ISMSとプライバシーマークにおける顔認証システムの適切管理のポイント

ISMSやプライバシーマークの取得を目指している企業において、顔認証技術を用いた入退室管理を導入する場合、顔写真や顔データの個人情報を取り扱っていることから、適切に管理することが大切です。ISMSやプライバシーマークにおいてもそれぞれの制度の目的や要求内容、保護対象などに沿った、個人情報の取り扱いやリスク対策などを講じることで、顔認証の効果を得ることができます。この記事では、ISMSとプライバシーマークの違いや、ISMSとプライバシーマークにおける顔認証データの取り扱いでおさえるべきポイントをご紹介します。

◎情報セキュリティを管理するISMSとは

ISMSとは、Information Security Management Systemの略称で、日本語では情報セキュリティマネジメントシステムの意味で、総合的に情報セキュリティを管理するための仕組みをいいます。ISMSとは、組織が構築、運用しているISMSが、国際的な基準ISO/IEC 27001の要求事項に適合していることを審査機関が審査し証明する制度です。ISMSのISO/IEC 27001の要求事項においては、国内ではこれを日本語訳したJIS Q 27001があります。ISMSは組織などのサイバー攻撃や情報漏洩などの脅威から守り、管理を行うためにISMSの取得は増加しており、2026年6月時点では、ISMS認証を取得している企業は8,000社を大きく突破しています。

ISMSで求められる情報セキュリティとは、情報を安全に保つため、「機密性」「完全性」「可用性」の3つの要素を維持しながら、リスクの管理や継続的に改善することにあります。機密性とは、許可された人だけが情報にアクセスできる仕組みになっていることです。完全性とは、情報が正確で改ざんや破壊されていないことを確認できることで、可用性は、許可された人が必要な時に問題なく情報に、アクセスできる状態になっていることをいいます。JIS Q 27001では、組織の目的や情報セキュリティの必要性、業務内容や規模に合わせたISMSを構築・運用します。これにより、情報を多く扱う現代の組織が変化するリスクに対応することができ、業務改革を実現するための重要な要素です。プライバシーマークの個人情報保護対策による安全管理策は、ISMSにおいても個人情報保護法などの法令が含まれており、ISMSの認証基準による管理策と共通するものがあります。

ISMSの取得は、情報セキュリティレベルの向上が図れることにより、外部からのサイバー攻撃による情報漏洩などのリスクをおさえます。ISMSは第三者機関により、自社で国際標準に基づく情報セキュリティ管理体制を準拠していることを示すことができ、取引先や顧客の信頼性の向上により、ビジネス拡大や新規取引獲得にもつながることもメリットです。内部においてもISMSの取得は、情報資産の洗い出しやリスクアセスメントを定期的に行うことで、不正アクセスや内部不正による情報漏洩の脅威を最小限におさえられます。

◎個人情報保護に特化したプライバシーマークとは

プライバシーマーク（Ｐマーク）は、事業者が個人情報を適切に扱っていることを、第三者機関から評価、認定される制度です。一般財団法人日本情報経済社会推進協会（JIPDEC）が運営しており、JIS Q 15001に準拠した個人情報保護マネジメントシステム（PMS）の要求事項を満たした事業者にプライバシーマークは付与されます。付与事業者は、2026年6月末時点で約17,700社以上が取得しており、年々増加傾向にあります。個人情報の保護に関する法律では、すべての事業者において、個人情報の保護が求められています。プライバシーマークは、個人情報の保護に特化した制度で、個人情報の取り組みの推進や個人情報の保護意識の向上に効果的です。審査基準は、ただ個人情報を保護するだけでなく、社員教育、リスク対策、内部規定の整備、委託先の監督なども含めて、審査の対象となります。

JIPDECの審査に合格すると、プライバシーマークのロゴマークを使用して、名刺やホームページ、広告用資料、社用封筒などに表示することができ、ひとめで見てわかりやすいことから、消費者や取引先の信頼性のアップが期待できます。プライバシーマークの取得のメリットは、個人情報保護の基準を満たしていることを、客観的に示せることで社会的な信頼を得ることです。新規取引の際においても企業の誠実な姿勢を伝えることで先方に安心感を与えます。プライバシーマークは、社会的な信頼の獲得だけでなく、ビジネスチャンスの拡大や社内体制の強化にもつながります。官公庁の入札案件や取引条件に、プライバシーマークの取得を問われることが増えていることから、プライバシーマークの取得は競合他社との差別化を図り、取引を有利に進めることが可能です。また、審査基準において、個人情報保護に関する全社員の定期的な教育が必要となり、従業員においては意識の向上が見込め、人的ミスによる情報漏洩を未然に防ぐことにつながります。

