一度セキュリティ対策を整えたあと、見直すタイミングがないまま来ている企業は少なくありません。担当者が本業と兼務している状況では、なおさらです。

大企業や官公庁との取引にあたってセキュリティ対策の証明を求められた、あるいはセキュリティチェックシートへの回答を迫られたことで、初めてガイドラインを調べ直したという企業も増えています。取引先からチェックシートが届いたときの基本的な対応の流れについては、こちらの記事もあわせてご参照ください。

独立行政法人 情報処理推進機構（IPA）が公開している「中小企業の情報セキュリティ対策ガイドライン」が、3年ぶりに改定され第4.0版になりました。これまで中小企業のセキュリティ対策の出発点として広く参照されてきた情報セキュリティ5か条が、6か条に変わっています。

この記事では、今回の改訂で何が変わったか、特に新たに加わったバックアップ対策とSCS評価制度の概要を整理します。個人情報保護法の安全管理措置との関連性も含め、中小企業として今確認しておくべきポイントをお伝えします。

今回の改訂で何が変わったか

第3.0版から4.0版への主な変更点

今回の改訂は、ここ数年でセキュリティを取り巻く環境が大きく変化したことへの対応として行われています。特に影響が大きかったのは、ランサムウェア被害の深刻化、業務でのクラウド利用の普及、そしてサプライチェーンを経由した攻撃の顕在化という三つの変化です。

IPAが毎年公開している「情報セキュリティ10大脅威」では、ランサムウェアによる被害が組織向け脅威の上位に複数年にわたって挙げられ続けています。また、大企業を直接狙うのではなく、セキュリティ対策が手薄になりやすい取引先の中小企業を経由してシステムに侵入するサプライチェーン攻撃も増加傾向にあります。こうしたサプライチェーンを経由した攻撃の実態については、こちらの記事で詳しく整理しています。

参考として、2026年版の組織向け10大脅威は以下のとおりです。

順位	脅威	初選出年
1	ランサム攻撃による被害	2016年
2	サプライチェーンや委託先を狙った攻撃	2019年
3	AIの利用をめぐるサイバーリスク（※初選出）	2026年
4	システムの脆弱性を悪用した攻撃	2016年
5	機密情報を狙った標的型攻撃	2016年
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	2025年
7	内部不正による情報漏えい等	2016年
8	リモートワーク等の環境や仕組みを狙った攻撃	2021年
9	DDoS攻撃（分散型サービス妨害攻撃）	2016年
10	ビジネスメール詐欺	2018年

出典：IPA「情報セキュリティ10大脅威 2026」

今回の改訂は、形式的な更新ではなく、被害が実際に増加している現状を踏まえた実態対応として理解しておく必要があります。

5か条から6か条への変更の概要

第3.0版まで中小企業の対策基準として広く知られていた情報セキュリティ5か条は、OSやソフトウェアを最新の状態に保つこと、ウイルス対策ソフトを導入すること、パスワードを強化すること、共有設定を見直すこと、そして脅威や攻撃の手口を知ることの5項目で構成されていました。

第4.0版ではこれらを継承しつつ、新たに「重要データのバックアップ」が独立した対策項目として加わりました。「すでに5か条は対応済み」という企業にとっても、追加の確認が必要になる理由はこの点にあります。5か条が不十分だったということではなく、脅威環境の変化に合わせて対策の基準が見直されたと捉えるのが適切です。

また、今回の第4.0版への改訂は、経済産業省および内閣官房国家サイバー統括室が検討を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の考え方を踏まえた内容となっています。詳しくは後述しますが、セキュリティ対策の取り組み状況を外部に示すための手段として位置づけられています。

6つ目に追加された「バックアップ」の意味

なぜバックアップが独立した対策項目になったか

バックアップは、セキュリティ対策の中でも「すでにやっている」と答える企業が多い項目のひとつです。しかし今回、独立した対策項目として明示されたのには理由があります。

ランサムウェアによる被害では、攻撃者がシステム内のファイルを暗号化するだけでなく、同じネットワーク上にあるバックアップデータも同時に暗号化・削除するケースが増えています。「バックアップは取っていたが、復旧できなかった」という事例が現実に積み重なっているわけです。

