--- title: "中小企業のセキュリティ対策の始め方（SECURITY ACTION）｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/security-action-sme/ description: "中小企業のセキュリティ対策は、IPAの「情報セキュリティ6か条」から始め、自社診断と基本方針へ進むのが現実的です。その取り組みを自ら宣言する制度SECURITY ACTIONの一つ星・二つ星と、申込みの流れをまとめました。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- はじめる[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 中小企業のセキュリティ対策の始め方（SECURITY ACTION） 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 5件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 中小企業のセキュリティ対策は、IPAの「情報セキュリティ6か条」から始め、25項目の自社診断と情報セキュリティ基本方針へ段階的に進めるのが現実的で、その取り組みはSECURITY ACTIONで自ら宣言できます。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 「何から手をつければよいか分からない」という声は、セキュリティ対策でよく聞かれます。この記事では、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版と、取り組みを自ら宣言する制度「SECURITY ACTION」にそって、始め方を整理します。 この記事でわかること - SECURITY ACTIONの一つ星・二つ星の違いと、宣言の意味 - 一つ星の土台になる「情報セキュリティ6か条」の中身 - 2026年4月からの申込みの方法と、宣言の後に続けること ## SECURITY ACTIONとは、どんな制度ですか？ SECURITY ACTIONは、IPAが運営する制度で、中小企業などが情報セキュリティ対策に取り組むことを自ら宣言する仕組みです。宣言した事業者は、申込みのうえで、ロゴマークをポスター、パンフレット、名刺、Webサイトなどに無料で使えます。 宣言には2つの段階があります。 | 段階 | 宣言する内容 | 対応するガイドラインの取り組み | |---|---|---| | 一つ星 | 「情報セキュリティ6か条」に取り組む | STEP1（できるところから始める） | | 二つ星 | 自社診断で状況を把握し、情報セキュリティ基本方針を定めて外部に公開した | STEP2（組織的な取り組みを開始する） | 宣言は事業者の申告にもとづくもので、第三者が審査して認める認証（たとえばISMS）とは性質が異なります。ロゴマークの使用規約では、商品やサービスの品質や安全性を保証すると誤解させる使い方は認められていません。**宣言は「取り組みを始めた」ことを社内外に示す目印と考えると、無理なく続けられます。** ## 一つ星の「情報セキュリティ6か条」とは何ですか？ 2026年3月27日に公開されたガイドライン第4.0版では、従来の5か条に「バックアップを取ろう」が加わり、6か条になりました。 ① **OSやソフトウェアは常に最新の状態にしよう**：更新を後回しにすると、知られた弱点（脆弱性）を突かれやすくなります。 ② **ウイルス対策ソフトを導入しよう**：パソコンだけでなく、業務で使う端末全体を対象に考えます。 ③ **パスワードを強化しよう**：使い回しをやめ、多要素認証を使えるサービスでは設定します。 ④ **共有設定を見直そう**：クラウドのフォルダや共有リンクが、意図せず社外から見られる状態になっていないかを確かめます。 ⑤ **バックアップを取ろう**：第4.0版で加わった項目です。ランサムウェアなどでデータが使えなくなったときに備えます。 ⑥ **脅威や攻撃の手口を知ろう**：フィッシングなどの手口を社員と共有します。 6か条は、専門の担当者がいなくても始めやすい内容です。まずは社内の端末とアカウントを一覧にして、6つの項目ごとに「できている・できていない」を書き出すと、手をつける順番が見えてきます。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 二つ星に進むには、何をすればよいですか？ 二つ星は、ガイドラインのSTEP2にあたります。次の順番で進めます。 ① **自社診断で状況を把握します。** 付録3の自社診断は25項目の設問で、内訳は基本的対策6項目、従業員としての対策11項目、組織としての対策8項目です。第4.0版では「ウェブサイト管理」と「ネットワーク管理」が加わりました。 ② **問題のあった項目の対策を決めます。** 解説編の対策例を参考に、社内のルールを作ります。 ③ **情報セキュリティ基本方針を定めて公開します。** 付録2に基本方針のサンプル（Word）があります。自社の言葉に直し、Webサイトなどで公開します。 ④ **社内に伝えます。** 付録4の情報セキュリティハンドブック（ひな形）を使うと、決めたルールを社員に伝えやすくなります。 ガイドラインの段階と、SECURITY ACTIONの宣言 **STEP1：できるところから始める**：情報セキュリティ6か条に取り組む（一つ星） **STEP2：組織的な取り組みを開始する**：25項目の自社診断と、基本方針の策定・公開（二つ星） **STEP3：本格的に取り組む**：体制・規程、情報資産の管理、取引先や外部サービスの管理、事故への備え **STEP4：より強固にする**：リスクの分析、クラウド、テレワークなど SECURITY ACTIONは事業者の申告にもとづく自己宣言で、第三者が審査して認める認証とは性質が異なります。 