正解：エ
各選択肢の解説
アISMS認証を取得済みなので、個人情報を全社で適切に扱っていることはすでに示せている。
誤り。この会社のISMS認証は情報システム部門だけが適用範囲で、営業部などの取扱いは審査されていません。 また、ISMSは情報資産全般の管理の仕組みで、個人情報の取扱いに特化した基準ではありません。 「認証がある」ことと「何が審査されたか」は分けて読みます。
イISMSの適用範囲を全社に広げれば、同じ審査でプライバシーマークも付与される。
誤り。ISMS認証とプライバシーマークは別の制度で、基準（JIS Q 27001 と JIS Q 15001）も 審査も別です。範囲を広げても自動的にプライバシーマークが付くわけではありません。 どちらもマネジメントシステムなので一体の制度だと思われがちです。
ウプライバシーマークは部門ごとに取得できるので、営業部だけを対象に申請すればよい。
誤り。部門やプロジェクト単位で範囲を決められるのはISMSのほうです。 プライバシーマークは事業者（法人）単位で付与されるため、営業部だけでは申請できません。 「範囲を選べるか」が2つの制度を見分ける軸になります。
エ個人情報の取扱いに特化したJIS Q 15001に基づくプライバシーマークを、全社で検討する。
正解。プライバシーマークは JIS Q 15001（個人情報保護マネジメントシステム）を基準に、 JIPDECが事業者単位で付与します。「全社で個人情報を」という要望に合うのはこちらです。
理解を深めるために
守る対象と、認証の単位が違う
ISMS認証とプライバシーマーク（Pマーク）は、どちらも「仕組みを作って回しているか」を 第三者が確かめる制度です。違いは2つあります。何を守る仕組みか（情報資産全般か、個人情報か）と、 どの単位で認められるか（範囲を選べるか、会社全体か）です。
この会社のISMS認証は情報システム部門だけが範囲なので、営業部の個人情報の扱いは 審査の外にあります。「会社全体で個人情報を」という要望には、最初から全社が対象で、 個人情報に特化した基準を持つプライバシーマークが合います。
なぜそうなっているのか
- JIS Q 27001 はISMSの要求事項で、情報資産全般の機密性・完全性・可用性を守る仕組みを求めます。 適用範囲は組織が決め、部門や事業所単位でも認証を受けられます。認証機関を認定するのはISMS-ACです
- JIS Q 15001 は個人情報保護マネジメントシステムの要求事項です。プライバシーマークの審査は この規格を基礎にした基準で行われ、JIPDECが事業者（法人）単位で付与します
- 2つは別の制度なので、片方を持っていても、もう片方の審査を代わりに通ったことにはなりません
混同しやすいものとの違い
| 制度 | 基準 | 守る対象 | 認証の単位 |
|---|---|---|---|
| プライバシーマーク | JIS Q 15001 | 個人情報 | 事業者（法人）単位 |
| ISMS認証 | JIS Q 27001 | 情報資産全般（個人情報を含む） | 組織が決めた範囲（部門単位も可） |
| 個人情報保護法 | 法律 | 個人情報 | 認証ではなく、すべての個人情報取扱事業者に及ぶ義務 |
試験では「範囲を選べるのはどちらか」「個人情報に特化しているのはどちらか」で問われます。 なお、どちらの認証も、取得したから個人情報保護法の義務を果たしたことになるわけではありません。