「Pマークの更新に向けて、二要素認証を入れないといけないのか」というご質問が増えています。結論は、「二要素認証を導入すること」という条文はありません。
ただし「対応しなくてよい」という話にもなりません。この記事では、審査で実際に問われる範囲を整理します。
結論：条文としての義務ではないが説明責任は発生する
まず、規格が何を求めているかの構造を押さえます。
プライバシーマーク制度は、JIS Q 15001に適合した個人情報保護マネジメントシステム（PMS）の構築・運用を評価する制度です。
この規格は特定の製品や技術を名指ししません。求めるのは「リスクに応じた安全管理措置を講じ、継続的に見直すこと」です。
問われるのはここ
「必須ではない」を「不要」と読み替えると、審査で説明に困ります
審査での説明のしやすさ
説明しづらい
- 条文にないので検討していない
- 判断の記録がない
規格に沿っている
- リスクを評価した記録がある
- 代替措置と、その妥当性を説明できる
JIPDECも認証の強化に言及しています
制度の運営側からも、認証は注意喚起の対象になっています。
JIPDECは2026年4月、付与事業者向けに「認証の強化（多要素認証の導入等）」を含む確認事項を公表しました。
注意喚起が出ている領域は、審査で確認される可能性が相対的に高くなります。聞かれてから考えるより、事前に整理しておく方が負担は小さくなります。
なぜ今認証が問われるのか
漏洩の中心が、人的ミスから「正規のログイン」へ移っているためです。
以前はメールの誤送信やUSBメモリの紛失が中心でした。近年は、正規のID・パスワードで正面から入られる侵入が増えています。
正規の認証情報でのログインは、システムから見れば正当な利用者のアクセスです。検知が難しく、気づくまでに時間がかかります（フィッシングによる認証情報の窃取、パスワードリスト攻撃）。
パスワードだけの状態では、パスワードを知られた時点で、本人と同じように入れてしまいます。二要素認証が注目されるのは、パスワードを知られてもそれだけでは入れない形にできるからです。
審査で問われる範囲はどこまでか
基準になるのは「個人情報を取り扱う情報システム」です。
見落とされやすいのは社内PC・サーバーへのログイン
クラウドの認証は意識されやすい一方、社内PCやファイルサーバーへのログインが検討から抜けがちです。
顧客情報のファイルがPCやファイルサーバーにあるなら、そのログインは個人情報へのアクセス経路です。Windowsのパスワードだけなら、個人情報がパスワード1つで守られているのと同じです（WindowsのOSログインに二要素認証を入れる方法）。
確認されやすい3点
- 規程に書かれているか：認証やアクセス制御の定めが規程・手順書にあるか
- 運用された記録があるか：定めた通りに実施した記録が残っているか
- 見直しているか：リスクの変化に応じて再検討した形跡があるか
規程だけあって記録がない状態は、指摘の典型です。記録の残し方はアカウント管理台帳の作り方で扱っています。
導入しない場合に必要になる説明
入れない判断自体は問題ありません。その場合は、次の4点を説明できるようにしておきます。
- どの情報資産に、どのリスクがあると評価したのか
- そのリスクに、どの措置で対応することにしたのか
- その措置で十分と判断した根拠は何か
- いつ、誰が、その判断を見直すのか
代替措置には、権限の最小化、ログの監視、持ち出し制限などがあります。ただしどれも「パスワードが盗まれた場合」への直接的な対策にはなりません。正直に評価した方が、後の指摘を減らせます（特権アカウントの管理、アクセスログの監査）。
よくある誤解：二段階認証と二要素認証は同じではありません
ここを取り違えると、対策そのものがずれます。
パスワードを2回入力する、秘密の質問を足すといった方式は、要素が増えていないため二要素認証にはあたりません。要素とは「知識・所持・生体」の3種類で、異なる種類を組み合わせることに意味があります（二段階認証と二要素認証の違い）。
あわせて確認したい論点
更新審査に向けて、関連する記事をまとめます。
- 状態がずれやすい箇所：Pマーク更新審査で指摘されやすい10項目
- 規程に書くこと・残す記録：JIS Q 15001のパスワード管理
- ISMS認証との違い：PマークとISMSの違い
審査で指摘されやすい認証・アクセス権の内容
仕組みを入れる前に、規程と実態のずれを直すことから始めると対応しやすくなります。
- 退職者のアカウントが残っていた：無効化の手順と記録を残す（退職者アカウントの削除）
- アクセス権が業務と合っていない：最小限に絞り、異動に追従させ、定期的に見直す
- 規程と実機の設定が一致していない：規程のパスワード長やロック設定が実際のPCに反映されているか確かめる
- 認証の強化について検討の記録がない：すぐ導入できなくても、検討内容と予定を残す
規程だけ厳しく書き直すと、実態とのずれが広がって次回も指摘が残ります。規程は、実際に運用できる内容に合わせます。
普段の管理が楽になると審査の準備で何が変わるか
審査の前に手間がかかるのは、規程どおりに運用している記録を集めることです。全PC・サーバーの状態とログイン記録を1か所で見られれば、誰がいつどのPCに入ったか、辞めた人が入っていないかを1台ずつ確かめなくても、CSVでそのまま示せます（アプリップリキー）。ログは10年間残るので、「去年のこの時期は」と聞かれても探し回らずに済みます。
さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすれば、認証の強化も「導入済み」と書けます（PC版・サーバー版）。ユーザーごとの2要素認証の設定状況も画面で見られるので、設定漏れの人がいないかを審査の前に確かめられます。社員の操作はスマホでワンタッチなので、毎日の手間はほとんど増えません。
よくある質問
Pマークの審査で二要素認証がないと落ちますか
認証方式そのもので合否が決まる仕組みではありません。問われるのは、リスクを評価し、講じた措置の妥当性を説明できるかです。ただし検討の記録が一切ない場合は、指摘の対象になり得ます。
クラウドだけ対応すれば十分ですか
個人情報が社内PCやファイルサーバーにも保存されているなら、そちらも検討の範囲に入ります。保存場所を洗い出すところから始めるのが確実です。
コストが心配です
費用の考え方は 多要素認証の費用構造で整理しています。全社一律ではなく、個人情報に触れる範囲から段階的に入れる方法もあります。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。更新審査の前に、自社の位置を把握する用途にもお使いいただけます。
参考・出典
※ 本記事は2026年8月時点で公表されている情報に基づく一般的な解説です。審査の運用や要求事項の詳細は変更される可能性があります。個別の判断については、審査機関または上記の公式情報をご確認ください。