情報セキュリティは6か条になりました｜25項目の自社診断とSECURITY ACTION一つ星

ガジェット
2026.09.21

この記事には広告はありません。当サイトの他の記事には広告・アフィリエイトリンクが含まれています。

結論：5か条に「バックアップを取ろう！」が加わって6か条になりました

IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」が、2026年3月27日に第4.0版として公開されました。個人事業主や小規模事業者を含む中小企業の利用を想定した資料で、経営者編と実践編から構成されています。本編は全70ページです。

今回の改訂の目玉は、長く「情報セキュリティ5か条」と呼ばれてきたものが6か条になったことです。

# 情報セキュリティ6か条
1 OSやソフトウェアは常に最新の状態にしよう！
2 ウイルス対策ソフトを導入しよう！
3 パスワードを強化しよう！
4 共有設定を見直そう！
5 バックアップを取ろう！（今回追加）
6 脅威や攻撃の手口を知ろう！
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版より

ガイドラインは、この6項目を「企業の規模に関わらず、必ず実行すべき重要な対策」と位置づけています。

1. なぜバックアップが加わったのか

ガイドラインの第5項の説明はこうです。

故障や誤操作、ウイルス感染などにより、パソコンやサーバーの中に保存したデータが消えたり、暗号化されたりしてしまうことがあります。事業が継続できるようバックアップを取得しておきましょう。

「暗号化されたり」——ランサムウェアのことです。付録の自社診断の表紙にも、ランサムウェア、脆弱性攻撃、標的型攻撃、サプライチェーン攻撃、IoT機器、クラウド、スマートフォン、AIというキーワードが並んでいます。

2. 他の5項目の中身

項目 ガイドラインの説明
OSやソフトウェアは最新に 古いまま放置するとセキュリティ上の問題点が解決されず、それを悪用したウイルスに感染する危険性がある
ウイルス対策ソフトを導入 ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えている。ウイルス定義ファイルは常に最新に
パスワードを強化 「長く」「複雑に」「使い回さない」
共有設定を見直す データ保管などのウェブサービスやネットワーク接続した複合機の設定を間違えて、無関係な人に情報を覗き見られるトラブルが増えている
脅威や攻撃の手口を知る 取引先や関係者と偽ってウイルス付のメールを送ったり、正規サイトに似せた偽サイトでID・パスワードを盗もうとする手口が増えている

4番目の「複合機」は見落としがちです。オフィスの複合機がネットワークにつながっていて、スキャンしたデータのフォルダが誰でも見られる設定になっている、という事故です。

3. 25項目の自社診断があります

付録3の「5分でできる！情報セキュリティ自社診断」は、25項目それぞれに「実施している（4点）」「一部実施している（2点）」「実施していない（0点）」「わからない（マイナス1点）」で答えて合計点を出すものです。Excel版も用意されています。

項目は3つのパートに分かれています。

パート 項目数 内容の例
Part1 基本的対策 6項目 OS・ソフトの最新化／ウイルス対策ソフト／パスワード／共有設定／定期バックアップ／新たな脅威の社内共有
Part2 従業員としての対策 11項目 添付ファイル・URLへの注意／宛先の送信ミス防止／重要情報の暗号化／無線LANの暗号化／書類の机上放置防止／持ち出し対策／復元できない廃棄／離席時の対策／立ち入り制限／施錠保管
Part3 組織としての対策 8項目 不正アクセス対策機能／ウェブサイトで公開すべきでない情報／従業員教育／私物機器の業務利用（BYOD）／取引先契約の秘密保持条項／外部サービスの選定／緊急時の体制と対応手順／ルール化と明示
IPA「5分でできる！情報セキュリティ自社診断」（第4.0版・付録3）より

第4.0版では、診断項目に「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」が新たに追加されています。

対策例も具体的です。たとえばパスワードについては、次のように書かれています。

  • 10文字以上で「できるだけ長く」、大文字・小文字・数字・記号を含めて「複雑に」、名前・電話番号・誕生日・簡単な英単語などは使わず、推測できないようにする
  • 同じID・パスワードを複数サービス間で使い回さない
  • 特にVPNや重要なシステムを利用する場合は、強固なパスワードを設定し、可能な場合は多段階認証、多要素認証、パスキーなどの認証強化機能を利用する
  • 初期設定パスワードを見直す

4. SECURITY ACTION：一つ星は「宣言するだけ」

SECURITY ACTIONは、中小企業が自ら情報セキュリティ対策に取り組むことを自己宣言する制度です。取り組み段階に応じて「一つ星」「二つ星」のロゴマークを無料で使用できます。

一つ星の条件は、ガイドラインの記述どおりです。

「SECURITY ACTION」一つ星は、STEP１（情報セキュリティ6か条）に取り組むことを宣言するものです。

つまり、6か条に取り組むと宣言すれば一つ星です。監査や審査があるわけではありません。ガイドラインは「情報セキュリティ対策に取り組んだことのない企業でも、すぐに始めることができます」としています。

そして、実務上の意味があります。

さらに、デジタル化やサイバーセキュリティ対策などを支援する公的支援制度の要件になるなど、情報セキュリティのはじめの一歩として、とても有益な制度です。

実際、SECURITY ACTIONのニュース欄には、埼玉県の中小企業DX導入支援補助金や中小企業省力化支援事業補助金の採択審査における加点対象になった旨が掲載されています（いずれも2026年6月11日付）。補助金を使う予定があるなら、先に宣言しておく価値があります。

