「セキュリティの認証を取ろう」という話が社内で立ち上がったとき、最初に分かれ道になるのが ISMS（ISO/IEC 27001） と プライバシーマーク（Pマーク） のどちらを目指すかです。どちらも情報の取扱いに関する第三者認証であり、外形的には似て見えます。しかし、守る対象も、適用範囲の決め方も、維持のサイクルも違います。
判断を誤りやすいのは、「両方セキュリティの認証だから、取りやすいほうでいい」と考えてしまうケースです。取引先が求めているのが情報セキュリティ体制全般の証明なのにPマークを取れば、結局あとからISMSを求められます。逆に、扱っているのがほぼ個人情報だけで、国内のBtoC向けに信頼を示したいのであれば、ISMSが最適解とは限りません。
本記事では、両者の違いを守る対象・適用範囲・審査頻度・認知度の4軸で整理し、ヘルスケア事業者としての判断基準を提示します。ISMSそのものの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。ISMSについては ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が、プライバシーマークについては付与機関（JIPDEC）および審査機関の公表資料が正本です。制度の詳細は改定され得るため、実際の判断は一次情報でご確認ください。
制度としての位置づけが違う
まず、両者がそもそも何を根拠にした制度なのかを押さえます。
ISMS（ISO/IEC 27001） は国際規格に基づく認証制度です。組織が情報セキュリティのマネジメントシステムを確立・運用していることを、第三者の審査機関が確認します。日本語版は JIS Q 27001、国内の認定機関は ISMS-AC（情報マネジメントシステム認定センター） です。国際規格であるため、海外の取引先にも通じます。
プライバシーマーク は、日本国内の制度です。個人情報保護マネジメントシステムの規格 JIS Q 15001 への適合性を評価し、基準を満たした事業者にマークの使用を認めます。付与機関は JIPDEC（一般財団法人日本情報経済社会推進協会） で、審査は指定された審査機関が行います。日本国内での認知度が高く、消費者向けのサイトや名刺・パンフレットでマークとして掲示できるのが特徴です。
この時点で、すでに使いどころの違いが見えます。ISMSは「体制を説明する」ための認証、Pマークは「マークで示す」ための制度という性格の差があります。
守る対象の違い
最も本質的な差です。
| ISMS（ISO/IEC 27001） | プライバシーマーク | |
|---|---|---|
| 守る対象 | 情報資産全般（個人情報を含む） | 個人情報 |
| 含まれるもの | 顧客データ、技術情報、ソースコード、契約情報、経営情報、システムの可用性など | 個人を識別できる情報の取得・利用・提供・保管・廃棄 |
| 中心となる考え方 | 機密性・完全性・可用性のバランスをリスクで判断する | 個人情報の適正な取扱いを、取得から廃棄までのライフサイクルで管理する |
| 典型的な論点 | アクセス制御、ログ、脆弱性管理、委託先管理、事業継続 | 利用目的の特定と通知、同意取得、開示等の請求対応、委託先の監督 |
ここで注目したいのが 可用性 の扱いです。ISMSは「情報が使えなくなること」もリスクとして扱います。ランサムウェアでシステムが止まる、クラウドの障害でサービスが提供できない——こうした事象はISMSの守備範囲に入りますが、個人情報保護の枠組みからは直接は導かれにくい論点です。
医療情報システムを提供する事業者にとって、この差は小さくありません。 電子カルテやPHRが止まることは、それ自体が医療提供に影響する事象です。可用性を含めたリスク管理を説明できる枠組みが必要になります。医療機関側がベンダーに何を求めているかは ベンダーへのセキュリティチェックシート を、責任の切り分けは 責任分界点の決め方｜医療機関と事業者 をご覧ください。
なお、個人情報保護法への対応そのものは、Pマークを取らなくても必要です。Pマークは法令遵守を含むマネジメントシステムを評価する制度であって、Pマークがないと個人情報を扱えないわけではありません。
適用範囲の考え方 ― 部門単位で取れるか
実務上、最も判断に効く違いがここです。
ISMSは適用範囲を組織的に区切って定義できます。 「本社の◯◯事業部が提供する△△サービスの開発・運用」といった形で範囲を定め、その範囲について認証を受けることが可能です。したがって、
- まず主力サービスの開発・運用部門だけで取得し、後から範囲を広げる
- 医療機関向け事業だけを対象に取得する
- 特定の拠点・データセンターを含める／含めない
