営業時間 10:00 〜 19:00 (月〜金)

ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較【中小企業向け】

ISMS・Pマーク・SECURITY ACTION・SCS評価制度のどれを選ぶかを比較するイメージ

取引先から「セキュリティ対策の状況を示してほしい」と言われて、ISMSかPマークか、あるいは新しくできるSCS評価制度か、どれを取るべきか迷って調べていらしたのだと思います。
結論を先にお伝えします。
4つの制度は「どれか1つを選ぶ」ものではなく、下から順に積み上げる階段です。
そして中小企業が最初に踏むべき段は、費用0円で今日から始められるSECURITY ACTIONです。

これは私見ではありません。SCS評価制度を運営するIPA自身が、公式サイトで次のように書いています。

「情報セキュリティのはじめの一歩として非常に有益な制度になりますので、SCS評価制度の★3・★4取得の準備段階として、まずSECURITY ACTION セキュリティ対策自己宣言から初めてみましょう。」
（IPA「SCS評価制度関連制度・施策」より）

もう1つ、いま急いでお伝えしたいことがあります。
Pマーク（プライバシーマーク）の料金が2026年10月1日から値上げされます。
上げ幅は約10％（小規模事業者は約6.53％）で、適用は「申請日」基準です。
2026年9月30日までに申請すれば現行料金、10月1日以降は新料金になります。
Pマークを検討中なら、この記事の費用の章を先に読んでください。

この記事では、4つの制度の違い・費用・期間・有効期限を一次資料の原文にあたって比較し、「自社はどれから手を付けるべきか」を決められる形に整理します。

4つの制度は何が違う？

まず全体像です。横に並べると、審査の重さと守る対象がまったく違うことが分かります。

項目	SECURITY ACTION	Pマーク	ISMS（ISO/IEC 27001）	SCS評価制度★3
運営	IPA	JIPDEC	認証機関（ISMS-ACが認定）	IPA
守る対象	会社全体の情報セキュリティ	個人情報だけ	事業に関わる情報資産全体	会社全体の情報セキュリティ
だれが確認するか	自己宣言（審査なし）	第三者（書類＋現地審査）	第三者（審査機関）	セキュリティ専門家が自己評価を確認
要求事項の数	6か条（二つ星は診断25項目）	JIS Q 15001に基づく管理体制	規格の要求事項＋管理策	要求事項26件（評価基準81件）
費用の目安	0円	新規33.6万〜138.2万円（審査側・税込）	初回200〜400万円程度（審査＋コンサル）	専門家への確認費用（未公表）
取得までの期間	即日〜数日	6〜12か月	6〜12か月	未公表
有効期間	なし	2年	3年（毎年サーベイランス）	1年
国際的な通用	×（国内制度）	×（日本独自）	〇（国際規格）	×（国内制度）
運用開始	運用中	運用中	運用中	2026年度下期以降

ここで注目していただきたいのは「守る対象」の行です。
Pマークは個人情報だけを対象にした制度です。
工場の図面、見積書の原価、開発中の製品情報といった個人情報以外の秘密は、Pマークの対象外です。
取引先が心配しているのが「預けた設計データが漏れないか」であれば、Pマークを提示しても答えになりません。

▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法

なぜ今、「どれを取るか」が問われているのか？

理由は2つあります。

1つは、取引先が対策状況を確認する動きが制度として立ち上がったことです。SCS評価制度についてIPAは、次のような使われ方を想定していると明記しています。

「2社間の取引契約等において、委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定」
（IPA「SCS評価制度」より）

つまり、これまで各社バラバラの様式で送られてきたセキュリティチェックシートが、「★いくつを持っていますか」という共通の物差しに置き換わっていく、ということです。

もう1つは、法律の側からも委託先の管理が求められていることです。
個人情報保護法25条は、個人データの取扱いを委託する場合に「必要かつ適切な監督」を委託元に義務づけています。
取引先は、聞かないわけにいかない立場にあります。

SECURITY ACTIONとは？──0円で今日から踏める1段目

IPAが運営する自己宣言制度です。審査はなく、費用もかかりません。ロゴマークを名刺やWebサイトに掲載できます。

段階	要件	かかる手間
★ 一つ星	「情報セキュリティ6か条」に取り組むことを宣言する（①OSやソフトウェアを最新に ②ウイルス対策ソフトを導入 ③パスワードを強化 ④共有設定を見直す ⑤バックアップを取る ⑥脅威や攻撃の手口を知る）	申込フォームの入力のみ
★★ 二つ星	①「5分でできる！情報セキュリティ自社診断」（25項目）を実施し、②「情報セキュリティ基本方針」を策定して外部に公開する	診断30分＋基本方針の作成

