# 運用代行会社の ISMS・P マーク審査で、クライアントから預かったアカウントをどう説明するか

預かったアカウントは、ISMS では適用範囲に含める資産として、P マークでは受託した個人情報がある場所として扱うと読めます。審査では、アカウントの一覧、使える人、使った記録、外した記録、契約の約束を示します。

更新日: 2026-10-13

運用代行会社は、クライアントから SNS・広告・EC のアカウントを預かって運用しています。ISMS や P マークの審査では、このアカウントも説明を求められる対象に入ると読めます。ISMS では、守る対象の資産として適用範囲(認証の対象とする組織や業務の範囲)に入れることになります。P マークでは、受託した個人情報がある場所として台帳に載ります。いずれも JIPDEC の公開資料からの読み方です。審査で示すのは、アカウントの一覧、使える人、使った記録、外した記録と、契約や規約で約束していることの一覧です。

## ISMS の適用範囲にどう入れるか

JIPDEC の ISMS ユーザーズガイドは、適用範囲の決め方(規格の 4.3)を説明しています。その中で、守るべき重要な情報と、それに関連する資産は、適用範囲に含めなければならないとしています。運用代行会社にとって、預かったアカウントは事業そのものに使う資産です。ガイドが挙げる基準は守るべきかどうかで、持ち主が誰かではないと読めます。ガイドは、適用範囲の外に置く資産があれば、その資産と理由を適用範囲の文書に書くことが望ましい、ともしています。

同じガイドは、法令や規制の要求と契約上の義務も、利害関係者の要求に含まれるとしています。利害関係者とは、取引先や従業員など、組織の取組みに関わる人や組織です。クライアントとの契約にあるアカウントの扱いの約束は、この要求として洗い出す対象です。媒体の利用規約やヘルプがログイン情報を他人と共有しないよう求めている場合も、同じく洗い出す対象になります。その媒体で ID を共有しているなら、求められていることと運用のずれとして、自社で把握しておく必要があります。

預かりアカウントの一覧は、管理の責任者の欄を足せば、資産の一覧の一部に使えます。一覧の項目は[運用代行のクライアントアカウント管理](/guides/agency-accounts)で挙げています。ガイドは、資産の管理の責任者の多くがリスク所有者(その危険への対応を決める責任と権限を持つ人)でもあるとしています。

## P マークの台帳にどう書くか

P マークの審査では、JIPDEC の「構築・運用指針」(JIS Q 15001:2023 準拠 ver1.0)を使います。指針は、対象を「自らの事業の用に供している全ての個人情報」としています。受託した個人情報を除く書き方はしていません。J.1.2 の留意事項は、利害関係者の例に「委託元(及び委託元の顧客)」を挙げています。受託した個人情報も、指針の中で扱う前提になっています。同じ留意事項は、利害関係者の要求事項に、取引先との契約上の義務などを含めてもよいとしています。

預かったアカウントの中には、個人情報が入っているものがあります。SNS の DM、キャンペーンの応募者の情報、広告に使う顧客リスト、EC の受注情報などです。こうした個人情報は、台帳(J.3.1.1)に載せることになると読めます。その場合、保管場所はクライアントのアカウントです。「アクセス権を有する者」を氏名で書くか役割で書くかは、指針に定めがありません。共有 ID で預かったアカウントは ID 名だけでは誰が入れるか分からないので、使う担当者の氏名を、台帳か台帳から参照する一覧に書きます。台帳の項目と確認の頻度は[プライバシーマーク(JIS Q 15001)でアカウント管理について求められること](/guides/compliance/privacy-mark-account-management)で、どこまで書くかは[個人情報の管理台帳に、アカウントとアクセス権をどこまで書くか](/guides/compliance/personal-data-ledger-accounts)で扱っています。