といった設計ができます。範囲の広さは審査工数と文書量、つまり費用に直結するため、「取引先が求めている範囲」に絞れることは実務上大きな利点です。範囲設計の考え方は ISMS適用範囲の決め方、ヘルスケア固有の論点は ヘルスケア企業のISMS適用範囲設計 にまとめています。
一方でプライバシーマークは、事業者単位（法人全体）での付与が原則です。 特定の部門だけを対象にして取得することは想定されていません。これは制度の目的から見れば当然で、「この会社は個人情報を適切に扱う」というマークを掲示する以上、一部門だけが適合している状態では意味をなさないためです。
この差は、次のような場面で効いてきます。
| 状況 | ISMS | Pマーク |
|---|---|---|
| 複数事業のうち1つだけで認証が必要 | 当該事業に限定して取得可能 | 全社での対応が必要 |
| グループ会社の一部だけ対象にしたい | 法人・範囲の定義次第で可能 | 法人単位での取得が基本 |
| 短期間・低コストで始めたい | 範囲を絞ることで調整しやすい | 全社対応のため圧縮しにくい |
| 全社的な個人情報の取扱い水準を示したい | 範囲外の説明が必要になる | 制度の目的に合致 |
「全社を巻き込めるか」 が、実質的な分岐点になることが少なくありません。
審査の頻度と維持のサイクル
取得後に何が続くのかも、判断材料として重要です。
| ISMS | Pマーク | |
|---|---|---|
| 初回 | 1次審査（文書審査）→ 2次審査（実地審査） | 文書審査 → 現地審査 |
| 維持 | 毎年のサーベイランス審査（維持審査） | 付与の有効期間中は原則として定期審査なし |
| 更新 | 3年ごとの更新審査（再認証） | 2年ごとの更新審査 |
| 認証の有効期間 | 3年（毎年の維持審査が前提） | 2年 |
（※有効期間・審査の運用は制度の改定や付与機関・審査機関の運用により変わり得ます。要一次確認）
ISMSは毎年、Pマークは2年ごとというのが大きな違いです。年次の負荷はISMSのほうが高く見えますが、見方を変えれば、ISMSは毎年の内部監査とマネジメントレビューが制度側から強制されるため、運用が途切れにくいとも言えます。Pマークは更新間隔が長いぶん、2年目に運用が緩みやすい構造があります。
ISMSの維持審査で何を見られるかは サーベイランス審査（維持審査）の準備、3年目の更新は 更新審査（3年目）の準備 をご覧ください。費用が3年サイクルでどう発生するかは ISMS取得費用の全体像｜コンサル費・審査費・社内工数 にまとめています。
認知度 ― 誰に見せるための証明か
両者は「見せる相手」が違います。
Pマークの強みは、一般消費者に対する視認性です。 マークとして掲示でき、国内では広く知られています。BtoCサービスのフッターに掲示する、採用や広報で使う、といった用途では効果があります。
ISMSの強みは、事業者間の調達における通用性です。 国際規格であるため海外取引でも説明でき、認証書と適用範囲、適用宣言書（SoA）を提示して**「何を対象に、どの管理策を、なぜ採用しているか」を具体的に説明できる**のが特徴です。BtoBの調達では、マークの有無より中身の説明が求められます。
実務上よくあるのは、取引先の要求文言が曖昧なケースです。「セキュリティ認証を取得していること」とだけ書かれている場合、次のように確認するのが確実です。
- 要求の根拠は何か（自社の調達規程か、その先の顧客の要求か）
- 求めているのは個人情報の取扱いの証明か、情報セキュリティ体制全般の証明か
- 認証書のほかに、適用範囲やSoAの提示を求められるか
- 認証がない場合、チェックシート対応で代替可能か
最後の項目は重要です。認証が必須ではなく、セキュリティチェックシートへの回答で足りる場合もあります。その比較は ISMS認証を取らない選択肢｜チェックシート対応との比較、調達要件としての扱われ方は ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達 で扱っています。
ヘルスケア事業者の判断基準
以上を踏まえ、判断軸を表にまとめます。
| 判断軸 | ISMSが向くケース | Pマークが向くケース |
|---|---|---|
| 主な取引相手 | 医療機関・製薬企業・自治体・企業（BtoB） | 一般消費者（BtoC） |
| 求められている証明 | 情報セキュリティ体制全般 | 個人情報の適正な取扱い |
| 扱う情報 | 診療データ、臨床情報、システム、技術情報など幅広い | ほぼ個人情報に限られる |
| 可用性の重要度 | 高い（システム停止が事業・医療提供に影響する） | 相対的に低い |
