【どちらを取得すれば良い？】PマークとISMS認証の違い

ISO27001（ISMS認証）とプライバシーマーク（Pマーク）の違いとは？

どちらを取得すればよいかを解説していきます。

1つ目　「規格の違い」

　よく、ISMS認証とPマークは同じ規格と認識したり、Pマークの発展形がISMSであると認識される方がいらっしゃいますがこの2つは全く別の規格です。

　まずISMSは、別名ISO27001という名称からもわかるように、日本独自の規格ではなく国際基準規格になりますので、ISMSを取得することは日本国内のみならず海外にも通用するということになります。

　一方Ｐマークはというと、日本工業規格JISQ15001のみで、国際規格ではなく、日本独自の規格になります。国外の相互承認団体があるとはいえ、Ｐマークはあくまで国内を拠点にしている企業を対象とした規格なのです。

　そのため判断基準の1つとして、自分たちの会社の拠点が国内だけなのか、海外にも拠点があるのかという点が挙げられます。

次に「規格の対象の違い」

　ISO27001（ISMS認証）は適用範囲内の個人情報を含めた情報資産すべてを保護を対象としています。

　一方でPマークは企業全体の個人情報のみが保護の対象です。

そのため、顧客の名前や住所といった個人情報はISMSとPマークどちらも保護の対象としていますが、企業の財務情報や仕事のマニュアルといったような個人情報以外の情報も保護対象となるのはISMSになります。

　自分たちの会社が保護したい情報が個人情報だけなのか、個人情報以外の情報も保護したいかという点が判断基準になります。

次に「取得可能範囲の違い」

　ISMS認証は、その規格の適用範囲を企業全体だけでなく、1つの部署や支店に限定することができます。

　そのため、機密情報をあまり扱わない部署などを除いて取得するといった、ある程度の事由が効くようになります。

　一方でPマークの適用範囲は企業全体と規格で決められています。

そのため、ISMSとは違い、たとえ個人情報に関してあまり取り扱わない支店や部署があったとしても、Pマークの対象からは外すことが出来ません。

次に「要求の違い」

　ISMS認証は仕組みづくりや体制づくりが求められてますが、手順については決められておらず、取得する企業に合わせてルールや文書を作成することができます。

　一方Pマークでは個人情報を保護するための手順や作成する文書が規格によって決められています。

　そのため、それらすべてを守る必要があり、Pマークを取得した起業はたとえ大企業であっても中小企業であっても、そのルールや文書に大きな違いはありません。

次に「セキュリティ対策の違い」

　ISMS認証はセキュリティ対策に関してもある程度の事由があります。ISMSの規格の中では114の具体的な管理策から組織の規模、保有する情報資産、費用対効果などを考慮しながら選択することが出来ます。

　そのためセキュリティ対策に関しても企業毎で内容は大きく変わります。

　一方Pマークは前述したように、手順についてはすべて画一的に決められていますので、セキュリティ対策についても合理的な安全対策のための手順も決まっています。

　たとえば、事務所玄関やサーバー室などセキュリティを保つべき場所に対して入退室管理をしなければならないといったようなことです。

最後に「審査の違いとそれに伴う費用の違い」

ISMSとPマークで審査の種類や頻度が違います。

　Pマークは取得審査後、2年に1度の更新審査があります。

　一方ISMSは取得審査後、3年に1回の更新審査とそれ以外の年は毎年維持審査を受ける必要があります。

　Pマークは原則、審査機関を選ぶことが出来ず、登記簿上の本拠所在地を管轄する審査機関にしか申請ができません。

　ただし、取得時や更新時の審査費用は企業の規模によって変わりますが、費用は一律で決められており、審査機関によっての違いはありません。中規模の会社であれば、認証取得の審査で約60万円、更新審査で約45万円の費用がかかることになります。

　その一方でISMS認証は審査機関を選択することが出来、審査機関によって審査費用が変わってきます。

　そのため、複数の審査機関見積もりを取り、金額等を考慮して審査機関を選択することが可能です。

　その費用は審査機関や取得する企業の規模によって変わりますが、取得審査で50～100万円、維持審査は認証登録時の約3割ほどと言われています。

しっかりと比較して、取得を検討してみてはいかがでしょうか。

関連記事