ここで重要なのは、バックアップを取ること（手段の有無）と、バックアップが機能すること（復旧可能な状態の維持）は、別の問題だという点です。設定だけして一度も復元テストをしていない状態では、実際にインシデントが起きたときに役立たない可能性があります。この区別が、今回バックアップが独立した項目として明示された背景といえます。

中小企業がおさえておくべきバックアップの要件

IPAのガイドラインでは、バックアップについていくつかの要件が示されています。ポイントとなるのは、オフライン環境での保管、世代管理、そして復旧テストの実施です。

よくある誤解のひとつが、クラウドストレージへの自動同期をバックアップと同一視するケースです。クラウドへの同期は、端末の紛失や誤削除に対しては有効ですが、ランサムウェアによる暗号化が発生した場合、同期先のデータも暗号化済みのファイルで上書きされます。
ただし、OneDriveやDropboxなど主要なクラウドサービスにはバージョン履歴機能があり、一定期間内であれば暗号化前の状態に戻すことが可能です。クラウド同期をバックアップとして頼る場合は、利用しているサービスのバージョン履歴の保持期間を事前に確認しておくことが重要です。

実務的な考え方として参考になるのが、「3-2-1ルール」と呼ばれる方法です。3つのコピーを、2種類の異なる媒体に保存し、そのうち1つはオフサイト（社外や別のネットワーク環境）に保管するというものです。中小企業にとってすべてを完璧に整備するのは容易ではありませんが、インターネットから切り離したバックアップを少なくとも1つ持つことが、ランサムウェア対策としての現実的な起点になります。

自社のバックアップは機能する状態か

以下のチェックポイントで、自社のバックアップの現状を確認してみてください。

1. バックアップは定期的に自動取得されているか、また取得後に正常完了を確認しているか
2. バックアップデータはインターネットやメインのシステムから切り離した場所に保管されているか
3. 複数の時点のデータが保存されているか（世代管理ができているか）
4. バックアップからの実際の復元を、一度でも試したことがあるか

「設定した」という事実が対応済みの認識に固まりやすいのが、中小企業のバックアップ管理の実態です。担当者が本業と兼務している状況では、設定後に見直す機会を確保すること自体が難しいこともあります。しかし、復元テストを一度も行っていないバックアップは、実際のインシデント時に機能しないおそれがあり、リスクの観点ではバックアップがない状態に近い場合もあります。

SCS評価制度の意味と活用

SCS評価制度の概要と位置づけ

既存のSECURITY ACTIONが中小企業の自己宣言型の取り組みとして広く知られていますが、SCS評価制度はそれとは異なる位置づけで検討されています。SECURITY ACTIONの一つ星・二つ星の違いと選び方については、こちらの記事で整理しています。

この制度が生まれた背景には、「取引先ごとにバラバラなセキュリティチェックシートが届き、対応に追われている」という中小企業の実態があります。SCS評価制度は、★マークを取得することで自社のセキュリティ対策状況を共通の基準で可視化し、発注元への説明や取引先からの要求への対応を効率化することを目的としています。

評価は段階別に設計されており、★1・★2は既存のSECURITY ACTIONに相当します。
新たに設けられる★3（Basic）はセキュリティ専門家による確認を経た自己評価で有効期間1年、★4（Standard）は第三者機関による審査で有効期間3年という構造です。
★3は基礎的な組織対策とシステム防御（83項目）、★4はインシデント対応や取引先管理を含む包括的な対策（157項目）が求められます。
（※最もハイレベルな★5については令和8年度以降検討予定）

なお、本制度は令和8年度下期の運用開始を目指して準備が進められており、記事執筆時点では制度構築方針（案）が公表されたところです。詳細な評価基準や申請手続きについては、今後経済産業省・IPAから情報が公開され次第ご案内いたします。

取引先への証明・チェックシート対応での活用可能性

大企業や官公庁との取引時に求められるセキュリティチェックシートでは、「情報セキュリティに関する認証・取り組みの有無」を問う設問が設けられていることがあります。ISMSやプライバシーマークを取得していない場合、「認証なし」としか記載できない状況が続いている企業も少なくありません。

