中小企業のセキュリティ対策の始め方（SECURITY ACTION）
この記事の結論
中小企業のセキュリティ対策は、IPAの「情報セキュリティ6か条」から始め、25項目の自社診断と情報セキュリティ基本方針へ段階的に進めるのが現実的で、その取り組みはSECURITY ACTIONで自ら宣言できます。
自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）
「何から手をつければよいか分からない」という声は、セキュリティ対策でよく聞かれます。この記事では、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版と、取り組みを自ら宣言する制度「SECURITY ACTION」にそって、始め方を整理します。
この記事でわかること
- SECURITY ACTIONの一つ星・二つ星の違いと、宣言の意味
- 一つ星の土台になる「情報セキュリティ6か条」の中身
- 2026年4月からの申込みの方法と、宣言の後に続けること
SECURITY ACTIONとは、どんな制度ですか？
SECURITY ACTIONは、IPAが運営する制度で、中小企業などが情報セキュリティ対策に取り組むことを自ら宣言する仕組みです。宣言した事業者は、申込みのうえで、ロゴマークをポスター、パンフレット、名刺、Webサイトなどに無料で使えます。
宣言には2つの段階があります。
| 段階 | 宣言する内容 | 対応するガイドラインの取り組み |
|---|---|---|
| 一つ星 | 「情報セキュリティ6か条」に取り組む | STEP1（できるところから始める） |
| 二つ星 | 自社診断で状況を把握し、情報セキュリティ基本方針を定めて外部に公開した | STEP2（組織的な取り組みを開始する） |
宣言は事業者の申告にもとづくもので、第三者が審査して認める認証（たとえばISMS）とは性質が異なります。ロゴマークの使用規約では、商品やサービスの品質や安全性を保証すると誤解させる使い方は認められていません。宣言は「取り組みを始めた」ことを社内外に示す目印と考えると、無理なく続けられます。
一つ星の「情報セキュリティ6か条」とは何ですか？
2026年3月27日に公開されたガイドライン第4.0版では、従来の5か条に「バックアップを取ろう」が加わり、6か条になりました。
① OSやソフトウェアは常に最新の状態にしよう：更新を後回しにすると、知られた弱点（脆弱性）を突かれやすくなります。
② ウイルス対策ソフトを導入しよう：パソコンだけでなく、業務で使う端末全体を対象に考えます。
③ パスワードを強化しよう：使い回しをやめ、多要素認証を使えるサービスでは設定します。
④ 共有設定を見直そう：クラウドのフォルダや共有リンクが、意図せず社外から見られる状態になっていないかを確かめます。
⑤ バックアップを取ろう：第4.0版で加わった項目です。ランサムウェアなどでデータが使えなくなったときに備えます。
⑥ 脅威や攻撃の手口を知ろう：フィッシングなどの手口を社員と共有します。
6か条は、専門の担当者がいなくても始めやすい内容です。まずは社内の端末とアカウントを一覧にして、6つの項目ごとに「できている・できていない」を書き出すと、手をつける順番が見えてきます。
二つ星に進むには、何をすればよいですか？
二つ星は、ガイドラインのSTEP2にあたります。次の順番で進めます。
① 自社診断で状況を把握します。 付録3の自社診断は25項目の設問で、内訳は基本的対策6項目、従業員としての対策11項目、組織としての対策8項目です。第4.0版では「ウェブサイト管理」と「ネットワーク管理」が加わりました。
② 問題のあった項目の対策を決めます。 解説編の対策例を参考に、社内のルールを作ります。
③ 情報セキュリティ基本方針を定めて公開します。 付録2に基本方針のサンプル（Word）があります。自社の言葉に直し、Webサイトなどで公開します。
④ 社内に伝えます。 付録4の情報セキュリティハンドブック（ひな形）を使うと、決めたルールを社員に伝えやすくなります。
ガイドラインの段階と、SECURITY ACTIONの宣言
SECURITY ACTIONは事業者の申告にもとづく自己宣言で、第三者が審査して認める認証とは性質が異なります。
その先のSTEP3では、体制や規程、情報資産の管理、取引先や外部サービスの管理、事故への備えに本格的に取り組みます。STEP4では、リスクの分析やクラウド、テレワークなど、より強固にするための方策が示されています。ガイドラインでは、サプライチェーン企業に求められる対策の水準を示すSCS評価制度との関係も整理されています。
申込みは、どう進めますか？
