--- title: "「中小企業の情報セキュリティ対策ガイドライン」の使い方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/ description: "IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、6か条から始め、自社診断で現状を確かめ、方針と規程へ進む順番で使うと取り組みやすくなります。改訂の要点、付録の使い方、SECURITY ACTIONとの関係を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 「中小企業の情報セキュリティ対策ガイドライン」の使い方 IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、6か条から始め、自社診断で現状を確かめ、方針と規程へ進む順番で使うと取り組みやすくなります。改訂の要点、付録の使い方、SECURITY ACTIONとの関係を説明します。 2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） 経営とDX（MANAGEMENT）のコラム ## この記事の要点 - 2026年3月27日に公開された第4.0版では、5か条にバックアップを加えた「情報セキュリティ6か条」になり、自社診断の項目も追加されました。 - 最初は6か条に取り組み、次に「5分でできる！情報セキュリティ自社診断」で現状を確かめ、基本方針と規程へ進む順番が使いやすい流れです。 - 6か条に取り組むことを宣言すると一つ星、自社診断と基本方針の策定・公開まで進むと二つ星を、SECURITY ACTIONとして自己宣言できます。 IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、中小企業の経営者と実務の担当者が、情報セキュリティ対策を順を追って進めるための手引きです。全部を一度に読むより、「情報セキュリティ6か条」から始め、付録の自社診断で弱いところを確かめ、基本方針と規程へ進むという順番で使うと、手が止まりにくくなります。 ## このガイドラインは、どんな文書か 中小企業の情報セキュリティ対策ガイドラインとは、中小企業が情報セキュリティ対策に取り組むときの考え方と手順を、経営者向けの内容と実務の担当者向けの内容に分けてまとめた、IPAの文書です。本編に加えて、自社診断のシートや、方針・規程のひな形などの付録がそろっていて、そのまま使える形になっています。 IPAは2026年3月27日に第4.0版を公開しました。2023年4月の第3.1版からの改訂で、ランサムウェアの被害によって事業が止まる例が広がったこと、取引先を含めたサプライチェーン全体での対策が求められるようになったこと、中小企業の中で対策を担う人材が不足していることを背景に挙げています。基本的な構成は保ったまま、サイバーセキュリティ対策の記載が広げられています。 出典：[「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）](https://www.ipa.go.jp/pressrelease/2025/press20260327.html) ## 第4.0版で、何が変わったか 第4.0版の改訂の要点は、6か条への変更、自社診断の項目の追加、国の新しい評価制度の考え方の反映、人材の確保・育成の付録の追加の4つです。IPAの公表の内容を整理すると、次のとおりです。 | 改訂の点 | 内容 | |---|---| | 6か条への変更 | これまでの「情報セキュリティ5か条」に「バックアップを取ろう！」を加えた | | 自社診断の項目の追加 | 外部から内部のネットワークへの不要な通信を遮断する項目と、ウェブサイトを安全に運用する項目を加えた | | 評価制度の考え方の反映 | 経済産業省と内閣官房国家サイバー統括室が検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」の基本的な考え方に沿った内容にした | | 付録の追加 | 「中小企業のための人材確保・育成の実践ガイドブック」を付録に加えた | 出典：[「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）](https://www.ipa.go.jp/pressrelease/2025/press20260327.html) 評価制度は、公開の時点では検討中とされていました。取引先から対策の水準を問われる場面は今後も増えると考えられるため、制度の動きは経済産業省の発表で確かめることをおすすめします。その後の制度の準備の状況は、[サプライチェーンのセキュリティ](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)で説明しています。 ## まず、何から始めればよいか 最初の一歩は「情報セキュリティ6か条」です。6か条は、規模にかかわらず取り組んでおきたい基本の対策を、短い言葉にまとめたものです。IPAのSECURITY ACTIONのページでは、次の6つが示されています。 1. OSやソフトウェアは常に最新の状態にしよう！ 2. ウイルス対策ソフトを導入しよう！ 3. パスワードを強化しよう！ 4. 共有設定を見直そう！ 5. バックアップを取ろう！ 6. 脅威や攻撃の手口を知ろう！ 出典：[SECURITY ACTION「一つ星」を宣言する（IPA）](https://www.ipa.go.jp/security/security-action/onestar/) 第4.0版で加わった5つ目の[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)は、[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)の被害から業務を戻すための備えです。社内のネットワークとつながったままの場所にだけ置いていると、バックアップごと暗号化されることがあるため、離れた場所や切り離した媒体にも残しておくことが大切です。何を、どこに、どのくらい残すかの決め方は、[バックアップと復旧の設計。何を、どこに、どのくらい残すか](https://www.ameliatechnology.co.jp/blog/backup-recovery-design/)で扱っています。 3つ目のパスワードは、長く推測されにくいものにすることに加えて、使えるサービスでは[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)も設定しておくと、パスワードが漏れたときの被害を抑えやすくなります。 ## 自社診断は、どう使うか 6か条に取り組んだら、付録の「5分でできる！情報セキュリティ自社診断」で、自社の現状を確かめます。設問に答えていくと、対策ができているところと、できていないところが分かる形になっています。IPAのページでは、PDFの診断シートに加えて、Excelの版（2026年4月21日公開）と、各項目の意味と対策を説明した解説編（2026年9月30日公開）が案内されています。 出典：[5分でできる！