Pマークとisms（ISO27001）の違いは？どちらを取るべきかを目的別に解説

Pマークとisms（ISO27001）の違い：ひと目でわかる比較表

プライバシーマーク（以下、Pマーク）とISMS認証は、どちらも「情報をきちんと管理している会社」であることを第三者が確認する仕組みです。ただし、守る対象や制度の成り立ちが違います。

出典：トレンドマイクロ「ISMSとPマークの違い」、JIPDEC「付与事業者数」、ISMS-AC発表（財経新聞）

違い1：守る対象

Pマークは個人情報を対象にした制度です。個人情報の取得・利用・提供のルール、本人からの開示などの請求への対応、苦情・相談の窓口など、個人情報保護法とも関わりの深い事項を細かく求めます。

ISMSは、個人情報に限らず、顧客の機密情報、技術情報、システム、紙の書類などの情報資産全般を対象にします。機密性（見られてはいけない人に見られない）、完全性（正確で改ざんされていない）、可用性（必要なときに使える）の3つを守る仕組みです。

違い2：取得する単位と範囲

Pマークは原則として会社全体で取得します。一部の部門だけで取ることはできません。

ISMSは、全社でも、特定の部門・拠点・サービスだけでも取得できます。たとえば「クラウドサービス事業部だけ」で取得することも可能です。そのぶん、取引先に「全社で取得していますか」と聞かれたときは、適用範囲を正確に答える必要があります。

違い3：審査の頻度と費用

Pマークは2年ごとの更新審査、ISMSは毎年審査があります。費用の目安は次のとおりです。

• Pマーク：JIPDECの料金表で決まる。新規は小規模336,600円、中規模690,800円（税込・2026年10月改定後）。サービス業は従業者6名以上で中規模（出典：JIPDEC「申請料金」）
• ISMS：認証機関ごとの見積り。公開事例では23名・1拠点で初回約55万円、維持審査約19万円、更新審査約33万円（出典：ISSOH「ISMS審査費用」）

詳しくは「Pマーク取得の費用」「ISMS認証取得の費用と期間」をご覧ください。

違い4：対策の決め方

Pマークは、指針が求める事項を基本的にすべて満たす考え方です。

ISMSは、リスクアセスメントの結果に応じて、附属書Aの93の管理策から必要なものを選び、選んだ理由・選ばなかった理由を適用宣言書（SoA）にまとめます。自社の事業に合わせて対策を選べる一方、その判断を説明できることが求められます。書き方は「適用宣言書（SoA）の書き方」で解説しています。

違い5：準備の進め方と社内の負担

どちらも「方針と規程を作る→運用する→教育・内部監査・マネジメントレビューを行う→審査を受ける」という流れは同じです。準備開始から取得までは、Pマークは準備を含めて6か月〜1年、ISMSも6か月〜1年程度が一般的とされています。

社内の負担で違いが出やすいのは次の点です。

• Pマーク：社内で扱う個人情報をすべて洗い出して台帳にし、業務ごとにリスク分析を行います。同意書やWebフォームの表示、開示等の請求への対応手順など、本人とのやりとりに関わる準備が多くなります。
• ISMS：情報資産台帳（紙・PC・クラウドサービスなども含む）を作り、リスク基準を決めてリスクアセスメントを行い、93の管理策の採否を適用宣言書にまとめます。毎年審査があるため、毎年の運用記録が欠かせません。

また、審査の仕組みも異なります。Pマークは現地審査に従業者以外（コンサルなど）が立ち会えないとJIPDECが定めています。どちらの制度でも、経営者や担当者が自分の言葉で説明できる状態にしておくことが大切です。

どちらを取るべきか：判断の順番

1. まず取引先・入札の要求を確かめる

一番大事なのは、取引先や入札の条件で何を求められているかです。「Pマークまたは ISMS」と書かれていることもあれば、どちらかを指定されることもあります。営業担当や取引先の窓口に、どちらが必要か・どちらでもよいかを確かめましょう。

2. 指定がなければ、事業の中身で考える

一般に、次のように考えると整理しやすくなります（当サイトによる目安です）。

Pマークが向いている会社

• 一般消費者向けの事業で、個人情報を多く扱う（通販、教育、人材紹介、医療・介護 など）
• 取引先から個人情報の処理を受託している（DM発送、コールセンター、事務代行 など）
• 消費者に「個人情報をきちんと扱う会社」と示したい

ISMSが向いている会社

• 法人向けのITサービス・クラウドサービス・システム開発を提供している
• 海外の取引先がある、または国際規格での説明が必要
• 個人情報に限らず、取引先の機密情報や技術情報を多く扱う
• 特定のサービスや部門だけで先に取得したい

3. 両方取る場合

両方を取得する会社もあります。文書管理・教育・内部監査・マネジメントレビュー・是正処置・委託先の管理・事故対応・入退室やアカウントの管理などは共通する部分が多く、内部監査や教育を一体で計画するのが現実的とされています（出典：ISSOH「Pマークとisms両方取得」）。

一方、Pマーク固有の事項（利用目的の明示と同意、開示等の請求への対応、苦情・相談の窓口など）と、ISMS固有の事項（適用範囲、利害関係者、適用宣言書、情報セキュリティ目的の監視・測定など）は、それぞれ準備が必要です。

よくある勘違い

• 「ISMSを取ればPマークは要らない」：取引先がPマークを指定している場合は代わりになりません。要求を確かめましょう。
• 「Pマークは一部の部署だけで取れる」：Pマークは原則として法人単位です。部門単位で取れるのはISMSです。
• 「どちらも文書を作れば取れる」：どちらも、文書どおりに運用し、教育・内部監査・マネジメントレビューを実際に行った記録が必要です。

セキュカクでできること

セキュカクでは、Pマーク（1社49,800円）とISMS（1社79,800円）の文書一式を、質問に答えるだけでAIが自社用に作ります（税込）。どちらが向いているか迷う場合も、まず無料の準備度診断で、今の状態と足りないものを確かめられます。取引先から届くセキュリティチェックシートの回答作成にも使えます。