--- title: "ISMSの種類とは？認証区分とISO 27000ファミリー、Pマーク・ISMAPとの違い【2026年】" url: "https://www.issoh.co.jp/column/details/12627/" published: 2026-06-18 updated: 2026-09-30 categories: ["セキュリティ"] publisher: "株式会社一創" --- # ISMSの種類とは？認証区分とISO 27000ファミリー、Pマーク・ISMAPとの違い【2026年】 「ISMSの種類」という言葉は、少なくとも3つの別々のものを指して使われています。ISMS-AC（情報マネジメントシステム認定センター）が運営する認証の区分、ISO/IEC 27000ファミリーと呼ばれる規格群、そしてPマークやISMAPのようにISMSと並べて語られる別の制度です。この記事では3つを切り分けたうえで、2025年10月のPIMS認証の単独化と、2026年7月に発行されたISO/IEC 27017:2026までを、ISMS-ACとJIPDECの公表資料をもとに2026年9月時点で整理します。 ## まとめ：ISMSの「種類」は認証区分・規格群・隣接制度の3つ 取引先や入札の条件を読むときは、求められている認証・登録制度の名称と適用範囲を先に確かめます。ISMS認証の中にも区分があり、名称が違えば準備も違うためです。ISMS-ACのISMS適合性評価制度には、基本となるISMS認証と、その上に積むISMSクラウドセキュリティ認証があります。プライバシー向けの認証は、ISO/IEC 27701:2025の発行でISMS認証を前提としない単独のPIMS認証に変わりました。 - **認証区分**：ISMS認証（JIS Q 27001）、ISMSクラウドセキュリティ認証（ISO/IEC 27017の上乗せ）、PIMS認証（ISO/IEC 27701:2025・単独） - **規格群**：27000ファミリーのうち認証の基準になるのは27001と27701で、27002・27017・27018などは管理策や手引の規格 - **隣接制度**：PマークはJIS Q 15001:2023に基づく国内制度、ISMAPは政府調達向けのクラウドサービス登録制度で、どちらもISMS認証の一種ではない どれを取るかは、取引先が求める名称と、自社が扱う情報（クラウド提供か、個人情報中心か）から逆算します。 ## ISMS-ACの認証区分：ISMS・クラウドセキュリティ・PIMSの前提条件 ISMS-ACの制度案内では、ISMS適合性評価制度にはISMSクラウドセキュリティ認証と従来のISMS-PIMS認証が位置付けられ、2025年10月からは独立したPIMS適合性評価制度が加わっています。区分ごとの違いは次のとおりです。 | 認証区分 | 認証の基準 | ISMS認証の前提 | 2026年9月時点の状況 | | ---------------- | ------------------ | --------- | --------------------- | | ISMS認証 | JIS Q 27001 | （基本の認証） | JIS Q 27001:2025（追補1） | | ISMSクラウドセキュリティ認証 | JIP-ISMS517-1.0 | 必要 | 27017:2026発行・基準改訂中 | | PIMS認証 | ISO/IEC 27701:2025 | 不要 | 移行期限 2028年10月31日 | | ISMS-PIMS認証（旧） | ISO/IEC 27701:2019 | 必要 | PIMS認証へ移行が必要 | ### ISMS認証：JIS Q 27001に基づく基本の認証 組織の情報セキュリティマネジメントシステムがJIS Q 27001（ISO/IEC 27001の日本語版）に適合していることを、認定を受けた認証機関が審査して認証します。ISMS-ACの登録数は2026年9月28日時点で8,701件（うち公表8,457件）です（[ISMS認証取得組織検索](https://isms.jp/lst/ind/)の表示による）。現行規格はISO/IEC 27001:2022で、2024年2月に気候変動に関する追補（Amd 1:2024）が発行されました。国内では2025年5月20日にJIS Q 27001:2025（追補1）が公示され、JIS Q 27001:2023は追補の内容で改正されてJIS Q 27001:2025になります。規格本体と認証の関係は[ISMSとISO 27001の違いとは？「仕組み」と「規格」の関係を最新規格対応で解説](/column/details/12644/)で詳しく扱っています。 ### ISMSクラウドセキュリティ認証：27017の上乗せとJIP-ISMS517の改訂 ISMS認証に加えて、クラウドサービス固有の管理策（ISO/IEC 27017）が導入・実施されていることを認証します。対象は、ISMS認証を取得している、または取得する組織のうち、クラウドサービスを提供する側・利用する側・その両方です。ISMS認証なしに単独では取れません。