Pマーク・ISMS取得の費用相場と中小企業が実際にやるべきIT対応

Pマークは個人情報の取り扱いに関する認証、ISMS（ISO 27001）は組織の情報セキュリティ管理体制全般に関する国際規格の認証であり、対象範囲がそもそも異なる。費用は規模やコンサル利用の有無で大きく変わるが、Pマークは新規取得で総額50万〜150万円程度、ISMSは審査機関や事業範囲によって80万〜300万円程度が一つの目安である。まずはこの違いと相場感を押さえた上で、自社に必要かどうかを判断していきたい。

どちらも「情報を安全に管理している」ことを外部に示す認証制度だが、目的も範囲もかなり異なる。Pマークは日本の一般財団法人日本情報経済社会推進協会（JIPDEC）が運営する国内制度で、個人情報保護の仕組みが会社全体にきちんと根付いているかを審査する。一方ISMSは国際規格ISO/IEC 27001に基づく認証で、個人情報に限らず、技術情報や取引先の機密情報なども含めた情報資産全般の管理体制を評価する。海外取引がある企業や、情報システム開発を受託する企業ではISMSを、BtoCで個人情報を大量に扱う企業ではPマークを求められる傾向がある。両方を取得する企業も少なくない。

費用は大きく「外部に支払う費用」と「社内で発生する工数（人件費）」の2つに分かれる。外部費用は審査機関への申請料・審査料が中心だが、多くの中小企業は自力での書類整備が難しいため、コンサルティング会社に伴走支援を依頼するケースが多い。このコンサル費用が総額の中でも大きな割合を占めやすい点は事前に理解しておきたい。社内工数については、規程類の整備や従業員教育、監査対応などに数百時間規模の工数がかかることも珍しくなく、これを外部に見える「費用」として意識できていない企業が多い。

中小企業がPマークやISMSを検討する最大のきっかけは、多くの場合「取引先から求められたから」である。大企業や官公庁との取引では、委託先の情報セキュリティ体制を審査する動きが年々強まっており、取引先のセキュリティチェックシート対応を求められた結果、認証取得を検討し始める企業も多い。認証がなくても取引自体が不可能とは限らないが、チェックシートの回答負担が毎回発生する、新規の大口案件で足切り条件になる、といった実務上のハードルは無視できない。取得は目的ではなく、あくまで取引を円滑にするための手段として位置づけて判断するのが現実的である。

- 現状把握（1〜2ヶ月）: 個人情報や情報資産の洗い出し、現在の管理状況の棚卸しを行う
- 規程・体制整備（2〜4ヶ月）: 個人情報保護方針や情報セキュリティ規程、各種マニュアルを整備し、責任者を任命する
- 従業員教育の実施: 全従業員向けの教育を実施し、記録を残す（審査で必ず確認される項目）
- 内部監査・是正: 整備した仕組みが実際に機能しているかを内部監査で確認し、不備があれば是正する
- 本審査: 審査機関による書類審査・実地審査を受ける
- 認証取得: 是正事項への対応後、認証が付与される
- 準備開始から取得まで、全体で半年〜1年程度かかるのが一般的である

認証取得の過程で最も工数がかかるのが、実はIT面の実装である。規程を作るだけでは審査を通過できず、それが実際の業務で運用されている証跡が必要になる。中小企業が特につまずきやすいのは以下のような項目である。

- アクセス権限の管理: 誰がどの情報にアクセスできるかを整理し、退職・異動時に速やかに権限を削除する運用を確立する
- 多要素認証（MFA）の導入: メールやクラウドサービスへのログインに多要素認証を設定し、パスワードの使い回しを防止する
- ログの取得・保管: 誰がいつどの情報にアクセスしたかを一定期間記録できる体制を整える
- PC・スマートフォンの管理: 貸与端末のOSアップデート状況やウイルス対策ソフトの導入状況を一覧で把握する
- 委託先管理: 外部に業務委託している場合、委託先の情報管理体制も確認・契約に反映する必要がある
- バックアップ体制: 重要データの定期バックアップと復旧手順の整備

これらは認証取得の有無にかかわらず、中小企業のITリスク対策ガイドで解説しているような基本的なセキュリティ対策と重なる部分が多い。認証をきっかけに社内のIT体制を見直す、という順番で取り組む企業も実際には多い。

- 今後1〜2年で取引先から求められる可能性が低い場合: 無理に取得を急がず、まずは基本的なIT対策の底上げを優先する選択肢もある
- 個人情報を大量に扱わず、システム受託開発も行わない場合: Pマーク・ISMSどちらの必要性も相対的に低い
- 社内にIT・総務の専任担当者がいない場合: 認証維持のための継続的な運用工数を確保できるかを先に検討する
- 同業他社や主要取引先の動向: 業界内で認証取得が事実上のスタンダードになりつつあるかどうかも判断材料になる
- 費用対効果: 認証取得によって見込める新規取引の規模と、取得・維持費用を比較して判断する

- 規程だけ作って運用が伴っていない: 審査直前だけ体裁を整え、日常業務では規程通りに運用されていないケースが最も多い失敗パターンである
- コンサル任せにして社内に知見が残らない: 初回取得はコンサルに依存できても、更新審査や日常運用は自社で回す必要がある
- 社内工数を見積もりに入れていない: 外部費用だけで予算を組み、従業員の稼働時間を考慮しておらず現場の負担が想定以上に大きくなる
- IT部門だけの取り組みになってしまう: 情報セキュリティは全社の取り組みであり、経営層・各部門の関与がないと審査で指摘を受けやすい
- 取得後の見直しをしない: 認証は取って終わりではなく、事業内容の変化に合わせて規程やIT対策を継続的に見直す必要がある

PマークとISMSは対象範囲も費用感も異なる別の制度であり、まずは自社がどちらを必要としているのか、あるいは今は必要としていないのかを見極めることが出発点になる。取得を決める場合も、外部費用だけでなく社内工数を含めた実質的なコストを見積もった上で判断したい。そして認証の有無にかかわらず、アクセス権限管理や多要素認証、ログ管理といった基本的なIT対策は、情報セキュリティを守るための土台として、早い段階から整えておく価値がある。