ISO/IEC 27001（ISMS）とプライバシーマークの違い — 取引先確認での読み方
公開: 2026-07-10 ／ 更新: 2026-08-26
2つの制度は「対象」が違う
ISO/IEC 27001（ISMS認証）は、情報セキュリティマネジメントシステムの要求事項を定めた国際規格への適合を、第三者の認証機関が審査する制度です。情報資産全般の管理体制が対象で、認証は組織・事業所などの単位で登録されます。日本では一般社団法人情報マネジメントシステム認定センター（ISMS-AC）が認定機関（企業を審査する認証機関を、認定・監督する立場）として制度を運営し、認証取得組織の検索（公開名簿）を提供しています。
プライバシーマークは、一般財団法人日本情報経済社会推進協会（JIPDEC）が運営する制度で、個人情報保護マネジメントシステムを対象とします。付与は法人単位で、対象が「個人情報」に特化している点が ISMS と異なります。付与を受けている事業者は JIPDEC の「付与事業者情報」で公開されており、社数などの最新の状況もそこで確認できます。
表記の揺れをどう読む — ISMS／ISO 27001／Pマーク
企業サイトでは「ISO 27001 取得」「ISMS認証取得」という2つの書き方が混在しますが、これらはほぼ同じことを指します。ISMS認証とは、ISO/IEC 27001 への適合を第三者の認証機関が審査した結果だからです。名簿で照会するときは、どちらの表記でも同じ ISMS-AC の認証取得組織検索を見ます。
「Pマーク」と「プライバシーマーク」は、同じ制度の略称と正式名の違いにすぎません。名簿を探すときは事業者名で照会します。呼び方の違いに惑わされず、運営主体の公開検索で実体を確認するのが基本です。
公開名簿のどの欄を見るか
どちらの制度も、運営主体が公開の検索ページ（登録名簿）を提供しています。ISMS認証取得組織検索では、組織名のほか、部門名・登録範囲・認証登録番号・認証機関・所在地などが確認できます。会社名の一致だけで判断せず、登録番号での照合や、表示される部門名・登録範囲まで見ると、取り違えや範囲の確認を一度に進められます。
プライバシーマークの付与事業者検索では、事業者名・登録番号・所在地から照合します。登録番号に付く枝番は付与（更新）を受けた回数を表すもので、等級や優劣を示すものではありません。同名・類似名の別法人を避けるため、事業者名だけでなく所在地、可能であれば法人番号まであわせて確認すると、取り違えを避けやすくなります。
適用範囲（スコープ）を必ずセットで見る
ISMS認証は組織・事業所・事業の単位で登録されます。そのため、会社名が名簿にあっても、取引で実際に使う部門・拠点・サービスが登録範囲に含まれているかは、「部門名」「登録範囲」の欄で確認する必要があります。会社名の一致だけで「全社で取得している」と読まないことが大切です。
公開名簿には、どの管理策を採用しているか（適用宣言書の中身）までは載りません。そこまで確認が必要なら、公開情報の外＝相手への直接確認の段階になります。確認結果は「認証あり／なし」の二値でなく、「どの範囲に対しての認証か」までをセットで記録しておくと、あとから読み違えられません。
「両方ある」「片方だけ」をどう読む
取引先には、両方を持つ相手、ISMSだけの相手、プライバシーマークだけの相手がいます。どれが上ということではなく、確認したい対象に合う制度を見る、という選び方が実務的です。個人情報の取扱いを預ける取引なら個人情報を対象とする制度を、情報資産全般の管理体制を見たいなら情報セキュリティ全般を対象とする制度を見ます。
片方しか見当たらないことを、それだけで問題視する必要はありません。確認できた事実（どの制度を・どの範囲で・いつ）と、確認できなかった事実（未確認）を分けて記録し、ほかの材料とあわせて判断します。
有効期限と更新 — 「その時点」の情報として読む
認証や付与には有効期限があり、更新審査を経て継続します。たとえばプライバシーマークは有効期間が2年で、以降も2年ごとの更新で継続し、更新の申請は有効期間の終わりに向けて所定の時期に行うことになっています（詳細は JIPDEC の更新申請の案内で確認できます）。ISMS認証とは対象だけでなく更新の周期も異なるため、次の更新時期や現況は各公式の名簿で確認してください。
名簿の状態は更新サイクルの途中でありうるため、期限を過ぎた表示に見えても、更新手続き中に一時的にそう見えることがあります。「失効した」と即断せず、有効期間と確認日を記録しておきます。
自己掲示のロゴだけで判断しない
相手から提示されたロゴ画像や証明書の写しだけで判断せず、運営主体（ISMS-AC／JIPDEC）の公開検索で組織名・登録番号を突き合わせ、現況を確認します。掲示は古いことも、掲載時点の自己申告にとどまることもあるためです。
公開検索で見つからないことは、「取得していない」ことの証明ではありません。名簿の表記揺れ（登記名と通称の違いなど）で見つからないこともあるため、社名の表記を変えて再照会し、それでも確認できなければ「未取得」と断定せず「公開情報では未確認」と分けて記録します。なお、同じ第三者評価でも、公開名簿で有無を確認できる制度と、公開名簿のない仕組み（SOC 2 など）があります。制度を横断した確認手順は、姉妹記事「取引先の第三者認証を公開情報で確認する方法」で扱っています。
一度きりにしない — 認証は時点情報、証跡を台帳に残す
ここまでの読み方（範囲・登録番号・有効期限）は、いずれも「その時点」の確認です。期限切れ・更新漏れ・範囲変更・取消や一時停止で実態はずれていくため、取引が続く相手ほど、定期的な再確認が必要になります。
そこで役立つのが、確認を「台帳」として積み上げる考え方です。取引先ごとに、情報源（名簿名・URL）・確認日・確認できた範囲・状態（公式で確認できた／自己申告のみ／公開情報では未確認）を区別して残し、再確認のたびに履歴を重ねます。稟議や監査で問われたときに、いつ・どこで・何を確認したかを証跡つきで示せます。この台帳は表計算ソフト1枚でも運用でき、まずは手作業で始められます。
手作業での照会や再確認が負担になる場合の選択肢として、uratori があります。「公的名簿と企業公式サイトの照会 → 証跡URL・確認日つきの記録」を自動化し、判定は5区分（公式確認／公開記載＝自己申告／要ベンダー確認／公開情報では未確認／失効・取消）で、確認できなかったものを「未取得」と断定しない設計にしています。1社ずつのスポット調査は登録不要・無料です。保存した取引先の定期的な再確認は、無料プランでも5社まで。それ以上は有料プランで利用できます。