| 適用範囲 | 特定事業・部門に絞りたい | 全社で対応できる／全社で示したい |
| 海外展開 | ある（国際規格として通用する） | 国内中心 |
| 業界ガイドライン | 3省2ガイドライン対応の土台にしたい | 直接の接続は限定的 |
| 維持の体制 | 毎年の内部監査・レビューを回せる | 2年ごとの更新に合わせて運用する |
ヘルスケア領域でBtoBの事業を営むのであれば、基本線はISMSです。 理由は3つあります。
- 取引条件として指定されるのがISMSであることが多い。医療機関は3省2ガイドラインへの対応を求められる立場にあり、委託先にも同等の管理水準を求める構造が働きます
- 守る対象が個人情報に限られない。診療データだけでなく、システムの可用性、技術情報、委託先管理までが論点になります
- 他の制度の土台になる。ISO 27017（クラウド）、ISO 27701（プライバシー情報）はいずれもISMSを前提に積み上げる構造です。3省2ガイドライン対応の文書も、ISMS文書を起点にすると効率よく整備できます
一方、PHR事業者のようにBtoCで個人情報の取扱いが事業の中心にある場合は、判断が変わり得ます。この領域は個人情報保護法との関係整理が先に必要になるため、PHR事業者のISMS｜個人情報保護法との関係 を参照してください。
両方取るという選択、その前に
「両方取るべきか」という質問もよく受けます。実際に両方を保持している事業者は存在しますが、維持の負荷は単純に足し算になります。 文書体系が二重になり、審査の日程も別々に発生します。
検討する価値があるのは、次のような場合です。
- BtoCサービスとBtoB事業の両方を持ち、それぞれで求められる証明が異なる
- 全社的な個人情報の取扱い水準をマークで示しつつ、特定事業ではISMSで体制を説明する必要がある
ただし、順序としてはまず一方を取り、運用が安定してからもう一方を検討するのが現実的です。同時取得は構築期間中の社内負荷が跳ね上がります。
また、「個人情報保護をISMSの枠組みで強化したい」だけであれば、Pマークではなく ISO 27701（PIMS） という選択肢もあります。これはISMSの拡張として位置づけられる規格で、ISMSの文書体系の上に積み上げられます。詳しくは ISO 27701（PIMS）とは｜個人情報保護とISMSの接続 をご覧ください。クラウドサービス提供者であれば ISO 27017・27018とは｜クラウド向けの追加認証 も検討対象になります。
なお、米国企業との取引やSaaSの海外展開では、ISMSでもPマークでもなく SOC 2 を求められることがあります。制度の性質がまったく異なるため、ISMSとSOC 2の違い｜海外取引・SaaS事業者の選択 を参照してください。
まとめ
- ISMSは情報資産全般を対象とする国際規格の認証、Pマークは個人情報を対象とする国内の制度。守る範囲がそもそも違う
- ISMSは適用範囲を事業・部門単位で定義でき、Pマークは事業者単位が原則。全社を巻き込めるかが実質的な分岐点になる
- 維持サイクルは ISMSが毎年の維持審査＋3年ごとの更新、Pマークが2年ごとの更新（運用は要一次確認）。ISMSは運用が途切れにくい反面、年次負荷が高い
- 認知度は、Pマークが消費者向けの視認性、ISMSがBtoB調達での通用性。取引先の要求文言が曖昧なときは、個人情報の証明か体制全般の証明かを確認する
- ヘルスケアのBtoB事業者はISMSが基本線。可用性を含む管理を説明でき、3省2ガイドライン対応や他の認証の土台にもなる
- 両方取ることは可能だが維持負荷は加算される。個人情報保護を強化したいだけならISO 27701という選択肢もある
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。「どちらを取るべきか」「取引先の要求は何を指しているのか」という判断の段階からご相談いただけます。適用範囲の設計、規程・台帳・教材のひな形提供、進行管理、内部監査まで一貫してお引き受けします。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。制度選択のご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会（JIPDEC）
- 個人情報保護委員会
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※両制度の要求事項、有効期間、審査の運用は、規格本文および認定機関・付与機関・審査機関の公表資料をご確認ください。制度は改定され得ます。本記事中の有効期間・審査頻度に関する記述は一次情報での確認を推奨します。