SCS評価制度への参加実績は、こうした場面での回答の根拠として活用できる可能性があります。ISMSやプライバシーマークの取得には相応のコストと期間が必要ですが、SCS評価制度はそれらの取得前の段階として現実的な入口になりえます。あくまで「活用できる可能性がある」という段階であり、すべてのチェックシートで有効に機能するとは限らない点は留意が必要です。

個人情報漏洩が発生したとき、安全管理措置の証明として機能するか

ここは、セキュリティ対策の整備を「取引先への証明」という観点だけでなく、別の視点から捉え直してほしいポイントです。

個人情報保護法は、個人情報を取り扱う事業者に対して安全管理措置を義務づけています（法23条）。ただし、何をどこまでやれば義務を果たしたことになるかの具体的な基準は、事業者の規模や取り扱う情報の性質によって異なります。

問題が表面化するのは、多くの場合、情報漏洩等のインシデントが発生し、個人情報保護委員会への報告対応が求められる場面です。その際に「どのような安全管理措置を講じていたか」を説明する根拠として、IPAのガイドラインに基づく対応状況やSCS評価制度への参加実績が機能しうると考えられます。

つまり、こうした取り組みは取引先への事前の証明ツールとしてだけでなく、万が一インシデントが発生した際に安全管理措置を講じていたことを説明する根拠のひとつとして捉えられる側面もあります。「証明できる対策を整備していたかどうか」が問われる場面は、取引の開始時だけではないわけです。この点は、対策の断言としてではなく「こうした観点での活用が考えられます」という理解としてお持ちいただければと思います。

セキュリティ対策の消極的な経営者が法的にどのようなリスクを抱えうるかについては、こちらの記事でもまとめています。

自社の対策状況を確認する

6か条の対応状況を確認する

以下の6項目を、対応の有無だけでなく「いつ設定したか・最後に確認したのはいつか」という視点で確認してみてください。

1. OSやソフトウェアを常に最新の状態に保っているか（自動更新の設定と定期確認）
2. ウイルス対策ソフトを導入し、定義ファイルが最新の状態になっているか
3. パスワードを強化し、使い回しを防ぐルールが運用されているか
4. クラウドや社内ネットワークの共有設定を必要最小限に絞っているか
5. 脅威や攻撃の手口に関する情報を定期的に確認し、社内で共有しているか
6. 重要データのバックアップを取得し、復旧できる状態で保管しているか

「すでに5か条は対応済み」という企業ほど、6つ目のバックアップ項目と実際の運用状況の間にギャップが生じやすい傾向があります。経営者・担当者の双方が、この機会に現状を確認しておく価値があります。

「やっている」と「機能している」のギャップを確かめる

セキュリティ対策における実態上のリスクは、対策がないことよりも、対策が形骸化していることに潜む場合があります。

たとえば、更新が止まったウイルス対策ソフト、設定時のまま一度も見直されていないパスワードポリシー、一度も復元テストを行っていないバックアップデータ。導入した時点では適切だった対策も、環境の変化や時間の経過とともに機能しなくなっているケースがあります。

これはセキュリティチェックシートの回答においても同様です。「対策あり」と回答した項目が実際には形骸化している状態は、回答の信頼性に関わるリスクを含む場合があります。中小企業向けのセキュリティポリシーの整備については、こちらの記事でまとめています。

対策の有無よりも、対策が現在も機能しているかどうか。今回の改訂を、その確認のきっかけとして活用することが実務上の最短経路となります。

ガイドラインの改訂は、中小企業が直面する脅威環境の変化を対策基準という形で示したものです。
バックアップが独立した対策項目として加わった背景には、ランサムウェア被害の深刻化があります。攻撃者はファイルを暗号化するだけでなく、同じネットワーク上のバックアップデータも同時に標的にするケースが報告されており、「バックアップを取っていたが復旧できなかった」という事例が現実に生じています。
SCS評価制度への参加は、取引先への証明としての機能にとどまらず、万が一インシデントが発生した際に安全管理措置を講じていたことを説明する根拠のひとつにもなりえます。
対策の整備は「やっているかどうか」から「機能しているか・証明できるか」へと問われ方が変わりつつありますので、今回の改訂をその確認の機会として活用することをお勧めします。

