取引先の第三者認証を公開情報で確認する方法 — 証跡の残し方まで
公開: 2026-07-10 ／ 更新: 2026-08-26
取引先の認証を公開情報で確認する — なぜ、どこまで
個人データの取扱いを委託する場合、委託元には委託先への「必要かつ適切な監督」が求められます（個人情報保護委員会のガイドライン）。取引先の第三者認証を確認することは、この委託先の選定・監督にあたっての判断材料の一つです。認証があること自体が、その取引先の体制が万全であることや、情報漏えいが起きないことを示すわけではない、という前提をまず共有しておきます。
この記事で扱うのは「公開情報だけで、どこまで確認できるか」です。相手にチェックシートを送って回答を求めたり、資料を直接請求したりする方法は、多くの場合より確定的な確認手段で、この記事の範囲とは別の段階になります。公開情報での照会は、その前段として、相手の手をわずらわせずに候補を絞り込むための手順として整理します。
確認できる情報源は大きく2種類
1つ目は「公的な登録名簿」です。ISMS認証（ISMS-AC）・プライバシーマーク（JIPDEC）・ISMAP（ISMAPポータル）は、いずれも運営主体が公開の検索ページを提供しており、登録番号・登録範囲・日付まで確認できます。第三者が運営する名簿は、企業の自己申告と違い、登録の現況（更新・失効）まで運営主体の記録で確認できます。
2つ目は「企業自身の公開情報」です。企業サイトのセキュリティページや Trust Center、プレスリリースには、認証マークや SOC 2 報告書の取得状況などが記載されることがあります。ただしこれらは各社の自己申告で、掲載時点の主張にとどまります。更新漏れや、すでに失効している可能性もあるため、コーポレートサイトにロゴを見つけたら、そのロゴが指す制度を特定し、対応する公式の登録名簿で組織名・登録番号を照合するところまで行うと、更新漏れや失効を見落としにくくなります。
制度ごとに探し方が違う — ISMS／プライバシーマーク／ISMAP
ISO/IEC 27001（ISMS認証）は、ISMS-AC の「認証取得組織検索」で、組織名または登録番号から照合します。表示される所在地や登録範囲まで見ておくと、取り違えや範囲の確認まで一度に進められます。
プライバシーマークは、JIPDEC の「付与事業者検索」で事業者名・登録番号から照合します。対象が個人情報の保護に特化している点が、情報セキュリティ全般を対象とする ISMS と異なります。
ISMAP は、ISMAPポータルの「クラウドサービスリスト」でサービス名・事業者名から照合します。登録はクラウドサービス単位なので、同じ事業者でも登録されているのは特定のサービスであり、その事業者の全サービスが対象になるわけではありません。
「適用範囲（スコープ）」を必ずセットで見る
認証を確認するときに見落としやすいのが「適用範囲」です。認証が全社なのか、一部の部門・拠点だけなのかは、名簿の登録範囲欄で確認できます。会社として認証を持っていても、実際に取引で使う業務・拠点・サービスがその範囲に含まれていなければ、当該取引をカバーしていると読むことはできません。
ISMS認証では「登録範囲（事業・業務・拠点）」、ISMAP では「言明対象範囲（事業者が『この範囲で対応しています』と申告した範囲）」で確認します。プライバシーマークは法人単位の付与で、特定サービス単位の評価ではありません。確認結果は「認証あり／なし」の二値でなく、「どの範囲に対しての認証か」までをセットで記録すると、あとから読み違えられません。
同名の別法人・有効期限 — 真正性を照合する
取り違えを避けるには、組織名だけでなく登録番号での照合が有効です。自己掲示のマークに記載された番号を、公式の登録名簿の番号と突き合わせます。世の中には同名・類似名の別法人が実在するため、所在地や、可能であれば法人番号まであわせて確認すると、取り違えを避けやすくなります。