情報セキュリティ自社診断（IPA）](https://www.ipa.go.jp/security/guide/sme/5minutes.html) 使い方のこつは、担当者が一人で答えて終わりにしないことです。 - 経営者と、日々パソコンやサーバーを扱っている担当者が一緒に答えると、認識のずれが見つかりやすくなります - 「できていない」と答えた項目は、解説編で対策の中身を確かめ、担当と期限を決めて一覧にします - 半年や1年ごとに同じ診断を繰り返すと、進み具合を数字で比べられます できていない項目の中では、外から入られる入口に関わるもの（ソフトウェアの更新、インターネットに面した機器や[VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)の設定、公開しているウェブサイトの運用）を先に手当てすることが多いです。VPN機器の守り方は、[VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/)で説明しています。 ## SECURITY ACTIONとは、どう関係するか SECURITY ACTIONとは、中小企業が自ら情報セキュリティ対策に取り組むことを宣言する、IPAの自己宣言の制度です。宣言には一つ星と二つ星の2段階があり、ガイドラインの付録と対応しています。 一つ星は、6か条に取り組むことを宣言するもので、対策を終えている必要はなく、これから取り組む意思を示す形とされています。二つ星は、自社診断に取り組んで現状を把握し、ガイドラインの付録のサンプルなどを参考に「情報セキュリティ基本方針」をつくり、自社のウェブサイトや会社案内などで外部に公開したうえで宣言します。2026年4月1日には「SECURITY ACTION管理システム」が公開され、申し込みの方法が変わったと案内されています。 出典：[SECURITY ACTION「一つ星」を宣言する（IPA）](https://www.ipa.go.jp/security/security-action/onestar/)、[SECURITY ACTION「二つ星」を宣言する（IPA）](https://www.ipa.go.jp/security/security-action/twostar/)、[SECURITY ACTION（IPA）](https://www.ipa.go.jp/security/security-action/) SECURITY ACTIONの2つの段階（IPAの自己宣言の制度） - **一つ星**：情報セキュリティ6か条に取り組むことを宣言する。対策を終えている必要はなく、**これから取り組む意思**を示す形 - **二つ星**：自社診断で現状を把握し、情報セキュリティ基本方針をつくり、ウェブサイトや会社案内などで**外部に公開**したうえで宣言する 宣言は、対策が十分であることを第三者が認めるものではありません。取引先から対策の状況を尋ねられたときは、宣言しているかどうかに加えて、何に取り組んでいるかを具体的に答えられるようにしておくと安心です。取引先から届く質問票への答え方は、[取引先から届くセキュリティチェックシートへの答え方](https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/)で扱っています。 ## 方針と規程は、どう進めるか 二つ星の先は、基本方針を社内の決まり（規程）と手順に落とし込む段階です。ガイドラインの付録には、方針と規程のひな形が用意されているため、白紙から書く必要はありません。 ひな形を使うときは、次の点に気をつけると、形だけの決まりになりにくくなります。 - 実際に使っているサービスや機器、扱っている情報に合わせて、要らない項目を削り、足りない項目を足す - 「誰が」「いつ」「何をするか」まで書き、担当の名前や役割を決める - 事故が起きたときの連絡先と最初の動きを、1枚で見られる形にしておく（[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)） - 年に1回は見直す日を決めておく 経営者の関わり方については、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」が、より大きな会社も含めた形で整理しています。両者の違いと使い分けは、[サイバーセキュリティ経営ガイドラインの要点。経営者がすること](https://www.ameliatechnology.co.jp/blog/cyber-security-management-guideline/)をご覧ください。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、入口のセキュリティの現状チェック（20万円・税別）で、聞き取りと外部に公開しているシステムの洗い出しを行い、優先順位をつけた報告書をお渡ししています。情報セキュリティの方針や委託先の管理の決まりを会社の実情に合わせて整えることや、社員の訓練もご支援しています。まずおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - セキュリティ - 中小企業 - IPA - SECURITY ACTION ## この記事に出てくる用語 - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [SECURITY ACTION](https://www.ameliatechnology.co.jp/glossary/security-action/) - [暗号化](https://www.ameliatechnology.co.jp/glossary/encryption/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) ## 関連する法令・指針（参考情報） - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/) - [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/) - [サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/) [経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 取り組む順番を決める AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。 [AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) ### M&Aの前後のシステムを整える フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。 [M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「「中小企業の情報セキュリティ対策ガイドライン」の使い方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/