従来は「情報セキュリティ5か条」でしたが、IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版で「バックアップを取ろう！」が追加され6か条になりました。
5か条と書いてある解説記事は情報が古いのでご注意ください。

ISMSの基本方針は使えるが、個人情報保護方針だけでは足りない

二つ星でつまずくのは「情報セキュリティ基本方針の外部公開」です。
ここで、すでに認証を持っている会社ほど誤解しやすい点があります。
IPAのよくある質問には、こう書かれています。

「ISMS（ISO/IEC 27001）で求められている情報セキュリティ方針と、SECURITY ACTIONの取組みとしての情報セキュリティ基本方針は、趣旨が同じものと考えられます。
ISMS基本方針の公開は、二つ星の取組みに該当します。」
（IPA「SECURITY ACTION よくある質問」より）

ところが、Pマークで作った「個人情報保護方針」は、そのままでは二つ星の要件を満たしません。
IPAは「情報セキュリティ基本方針は、個人情報保護に限定するものではなく、情報セキュリティに関する『理念』『方針』『声明』『宣言』などを示すもの」と説明しています。
Pマークを取得済みの会社は「方針はもう公開している」と考えがちですが、個人情報に限定された方針しかない場合は、情報セキュリティ全体を対象にした基本方針をもう1枚作る必要があります。

逆に言えば、ISMSを持っている会社は、すでに公開している方針をそのまま使って二つ星を宣言できます。手間はほぼゼロです。

有効期限はないが、GビズIDには2年3か月の期限がある

SECURITY ACTIONの自己宣言そのものに有効期間はありません。IPAのよくある質問も「いいえ、有効期間はありません。」と明確に回答しています。

ただし2026年4月1日に「SECURITY ACTION管理システム」が公開され、申込にはGビズIDプライムまたはGビズIDメンバーのアカウントが必須になりました。
そしてGビズID側には2年3か月の有効期間があり、継続には更新手続きが必要です。
宣言は切れないのに、宣言に使ったIDが切れる、という状態になり得ます。

もう1点、実務で効いてくるのが「1法人1宣言」という原則です。
IPAは「SECURITY ACTIONは基本的に1法人につき1つの自己宣言です」としており、グループ会社は子会社ごとに宣言が必要です（介護施設のみ例外的に複数の宣言が可能）。
親会社が宣言していても、子会社がそれを取引先に示すことはできません。

Pマークとは？──守る対象は個人情報だけ

JIPDEC（日本情報経済社会推進協会）が運営する、日本独自の認証制度です。
JIS Q 15001という規格に基づいて個人情報の取扱い体制を審査します。
付与の有効期間は2年で、2年ごとに更新審査を受けます。

採用活動、会員管理、通販、人材派遣、コールセンターなど、大量の個人情報を預かる業種では取引の前提条件になっていることが多い制度です。
一方で対象は個人情報に限られるため、技術情報や設計データの保護を示す手段にはなりません。

費用はいくらかかる？

JIPDECが公表している料金表の実額です。
次の表は2026年10月1日から適用される新料金で、上段が消費税10％込、下段（かっこ内）が税抜です。単位は円です。

費目	新規小規模	新規中規模	新規大規模	更新小規模	更新中規模	更新大規模
申請料	57,200 （52,000）	57,200 （52,000）	57,200 （52,000）	57,200 （52,000）	57,200 （52,000）	57,200 （52,000）
審査料	226,600 （206,000）	518,100 （471,000）	1,094,500 （995,000）	134,200 （122,000）	345,400 （314,000）	749,100 （681,000）
付与登録料（2年分）	52,800 （48,000）	115,500 （105,000）	231,000 （210,000）	52,800 （48,000）	115,500 （105,000）	231,000 （210,000）
合計	336,600 （306,000）	690,800 （628,000）	1,382,700 （1,257,000）	244,200 （222,000）	518,100 （471,000）	1,037,300 （943,000）

現地審査で指摘があり再度の現地審査になった場合は、基本料金57,200円（税抜52,000円）＋時間単価23,100円（同21,000円）×審査時間×審査人数が別途かかります。
審査料のほかに、審査員の交通費・宿泊費が別途請求される場合もあります。