登録数は2026年9月25日時点で818件です。 2026年7月27日にISO/IEC 27017:2015の改訂版であるISO/IEC 27017:2026が発行されました。これを受けて認証基準のJIP-ISMS517は2026年秋頃の発行を目途にJIPDECで改訂中で、取得組織は改訂版への移行が必要です。ISMS-ACは移行期間を改訂版発行後3年間とする予定と公表しています（出典：[ISMS-AC「ISO/IEC 27017:2026発行のお知らせ」](https://isms.jp/topics/news/20260728.html)）。取得の流れと費用は[ISMSクラウドセキュリティ認証とは｜ISO/IEC 27017の取得要件と2026年改訂動向](/column/details/12664/)にまとめています。 ### PIMS認証：27701:2025でISMS認証が前提でなくなった変更 ISO/IEC 27701:2019は27001を拡張してプライバシーの要求事項を足す規格だったため、これに基づく認証は「ISMS-PIMS認証」と呼ばれ、ISMS認証が前提でした。2025年10月14日に発行されたISO/IEC 27701:2025は、ISOのマネジメントシステム規格の方針に沿って27001から独立した規格になりました。認証もISMS認証を前提としない単独のPIMS認証に変わり、ISMS-ACはPIMS適合性評価制度を始めています。 ISMS-PIMS認証の登録数は2026年9月24日時点で78件です。これらの組織は、2025年10月31日から3年間、つまり2028年10月31日までにPIMS認証へ移行する必要があります（出典：[ISMS-AC「ISO/IEC 27701:2025発行のお知らせ」](https://isms.jp/topics/news/20251014.html)）。ISMS-ACによれば構成は他のマネジメントシステム規格にそろえて大きく変わった一方、プライバシー保護の要求事項そのものに大きな変更はありません。「PIMS認証はISMSの上乗せ」と説明している資料は2019年版時点の情報です。 ### ISMS-ACが扱うITSMS・BCMS・AIMSとの区別 ISMS-ACは情報セキュリティ以外のマネジメントシステムの認定も行っています。ITサービスマネジメントのITSMS（JIS Q 20000-1）、事業継続のBCMS（ISO 22301）、AIマネジメントのAIMS（ISO/IEC 42001）です。同じ認定機関が扱っていても、これらはISMSの種類ではなく別の制度です。事業継続については[BCMとは？BCPとの違いと事業継続マネジメントの回し方・ISO 22301](/column/details/9175/)で解説しています。 ## ISO/IEC 27000ファミリーの主要規格：認証の基準と手引の区別 27000ファミリーはISO/IEC JTC 1/SC 27で作られる規格群で、JIPDECの整理では要求事項の規格（27001と、認証機関向けの27006-1）と、実施の手引を示す規格に分かれます。番号が並んでいても、認証を受けられる規格は限られます。 | 規格 | 現行版 | 国内規格（JIPDEC資料） | 役割 | | --------------- | --------------- | ---------------------- | --------------- | | ISO/IEC 27000 | 2026 | JIS Q 27000:2019（旧版対応） | ISMSの概要 | | ISO/IEC 27001 | 2022＋Amd 1:2024 | JIS Q 27001:2025 | ISMSの要求事項（認証基準） | | ISO/IEC 27002 | 2022 | JIS Q 27002:2024 | 管理策の手引 | | ISO/IEC 27003 | 2017（改訂中） | 記載なし | ISMS構築の手引 | | ISO/IEC 27005 | 2022 | 記載なし | リスクマネジメントの手引 | | ISO/IEC 27006-1 | 2024 | JIS Q 27006:2018（旧版対応） | 認証機関への要求事項 | | ISO/IEC 27017 | 2026 | JIS Q 27017:2016（旧版対応） | クラウドの管理策 | | ISO/IEC 27018 | 2025 | 記載なし | パブリッククラウドのPII保護 | | ISO/IEC 27701 | 2025 | 記載なし | PIMSの要求事項（認証基準） | 国内規格の欄はJIPDEC「[ISO/IEC 27000ファミリー規格について](https://www.jipdec.or.jp/project/smpo/u71kba000000jjgv-att/27000family%5F20260518.pdf)」（2026年5月18日更新）を参照しています。現行版の欄には、その後に発行されたISO/IEC 27000:2026とISO/IEC 27017:2026も、日本規格協会の商品情報とISMS-ACの発表に基づいて反映しています。