何から手をつければよいかわからない、という段階でのご相談でもかまいません。セキュリティ対策は技術の問題だけでなく、事業継続・法的リスク・取引先からの信頼にも関わる複合的な課題です。自社の現状が第4.0版の水準を満たしているかを確認したい場合、またはセキュリティチェックシートへの対応でお困りの場合は、まずご相談ください。現状の整理から対応の優先順位付けまで、一緒に確認します。

取引先からセキュリティチェックシートが届いた際、「情報セキュリティポリシーを添付してください」と指示されたことはありませんか？
大企業や官公庁との取引において、セキュリティ体制の証明を求められる機会は着実に増えており、「うちは小さい会社だから関係ない」という状況ではなくなっています。

官公庁の案件に応募しようとした段階で、情報セキュリティ体制を証明する文書の提出を求められ、自社にはそういった文書がないことに初めて気づくケースも珍しくありません。

この記事では、情報セキュリティポリシーをゼロから整備したい中小企業の経営者・担当者に向けて、作成の5つのステップと、テンプレートを活用する際に押さえるべき点をお伝えします。

ISMSやプライバシーマークなどの認証制度への対応を目指すものではなく、自社の取り組みを正確に言語化するための実務的な手順です。

情報セキュリティポリシーとは何か、どんな役割を持つのか

「情報セキュリティポリシー」を簡単にいえば「社内のセキュリティルールを文書化したもの」という説明になるのですが、ただそれだけではその実態と必要性が伝わりにくいと思います。
そこで、なぜ今この文書が必要なのか、何をカバーするものなのかを整理します。

ポリシー・規程・手順書の違いを整理する

「情報セキュリティポリシー」という言葉は、文脈によって指す範囲が異なります。実務的に望ましいのは、経営方針を示す「基本方針（ポリシー）」、具体的なルールを定める「規程」、実際の操作手順を記した「手順書」という三層構造で整理するのが大切です。

取引先への提出を求められる「情報セキュリティポリシー」は、多くの場合この基本方針の文書を指しています。３つを混同したまま作業を始めると、求められている文書と実際に作るものがずれるという事態が起きます。整備を始める前に、この三層構造を頭に入れておくことが、作業全体の見通しをよくします。

社内向けと対外向け

情報セキュリティポリシーには、社内の従業員に対する行動指針としての役割と、取引先や審査機関への証明文書としての役割の二つがあります。セキュリティチェックシートや入札要件で「添付してください」と求められるのは後者の文脈です。

この二つの機能を最初に整理しておくことが、実効性のある文書設計の前提になります。「対外提出のために作った文書が社内では誰も読んでいない」という状態や、逆に「細かすぎる社内向け手順書を取引先に提出してしまった」という状態は、どちらも目的とずれた使い方です。

中小企業に求められるのは大企業並みの文書ではない

ISMSのような認証体制を前提とした文書と、「取引先に提出できる基本的な方針文書」とは、求められる水準が異なります。後者であれば、従業員数名の企業でも整備は十分に可能です。

「情報セキュリティポリシーを作る」と聞くと、分厚いマニュアルを作成しなければならないという印象を持つ方もいますが、そうではありません。この記事では、中小企業が現実的に着手できる範囲に絞って手順を示します。

ポリシーがないことで生じる、具体的な場面と影響

なぜ今整備する必要があるのかを、実際に起きていることとして示します。

取引・入札の場面で「提出できない」ケースが増えている

大企業のサプライチェーン管理強化と、官公庁のセキュリティ要件の厳格化は、着実に進んでいます。数年前であれば問われなかった場面でも、今は情報セキュリティポリシーの提出が前提になっているケースが増えています。

「文書がないから提出できない」という状況が、新たな取引機会の喪失に直結するという経営上のリスクとして認識しておく必要があります。「いつかは作ろう」という判断が、「この案件では間に合わなかった」という結果になることが、実際に起きています。

インシデントが起きたとき、対応の根拠がない状態になる

個人情報漏洩や不正アクセスが発生した際、「どう対応すべきか」の基準がなければ、対応は担当者のその場の判断に委ねられます。後から「ポリシーに従った対応をした」と説明できない状態は、法的責任と対外的な説明責任の両面で問題が生じます。

個人情報保護法の規定により、漏洩等が発生した場合に個人情報保護委員会への報告義務が生じるケースがあります。その際に「社内にどのようなルールがあり、どう対応したか」を示せるかどうかは、事後対応の質に直結します。