◎ISMSとプライバシーマークにおける役割の違い

多くの企業が取得に取り組んでいるISMSやプライバシーマークは、どちらも情報に関する認証制度ですが、目的や考え方、対象範囲、準拠規格、保護対象などさまざまな点が異なります。ISMSの主な目的においては、情報セキュリティ管理体制の構築や運用をすることで、プライバシーマークでは、個人情報保護体制を整えることです。ISMSの保護対象は情報資産全般が保護対象になりますが、プライバシーマークでは、顧客リストや従業員情報などの個人情報が保護対象となります。ISMSの準拠規格は、国際規格を基準としたISO/IEC27001です。

一方で、プライバシーマークは国内規格に基づく認証制度で日本産業規格 JIS Q 15001となっています。ISMSに要求される内容は、PDCAによる情報資産全般のリスク管理や継続的な改善を講じることが求められており、プライバシーマークでは、個人情報保護方針の策定やその具体的な手続きの整備などが求められます。組織の対象範囲においては、ISMSは組織全体だけでなく、特定の事業所や部署、サービス単位でも可能です。これに対して、プライバシーマークは法人単位の企業全体が対象で、個人単位は対象外となっています。

有効期間や更新においては、ISMSは認証取得後3年間で、認証を維持するためには、1年後や2年後の維持審査や3年後には更新審査を受審する必要となります。一方で、プライバシーマークは、認証取得後2年間で、更新するには更新審査を受けることが必須です。ISMSの審査機関はJIPDEC認定の認証機関が行なっており、プライバシーマークの審査機関においてはJIPDEC及び、指定審査機関が審査を行います。

◎ISMS・プライバシーマークで知っておきたい顔認証システム

顔認証システムとは、人の顔を用いて識別する認証技術により、入退室を管理するシステムのことです。顔認証ではカメラで写した人の顔を検出し、顔の目、鼻、口、顔の輪郭の位置や大きさなどの特徴点を取得し、AI技術を用いて個人を認識し、照合、認証します。顔認証は個々で異なる身体的特徴を用いた生体認証のひとつで、ほかにも、指紋認証や静脈認証、虹彩認証などが存在します。

本人の顔で認証する顔認証は、認証精度が高くなりすましによる不正認証が困難なことから、セキュリティが高い認証方法といえます。一方で、顔認証で用いる顔写真や顔の情報の特徴量は個人情報となることから、ISMSやプライバシーマークの取得企業では、個人情報は厳格な管理が重要です。顔認証を認証する方法には、ビジュアル方式顔認証とIR方式顔認証が存在します。ビジュアル方式顔認証は、2D認証とも呼ばれ、カメラで写して顔の画像や動画を平面的に捉えて認証を行います。日光や照明などの光の変化の影響を受けやすいことがありますが、専用機器が不要なことからIR方式顔認証より多く普及されており、選択肢が豊富な認証方法です。また、IR方式顔認証は、ビジュアル方式顔認証より認証精度が高く、赤外線センサーを用いて顔の奥行きまで立体的に認証する方法で、3D認証とも呼ばれることもあります。ビジュアル方式顔認証は、光の影響や髪型・化粧の変化の影響を受けにくい点が特長です。

顔認証システムは、認証データの管理環境によってオンプレミス型とクラウド型に分けられます。オンプレミス型顔認証は自社でシステムやサーバーを構築するタイプで、専用線を使用するため、セキュリティレベルが高いことから、ISMSやプライバシーマークを目指す企業においては、情報漏洩のリスクが少ないオンプレミス方式が適しているといえます。クラウド型顔認証は、クラウド上で顔データを登録し照合するタイプで、大量のデータの送受信ができることがメリットですが、インターネットを経由で顔データのやり取りを行うため、流出や不正利用などのリスクがあることから、セキュリティ面での強化が必要です。

