審査で指摘を受けると、まず「落ちるのではないか」と不安になります。しかし指摘は改善を求めるもので、その場で不合格が決まるものではありません。問題は、指摘の内容を取り違えたまま対応してしまい、次回も同じ箇所を指摘されることです。この記事では、ID・パスワードやアクセス権について指摘を受けた場合の考え方を整理します。
まず指摘の種類を見分ける
認証やアクセス権に関する指摘は、大きく2つに分かれます。どちらなのかで、必要な対応がまったく変わります。
| 種類 | 内容 | 対応にかかる期間 |
|---|---|---|
| 文書上の不備 | 規程に定めがない、記録の様式がない、実態と記載が合っていない | 数日〜数週間 |
| 運用上の不備 | 退職者のアカウントが残っている、権限が実態と合っていない、仕組みが入っていない | 数週間〜数か月 |
危ないのは、運用上の不備を文書の修正で済ませてしまうことです。規程を書き換えても、実際のアカウントが整理されていなければ状態は変わりません。次回の審査で同じ指摘を受けます。
指摘されやすい内容と、対応の順序
退職者のアカウントが残っていた
最も多い指摘です。対応は「今あるものを消す」と「今後残らない仕組みを作る」の2段階になります。
削除だけを報告すると、再発防止が示せていない状態になります。人事の手続きとアカウント削除をつなぐ経路を決めるところまでが対応です。
退職者アカウントの棚卸し、 入退社時のID管理の流れを参照してください。
アクセス権が業務と合っていない
異動後に元の部署の権限が残っているケースです。個別の修正と併せて、定期的に突き合わせる工程を設けることが求められます。
IDの棚卸しと監査で進め方を扱っています。
規程と実機の設定が一致していない
規程に「8文字以上」と書いてあるのに、システム側で強制されていない状態です。設定を規程に合わせるか、規程を実態に合わせるかの判断になります。
実態に合わせる場合は、その基準で十分と判断した理由が必要です。単に緩める方向の変更は説明が難しくなります。
グループポリシーによるアカウント保護の設定、 パスワードポリシーの設計を参照してください。
認証の強化について検討の記録がない
JIPDECは2026年4月、「認証の強化（多要素認証の導入等）」を含む確認事項を公表しています。導入の有無ではなく検討した記録がないことが指摘の対象になる場合があります。
この場合、対応は「導入する」ことだけではありません。リスクを評価し、講じる措置を決め、その判断を記録することが本体です。
Pマークで二要素認証は必須かで詳しく整理しています。
すぐに導入できない場合の説明
認証の仕組みを変える場合、製品の選定・検証・全社展開で数か月かかることがあります。期限までに完了しない見込みであれば、計画として示す形になります。
計画として説明する場合、次の点が揃っていると成立しやすくなります。
- 対象範囲：どの端末・どのシステムから着手するか
- 優先順位の根拠：なぜその順序なのか（個人情報を扱う範囲、権限の大きさなど）
- 時期：いつまでに何を完了させるか
- それまでの措置：完了までの間、どう補うか
「検討中」だけでは計画になりません。逆に、範囲を限定した段階的な導入であっても、順序に根拠があれば説明として通りやすくなります。
個人情報に触れる範囲から先に入れる進め方は 多要素認証の展開と運用、費用の考え方は 多要素認証の費用構造で扱っています。
間に合わせの対応が次回に残す問題
指摘を受けた直後は、期限までに形を整えることが目的になりがちです。しかしこの進め方には副作用があります。
- 実態より厳しい規程を作ってしまう：守れずに、次回は「規程違反」として指摘される
- 重い記録様式を作ってしまう：更新が止まり、次回は記録の空白を指摘される
- 担当者を決めずに手順だけ作る：誰も実行せず、状態が変わらない
2年後に同じ箇所を指摘されないためには、実行できる水準で決めることの方が重要です。厳しく書くことが安全とは限りません。
次回に向けた確認の時期
指摘への対応が終わった時点で状態は整いますが、2年経てば人も端末も変わります。同じずれが再び生じます。
期限の1年前に一度自社の状態を確認しておくと、対応の時間を確保できます。確認すべき箇所は Pマーク更新審査で指摘されやすい10項目に整理しています。
よくある質問
指摘を受けると認証は取り消されますか
指摘は改善を求めるもので、その場で結論が出るものではありません。求められた改善に対応し、内容を報告する流れになります。
期限までに仕組みの導入が終わらない場合はどうなりますか
対象範囲・優先順位の根拠・時期・それまでの措置を含む計画として示す形になります。「検討中」という状態のままでは計画として扱われません。
規程を厳しく書き直せば安全ですか
守れない規程は、次回に「定めた通りに運用されていない」という指摘につながります。実行できる水準で定め、記録を継続する方が有利です。
自社の対応状況を確認するには
指摘を受けた箇所以外にも同じずれが残っていないかは、社内からは見えにくいものです。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードとアクセス権に関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。改善報告の前後の確認にお使いいただけます。
参考・出典
※ 本記事は2026年8月時点で公表されている情報に基づく一般的な解説です。指摘への対応手続きや期限の運用は審査機関によって異なる場合があります。個別の対応については、契約している審査機関の案内をご確認ください。