プライバシーマークの更新は2年ごとに巡ってきます。前回の取得から時間が経つほど、規程と実際の運用がずれていくのが実情です。特にID・パスワードやアクセス権の管理は、人の異動や端末の入れ替えで日々状態が変わるため、ずれが生まれやすい領域です。この記事では、更新審査に向けて先に確認しておきたい項目を10点に絞って整理します。
準備を始める時期の目安
プライバシーマークの有効期間は2年です。更新の申請は有効期限より前に行う必要があり、一般には期限の8か月前から受付が始まり、4か月前までに申請という運用が案内されています。
申請の期限と、対策に着手すべき時期は別物です。認証の仕組みを変える場合、製品の選定・検証・全社への展開で数か月かかることがあります。申請直前に不足が見つかると、間に合わせの対応になりがちです。
逆算すると、期限の1年前に一度自社の状態を確認しておくのが無理のない進め方です。そこで問題がなければ何もしなくてよく、問題があれば対応の時間が確保できます。
※ 申請時期の運用は変更される場合があります。実際の期限は、契約している審査機関の案内をご確認ください。
指摘されやすい10項目
以下は、ID・パスワード関連で状態がずれやすい箇所です。「規程にあるか」と「記録があるか」の両方を確認するのがポイントです。
1. 退職者・異動者のアカウントが残っていないか
最も多いずれがここです。退職の手続きは総務が、アカウントの削除は情報システム担当が行うため、連携が抜けると使えるまま放置されます。
削除の運用は 退職者アカウントの棚卸しと 入退社時のID管理の流れで具体的に扱っています。
2. 共有アカウントを使っていないか
複数人で1つのIDを使っている場合、誰がアクセスしたのか特定できません。ログを残していても、記録として機能しなくなります。
廃止の進め方は 共有アカウントの廃止を参照してください。
3. アカウント台帳が最新の状態か
台帳があっても更新が止まっていると、実態と合わない資料として扱われます。作成した時点で完成ではなく、更新の頻度と担当を決めておく必要があります。
アカウント管理台帳の作り方で項目の例を挙げています。
4. アクセス権の定期的な見直しを行った記録があるか
権限は付与されるばかりで、不要になったときに外す運用が抜けがちです。異動を繰り返した社員が、過去の部署の権限を持ち続けている状態はよく見られます。
棚卸しの方法は IDの棚卸しと監査で整理しています。
5. パスワードポリシーが規程と実機で一致しているか
規程には「8文字以上」と書いてあるが、実際のシステム設定では強制されていないという不一致がよくあります。規程を実現する設定が入っているか、実機側の確認が必要です。
パスワードポリシーの設計と グループポリシーでの設定を併せてご確認ください。
6. 特権アカウント（管理者権限）の扱いが決まっているか
管理者権限は、奪われた場合の影響が最も大きいアカウントです。誰が持っているかを把握できていないケースが少なくありません。
特権アカウントの管理、 ローカル管理者パスワードの管理で扱っています。
7. 委託先・ベンダーのアカウントを管理できているか
保守用に発行したアカウントが、契約終了後も有効なまま残ることがあります。自社の社員より把握が緩くなりやすい領域です。
委託先アカウントの管理を参照してください。
8. 持ち出し端末・テレワーク環境の認証
社外に出る端末は、紛失時にパスワードだけが最後の防御になります。持ち出しの範囲と認証の条件を決めているかが問われます。
持ち出しPCのID管理、 テレワークのセキュリティで扱っています。
9. ログを保存し、点検した記録があるか
ログを取っているだけでは「点検している」ことになりません。誰がいつ確認したかの記録まで含めて用意しておく必要があります。
アクセスログの監査、 不審なログインの確認方法で具体的に扱っています。
10. 認証強化を検討した記録があるか
JIPDECは2026年4月、「認証の強化（多要素認証の導入等）」を含む確認事項を公表しています。導入していない場合でも、検討した記録があるかどうかで説明のしやすさが変わります。
必須なのかどうかの整理は Pマークで二要素認証は必須かで詳しく解説しています。
「規程はあるが記録がない」が最も多い不足
更新時に問題になりやすいのは、対策そのものの不在ではなく記録の不在です。実務としては運用していても、記録の形になっていなければ、実施したことを示せません。
記録は凝った様式でなくてもかまいません。「いつ・誰が・何を確認し・どう判断したか」が残っていれば足ります。運用の実態に合わない重い様式を作ると、次の2年で更新が止まり、同じ状態に戻ります。
よくある質問
更新審査の準備はいつから始めるべきですか
申請は有効期限の4か月前までですが、認証の仕組みを変える場合は展開に数か月かかります。期限の1年前に一度状態を確認しておくと、対応の時間が確保できます。
前回と同じ書類を出せば通りますか
2年の間に人員や端末が変わっているため、実態とのずれが生じている可能性があります。特にアカウントの棚卸しと権限の見直しは、記録の更新が必要になりやすい箇所です。
指摘を受けた場合はどうなりますか
改善が求められ、対応内容の報告を行う流れになります。認証やアクセス権の不備は、仕組みの変更を伴うと時間がかかるため、早めの確認が有効です。
取得・更新にかかる費用の構成と期間の目安は Pマーク取得の費用と期間で扱っています。
自社の対応状況を確認するには
10項目を一つずつ確認する作業は、どこから手を付けるかの判断が難しいものです。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。更新の準備を始める前の現状把握にお使いいただけます。
参考・出典
※ 本記事は2026年8月時点で公表されている情報に基づく一般的な解説です。申請時期や審査の運用は変更される場合があります。個別の期限や手続きは、契約している審査機関の案内をご確認ください。