かつ情報処理安全確保支援士（登録セキスペ）の立場から、この2つの用語の違いと、実務上の注意点を整理します。

結論：規程は「措置」を構成する一部品にすぎない

先に結論をお伝えしてしまいましょう。

情報管理措置：犯罪事実確認記録等を適正に管理するために事業者が講じる一連の取組全体
情報管理規程：情報管理措置の内容を文書化したもの（措置を実行するためのルールブック）

つまり、情報管理規程は情報管理措置の一部（土台となる文書）なのです。

このため、規程を作成しただけでは、情報管理措置の実施が完了したことにはなりません。

情報管理措置とは何か（範囲の広い概念）

情報管理措置とは、犯罪事実確認記録等（犯罪事実確認書やそれに関連する記録）を適正に管理するために事業者が講じるべき、一連の取組全体を指します。
これまでの記事でも解説してきた通り、以下の要素が含まれます。

犯罪事実確認記録等の適正な管理（保管・アクセス制御）
利用目的の制限・第三者提供の禁止
情報漏えい等が発生した場合の報告義務
記録の廃棄・消去に関するルール整備
従事者への秘密保持義務の周知
取扱状況の把握・情報管理措置の見直し（継続的な運用）

最後の「取扱状況の把握・見直し」は特に見落とされがちな部分です。
情報管理措置は、規程を作った瞬間で完結するものではなく、その後も継続的に実施し続けるべき取組として位置づけられています。

情報管理規程とは「措置を文書化したルールブック」！

情報管理規程は、上記の情報管理措置の内容を、社内文書として明文化したものです。

誰が取扱者か？
どこに、どのように保管するか？
どのような手順で廃棄・消去するか？
漏えい発生時、誰に、どう報告するか？

これらを「規程」という形で文書化し、こども家庭庁に提出することが、情報管理措置を実施するための出発点となります。

規程は「これから何をするか」を定めた文書であり、規程を提出した時点では、まだ情報管理措置が「実施されている」状態にはなっていないのです。
規程に沿って実際に運用し、定期的に見直すところまでを含めて、初めて情報管理措置が実施されていると言うことができます。

情報管理規程の作り方について、詳しくはこちらの記事をご参照ください。

【日本版DBS】どうやって作ればいい？こども性暴力防止法の情報管理規程、作り方を徹底解説

よくある誤解とその注意点

誤解1：「規程を提出したから、もう対応は終わった！」

情報管理規程の提出は、こども家庭庁から犯罪事実確認書の交付を受けるための前提条件です。
しかし、これはスタート地点であり、ゴールではありません。
規程に沿った実際の運用、定期的な取扱状況の把握、必要に応じた見直しまでを含めて、初めて情報管理措置を実施していることになります。

誤解2：「規程さえ整っていれば、漏えいしても責任は問われない」

規程の存在自体は、漏えいを防ぐものではありません。
規程通りに運用されていなければ、漏えいが発生した際に「規程と実態が乖離していた」と判断され、事業者としての管理責任が問われる可能性があります。

誤解3：「一度作った規程は、そのままでよい」

事業の拡大、拠点の増加、システムの変更、従業員の入れ替わりなど、事業環境は常に変化します。
それに伴い、規程と実際の運用実態にずれが生じることがあります。
取扱状況を定期的に把握し、必要に応じて規程を見直すことも、情報管理措置の一部です。

規程の定期的な見直しなどについて、こども性暴力防止法施行ガイドラインにおいて、情報処理安全確保支援士等のセキュリティ資格を保有する者が実施することが標準的措置として位置づけられています。詳しくはこちらの記事をご参照ください。

【日本版DBS】「行政書士だけ」では不十分？こども性暴力防止法の情報管理措置