その先のSTEP3では、体制や規程、情報資産の管理、取引先や外部サービスの管理、事故への備えに本格的に取り組みます。STEP4では、リスクの分析やクラウド、テレワークなど、より強固にするための方策が示されています。ガイドラインでは、サプライチェーン企業に求められる対策の水準を示すSCS評価制度との関係も整理されています。 ## 申込みは、どう進めますか？ 2026年4月1日に「SECURITY ACTION管理システム」が公開され、申込みの方法が変わりました。 ① **GビズIDを用意します。** 使えるのはGビズIDプライムまたはGビズIDメンバーです。GビズIDエントリーは使えません。補助金の申請で使っているIDをそのまま使えます。 ② **管理システムにログインして申し込みます。** 自己宣言IDは申込みの直後に発行され、ロゴマークもすぐにダウンロードできるようになりました。 ③ **登録した内容は管理システムで管理します。** 事業者名や担当者の変更、停止の手続きも管理システムで行え、すぐに反映されます。 2026年3月以前に申し込んだ事業者は、手続きの必要はなく、自己宣言IDとロゴマークもそのまま使えます。第4.0版の発行の後も、宣言し直す必要はありません。一つ星から二つ星へ進む場合は、管理システムで新しく申し込みます。 2026年4月からの申込みの流れ - **GビズIDを用意**：GビズIDプライムまたはGビズIDメンバー（GビズIDエントリーは使えません） - **管理システムで申込み**：自己宣言IDは**申込みの直後に発行**され、ロゴマークもすぐにダウンロードできます - **管理システムで管理**：事業者名や担当者の変更、停止の手続きもここで行い、すぐに反映されます - **一つ星から二つ星へ**：管理システムで新しく申し込みます（2026年3月以前の宣言は、手続きなしでそのまま使えます） 補助金によっては自己宣言IDの提出を求められる場合があります。要件は公募ごとに公式ページでご確認ください。 補助金によっては、申請のときに自己宣言IDの提出を求められる場合があります。IPAのお知らせでは、デジタル化・AI導入補助金の第2次公募以降は、補助金の申請に使ったGビズIDで管理システムから申し込んだ自己宣言IDが必要とされています。それ以外の補助金では、従来の自己宣言IDも引き続き使えますが、今後変わる可能性があるとされています。要件は公募ごとに変わることがあるため、申請する補助金の公式ページで確かめてください。 ## 宣言の後は、何を続ければよいですか？ 宣言はスタートの目印です。次のことを続けると、取り組みが形だけになりにくくなります。 - **年に1回は自社診断をやり直す**：人の入れ替わりや新しいサービスの導入で、状況は変わります。 - **AIの利用も対象に入れる**：生成AIのサービスも外部のサービスの一つです。入力してよい情報や、使ってよいサービスを社内のルールに加えます（「[AIのセキュリティの基本](https://www.ai-ready.jp/guide/ai-security-basics/)」参照）。 - **事故のときの連絡先を決めておく**：誰に報告し、誰が判断するかを決めておくと、初動が早くなります。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [セキュリティの自己点検表](https://www.ai-ready.jp/templates/security-self-check/) ガイド - [AIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え](https://www.ai-ready.jp/guide/ai-security-basics/) - [バックアップと復旧の計画の立て方](https://www.ai-ready.jp/guide/backup-and-recovery/) - [アカウントと権限の管理の基本](https://www.ai-ready.jp/guide/access-management-basics/) - [社員のセキュリティ教育の進め方](https://www.ai-ready.jp/guide/security-education/) - [脆弱性の管理とアップデートの進め方](https://www.ai-ready.jp/guide/vulnerability-management/) - [多要素認証・パスキーの導入の進め方](https://www.ai-ready.jp/guide/mfa-and-passkey-introduction/) 用語 - [SECURITY ACTION](https://www.ai-ready.jp/glossary/security-action/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [バックアップ](https://www.ai-ready.jp/glossary/backup/) - [パッチ管理](https://www.ai-ready.jp/glossary/patch-management/) - [ISMS（ISO/IEC 27001）](https://www.ai-ready.jp/glossary/isms/) ## よくあるご質問 QSECURITY ACTIONを宣言すると、セキュリティが保証されたことになりますか？ Aなりません。SECURITY ACTIONは、事業者が自らの申告にもとづいて取り組みを宣言する制度です。ロゴマークの使用規約でも、商品やサービスの品質や安全性を保証すると誤解させる使い方は認められていません。