## 審査で何を見られるか

P マークの現地審査について、JIPDEC のページは 4 つの段階を示しています。代表者への聞き取り、運用状況の確認、現場での確認、総括です。運用状況の確認では、個人情報を扱う業務ごとに状況を確かめます。挙がっているのは、個人情報の特定、リスクアセスメント、リスク対策、安全管理措置などです。リスクアセスメントはどこにどんな危険があるかを見積もること、リスク対策はその危険ごとに対応を決めることです。安全管理措置は、個人情報を守るために実際に行う対策です。その際、実際の運用の記録の提示を求めることがあるとしています。更新では、有効期間が終わる 8 か月前から 4 か月前までに申請し、そのあとの審査は新規と同じ流れです。指摘を受けたら、指摘事項文書の日付から 3 か月以内に改善報告書を出します。

ISMS は、ISMS-AC のパンフレットによると、認証の有効期限が 3 年です。その間も年 1 回以上の審査(サーベイランス審査)があり、3 年ごとに更新のための全面的な審査があります。審査の前に一覧を作り直すやり方では、その作業が審査のたびに発生します。日々の運用で一覧と記録を更新していれば、そのまま見せられます。

## 説明に使う記録と、預かり方による違い

管理策は、規格の附属書 A にある対策の項目です。その名称は、日本規格協会が公開する JIS Q 27002:2024 の目次で確かめられます。管理策の本文は有料なので、何を求めているかは規格を入手して確かめる必要があります。審査で示すものごとに、関わる管理策と項番を並べると次のようになります。対応づけは規格や指針の記述ではなく、名称から読んだこの記事の読み替えです。

| 審査で示すもの | ISMS で関わる管理策(目次の名称) | P マークで関わる項番 |
| --- | --- | --- |
| アカウントの一覧 | 5.9 情報及びその他の関連資産の目録 | J.3.1.1 個人情報の特定(台帳) |
| 使える人 | 5.18 アクセス権 | J.3.1.1 の「アクセス権を有する者」 |
| 使った記録 | 8.15 ログ取得 | J.9.2 安全管理措置 |
| 外した記録 | 5.18 アクセス権 | J.3.1.1 の台帳の更新 |
| 契約と規約の約束 | 5.31 法令，規制及び契約上の要求事項 | J.1.2 利害関係者の要求事項 |
| 任せている外部の人 | 5.19 供給者関係における情報セキュリティ | J.9.4 委託先の監督 |

表の最後の行は、運用の一部を在宅のフリーランスなど社外の人に任せる場合です。業務委託の契約で任せているなら、今度は自社が委託する側になります。指針の J.9.4 は、全ての委託先を漏れなく特定し、8 つの事項を盛り込んだ契約を結ぶよう求めています。クライアントの個人データを扱うアカウントを使わせているなら、委託先の一覧にその人を載せることになると読めます。自社の指揮監督の下で働いてもらっている場合は、従業者として J.9.3 の監督の側で扱うと読めます。ISMS では、ユーザーズガイドが JIS Q 27000 の注記を引いています。外部に任せた作業は適用範囲の中に残り、任せた先の組織は外にある、という注記です。

預かり方によって、この表のうち示しにくい行が変わります。ID とパスワードを共有して預かっているアカウントでは、「使える人」と「使った記録」の 2 行が示しにくくなります。一覧からある担当者を外しても、パスワードを変えるまではその人は入れるので、一覧と実際の状態がずれます。媒体の記録は ID 単位なので、担当者ごとの作業記録を別に付けていなければ、誰が使ったかを示せません。共有で預かるアカウントが残るなら、一覧に 2 つを書き添えておきます。パスワードを知っている人の範囲と、人を外したときにパスワードを変えた日です。

権限付与(担当者ごとに招待を受ける形)で預かっているアカウントでは、媒体のユーザー一覧が使える人の一覧になります。使った記録も、媒体が履歴を残す範囲で担当者ごとに残ります。アクセス管理ツールは、パスワードを担当者に見せず、ツールを通してログインさせる仕組みです。この形で預かる場合も、ツール上の使える人の一覧と担当者ごとの利用の記録を、そのまま 2 行の説明に使えます。


## よくある質問

**自社のものではないアカウントも ISMS の対象ですか**

ユーザーズガイドは、守るべき重要な情報と関連する資産は適用範囲に含めるとしています。基準は守るべきかどうかで、持ち主ではないと読めます。外す場合は、その資産と理由を文書に書くことが望ましいとされています。