◎顔認証データの取り扱いでおさえるべきポイント

ISMSとプライバシーマークの取得に向けて顔認証システムを導入する場合、読み取った顔画像や、それを数値化した特徴量は個人情報となります。入退室管理に用いた顔認証の個人情報を適切な管理体制で構築することで、顔認証の特長を最大限にいかすことができます。プライバシーマークに顔認証を用いる際は、顔認証の個人情報の利用目的の明示と同意を得ることです。顔認証の取得や利用は、個人情報のため、プライバシーマークの審査においては、利用目的を明確にして本人から同意を得る必要があります。そのため、従業員に顔認証データを何に使うのかを説明し、書面や電子データなどで同意を得ることです。

ISMSの観点からは、顔認証データのアクセス権限の制限などの対策を取ることが重要といえます。顔認証データの不正アクセスや情報漏洩などを防ぐために、顔認証データのアクセスを制限し管理者などの特定した人だけが見ることができる、管理体制を整えることが不可欠といえます。ISMSやプライバシーマークにおいて顔認証を導入する場合、顔認証に活用する顔認証データの保護や暗号化などの改善策を講じることが必要です。ISMSやプライバシーマークの運用においては、個人情報の安全管理措置とデータの暗号化が求められており、万が一の漏洩に備えて、強固なアルゴリズムの暗号化にして保存することが重要といえます。

顔認証を用いてISMSやプライバシーマークの取得を目指す際は、顔認証データの情報漏洩のリスク対策を行うことです。顔認証対応の入退室管理のログ管理機能は、入退室者の履歴を把握します。万が一、情報漏洩が発生した場合においても、ログ管理機能でISMSやプライバシーマークにおいてのリスク対策を講じることで、トラブルを最低限におさえることができます。

◎不正侵入を抑制する顔認証リーダーFE-500

KJ TECH japanのFE-500は、世界最速の1秒以下の認証スピードで認証を行う入退室管理対応の顔認証リーダーです。FE-500では、顔認証のほか、カード認証、暗証番号認証、QRコード認証などの認証方法を備えています。顔認証を認証するには、カメラ部分に顔を向けると、事前に登録した顔データと比較して照合、認証し情報が一致すると解錠される仕組みで、顔認証の顔データは50,000件の登録が可能です。顔認証リーダーのカメラから最大2メートル以内であれば認証することができ、顔認識領域には、シングルモードとマルチモードが搭載されています。マルチモードの顔認証は、最大5名まで複数の同時認証が実現できることから、従業員数が多い大規模の企業などの入退室管理にも役に立ちます。

FE-500の顔認証では、立体的に顔を捉える高性能の認証技術の3D認証方式を採用しており、髪型やメイク、髭などの変化においても認証精度に影響を及ぼすことがなく、スムーズな顔認証を実施します。顔認証では、なりすましによる不正認証を防止するライブ検出機能を搭載しており、偽造写真や動画、複製などによる不正認証を検出する機能です。顔認証は誤認率においても他人を本人と間違えて認識する誤受入率（FAR）が0.00001%、本人を他人と間違えて拒否する誤拒否率（FRR）が0.01%のため、信頼性が高い認証精度を保てます。カード認証は200,000件の登録が可能で、MIFAREやFeliCaカードをはじめ、さまざまなカードの利用が行えます。QRコード認証においては、日時を指定した解錠が行えるQRコードを発行することができ、来訪者や清掃業者などの利用にも適しています。

FE-500は、顔認証データを端末やパソコン上で管理できるため、クラウド上にデータを保存する必要がなく、情報漏洩のリスクをおさえられます。また、入退室の履歴を記録するイベントログ機能を搭載しており、いつ、誰が入退室したのかをあとから確認できます。こうした記録は、ISMSやプライバシーマークで求められる入退室管理にも活用できます。万が一トラブルが発生した際にも、記録をさかのぼって確認することで、原因究明や早期解決につなげられます。

◎まとめ

入退室管理に顔認証を用いると、現地にいる本人の顔のみでの認証が可能なことから、セキュリティレベルが高い認証システムです。近年では、ISMSやプライバシーマークの取得を目指す企業が増えており、顔認証システムの顔認証データを適切に管理することで、ISMSやプライバシーマークにおいて有用な認証システムといえます。カギ舎では、認証精度が高く強固なセキュリティ対策が実現する顔認証リーダーFE-500を取り扱っております。ISMSやプライバシーマークの取得をご検討中の方は、お気軽にお問い合わせください。

<<　一覧に戻る

ISMSとプライバシーマークにおける顔認証システムの適切管理のポイント

カギ舎株式会社