Pマークとは？ISMSとの違いと取るべき中小企業を総務向けに解説

Pマーク（プライバシーマーク）⁠と⁠は⁠、個人情報について適切な保護措置を講ずる体制を整備している事業者を評価し、マークの使用を認める制度です。JIPDECの制度概要⁠のとおり、JIS Q 15001に準拠した指針が基準です。ISMSとの一番の違いは、守る対象が個人情報に絞られていることです。

今日やることは2つです。1つ目は、取得を考えたきっかけの文面を確かめることです。取引先の調査票や入札の条件に「Pマーク」⁠と書いてあるのか、「第三者認証」⁠と⁠だ⁠け書いてあるのかで、選ぶ制度が変わります。2つ目は、自社が持つ個人情報を「顧客、採用応募者、従業員、取引先の担当者⁠」⁠に分け、おおよその件数を書き出すことです。

サプライチェーンのセキュリティ⁠の文脈でこの2つ⁠を混同すると、数十万円をかけて、取引先が見たいものとは別の認証を取ることになりかねません。

PマークとISMSの違いは？

JIPDECは両制度を目的の異なる、独立して並存するもの⁠と位置づけています。JIPDECのFAQも、どちらが厳しいかは一概に言えないとしています。上下の関係ではありません。

実務で効く違いは3つあります。

1つ目は対象の情報です。図面、製造条件、見積もりは、個人情報でなければPマークの中心にはなりません。守る対象が情報資産全般か、個人情報かで、取引先への説明が変わります。

2つ目は範囲です。Pマークは法人単位で全社に及びます。ISMSは「設計部門と本社のシステム」のように、必要に応じて範囲を決められます。工場が複数ある会社では、この差が準備の量に響きます。

3つ目は本人への対応です。Pマークは安全管理だけでなく、取得時の利用目的の通知や本人の権利への対応も含みます。従業員や応募者の情報も扱う総務にとって、ここは実務そのものです。

Pマークを取るべき中小企業は？

次のどれかに当てはまるなら、検討する理由があります。

• 通販、会員サービス、教育、人材、医療福祉など、一般消費者の個人情報を多く扱う
• 個人情報を預かる業務を受託していて、発注元からPマークを指定されている
• 入札や取引の条件に、Pマークが明記されている
• 名刺やサイト、パンフレットで、消費者に向けて取り組みを示したい

JIPDECのパンフレットも、Webサイトや名刺、店頭などでの表示を使い方に挙げています。消費者の目に触れる場面があるかどうかは、大きな判断材料です。

海外の取引先から求められているなら、話は変わります。JIPDECはISO/IEC 27701を付加したISMS認証が、海外の取引先からの要請に応える場面で有効になると考えられるとしています（2020年の見解）⁠。

製造業はどちらを見ればいい？

たとえば、従業員60人⁠の部品メーカーが、発注元から「図面の管理体制が分かるものを出してほしい⁠」⁠と言われた場合で考えます。見られているのは技術情報の管理です。個人情報を対象とするPマークでは、問いに正面から答えられません。ISMS認証か、SCS評価制度か、まず取引先の調査票への回答⁠で足りるのかを確かめる順番になります。

同じ会社でも、自社の通販サイトで消費者に直接売る事業を始めるなら、事情は変わります。顧客の氏名や住所を預かるので、Pマークを検討する理由が生まれます。

判断の順番を整理すると、次のようになります。

1. 取引先や入札の条件に、制度名の指定があるか確かめる。あれば、それに合わせる
2. 指定がなければ、相手が何を心配しているかを聞く。個人情報か、技術情報か
3. 消費者向けの信頼を示したいのか、企業間の取引で示したいのかを分ける
4. 急ぎでなければ、認証の前にSECURITY ACTIONの宣言⁠と自社診断で足りない所を見る

クラウドサービスを提供する側の会社で取引先から認証を求められたなら、ISMSの拡張にあたるISO27017の認証が要るかどうか⁠も確かめます。

Pマークの費用はいくら？

2026年10月1日適用の料金表⁠は次のとおりです（税込）。申請日が10月1日以降の申請⁠に適用されます。

合計の内訳は、申請料57,200円⁠、審査料、付与登録料です。付与登録料は2年分です。申請料と審査料は、審査の結果にかかわらず必要です。現地審査の交通費や宿泊費は別に請求されます。

規模の区分は業種で変わります。パンフレットの区分では、製造業は小規模が2〜5人⁠、中規模が資本金5千万円以下または6〜100人⁠、大規模が資本金5千万円超かつ101人以上です。先ほどの60人⁠の部品メーカーなら中規模で、新規は690,800円⁠、以後2年ごとに更新で518,100円です。

社内の担当者の時間と、外部に支援を頼む場合の費用は料金表に入っていません。比べるときは、支援会社の見積もりと社内の工数も足して考えます。支援の候補はセキュリティコンサルの比較に、文書作りを楽にする道具はISMS・Pマーク取得支援ツールの比較にあります。

取得までの流れは？

パンフレットの流れを、実務の順に並べます。

1. 個人情報保護マネジメントシステム（PMS）⁠を構築する。体制と規程を作り、個人情報を特定する
2. 運用する。PDCAサイクルを1回以上実施する
3. 申請する。申請先は業種や所属団体、本社の所在地で決まる
4. 審査を受ける。形式審査、文書審査、現地審査の順で進む
5. 付与適格の決定を受けて、JIPDECと契約する
6. マークの使用を始める。事業者名も公表される

注意したいのは2番です。構築しただけの段階では申請できません。審査では運用の記録を確認するからです。現地審査の標準時間は5〜8時間が目安で、審査員が記録や現場を確かめます。取引先に期限を切られているなら、申請可能な時期を最初に計算してください。

取得後も止まりません。有効期間は2年⁠間で、更新申請は有効期間が終わる8か月前から4か月前までの間に行います。つまり、取得から1年4か月ほど⁠で次の準備が始まります。担当者が1人⁠の会社では、ここで作業が滞りやすいので、社内の年間予定に先に入れておきます。

取得しても、個人情報の事故はゼロにならない

Pマークは体制の評価であり、事故が起きないことの証明ではありません。メールの誤送信や持ち出しへの対策は、別に必要です。

取得を見送る場合でも、棚卸しは無駄になりません。どこに誰の情報があるかが分かれば、アクセス権の見直しや持ち出しの制限を進められます。社外への持ち出しを仕組みで抑えたいなら、DLPの製品比較が検討の入り口になります。

冒頭で書き出した個人情報の一覧と、取引先の文面を並べてみてください。指定がなく、消費者向けの事業も小さいのに、周りが取っているから取る、という理由だけなら、いったん立ち止まって構いません。逆に、消費者の個人情報が事業の中心にあるなら、取引先に言われる前に準備を始める理由は十分にあります。