そして、これはあくまでJIPDECに払う審査側の費用だけです。文書作成や社内教育を支援するコンサルティングを使う場合は、別に数十万円規模の費用がかかります。

【重要】2026年10月1日から値上げ。9月30日までの申請なら現行料金

JIPDECは2026年10月1日から料金を改定します。
改定幅は「約10％（ただし、小規模事業者は約6.53%）値上げ」と明記されています。
適用は申請日を基準とし、電子申請は「申請書類等のデータを送信した日」、郵送は「申請書類を送付した日」が基準です。
つまり2026年9月30日までに申請できれば現行料金、10月1日以降は新料金です。

現行料金（2026年9月30日までの申請に適用）と新料金を、合計額で並べたのが次の表です。いずれも消費税10％込です。

区分	現行料金（〜2026年9月30日申請）	新料金（2026年10月1日申請〜）	差額
新規・小規模	314,288円	336,600円	+22,312円
新規・中規模	628,573円	690,800円	+62,227円
新規・大規模	1,257,144円	1,382,700円	+125,556円
更新・小規模	230,478円	244,200円	+13,722円
更新・中規模	471,430円	518,100円	+46,670円
更新・大規模	942,858円	1,037,300円	+94,442円

改定の理由としてJIPDECは「平均賃金が急速に上昇している中、審査員報酬も制度発足当時から実質的に据え置いてきた」こと、「物価の上昇とりわけシステム関連経費の高騰」を挙げています。

注意したいのは、これは新規取得だけの話ではないことです。
Pマークは2年ごとの更新なので、すでに取得済みの会社も次の更新から新料金になります。
中規模なら更新1回あたり約4.7万円の増加です。

自社は「小規模」？それとも「中規模」？

上の表を見て「小規模なら33万円か」と思われたかもしれません。
しかしここが最大の落とし穴です。
Pマークの「小規模」は、私たちが日常で使う「小さな会社」より、はるかに狭い範囲を指します。

JIPDECは「登記された資本金の額または出資の総額」「従業者数」「業種」の3つで一律に判定します。

業種	小規模	中規模	大規模
製造業・その他	資本金3億円以下かつ従業者2〜20人	資本金3億円以下かつ21〜300人／3億円超かつ2〜300人	資本金3億円超かつ 301人〜
卸売業	資本金1億円以下かつ従業者2〜5人	資本金1億円以下かつ6〜100人／1億円超かつ2〜100人	資本金1億円超かつ 101人〜
小売業	資本金5千万円以下かつ従業者2〜5人	資本金5千万円以下かつ6〜50人／5千万円超かつ2〜50人	資本金5千万円超かつ 51人〜
サービス業	資本金5千万円以下かつ従業者2〜5人	資本金5千万円以下かつ6〜100人／5千万円超かつ2〜100人	資本金5千万円超かつ 101人〜

つまりサービス業・卸売業・小売業では、従業者が6人以上いれば「中規模」です。
製造業でも21人以上で中規模になります。
従業員30名のサービス業の会社がPマークを新規取得する場合、区分は「小規模」ではなく「中規模」で、審査側の費用だけで690,800円（2026年10月以降）。
33万円のつもりで予算を組んでいると、2倍以上の見込み違いになります。

資本金の登記がない一般社団法人や個人事業主は、従業者数と業種だけで判定します（製造業・その他は2〜20人が小規模、卸売業・小売業・サービス業は2〜5人が小規模）。

ISMS（ISO/IEC 27001）とは？──情報資産全体を守る国際規格

ISMSは、ISMS-AC（情報マネジメントシステム認定センター）が「国際的に整合性のとれた情報セキュリティマネジメントシステムに対する第三者適合性評価制度」と説明している制度です。
Pマークと違い、個人情報に限らず事業に関わる情報資産全体を対象にします。
国際規格なので、海外取引や大手との取引での通用度が高いのが特徴です。

現在の認証基準はどの版か

ここは古い情報が多く出回っているので、正確に書きます。ISMS-ACが現在の認証基準としているのは次の版です。

区分	現在の認証基準
ISO規格	ISO/IEC 27001:2022 ＋ ISO/IEC 27001:2022/Amd 1:2024
JIS規格	JIS Q 27001:2025（ISO/IEC 27001:2022+Amd 1:2024に対応）を、JIS Q 27001:2023と併せて適用

2013年版から2022年版への移行期限は2025年10月31日で終了しています。
これから取得する会社が2013年版を参照する必要はありません。
「ISO27001:2013」を前提にした解説記事やひな形は使わないでください。

費用と期間はどれくらいか

ISMSの審査費用は認証機関ごとの見積りとなり、審査工数（審査員が審査に要する日数）で決まります。
工数は従業員数・適用範囲（対象部署や拠点）・事業のリスクレベルで変わるため、公表された価格表はありません。
市場で一般に示されている目安は次のとおりです（当社の価格ではありません）。