2026年4月1日に「SECURITY ACTION管理システム」が公開され、申込みの方法が変わりました。
① GビズIDを用意します。 使えるのはGビズIDプライムまたはGビズIDメンバーです。GビズIDエントリーは使えません。補助金の申請で使っているIDをそのまま使えます。
② 管理システムにログインして申し込みます。 自己宣言IDは申込みの直後に発行され、ロゴマークもすぐにダウンロードできるようになりました。
③ 登録した内容は管理システムで管理します。 事業者名や担当者の変更、停止の手続きも管理システムで行え、すぐに反映されます。
2026年3月以前に申し込んだ事業者は、手続きの必要はなく、自己宣言IDとロゴマークもそのまま使えます。第4.0版の発行の後も、宣言し直す必要はありません。一つ星から二つ星へ進む場合は、管理システムで新しく申し込みます。
2026年4月からの申込みの流れ
- GビズIDを用意GビズIDプライムまたはGビズIDメンバー（GビズIDエントリーは使えません）
- 管理システムで申込み自己宣言IDは申込みの直後に発行され、ロゴマークもすぐにダウンロードできます
- 管理システムで管理事業者名や担当者の変更、停止の手続きもここで行い、すぐに反映されます
- 一つ星から二つ星へ管理システムで新しく申し込みます（2026年3月以前の宣言は、手続きなしでそのまま使えます）
補助金によっては自己宣言IDの提出を求められる場合があります。要件は公募ごとに公式ページでご確認ください。
補助金によっては、申請のときに自己宣言IDの提出を求められる場合があります。IPAのお知らせでは、デジタル化・AI導入補助金の第2次公募以降は、補助金の申請に使ったGビズIDで管理システムから申し込んだ自己宣言IDが必要とされています。それ以外の補助金では、従来の自己宣言IDも引き続き使えますが、今後変わる可能性があるとされています。要件は公募ごとに変わることがあるため、申請する補助金の公式ページで確かめてください。
宣言の後は、何を続ければよいですか？
宣言はスタートの目印です。次のことを続けると、取り組みが形だけになりにくくなります。
- 年に1回は自社診断をやり直す：人の入れ替わりや新しいサービスの導入で、状況は変わります。
- AIの利用も対象に入れる：生成AIのサービスも外部のサービスの一つです。入力してよい情報や、使ってよいサービスを社内のルールに加えます（「AIのセキュリティの基本」参照）。
- 事故のときの連絡先を決めておく：誰に報告し、誰が判断するかを決めておくと、初動が早くなります。
チェックリスト
関連するひな形・ガイド・用語
ひな形
ガイド
よくあるご質問
QSECURITY ACTIONを宣言すると、セキュリティが保証されたことになりますか？
Aなりません。SECURITY ACTIONは、事業者が自らの申告にもとづいて取り組みを宣言する制度です。ロゴマークの使用規約でも、商品やサービスの品質や安全性を保証すると誤解させる使い方は認められていません。宣言は、取り組みを始めて続けるための目印と考えると扱いやすくなります。
Q一つ星と二つ星は、どちらから始めればよいですか？
Aまだ対策が整っていない場合は、一つ星（情報セキュリティ6か条）から始めると無理がありません。6か条に取り組んだうえで、25項目の自社診断と情報セキュリティ基本方針の策定・公開に進むと二つ星を宣言できます。一つ星から二つ星へ進むときは、管理システムで新しく申し込みます。
Q申込みには何が必要ですか？
A2026年4月1日から、SECURITY ACTION管理システムにGビズIDでログインして申し込む方法になりました。使えるのはGビズIDプライムまたはGビズIDメンバーで、GビズIDエントリーは使えません。補助金の申請で使っているGビズIDをそのまま使えます。
Q補助金の申請に関係しますか？
A補助金によっては、申請のときにSECURITY ACTIONの自己宣言IDの提出を求められる場合があります。求められる宣言の方法は公募ごとに変わることがあるため、申請する補助金の公式ページで要件を確かめてください。
この記事に出てくる用語
「基盤とセキュリティ」のほかの記事
この柱の解説 →出典
- 独立行政法人情報処理推進機構（IPA）「SECURITY ACTION セキュリティ対策自己宣言」
- IPA「SECURITY ACTION管理システムリリースのご案内」（お知らせ）
- IPA「SECURITY ACTION ロゴマーク使用規約（自己宣言事業者）」
- IPA「中小企業の情報セキュリティ対策ガイドライン」
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」説明資料
最終確認日：2026-11-12