社員に「何をしてはいけないか」を正式に伝える根拠がない

ポリシーがなければ、社員への周知・教育の根拠が曖昧になります。「言った・言わない」という属人的な運用が続く状態は、インシデント発生時の内部責任の所在を不明確にします。

組織として取り組んでいたことを証明する手段がない、という問題でもあります。
「社員がSNSに業務関連の情報を投稿してしまった」
「個人のUSBメモリを業務端末に挿した」
という事案が起きたとき、禁止されていることを知っていたか否かを問う根拠となる文書の存在が、対応の出発点になります。

情報セキュリティポリシーを作る5つのステップ

各ステップの意味と、特に留意すべき点を順に説明します。手順の列挙ではなく、なぜそのステップが必要なのかを理解した上で作業を進められるよう、補足を加えながら整理します。

ステップ1：自社が扱う情報を棚卸しする

まず「どのような情報を、誰が、どのような形で扱っているか」を一通り書き出します。顧客の個人情報、取引先との契約情報、社内の財務データ、従業員の給与情報など、情報の種類と重要度を整理することが出発点です。

この棚卸しを省くと、ポリシーの適用範囲が曖昧なまま文書化が進むことになります。「何を守るべきか」が明確でなければ、どれだけ体裁の整った文書を作っても、実態との乖離が生じます。クラウドストレージに保存しているファイルの種類、メールで送受信する情報の内容なども、この段階で洗い出します。

ステップ2：適用範囲と対象者を決める

「全社員を対象とする」という記述だけでは、現代の多様な就労形態には対応しきれません。派遣・パート・業務委託など、雇用形態の異なる関係者がいる場合、誰が対象に含まれるかを明確にする必要があります。

また、クラウドサービスの利用状況や在宅勤務の有無、個人端末での業務利用の実態など、自社の業務環境に応じた範囲設定が求められます。特に「個人のスマートフォンで会社のメールを確認している」「業務に関する連絡をLINEで行っている」といった状況がある場合は、それを前提とした適用範囲の設計が必要です。

ステップ3：基本方針を策定する

「基本方針」は、経営者が情報セキュリティに対してどのようにコミットするかを表明する文書です。分量は1〜2ページ程度が一般的で、取引先への提出や入札要件の充足を目的とする場合は、この基本方針が主な提出対象になる場合が多いようです。（※例外もあります）

重要なのは、経営者自身がこの文書の内容をしっかり把握した上で、自身の名の下で発行することです。実務上は担当者が作成した文書であっても、最終的には経営者名で発行することが、対外的な証明力を持たせる条件になります。

「情報セキュリティの確保は経営課題である」という認識を、経営者が文書の形で示すということがこのステップの核心です。
こちらの記事も参考にしてください→セキュリティ対策に消極的な経営者が問われる責任とは？任せるだけでは守れない法的リスク

ステップ4：規程を文書化する

「規程」は基本方針を具体的なルールとして落とし込んだものです。情報の取り扱い方法、システム利用のルール、インシデント発生時の対応手順など、社員が実際の業務で参照できる内容に仕上げます。

この段階でテンプレートを活用する企業が多いですが、そのまま流用することで生じる問題については、次の章で詳しく扱います。なお、基本方針と規程を別文書として管理すると、対外提出用と社内運用用の使い分けがしやすくなります。取引先には基本方針のみを提出し、具体的なルールを記した規程は社内で管理するという運用が実務的には機能します。

ステップ5：経営者による承認と社員への周知

作成した文書は、経営者が正式に承認した上で社員に周知する手続きが必要です。承認のないポリシーは単なる案に過ぎず、対外的な証明力を持ちません。作っただけで満足してしまうという状態を防ぐ最初の関門がこのステップです。

承認の記録（署名や日付入りの決裁文書）を残しておくと、取引先や審査機関への説明の際に有効に機能します。周知については、全社会議での説明、イントラへの掲示、入社時オリエンテーションへの組み込みなど、規模に応じた方法で行います。社員全員がルールが存在することを知っている状態を作ることが、最初の目標です。