費目	目安	備考
初回の審査費用	50〜100万円程度	従業員数名なら60万円前後、100名程度で100万円前後という例
コンサルティング費用	150〜300万円程度	文書作成・内部監査・教育の支援を外部に頼む場合
初回の合計	200〜400万円程度	適用範囲を1拠点・1部署に絞れば圧縮できる
維持費用（年間）	審査30〜60万円／コンサル込み50〜100万円	毎年のサーベイランス（維持）審査が必要
取得までの期間	6か月〜1年	専任担当を置ければ6〜8か月、兼任なら10〜12か月

運用面では、認証の有効期間は3年で、その3年の間は毎年サーベイランス（維持）審査を受け、3年目に更新（再認証）審査を受ける、というサイクルが一般的です。
「3年に1回でよい」制度ではない点にご注意ください。

中小企業がISMSで挫折する最大の原因は、費用ではなく適用範囲を広げすぎることです。
全社・全拠点を対象にすると文書も審査工数も一気に増えます。
取引先が求めているのが特定の受託業務であれば、その業務と拠点に範囲を絞るのが現実的です。

SECURITY ACTION・Pマーク・ISMS・SCS評価制度の負担が段階的に上がることを示す図

SCS評価制度とは？──2026年度下期以降に動く「★」の制度

経済産業省・内閣官房が制度を作り、IPAが事務局を務める新しい制度です。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。
★1から★5の5段階で、最初に運用されるのが★3と★4です。

項目	★3	★4
評価方法	専門家確認付き自己評価（セキュリティ専門家による確認を経た、取得希望組織による自己評価）	第三者評価（要求事項について評価機関による審査）＋技術検証の実施
要求事項の数	要求事項 26件評価基準 81件	要求事項 43件（★3を含む）評価基準 153件
有効期限	1年	3年
主な対象	BtoB取引の受注者側全般	重要インフラ関連・防衛関連の供給元、重要な機密情報や個人情報を扱う企業

中小企業にとって現実的な目標は★3です。
要求事項は26件ですが、後述のとおり実際に答える評価基準は81件あります。
ここで見落としやすいのが有効期限1年という点です。
ISMSは3年、Pマークは2年ですが、★3は1年ごとに評価をやり直す設計になっています。
1回取れば終わりではなく、毎年費用と手間が発生します。

「26件」で安心してはいけない──実際に答えるのは81項目

ここが最も誤解されるところです。
★3の「26件」は要求事項の数であって、実際に答える項目の数ではありません。
IPAが公開している「★3・★4 要求事項・評価基準」（Excel）を数えると、26件の要求事項は81件の評価基準に分解されています（★4は要求事項43件・評価基準153件）。

たとえば要求事項「セキュリティ推進活動部門」は、統括役員を定める・平時の役割を定める・年1回以上見直す、という3つの評価基準に分かれています。
「26項目ならすぐ終わる」と見積もると、実際の作業量は3倍以上になります。

分野ごとの内訳が次の表です。
要求事項は7つの大分類に整理されており、それぞれNIST CSFの6つの機能（統治・識別・防御・検知・対応・復旧）に対応づけられています。

大分類	★3の要求事項	★3の評価基準	★4の評価基準（合計）
1. ガバナンスの整備	3件	8件	19件
2. 取引先管理	3件	4件	7件
3. リスクの特定	4件	11件	29件
4. 攻撃等の防御	13件	48件	82件
5. 攻撃等の検知	1件	3件	8件
6. インシデントへの対応	1件	6件	6件
7. インシデントからの復旧	1件	1件	2件
合計	26件	81件	153件

この表でいちばん重要なのは「4. 攻撃等の防御」だけで評価基準48件＝★3全体（81件）の約6割を占めることです。
ここは資産管理、修正プログラムの適用、アクセス制御、ウイルス対策、ログ、バックアップ、教育といった日々の運用そのものです。
規程を書けば終わる分野ではなく、ツールで自動化しておかないと毎年の更新のたびに人手で証拠を集め直すことになります。

逆に言えば、「2. 取引先管理」は評価基準4件、「6. インシデントへの対応」は6件、「7. インシデントからの復旧」は1件と少なく、文書と体制を決めれば答えられる分野です。
着手の順番を決めるときは、この配分を見てください。

なお要求事項・評価基準のExcelはすでに公開されていますが、その解説書は2026年10月頃に公開予定とされています。
各項目をどこまでやれば適合と判断されるのかは、解説書を見てから確定するのが安全です。