なお、2026年4月1日にSECURITY ACTIONの申込方法が変わり、新しい「SECURITY ACTION管理システム」が公開されました。利用にはGビズIDプライムまたはメンバーのアカウントが必須です。

5. 第4.0版のその他の変更点

変更点 内容
SCS評価制度の考え方を取り込み 経済産業省および内閣官房国家サイバー統括室が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」の基本的な考え方に沿った内容に
人材確保・育成の実践ガイドブックを付録に追加 2025年5月に公表された「中堅・中小企業が実施するセキュリティ対策に応じた人材確保・育成の実践的方策ガイドβ版」を踏まえたもの

6. 付録がそのまま使えます

ガイドラインには8つの付録がついており、雛形をそのまま流用できます。

付録 内容 形式
付録1 中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック（全14ページ） PDF
付録2 情報セキュリティ基本方針（サンプル、全1ページ） Word
付録3 5分でできる！情報セキュリティ自社診断（全8ページ） PDF
付録4 情報セキュリティハンドブック（ひな形、全17ページ） —
付録5 情報セキュリティ関連規程（サンプル、全59ページ） Word
付録6 資産管理台帳（サンプル、全9シート） Excel
付録7 中小企業のためのクラウドサービス安全利用の手引き（全8ページ） PDF
付録8 中小企業のためのセキュリティインシデント対応の手引き（全8ページ） PDF

基本方針は1ページ、関連規程は59ページ。ゼロから書くより、これを直したほうが早いです。IPAは、資料に含まれるデータやグラフ・図表等を作成資料に引用・抜粋して利用して構わないとしています。

実務としてやること

  • まず付録3の自社診断25項目をやる。5分で現在地が分かる
  • 6か条のうちできていないものを決めて、期限を切る
  • バックアップを取っていないなら、そこから始める（今回追加された項目）
  • ネットワーク接続した複合機の共有設定を確認する
  • 付録2の基本方針（1ページ）を自社向けに直して社内に出す
  • SECURITY ACTION一つ星を宣言する（無料。GビズIDプライムまたはメンバーのアカウントが必要）
  • 補助金を申請する予定があるなら、加点対象になっていないか募集要領を確認する

FAQ

一つ星の宣言に費用はかかりますか

IPAはロゴマークを「無料で使用することができます」としています。

二つ星は何が違いますか

ガイドラインには「取り組み段階に応じて『一つ星』『二つ星』のロゴマークを無料で使用することができます」とあり、一つ星についてはSTEP1（情報セキュリティ6か条）に取り組む宣言と明記されています。二つ星の具体的な要件は本記事では確認していません。SECURITY ACTIONの公式ページをご確認ください。

自社診断の点数に合格ラインはありますか

診断は25項目それぞれを4点・2点・0点・マイナス1点で採点し、合計点を出す形式です。「診断の後は次ページ以降を読んで対策を検討してください」とされており、点数そのものの合格ラインについては本記事では確認していません。

個人事業主でも対象ですか

ガイドラインは「個人事業主、小規模事業者を含む中小企業」の利用を想定していると明記しています。

第3版から何が変わったのか、全部知りたい場合は

IPAの該当ページに改訂の主なポイントが3点（6か条化、SCS評価制度の考え方の取り込み、人材ガイドブックの付録追加）としてまとめられています。詳細は本編（全70ページ）をご確認ください。

参照した一次情報

  • 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」 ipa.go.jp
    2026年9月21日確認。第4.0版の公開日（2026年3月27日）、想定読者、改訂の3つのポイント、付録1〜8の構成、引用の可否に関する記述はこのページに基づきます。
  • IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編） ipa.go.jp（PDF）
    2026年9月21日確認。情報セキュリティ6か条の各項目と説明文、SECURITY ACTION一つ星がSTEP1（情報セキュリティ6か条）に取り組む宣言である旨、ロゴマークが無料で使用できる旨、公的支援制度の要件になる旨に関する記述はこの資料に基づきます。
  • IPA「5分でできる！情報セキュリティ自社診断」（第4.0版・付録3） ipa.go.jp（PDF）
    2026年9月21日確認。25項目の診断内容、Part1〜3の構成、採点方法（4点・2点・0点・マイナス1点）、パスワードの対策例に関する記述はこの資料に基づきます。
  • IPA「SECURITY ACTION」 ipa.go.jp
    2026年9月21日確認。2026年4月1日の申込方法の変更とSECURITY ACTION管理システム、GビズIDプライムまたはメンバーのアカウントが必須である旨、埼玉県の補助金で加点対象になった旨（いずれも2026年6月11日付のお知らせ）に関する記述はこのページに基づきます。

いずれも2026年9月21日に確認しました。ガイドラインのウェブページの最終更新日は2026年7月3日と表示されています。

関連記事

このテーマの記事一覧：IT・個人情報

この記事は、公表されている一次情報をもとに整理したものです。補助金の要件や申請手続きについては、各制度の募集要領をご確認ください。

コメント

タイトルとURLをコピーしました