宣言は、取り組みを始めて続けるための目印と考えると扱いやすくなります。 Q一つ星と二つ星は、どちらから始めればよいですか？ Aまだ対策が整っていない場合は、一つ星（情報セキュリティ6か条）から始めると無理がありません。6か条に取り組んだうえで、25項目の自社診断と情報セキュリティ基本方針の策定・公開に進むと二つ星を宣言できます。一つ星から二つ星へ進むときは、管理システムで新しく申し込みます。 Q申込みには何が必要ですか？ A2026年4月1日から、SECURITY ACTION管理システムにGビズIDでログインして申し込む方法になりました。使えるのはGビズIDプライムまたはGビズIDメンバーで、GビズIDエントリーは使えません。補助金の申請で使っているGビズIDをそのまま使えます。 Q補助金の申請に関係しますか？ A補助金によっては、申請のときにSECURITY ACTIONの自己宣言IDの提出を求められる場合があります。求められる宣言の方法は公募ごとに変わることがあるため、申請する補助金の公式ページで要件を確かめてください。 ## この記事に出てくる用語 - [SECURITY ACTION](https://www.ai-ready.jp/glossary/security-action/) - [ISMS（ISO/IEC 27001）](https://www.ai-ready.jp/glossary/isms/) - [バックアップ](https://www.ai-ready.jp/glossary/backup/) - [脆弱性](https://www.ai-ready.jp/glossary/vulnerability/) - [多要素認証](https://www.ai-ready.jp/glossary/multi-factor-authentication/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [ランサムウェア](https://www.ai-ready.jp/glossary/ransomware/) - [フィッシング](https://www.ai-ready.jp/glossary/phishing/) - [GビズID](https://www.ai-ready.jp/glossary/gbizid/) - [デジタル化・AI導入補助金](https://www.ai-ready.jp/glossary/digitalization-ai-subsidy/) - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [パスキー](https://www.ai-ready.jp/glossary/passkey/) - [パッチ管理](https://www.ai-ready.jp/glossary/patch-management/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [広げる／基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12](https://www.ai-ready.jp/guide/api-integration-basics/)[広げる／基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-security-basics/)[定着させる／基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12](https://www.ai-ready.jp/guide/mlops-llmops-basics/) ## 出典 1. [独立行政法人情報処理推進機構（IPA）「SECURITY ACTION セキュリティ対策自己宣言」](https://www.ipa.go.jp/security/security-action/) 2. [IPA「SECURITY ACTION管理システムリリースのご案内」（お知らせ）](https://www.ipa.go.jp/security/security-action/news/sa-notice-202602.html) 3. [IPA「SECURITY ACTION ロゴマーク使用規約（自己宣言事業者）」](https://www.ipa.go.jp/security/security-action/download/SA_logopolicy-selfdecralation.pdf) 4. [IPA「中小企業の情報セキュリティ対策ガイドライン」](https://www.ipa.go.jp/security/guide/sme/about.html) 5. [IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」説明資料](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_setsumeisiryou.pdf) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. SECURITY ACTIONとは、どんな制度ですか？ 2. 一つ星の「情報セキュリティ6か条」とは何ですか？ 3. 二つ星に進むには、何をすればよいですか？ 4. 申込みは、どう進めますか？ 5. 宣言の後は、何を続ければよいですか？ 6. チェックリスト 7. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「中小企業のセキュリティ対策の始め方（SECURITY ACTION）｜AI-Ready.jp」 https://www.ai-ready.jp/guide/security-action-sme/