★3の「セキュリティ専門家」とは誰のことか

「専門家確認付き自己評価」と聞くと、自己評価なので無料に思えます。
しかし確認する専門家には資格要件があり、社内にその資格者がいなければ外部に依頼することになります。
IPAが公表している要件は、次のいずれかの保持です。

情報処理安全確保支援士
公認情報セキュリティ監査人
CISSP
CISA
CISM
ISO27001 主任審査員

加えて、制度が定める研修の受講が求められます（研修を実施する研修事業者は2026年12月末頃より公表予定）。
専門家の管理下で作業する従事者にも、研修の受講が求められます。

この一覧で注目していただきたいのは、末尾に「ISO27001 主任審査員」が入っていることです。
SCS評価制度はISMSとまったく別の世界の話ではなく、人材の面では地続きです。
ISMSの運用経験がある会社や支援者は、★3の準備でもそのまま強みになります。

いつから申請できるのか

ここは誤った説明が非常に多い箇所です。IPAが公表しているスケジュールは次のとおりです。

時期	何が起きるか
令和8年度（2026年度）下期（2026年10月〜2027年3月）	評価用ガイド等の公表／評価機関等の公表
それ以降	運用開始（想定）／取得企業の公表
2026年8月頃	評価機関・技術検証事業者の満たすべき要件の詳細を公表予定
2026年12月末頃	セキュリティ専門家向けの研修事業者を公表予定

「2026年度下期から運用開始」と書いている解説記事を見かけますが、2026年度下期に公表されるのは「評価用ガイド等」であって、運用開始はその「以降」です。
実際に申請できるのは2027年度（2027年4月以降）になる見込みです。
つまりいま申請できる制度ではありません。
「取引先に今すぐ示せるもの」を探しているなら、SCS評価制度ではなくSECURITY ACTIONやISMS・Pマークで考える必要があります。

費用・期間・有効期限を並べると、どう見える？

4制度の「負担」を1つの表にまとめます。金額は税込の別を併記しているものを除き目安で、規模と適用範囲によって変わります。

項目	SECURITY ACTION	Pマーク	ISMS	SCS★3
初期費用	0円	33.6万〜138.2万円（税込・審査側のみ）	200〜400万円程度（審査＋コンサル）	未公表
継続費用	0円	2年ごとに 24.4万〜103.7万円	年30〜100万円	毎年（専門家の確認）
有効期間	なし	2年	3年（毎年維持審査）	1年
取得までの期間	即日〜数日	6〜12か月	6〜12か月	未公表
審査・現地訪問	なし	あり（現地審査）	あり（現地審査）	専門家の確認
交通費・宿泊費	なし	別途請求の場合あり	別途請求の場合あり	未公表
今すぐ着手できるか	〇	〇	〇	×（2027年度以降）

この表の意味は明快です。
SECURITY ACTIONだけが、費用も期間もゼロに近い。
にもかかわらず、IPAの調査では中小企業の認知度は約10％、実際に宣言しているのは一つ星3.8％・二つ星2.0％にとどまっています。
もっとも取りやすい段が、もっとも取られていないのが現状です。

取引先に提示するなら、どれが通用する？

「通用度」は制度の格ではなく、取引先が何を心配しているかで決まります。次の4パターンで整理してください。

取引先が求めていること	有効な制度	理由
個人情報を預ける業務（名簿・会員データ・採用・通販）	Pマーク	個人情報の管理体制に特化した制度で、業界の慣行として定着している
技術情報・設計データを預ける業務（製造委託・開発委託）	ISMS	個人情報に限らず情報資産全体を対象にする。Pマークでは答えにならない
海外の取引先・親会社への説明	ISMS	国際規格なので国外でも通用する。PマークとSECURITY ACTIONは国内制度
「まず何かやっているか」の確認（チェックシートが届いた段階）	SECURITY ACTION	0円・数日で示せる。国の制度に沿って対策していると説明できる

現実に多いのは4番目です。
取引先から届いたチェックシートに答えられず困っている段階なら、認証取得の検討より先に、SECURITY ACTIONの宣言と自社診断で「いま何ができていないか」を把握するほうが早く進みます。

▶ 関連記事：今すぐ確認！自社のセキュリティレベルを10分で診断する方法

ISMSやPマークを持っていれば、SCS評価制度は免除される？

現時点で「ISMS認証があれば★3の要求事項が自動的に満たされる」という読み替えのルールは公表されていません。したがって免除されるとは言えません。

ただし実務上、まったく無駄になるわけでもありません。
ISMSやPマークの運用で作った資産管理台帳、規程、教育記録、内部監査の記録、インシデント対応手順は、★3の要求事項に答えるときの材料としてそのまま使えます。
制度は別でも、求められている中身は重なっています。