**P マークの台帳にクライアントの顧客情報も書きますか**

指針は対象を事業に使う全ての個人情報とし、利害関係者に委託元を挙げています。保管場所にはクライアントのアカウントを書きます。共有 ID で使うアカウントは、使う担当者の氏名を台帳か、台帳から参照する一覧に書きます。

**P マークの更新でも現地審査はありますか**

あります。JIPDEC の案内では、更新でも申請のあとの審査は新規と同じ流れです。現地審査では、業務ごとに個人情報の特定や安全管理措置などの状況を確かめ、運用の記録を求めることがあります。

**在宅のフリーランスに運用を任せている場合は**

業務委託の契約で、個人データを扱うアカウントを使わせているなら、自社が委託する側になると読めます。指針の J.9.4 は、全ての委託先を特定し、8 つの事項を盛り込んだ契約を結ぶよう求めています。

## 参考資料

- [JIPDEC「ISMS ユーザーズガイド」(JIP-ISMS111-4.0、2025 年 3 月)](https://www.jipdec.or.jp/archives/publications/JIP-ISMS111-4.0.pdf)
- [ISMS-AC「ISMS 適合性評価制度」パンフレット(JIP-ISMS120-7.2、2025 年 8 月)](https://isms.jp/doc/JIP-ISMS120-72.pdf)
- [日本規格協会「JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティ管理策」プレビュー(目次)](https://webdesk.jsa.or.jp/preview/pre_jis_q_27002_000_000_2024_j_ed10_ch.pdf)
- [JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023 準拠 ver1.0】」(2023 年 12 月 25 日制定)](https://privacymark.jp/guideline/pm_shishin2023v1.0.pdf)
- [JIPDEC プライバシーマーク推進センター「現地審査」](https://privacymark.jp/p-application/new/e-app/on_site_review.html)
- [JIPDEC プライバシーマーク推進センター「更新申請方法」](https://privacymark.jp/p-application/update/index.html)

## Junify の場合

**人手で続けると** クライアントごとに渡し方を決め、担当替えのたびに権限を付け外しし、どの担当者がどのクライアントのアカウントを使ったかを媒体ごとに追い続けることになります。

**Junify なら** 審査が近づくたびに、クライアントと媒体ごとに誰がパスワードを知っているかを聞き取って一覧を作り直す作業は、Junify では要りません。導入時にクライアントと相談してパスワードを変え、Junify だけが持つようにします。すると割り当て(使ってよい人の指定)の画面がそのまま使える人の一覧になり、誰が・いつ使ったかも担当者ごとに残ります。割り当てを外した人は、その時点から入れません。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=marketing-ops)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [クライアントのアカウントの扱いを、運用代行会社のセキュリティの文書にどう書くか](/guides/agency-accounts/agency-security-policy-for-clients): 誰でも読める基本方針、社内の規程、クライアントごとに渡す説明書の 3 つに分けて書きます。IPA の規程のサンプルは自社で ID を出して消せる前提なので、預かったアカウント向けに書き換え、説明書にはその結果を書きます。
- [Qoo10・au PAY マーケットの店舗管理を代行するときの担当者のアカウント](/guides/agency-accounts/qoo10-au-pay-market-store-access): Qoo10 は QSM のサブ ID で担当者の画面を分けられますが、店舗の ID を共有する仕組みです。au PAY マーケットは分け方が公開されていません。両モールの規約が ID の共有を禁じているので、使う前にモールに確かめます。
- [SNS の予約投稿ツールにクライアントのアカウントをつなぐ権限と、担当が外れたときに外すもの](/guides/agency-accounts/sns-scheduling-tools-client-accounts): 連携は、つないだ人の媒体上の権限か、媒体が発行する連携用の文字列で成り立ちます。つなぐ操作はクライアント側の権限者に頼み、担当が外れたら、ツールのメンバー・媒体の権限・連携そのものの 3 か所を確かめます。