テンプレートの使い方と、カスタマイズが必要な理由

情報セキュリティポリシーの作成に限られませんが、文書作成にあたってテンプレートを探すこと自体は合理的な判断だといえます。ただし、そのまま使うことで生じる問題については、具体的に把握しておく必要があります。

公的機関のテンプレートをまず確認する

IPA（独立行政法人 情報処理推進機構）や中小企業庁が無償で公開しているテンプレートは、作成の出発点として有用です。ゼロから書き起こすよりも、これらを土台として活用することで作業時間を大幅に短縮できます。

ただし、「活用できる部分」と「そのままでは使えない部分」を区別することが、効果的な利用の前提です。テンプレートはあくまでも骨格であり、自社の状況に合わせて肉付けしていく作業が必要になります。

テンプレートをそのまま使ってはいけない２つの理由

一つ目は、法令対応の問題です。

テンプレートは汎用的に設計されているため、最新の法令改正に追いついていない場合があります。
個人情報保護法は2022年に大きく改正されましたが、古いテンプレートではこの改正に対応しておらず記述が不十分なものが少なくありません。
また、特定の業種に適用されるガイドライン（金融・医療・EC事業者向けなど）の要求事項は、一般向けテンプレートには通常含まれていません。

二つ目は、自社のシステム・業務環境との不整合です。

どのクラウドサービスを使っているか、社員が個人端末で業務メールを確認しているか、在宅勤務の仕組みはどうなっているかといった具体的な環境は、テンプレートには当然反映されていません。「クラウドストレージの利用ルール」「個人端末での業務利用の可否」が明記されていないポリシーは、作成した時点で実態と乖離した文書になります。

さらに言えば、実態と乖離したポリシーは、ポリシーがない状況より問題が大きくなる場合があります。たとえば、インシデント発生時に「ポリシーには毎日バックアップすると書いてあるが、実際はしていなかった」という状態が明らかになれば、自社のポリシー違反として対外的な説明責任が生じます。形式を整えることと、実態に即した内容にすることは、切り離せない問題です。

最低限カスタマイズすべき項目

テンプレートを土台にする場合でも、以下の項目は必ず自社の情報に置き換えることが必要です。

• 経営者名・会社名・作成日・版番号
• 適用範囲（対象者・対象システム・対象情報の具体的な列挙）
• インシデント発生時の連絡先と対応フロー
• 利用するクラウドサービスや業務システムに関するルール
• 個人情報の取り扱いと、外部委託先への管理に関する記述

これらが「テンプレートのまま」になっている文書は、実態との乖離が生じやすい箇所です。特に連絡先や対応フローが架空の情報のままになっているケースは、実際のインシデント対応時に文書が機能しないことを意味します。

将来的な認証取得を見据えた構造設計という考え方

現時点でISMSやプライバシーマークの取得を目指していない企業でも、最初から「認証に対応できる構造」で文書を作っておくことには、実際的なメリットがあります。

ISMSの要求事項に沿った三層構造（基本方針・規程・手順書）で整備しておくと、将来的に取引先からISMS取得を求められた際に、文書を一から作り直す必要がなくなります。中小企業でよく見られる「取得を求められてから慌てて整備する」という状況は、コストと時間の両面で非効率です。今の段階で「認証に耐えうる骨格」を持たせておくことが、中長期的には合理的な選択です。これは文書設計と技術要件の両方を理解していないと判断しにくい領域であり、専門家への相談が特に効果を発揮しやすい部分です。

作成後に必要な運用の最低ライン

作っただけで放置されているという状態を防ぐために、いくつか留意しておくべき点があります。高度な仕組みではなく、中小企業が現実的に続けられる最小限の運用を示します。

年1回の見直しと版管理を習慣にする

法改正・業務環境の変化・インシデントが見直しのタイミングです。文書には「版番号」と「最終改定日」を記載することで、取引先への提出時に「最新の文書です」と説明できるようになります。