制度の設計方針としても、SCS評価制度は既存制度（SECURITY ACTION、ISMS、業界のガイドライン等）と整合性を高め、相互補完的に発展させるとされています。
「取り直し」ではなく「積み上げ」と考えるのが実態に近いです。

結局、どの順番で取ればいい？

冒頭のIPAの一文がそのまま答えになります。
「SCS評価制度の★3・★4取得の準備段階として、まずSECURITY ACTION セキュリティ対策自己宣言から初めてみましょう」。
これを中小企業の実務に落とすと、次の順番になります。

順番	やること	費用	かかる期間
①	SECURITY ACTION 一つ星を宣言する（GビズIDを取得し、6か条に取り組むと宣言）	0円	即日〜数日
②	自社診断（25項目）で現状を測る。ここで出た穴が、以降すべての制度の宿題になる	0円	30分
③	情報セキュリティ基本方針を作って外部公開し、二つ星にする（ISMS取得済ならその方針をそのまま使える）	0円	1〜2週間
④	診断で見つかった穴を埋める（資産台帳・ログ・教育・バックアップ・パッチ）。ここが唯一お金のかかる段	月数万円〜	1〜3か月
⑤	取引先の要求を確認する。個人情報中心ならPマーク、情報資産全体や海外取引ありならISMSへ	—	—
⑥	認証取得に着手する（必要な場合のみ）。適用範囲は必要最小限に絞る	Pマーク33.6万円〜 ISMS200万円〜	6〜12か月
⑦	評価用ガイドの公表（2026年度下期）を待ってSCS★3を検討	未公表	2027年度以降

重要なのは、①〜③は費用ゼロで、④までやれば、どの制度に進んでも同じ準備になるということです。
「ISMSかPマークかSCSか」を先に決めようとして止まってしまうくらいなら、①から着手したほうが確実に前に進みます。

どの制度でも共通して求められるものは？

制度名は4つありますが、聞かれる中身は驚くほど重なります。共通して求められる6つが次です。

求められること	なぜ聞かれるのか	何で満たすか
情報資産の台帳	何を持っているか分からない会社は、守れているかを説明できない	IT資産管理ツール（自動収集）
操作ログの取得と保管	事故が起きたときに「何が持ち出されたか」を示す唯一の材料	IT資産管理ツール（保存期間の設定）
修正プログラムの適用状況	既知の脆弱性の放置は、侵入経路として最も多い	IT資産管理ツール／パッチ管理
従業員教育の実施と記録	「やった」ではなく「誰がいつ受けたか」の記録が要る	eラーニング／標的型メール訓練
バックアップ	2026年3月のガイドライン第4.0版で6か条に追加された	クラウドバックアップ
規程と体制	ルールが文書になっていて、責任者が決まっているか	規程（ひな形は無料で入手可）

言い換えると、制度をどれにするか決める前にこの6つを整えておけば、どの制度に進んでも作業が無駄になりません。
そして6つのうち「規程」はIPAが無料のひな形を公開しているので、費用がかかるのは実質5つです。

共通して求められる部分は、何でそろえる？

当社がお取り扱いしている製品のうち、上の6つに直接効くものを並べます。価格はいずれも税別で、契約数や契約期間によって変わります。

項目	セキュリオ	LANSCOPE エンドポイントマネージャー	ISM CloudOne
何をするか	従業員教育 eラーニング／標的型メール訓練	IT資産管理台帳・操作ログ・デバイス制御	IT資産管理台帳・脆弱性・操作ログ
初期費用	100,000円	30,000円／契約	30,000円
月額（目安）	50名以下 18,000円〜 50名超 1人360円〜	1台500円〜（ライト300〜400円）	1台600円〜（1,000台で360円）
どの要求に効くか	教育の実施と記録	台帳・ログ・パッチ	台帳・脆弱性・ログ
特徴	日本製で自然な日本語の訓練メール配信数は無制限	操作ログを標準2年（最大5年）保管エージェント非対応機器も台帳登録可	導入90,000社（2025年3月）外部デバイス制御に申請ワークフロー標準
補助金	対象ITツール	対象ITツール	対象ITツール
詳細	詳細を見る	詳細を見る	詳細を見る

なおセキュリオは教育の道具であり、ISMSやPマークの文書を自動で作ってくれるものではありません。
ただ、どの制度でも必ず聞かれる「教育を実施したか、その記録があるか」を仕組みとして残せます。
ここは自力運用だと最も抜け落ちやすい部分です。