認証や付与には有効期限があり、定期的な更新審査を経て継続します。期限や更新の周期は制度ごとに異なるため、最新の状態は各公式の名簿で確認してください。企業サイトに掲載されたロゴが最新とは限らないので、現在も名簿に登録されているかを見ます。名簿上で期限を過ぎた表示になっていても、更新手続き中に一時的にそう見えることがあるため、「失効した」と即断せず、状態を確認したうえで記録します。
公式DBで見つからないとき — 未確認と未取得を分ける
公式の名簿で見つからないことは、「取得していない」ことの証明ではありません。ISMS-AC は、検索できない場合の例として、その組織が非公開を希望しているケース（登録組織数と公表組織数の差分がこれにあたります）や、データは届いているが公開処理の前であるケースを挙げています。ほかにも、登録が抹消された、海外の認定機関を経由した認証で国内名簿には現れない、といった理由が考えられます。
そのため、公開情報から確認できなかったときは「未取得」と断定せず、「公開情報では未確認」にとどめ、その旨と、ベンダーへの直接確認が必要である旨を記録します。名簿の表記揺れ（登記名と通称の違いなど）でも見つからないことがあるため、社名の表記を変えて再照会するのも有効です。
SOC 2 は公開名簿がない
SOC 2 には、ISMS やプライバシーマークのような公開の登録名簿・照会ページがありません。報告書は通常、NDA（秘密保持契約）やセキュアなデータルームを通じて直接入手して確認します。また SOC 2 は「認証」ではなく、監査法人（CPA）が一定の規準にもとづいて評価した報告書であり、「SOC 2 認証を取得」という表現は正確ではありません。バッジの自己掲示は第三者名簿で裏取りできないため、報告書の実物で確認します。
入手できた場合に見ておく点として、報告書の種別（ある時点の設計を対象とする Type I か、一定期間の運用を対象とする Type II か）、対象となるシステムの範囲、含まれる評価領域（セキュリティが基本で、可用性や機密性などが追加されているか）があります。
認証は入口の一材料 — これから増える確認手段
第三者認証の確認は、委託先の選定・監督における入口の一材料です。認証を持っていない取引先を一律に評価を下げるのではなく、確認できた事実（どの範囲を・いつ）と、確認できなかった事実（未確認）を分けて記録し、ほかの材料とあわせて判断するのが実務的です。
委託先を起点としたリスクへの関心は高まっており、サプライチェーン全体のセキュリティ対策の水準を第三者が評価する仕組みの整備も、国レベルで進められている段階です（IPA のサプライチェーン・セキュリティ対策評価制度など）。公開情報で確認できる手段は、今後も少しずつ増えていくと見込まれます。
一度きりで終わらせない — 継続と証跡台帳
ここまで見てきたとおり、認証は「その時点」の情報です。有効期限が切れる、更新が漏れる、登録範囲が変わる、登録が抹消される — こうした変化が起こりうるため、一度確認して終わりにすると、時間の経過とともに実態とずれていきます。取引が続く相手ほど、定期的な再確認が必要になります。
そこで役立つのが、確認を「台帳」として積み上げる考え方です。取引先ごとに、情報源（名簿名・URL）・確認日・確認できた範囲・状態（公式で確認できた／自己申告のみ／公開情報では未確認）を区別して残し、再確認のたびに履歴を重ねます。こうしておくと、稟議や監査で問われたときに、いつ・どこで・何を確認したかを証跡つきで示せます。この台帳は表計算ソフト1枚でも運用でき、まずは手作業で始められます。
手作業での照会や再確認が負担になる場合の選択肢として、uratori があります。この「公的名簿と企業公式サイトの照会 → 証跡URL・確認日つきの記録」を自動化し、判定は5区分（公式確認／公開記載＝自己申告／要ベンダー確認／公開情報では未確認／失効・取消）で、確認できなかったものを「未取得」と断定しない設計にしています。1社ずつのスポット調査は登録不要・無料です。保存した取引先の定期的な再確認は、無料プランでも5社まで。それ以上は有料プランで利用できます。