「中小企業の情報セキュリティ対策ガイドライン」の使い方

IPA（独立行政法人 情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、中小企業の経営者と実務の担当者が、情報セキュリティ対策を順を追って進めるための手引きです。全部を一度に読むより、「情報セキュリティ6か条」から始め、付録の自社診断で弱いところを確かめ、基本方針と規程へ進むという順番で使うと、手が止まりにくくなります。

このガイドラインは、どんな文書か

中小企業の情報セキュリティ対策ガイドラインとは、中小企業が情報セキュリティ対策に取り組むときの考え方と手順を、経営者向けの内容と実務の担当者向けの内容に分けてまとめた、IPAの文書です。本編に加えて、自社診断のシートや、方針・規程のひな形などの付録がそろっていて、そのまま使える形になっています。

IPAは2026年3月27日に第4.0版を公開しました。2023年4月の第3.1版からの改訂で、ランサムウェアの被害によって事業が止まる例が広がったこと、取引先を含めたサプライチェーン全体での対策が求められるようになったこと、中小企業の中で対策を担う人材が不足していることを背景に挙げています。基本的な構成は保ったまま、サイバーセキュリティ対策の記載が広げられています。

出典：「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）

第4.0版で、何が変わったか

第4.0版の改訂の要点は、6か条への変更、自社診断の項目の追加、国の新しい評価制度の考え方の反映、人材の確保・育成の付録の追加の4つです。IPAの公表の内容を整理すると、次のとおりです。

出典：「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）

評価制度は、公開の時点では検討中とされていました。取引先から対策の水準を問われる場面は今後も増えると考えられるため、制度の動きは経済産業省の発表で確かめることをおすすめします。その後の制度の準備の状況は、サプライチェーンのセキュリティで説明しています。

まず、何から始めればよいか

最初の一歩は「情報セキュリティ6か条」です。6か条は、規模にかかわらず取り組んでおきたい基本の対策を、短い言葉にまとめたものです。IPAのSECURITY ACTIONのページでは、次の6つが示されています。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！

出典：SECURITY ACTION「一つ星」を宣言する（IPA）

第4.0版で加わった5つ目のバックアップは、ランサムウェアの被害から業務を戻すための備えです。社内のネットワークとつながったままの場所にだけ置いていると、バックアップごと暗号化されることがあるため、離れた場所や切り離した媒体にも残しておくことが大切です。何を、どこに、どのくらい残すかの決め方は、バックアップと復旧の設計。何を、どこに、どのくらい残すかで扱っています。

3つ目のパスワードは、長く推測されにくいものにすることに加えて、使えるサービスでは多要素認証も設定しておくと、パスワードが漏れたときの被害を抑えやすくなります。

自社診断は、どう使うか

6か条に取り組んだら、付録の「5分でできる！情報セキュリティ自社診断」で、自社の現状を確かめます。設問に答えていくと、対策ができているところと、できていないところが分かる形になっています。IPAのページでは、PDFの診断シートに加えて、Excelの版（2026年4月21日公開）と、各項目の意味と対策を説明した解説編（2026年9月30日公開）が案内されています。

出典：5分でできる！情報セキュリティ自社診断（IPA）

使い方のこつは、担当者が一人で答えて終わりにしないことです。

• 経営者と、日々パソコンやサーバーを扱っている担当者が一緒に答えると、認識のずれが見つかりやすくなります
• 「できていない」と答えた項目は、解説編で対策の中身を確かめ、担当と期限を決めて一覧にします
• 半年や1年ごとに同じ診断を繰り返すと、進み具合を数字で比べられます

できていない項目の中では、外から入られる入口に関わるもの（ソフトウェアの更新、インターネットに面した機器やVPNの設定、公開しているウェブサイトの運用）を先に手当てすることが多いです。VPN機器の守り方は、VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方で説明しています。

SECURITY ACTIONとは、どう関係するか

SECURITY ACTIONとは、中小企業が自ら情報セキュリティ対策に取り組むことを宣言する、IPAの自己宣言の制度です。宣言には一つ星と二つ星の2段階があり、ガイドラインの付録と対応しています。

一つ星は、6か条に取り組むことを宣言するもので、対策を終えている必要はなく、これから取り組む意思を示す形とされています。二つ星は、自社診断に取り組んで現状を把握し、ガイドラインの付録のサンプルなどを参考に「情報セキュリティ基本方針」をつくり、自社のウェブサイトや会社案内などで外部に公開したうえで宣言します。2026年4月1日には「SECURITY ACTION管理システム」が公開され、申し込みの方法が変わったと案内されています。

出典：SECURITY ACTION「一つ星」を宣言する（IPA）、SECURITY ACTION「二つ星」を宣言する（IPA）、SECURITY ACTION（IPA）

宣言は、対策が十分であることを第三者が認めるものではありません。取引先から対策の状況を尋ねられたときは、宣言しているかどうかに加えて、何に取り組んでいるかを具体的に答えられるようにしておくと安心です。取引先から届く質問票への答え方は、取引先から届くセキュリティチェックシートへの答え方で扱っています。

方針と規程は、どう進めるか

二つ星の先は、基本方針を社内の決まり（規程）と手順に落とし込む段階です。ガイドラインの付録には、方針と規程のひな形が用意されているため、白紙から書く必要はありません。

ひな形を使うときは、次の点に気をつけると、形だけの決まりになりにくくなります。

• 実際に使っているサービスや機器、扱っている情報に合わせて、要らない項目を削り、足りない項目を足す
• 「誰が」「いつ」「何をするか」まで書き、担当の名前や役割を決める
• 事故が起きたときの連絡先と最初の動きを、1枚で見られる形にしておく（セキュリティ事故に備える、初動の手順書のつくり方）
• 年に1回は見直す日を決めておく

経営者の関わり方については、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」が、より大きな会社も含めた形で整理しています。両者の違いと使い分けは、サイバーセキュリティ経営ガイドラインの要点。経営者がすることをご覧ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、入口のセキュリティの現状チェック（20万円・税別）で、聞き取りと外部に公開しているシステムの洗い出しを行い、優先順位をつけた報告書をお渡ししています。情報セキュリティの方針や委託先の管理の決まりを会社の実情に合わせて整えることや、社員の訓練もご支援しています。まずおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。