J.9 適正管理

取り扱う個人情報のリスクに応じて、漏えい、滅失、毀損の防止などのために、法令に基づき必要かつ適切な措置を講じます。「必要かつ適切」とは、事業の規模や性質、取扱状況、情報の性質や量、記録した媒体の性質などによるリスクに見合った対策のことです。外部サービスを使う場合で、提供事業者が個人データを取り扱わないことになっているときも、事前に内容を把握・評価して選びます。必要な措置を講じていないと、法令違反になることがあります。
たとえば、紙の書類は鍵付きキャビネットに保管し、パソコンにはパスワードやウイルス対策をかけ、持ち出しや入退室のルールを決めます。クラウドサービスなどの外部サービスを使う前には、どんなセキュリティ対策がとられているかを確認しておきましょう。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.9.2を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。