ISMSとPマークについて整理してみた

タフスは2008年から「ISMS（情報セキュリティマネジメントシステム」の認証を取得していますが、情報セキュリティ対策としては「Pマーク」という選択肢もあります。

でも、「具体的な違いは何？どっちを選べば？どっちが良いの？」という疑問を持つ人も多いのではないでしょうか？

そこで、ISMSに10年以上関わってきた情報セキュリティ担当者の私が、この2つの違いをポイントを絞って分かりやすく整理してみようと思います！

1. 保護対象

ISMSでの保護対象は「企業又は組織が扱う全ての情報資産（個人情報含む）」ですが、Pマークは「企業が扱う個人情報」を主な対象としています。

そのためPマークでは、機密情報や業務データなど企業活動で重要となるデータについては、対象外となっています。

ISMSとPマークでは、目的及び要求事項が異なり、そもそもその元となる思想自体に違いがあります。

ISMSは、「情報セキュリティリスクの管理」を主な目的とし、情報資産の「機密性・完全性・可用性」を維持するための体制を確立することに重点を置いています。

一方でPマークは、「個人情報のプライバシー権の保護」を目的としており、情報セキュリティ対策に加え、不必要な情報の収集防止や保有期間の適切な管理など、個人情報の適切な取り扱いを重視しています。

両者に共通するのは、「個人情報の情報セキュリティ」部分になります。

思想の違いから、セキュリティ対策のアプローチにも違いがあります。

ISMSでは、組織自らリスク評価を行い必要な情報セキュリティ対策を決定・策定します。　一方、Pマークでは規定された手順に従うことが求められます。

そのため、ISMSは組織にあった柔軟な管理策を構築できますが、負担が大きくなる傾向があり、Pマークは規定に従う標準的な対策をすればよいので、導入ハードルは低くなります。

特にISMSでは、PDCAサイクルの有効性と実効性が問われます。計画した対策を実行し、その効果を評価・改善し続けることが求められ、単なる計画で終わらせることはできません。

このように整理すると、ISMSとPマークは企業のセキュリティ対策として一括りにされがちですが、実際には異なる点が多いことが分かりますね。

私個人の考えでは、企業の情報セキュリティ体制を強化するためには、可能な限りISMSを取得するべきだと思います。　その上で、企業活動の中で個人情報を扱う必要がある場合には、Pマークの取得を検討することが理想的な選択肢ではないでしょうか。

以上、『ISMSとPマークについて整理してみた』でした。