プライバシーマークの更新は2年ごとです。時間が経つほど、規程と実際の運用はずれていきます。
特にID・パスワードやアクセス権は、異動や端末の入れ替えで状態が日々変わります。更新審査の前に確認したい項目を10点に絞りました。
準備を始める時期の目安
申請の締め切りより前に、準備を始める時期があります。
プライバシーマークの有効期間は2年です。更新の申請は有効期限より前に行う必要があり、一般には期限の8か月前から受付が始まり、4か月前までに申請という運用が案内されています。
認証の仕組みを変える場合、選定・検証・全社展開で数か月かかることがあります。申請直前に不足が見つかると、間に合わせの対応になりがちです。
期限の1年前に一度確認
※ 申請時期の運用は変更される場合があります。実際の期限は、契約している審査機関の案内をご確認ください。
指摘されやすい10項目
どの項目も「規程にあるか」と「記録があるか」の両方を確認します。まず一覧で見てから、1つずつ確かめてください。
| 項目 | よくあるずれ |
|---|---|
| 1. 退職者・異動者のアカウント | 使えるまま残る |
| 2. 共有アカウント | 誰がアクセスしたか特定できない |
| 3. アカウント台帳 | 更新が止まっている |
| 4. アクセス権の見直し | 外す運用が抜ける |
| 5. パスワードポリシー | 規程と実機の設定が違う |
| 6. 特権アカウント | 誰が持っているか分からない |
| 7. 委託先のアカウント | 契約終了後も有効 |
| 8. 持ち出し端末の認証 | パスワードだけが頼り |
| 9. ログの点検記録 | 取っているだけ |
| 10. 認証強化の検討記録 | 検討した跡がない |
1. 退職者・異動者のアカウントが残っていないか
最も多いずれがここです。退職の手続きは総務が、アカウントの削除は情報システム担当が行うため、連携が抜けると使えるまま放置されます。 削除の運用は 退職者アカウントの棚卸しと 入退社時のID管理の流れで具体的に扱っています。
2. 共有アカウントを使っていないか
複数人で1つのIDを使っている場合、誰がアクセスしたのか特定できません。ログを残していても、記録として機能しなくなります。 廃止の進め方は 共有アカウントの廃止を参照してください。
3. アカウント台帳が最新の状態か
台帳があっても更新が止まっていると、実態と合わない資料として扱われます。作成した時点で完成ではなく、更新の頻度と担当を決めておく必要があります。 アカウント管理台帳の作り方で項目の例を挙げています。
4. アクセス権の定期的な見直しを行った記録があるか
権限は付与されるばかりで、不要になったときに外す運用が抜けがちです。異動を繰り返した社員が、過去の部署の権限を持ち続けている状態はよく見られます。 棚卸しの方法は IDの棚卸しと監査で整理しています。
5. パスワードポリシーが規程と実機で一致しているか
規程には「8文字以上」と書いてあるが、実際のシステム設定では強制されていないという不一致がよくあります。規程を実現する設定が入っているか、実機側の確認が必要です。 パスワードポリシーの設計と グループポリシーでの設定を併せてご確認ください。
6. 特権アカウント（管理者権限）の扱いが決まっているか
管理者権限は、奪われた場合の影響が最も大きいアカウントです。誰が持っているかを把握できていないケースが少なくありません。 特権アカウントの管理、 ローカル管理者パスワードの管理で扱っています。
7. 委託先・ベンダーのアカウントを管理できているか
保守用に発行したアカウントが、契約終了後も有効なまま残ることがあります。自社の社員より把握が緩くなりやすい領域です。 委託先アカウントの管理を参照してください。
8. 持ち出し端末・テレワーク環境の認証
社外に出る端末は、紛失時にパスワードだけが最後の守りになります。持ち出しの範囲と認証の条件を決めているかが問われます。 持ち出しPCのID管理、 テレワークのセキュリティで扱っています。
9. ログを保存し、点検した記録があるか
ログを取っているだけでは「点検している」ことになりません。誰がいつ確認したかの記録まで含めて用意しておく必要があります。 アクセスログの監査、 不審なログインの確認方法で具体的に扱っています。
10. 認証強化を検討した記録があるか
JIPDECは2026年4月、「認証の強化（多要素認証の導入等）」を含む確認事項を公表しています。導入していない場合でも、検討した記録があるかどうかで説明のしやすさが変わります。 必須なのかどうかの整理は Pマークで二要素認証は必須かで詳しく解説しています。
審査で指摘を受ける（落ちるのではと心配になる）原因で最も多い「規程はあるが記録がない」
更新時に問題になりやすいのは、対策そのものの不在ではなく記録の不在です。実務としては運用していても、記録の形になっていなければ、実施したことを示せません。
記録は凝った様式でなくてもかまいません。「いつ・誰が・何を確認し・どう判断したか」が残っていれば足ります。運用の実態に合わない重い様式を作ると、次の2年で更新が止まり、同じ状態に戻ります。
PC・サーバーのログインの記録なら、全台分を1か所に自動で集めておくと、審査のたびに1台ずつ書き写さずに、そのまま出せます（複数台のPCのログを1か所に集める方法）。
普段の管理が楽になると何が変わるか
更新審査の準備が重くなるのは、2年分の記録をまとめて集めようとするからです。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、普段の管理がそのまま審査の記録になります。
- PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）が自動で集まり、10年間残ります。審査で聞かれたら、期間や利用者で絞り込んでCSVでその日のうちに出せます（項目9）。
- 台数・OS・利用者・7日以上連絡のないPCを1画面で見られるので、端末の台帳を1台ずつ見て回らずに更新できます（項目3）。
- 退職・異動のときは、席まで行かずにスマホの登録を外し、ローカルアカウントを止められます（項目1。ドメインアカウントは対象外です）。
- 2要素認証の設定状況がユーザーごとに一覧で分かるので、認証強化の検討記録にそのまま使えます（項目10）。
全PC・サーバーを1台ずつ見て回らずにまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
更新審査の準備はいつから始めるべきですか
申請は有効期限の4か月前までですが、認証の仕組みを変える場合は展開に数か月かかります。期限の1年前に一度状態を確認しておくと、対応の時間が確保できます。
前回と同じ書類を出せば通りますか
2年の間に人員や端末が変わっているため、実態とのずれが生じている可能性があります。特にアカウントの棚卸しと権限の見直しは、記録の更新が必要になりやすい箇所です。
指摘を受けた場合はどうなりますか
改善が求められ、対応内容の報告を行う流れになります。認証やアクセス権の不備は、仕組みの変更を伴うと時間がかかるため、早めの確認が有効です。
取得・更新にかかる費用の構成と期間の目安は Pマーク取得の費用と期間で扱っています。
いまの運用を棚卸ししてみる
10項目を一つずつ確認する作業は、どこから手を付けるかの判断が難しいものです。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。更新の準備を始める前の現状把握にお使いいただけます。
参考・出典
※ 本記事は2026年8月時点で公表されている情報に基づく一般的な解説です。申請時期や審査の運用は変更される場合があります。個別の期限や手続きは、契約している審査機関の案内をご確認ください。