「記載なし」は同資料にJIS化の記述がないという意味で、対訳版の有無を含む最新の状況は日本規格協会のサイトで確認してください。 ### 27000と27001の違い：ISMSの概要と要求事項 27000はファミリー全体の概要を示す入口の規格で、それ自体を基準に認証を受けることはありません。2026年7月3日に第6版のISO/IEC 27000:2026が発行され、表題は2018年版の「概要及び用語」から「概要」に変わりました（日本規格協会の商品ページによる）。国内のJIS Q 27000:2019は2018年版の用語と定義だけを国内規格にしたもので、概要を述べた箇条4以降は含まれていません。審査では27001の本文（箇条4〜10）への適合が問われます。附属書Aは必要な管理策の漏れを確認するために参照し、採用する管理策と除外の理由を適用宣言書に示します。附属書Aの93の管理策は27002と整合しており、選び方は[ISMSの管理策とは？ISO 27001:2022附属書Aの93項目と選定手順を実務目線で解説](/column/details/12604/)で扱っています。 ### 27017と27018の違い：クラウドの管理策とクラウド上の個人情報保護 27017はクラウドサービスの提供者と利用者の双方に向けた情報セキュリティ管理策の手引で、国内ではJIP-ISMS517を通じてISMSクラウドセキュリティ認証に使われます。27018は、パブリッククラウドでPII（個人を特定できる情報）の処理者となる事業者に向けた保護の手引です。ISMS-ACの制度案内には27018単独の認証区分がないため、国内で27018への取り組みを示す際は、ISMSへの管理策の組込みと、認証機関が提供する追加認証の有無・適用範囲を分けて確認します。 ## PマークとISMAP：ISMSと混同しやすい2制度の違い どちらも「情報を守っていることの証明」として並べて語られますが、基準も対象の単位も違います。 | 項目 | ISMS認証 | Pマーク | ISMAP | | ----- | ------------------ | ----------------- | ----------- | | 基準 | JIS Q 27001 | JIS Q 15001:2023 | ISMAP管理基準 | | 守る対象 | 情報資産全般 | 個人情報 | 政府情報を扱うクラウド | | 評価の単位 | 組織（適用範囲） | 事業者全体 | クラウドサービス | | 運営 | ISMS-AC（認定） | JIPDEC | 国家サイバー統括室ほか | | 件数 | 8,701件（2026年9月28日） | 17,788社（2026年3月末） | ポータルで公開 | ### Pマーク：個人情報に絞った国内制度 プライバシーマークはJIPDECが運営し、JIS Q 15001:2023に基づいて事業者全体の個人情報の取扱いを評価します。部門や拠点で適用範囲を切れるISMSと違い、事業者単位での取得になります。付与事業者数は2026年3月31日時点で17,788社です（[JIPDEC「付与事業者数の詳細」](https://privacymark.jp/certification%5Finfo/data/index.html)）。ISMS-ACの認証登録件数とは集計単位と基準日が異なるため、取得企業数の単純比較には使えません。一般消費者の個人情報を大量に扱う国内事業ならPマーク、海外取引や情報資産全般の管理を示すならISMS、というのが基本の分かれ方です。比較の詳細は[Pマーク（プライバシーマーク）とISMSの違い｜最新規格・2026年改正で選ぶ判断基準](/column/details/12641/)、取得手順は[プライバシーマーク（Pマーク）取得の流れ・費用・条件をわかりやすく解説](/column/details/5225/)を参照してください。 ### ISMAP：政府調達のためのクラウドサービス登録制度 ISMAP（政府情報システムのためのセキュリティ評価制度）は2020年6月に運用が始まり、政府機関等は原則として、ISMAPクラウドサービスリストまたはISMAP-LIUクラウドサービスリストに掲載されたサービスから調達します。評価の単位は組織ではなくクラウドサービスで、任意の認証というより入札参加の前提条件として働きます。ISMSや27017の認証で整備した文書・運用記録は、ISMAPの要求事項に対応する範囲で準備に利用できます。ただし、既存認証だけでISMAP登録に代えることはできません。制度の詳細は[ISMAPとは？クラウドサービスリスト・管理基準・費用を2026年時点で解説](/column/details/17439/)で解説しています。 ## 自社に必要な認証・制度の選定基準：取引先の要件と扱う情報 取る認証の選び方は、次の順で決めるのが確実です。 - **取引先・入札の条件に書かれた名称をそのまま確認する**：「ISMS認証」「ISO/IEC 27001」ならISMS認証、「27017」「クラウドセキュリティ認証」ならISMSとクラウドの2つ、「ISMAP登録」なら別制度の準備が必要です。 - **クラウドサービスを提供しているか**：提供していて顧客からクラウド固有の統制を問われるなら、ISMS認証の範囲にクラウドサービスを含めたうえでクラウドセキュリティ認証を追加します。 - **扱う情報の中心が個人情報か**：国内の消費者向け事業ならPマーク、海外の取引先にプライバシー管理を示す必要があるならPIMS認証が候補です。 2026年9月時点で避けたいのは、次の2つの判断です。1つは、クラウドセキュリティ認証の新規取得を「27017:2026対応の基準が出るまで」と先送りすること。移行期間は改訂版発行後3年の予定なので、入札や契約の期限があるなら現行のJIP-ISMS517で取得し、後から移行する方が機会を逃しません。もう1つは、移行期限を確認せずに、ISMS-PIMS認証の移行をISMS認証の更新時まで先送りすることです。PIMS認証はISMS認証から独立したため、移行期限の2028年10月31日はISMS側の更新サイクルとは連動しません。 ## ISMS認証の担い手：認定機関・認証機関と3年の審査サイクル ISMS-ACの認定に基づくISMS認証では、ISMS-ACが認証機関を認定し、その認証機関が組織を審査して認証します。国内では、海外の認定機関から認定を受けた認証機関もISMS認証を実施しています。ISMS-ACの認定下で認証を受けた組織は「ISMS認証取得組織検索」で公開されています（非公開を希望した組織は表示されません）。認証の有効期間は3年で、その間は毎年の維持審査、3年目に更新審査を受けます。認証機関の選び方は[ISMS審査機関とは？認証機関との違い・選び方とISMS-AC認定の確認ポイント【2026年版】](/column/details/12659/)、審査費用の内訳は[ISMS認証の取得・維持にかかる費用｜審査・コンサル・人件費の内訳と相場【2025年版基準】](/column/details/12660/)、毎年の審査の中身は[ISMS維持審査とは｜2022年版の審査内容・更新審査との違いと合格準備を解説](/column/details/12607/)にまとめています。 ## よくある質問 ### ISMS-PIMS認証は今から新規に取得できますか？ 新たにプライバシーの認証を取るなら、ISO/IEC 27701:2025に基づくPIMS認証が対象です。ISMS-ACは、新規取得を希望する組織は認証機関へ問い合わせるよう案内しています。既存のISMS-PIMS認証は2028年10月31日までにPIMS認証への移行が必要です。 ### ISO/IEC 27001とJIS Q 27001の違いは何ですか？ JIS Q 27001はISO/IEC 27001を日本語にした国内規格で、要求事項の中身は同じです。ISMS-ACの制度ではJIS Q 27001を基準として認証します。現行はJIS Q 27001:2023に追補1を反映したJIS Q 27001:2025です。 ### ISMSの3大要素は何ですか？ 機密性（許可された人だけが使える）、完全性（正確で改ざんされていない）、可用性（必要なときに使える）の3つです。ISMSはこの3つをリスクアセスメントに基づいて保つ仕組みで、基本は[情報セキュリティとは？3要素・脅威・ISMSの基本と外注時の要件を解説](/column/details/13078/)で解説しています。 ### ISO 9001とISO/IEC 27001の違いは何ですか？ ISO 9001は製品・サービスの品質のマネジメントシステム、ISO/IEC 27001は情報セキュリティのマネジメントシステムの規格です。どちらもISOのマネジメントシステム規格の共通構造に沿っているため、文書体系や内部監査、マネジメントレビューを統合して運用できます。 ### ISMS認証を取得している会社はどこで調べられますか？ ISMS-ACのサイトにある「ISMS認証取得組織検索」で、組織名や認証機関、所在地から検索できます。クラウドセキュリティ認証とISMS-PIMS認証にもそれぞれ検索ページがあります。海外の認定機関の認定下で受けた認証や、非公開を希望した組織は検索に出ないため、その場合は相手企業に認証登録証の写しを求めるか、認証機関に問い合わせます。 ## 関連記事 - [ISO27001とは？ISMS認証の全体像・2022年版の管理策と取得手順を実務目線で解説](/column/details/13432/) - [ISMSとISO 27001の違いとは？「仕組み」と「規格」の関係を最新規格対応で解説](/column/details/12644/) - [ISMSクラウドセキュリティ認証とは｜ISO/IEC 27017の取得要件と2026年改訂動向](/column/details/12664/) - [Pマーク（プライバシーマーク）とISMSの違い｜最新規格・2026年改正で選ぶ判断基準](/column/details/12641/) - [ISMAPとは？クラウドサービスリスト・管理基準・費用を2026年時点で解説](/column/details/17439/) --- 出典: [ISMSの種類とは？認証区分とISO 27000ファミリー、Pマーク・ISMAPとの違い【2026年】]()（株式会社一創）