従業員30名の会社だと、いくらかかる？

サービス業・従業員30名・PC30台の会社を想定した試算です（税別、当社取扱製品の標準価格ベース）。

やること	費用
SECURITY ACTION（一つ星・二つ星）	0円
情報セキュリティ規程（IPAのひな形を利用）	0円
自社診断（25項目）	0円
セキュリオ ARライト（教育・メール訓練）	初期100,000円＋年216,000円
LANSCOPE プランⅢ ベーシック 500円×30台	初期30,000円＋年180,000円
共通の土台の合計	初年度 526,000円（月約43,800円） 2年目以降年396,000円（月33,000円）
（参考）Pマーク新規・中規模の審査側費用	690,800円（税込・2026年10月以降）＋コンサル費用
（参考）ISMS初回	200〜400万円程度
（参考）SCS★3	未公表（有効期限1年＝毎年発生）

この表の読み方は2つあります。
1つは、認証そのものの費用より、認証に耐えられる状態を作る費用のほうが安いということ。
もう1つは、その状態を作る作業は、どの認証に進んでも必要になるということです。

逆の側から見ると、事故が起きた場合の費用はこの桁ではおさまりません。
マルウェアに感染した端末の調査は300台までで298,000円、詳細レポートを付ければさらに500,000円が必要です。
共通の土台の年間費用（396,000円）は、感染調査1回とほぼ同じ水準です。

補助金は使える？

結論から言うと、認証の審査料そのものには使えませんが、認証に必要な仕組み（ITツール）には使えます。ここを混同すると計画が狂います。

費目	デジタル化・AI導入補助金	備考
Pマーク・ISMSの審査料・登録料	対象外	補助対象はITツールのため
認証取得のコンサルティング費用	対象外（原則）	同上。詳細は公募要領で確認
IT資産管理ツール・教育ツール等	対象	通常枠は最大450万円・補助率は原則1/2、小規模事業者は最大4/5
セキュリティ対策サービスの利用料	対象	セキュリティ対策推進枠は5万〜150万円、小規模2/3・中小1/2、サービス利用料は最大2年分

セキュリティ対策推進枠を使う場合、対象はIPA「サイバーセキュリティお助け隊サービスリスト」に掲載され、IT導入支援事業者が事務局に登録したサービスに限られます。
また交付申請までにSECURITY ACTIONの自己宣言ID（およびGビズID）が必要で、交付決定前に発注・契約したものは対象外です。
要件は年度ごとに変わるため、必ず最新の公募要領を確認し、必要に応じて専門家にご相談ください。

ここでもう一度、順番の話につながります。
SECURITY ACTIONの宣言は、補助金申請の前提条件でもあります。
「0円だから後でいい」ではなく、補助金を使うなら最初に済ませておくべき手続きです。

なお、認証取得の費用そのものについては、自治体の助成制度が使える場合があります。
たとえば東京都中小企業振興公社には、ISO・IEC規格等の認証取得に要する経費の一部を助成する事業があります。
ただし募集時期・要件・予算枠は年度ごとに変わり、受付が終了していることもあるため、検討時点での公募状況を必ずご確認ください。

よくある質問

Q. 従業員10名ですが、ISMSやPマークは必要ですか？

A. 取引先が明確に求めていないなら、まだ必要ありません。
10名規模でまず取るべきはSECURITY ACTIONです。
0円で、宣言すればロゴを名刺やWebサイトに掲載でき、国の制度に沿って対策していると説明できます。
なお、Pマークの区分でいうとサービス業10名は「小規模」ではなく「中規模」になるため、費用の面でも安易には踏み出せません。

Q. Pマークを持っています。SECURITY ACTIONの二つ星も宣言できますか？

A. 宣言できますが、注意点があります。
二つ星の要件である「情報セキュリティ基本方針」は、個人情報保護に限定されない、情報セキュリティ全体の方針である必要があります。
Pマークで作った個人情報保護方針しかない場合は、情報セキュリティの基本方針をもう1枚作って公開してください。
ISMSの情報セキュリティ方針であれば、そのまま二つ星の要件に該当します。

Q. ISMSとPマーク、両方取る会社もあるのですか？

A. あります。
個人情報を大量に扱いながら技術情報も預かる会社（受託開発、BPO、人材サービスなど）では両方持つケースがあります。
ただし費用も運用の負荷も単純に足し算になるため、まずは取引先が実際に何を求めているかを確認してから判断してください。

Q. Pマークの値上げまでに駆け込んだほうが得ですか？

A. すでに文書と体制が整っていて申請できる状態なら、2026年9月30日までに申請すれば現行料金が適用されます。
中規模の新規なら約6.2万円、更新なら約4.7万円の差です。
ただし準備が不十分な状態で申請すると指摘対応で再度の現地審査となり、基本料金57,200円＋時間単価23,100円×審査時間×審査人数が別途かかります。
値上げ分より高くつくことがあるため、準備状況で判断してください。

Q. SCS評価制度の★3は、いつから申請できますか？

A. 2027年度（2027年4月以降）になる見込みです。
IPAのスケジュールでは、2026年度下期（2026年10月〜2027年3月）に評価用ガイド等と評価機関が公表され、運用開始は「それ以降」とされています。
「2026年度下期から運用開始」と書いている記事は、ガイドの公表と運用開始を混同しています。

Q. ★3の要求事項は26件だけですか？

A. 要求事項は26件ですが、それが81件の評価基準に分解されています（★4は要求事項43件・評価基準153件）。
IPAが公開している「★3・★4 要求事項・評価基準」のExcelで確認できます。
とくに「攻撃等の防御」の分野が評価基準48件で全体の約6割を占めるため、規程を書くだけでは終わりません。
資産管理・パッチ適用・ログ・教育を仕組みで回しておく必要があります。

Q. ★3は自己評価なら費用はかからないのですか？

A. かかる可能性が高いです。
★3は「専門家確認付き自己評価」で、確認する専門家には情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれかの資格と、制度が定める研修の受講が求められます。
社内に該当者がいなければ外部への依頼費用が発生します。
しかも有効期限が1年なので、その費用は毎年発生します。

Q. IT担当者がいませんが、認証は取れますか？

A. SECURITY ACTIONは取れます。
フォームの入力と自社診断、基本方針の公開だけなので、総務のご担当者や経営者ご自身でも進められます。
一方でPマークやISMSは、文書作成・内部監査・教育・是正対応を1年間回し続ける必要があり、担当者不在のまま取ると更新時に破綻しやすいです。
取得より先に、台帳・ログ・教育を仕組みで自動化しておくことをおすすめします。

Q. まず何から相談すればいいですか？

A. 「取引先から何を求められているか」をお持ちになってご相談ください。
求められている内容によって、答えがSECURITY ACTIONで足りるのか、Pマークなのか、ISMSなのかが変わります。
当社はデジタル化・AI導入補助金の支援事業者として、必要なITツールの選定と補助金の申請の両面でお手伝いできます。

まとめ

ISMS・Pマーク・SECURITY ACTION・SCS評価制度は、どれか1つを選ぶ制度ではありません。
SECURITY ACTIONは0円・即日、Pマークは個人情報だけを対象に有効期間2年、ISMSは情報資産全体を対象にした国際規格で初回200〜400万円程度、SCS評価制度の★3は要求事項26件（実際に答える評価基準は81件）・有効期限1年で、申請できるのは2027年度以降の見込みです。
この4つは審査の重さが違うだけで、聞かれる中身（資産台帳・ログ・パッチ・教育・バックアップ・規程）は重なっています。
だからこそ、順番を間違えないことが重要です。
まずSECURITY ACTIONを宣言し、25項目の自社診断で穴を見つけ、その穴を埋める。
ここまでは費用がほとんどかかりません。
そのうえで、取引先が個人情報を心配しているならPマーク、技術情報や海外取引ならISMS、というように相手の心配に合わせて選ぶのが正解です。
1つだけ期限のある話をお伝えします。
Pマークの料金は2026年10月1日から約10％値上げされ、適用は申請日が基準です。
すでに申請できる状態にある会社は、9月30日までの申請で現行料金が適用されます。
そして、自社の区分が「小規模」か「中規模」かは必ずご確認ください。
サービス業・卸売業・小売業では従業者6人以上で中規模、製造業でも21人以上で中規模です。
30名の会社が新規取得する場合、審査側の費用だけで約69万円になります。
認証の費用より、認証に耐えられる状態を作る費用のほうが安く、しかもその作業はどの制度に進んでも無駄になりません。
当社では、どの制度が必要かの整理から、共通して求められるITツールの選定、デジタル化・AI導入補助金の活用までを一括でご支援しています。

認証制度の選び方を相談する

法人向けセキュリティソフト　7社料金 10秒一括比較はこちら➡

運営会社	株式会社アーデント
所在地	〒150-0002 東京都渋谷区渋谷3-15-5 パールビル3階
電話番号	03-5468-6097
営業時間	10:00〜19:00（土日祝・年末年始除く）
URL	https://ardent.jp/