年1回を目安としつつ、大きな変化、たとえば新しいクラウドサービスの導入、在宅勤務の開始、スタッフの大幅な入れ替えなどがあった際に随時更新する体制が望ましいです。

見直しの記録自体が、ポリシーを実際に運用している証拠にもなりますし、「定期的に見直している」という事実は、取引先への説明においても信頼の根拠になります。

形式より「社員も知っている状態を作ること」が目的

全社会議での読み合わせ、入社時オリエンテーションへの組み込み、定期的な研修実施、イントラへの掲示など、規模に応じた方法で社員全員に周知させることが大切です。

重要なのは、精緻な研修体制を構築することよりも、まず社員全員が「情報セキュリティに関するルールが存在することを知っている」状態を作ることです。

署名や確認票などにより確認した記録を残せると、万が一の際の内部説明に有効に機能します。ただし、小規模な組織においては周知の事実が確認できれば、最初の一歩としては十分です。完璧な体制を最初から構築しようとするよりも、まず動かすことが先決です。

まとめ

情報セキュリティポリシーの整備は、大企業だけが取り組むべき話ではなくなっています。取引要件として求められる機会が増えている現状は、これからもその方向に進み続けると見るのが現実的な判断です。

同時に、「完璧なものを一度に作ろうとしない」という姿勢も大切です。
最初は基本方針と最低限の規程からでも十分です。
大切なのは、テンプレートを流用して形式を整えたり、生成AIでそれっぽい文書をつくることよりも、自社の実態に即した内容になっているかどうかです。そしてできれば、将来の拡張を見据えた構造で最初から作っておくことが、後からの手間を省くことにつながります。

5つのステップを順に踏めば、専門知識がなくても骨格となる文書は作れます。ただし、法令への適合性と技術環境との整合性を同時に確認するためには、両方の視点を持つ専門家に見てもらうことが、後から手直しするよりも結果的に効率的です。

情報セキュリティポリシーの作成・見直しについてご不明な点があれば、まずはご相談ください。

法令への適合性という行政書士の視点と、自社のIT環境に即した内容かどうかという登録セキスペの視点。この両面から確認することで、取引先への提出にも社内運用にも機能する文書に仕上げます。具体的なサービス内容については、セキュリティ支援サービスのページをご覧ください。

取引先からセキュリティチェックシートが届いた場合の具体的な対応手順については、こちらの記事で詳しく解説しています。

・セキュリティチェックシートとは？届いたときの見方・よくある項目・対応の流れ

「自分たちの規模では、大きな攻撃を受けることはないだろう」と考えている中小企業の経営者や担当者は、今も少なくないと思います。

コスト・人手・専門知識の不足を理由にセキュリティ対策が後回しになっているケースも、現実として多く見受けられます。

しかし、「中小企業だからこそ被害に遭いにくい」という認識は、残念ながら現在の攻撃実態とは一致していません。

IPA（独立行政法人 情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、ランサムウェアによる被害は規模を問わず組織全体の問題として継続的に上位に挙げられており、中小企業が狙われないという根拠はどこにもありません。
むしろ、セキュリティへの投資が限られ、対応体制が整っていない事業者こそが、攻撃者にとって効率のよい標的になっています。

実際に、警察庁の資料によれば、2025年度のランサムウェア被害のうち、63%が中小企業です。（「令和７年におけるサイバー空間をめぐる脅威の情勢等について」警察庁サイバー警察局）

そして、被害企業のうち50%以上が、その被害の調査・復旧に1,000万円以上費やしています（同上）。

特に近年は、大企業ではなくその取引先である中小企業を経由して侵入を図る「サプライチェーン攻撃」が増加しており、自社の規模に関わらず無関係でいられない状況です。
加えて、大企業や官公庁との取引では、セキュリティ対応の証明を求められる場面が増えており、セキュリティは「ITの問題」から「取引関係の問題」へと性質が変わりつつあります。

この記事では、中小企業が直面しているリスクの実態と、対処の優先順位を整理します。

なぜ中小企業でも狙われるのか

攻撃者は「侵入しやすい相手」を選ぶ

攻撃者が標的を選ぶ基準は、企業の規模ではなく「守りの薄さ」です。

専任のセキュリティ担当者がいない、OSやソフトウェアのアップデートが後回しになっている、フィッシングメールへの対処方法が社員に周知されていない・・・こうした条件が重なる事業者は、攻撃者にとって手間をかけずに侵入できる相手として映ります。

「自分たちには盗まれるものがない」という認識も、実態とは異なります。顧客の個人情報、取引先との契約情報、自社のシステムへのアクセス権限といった情報は、攻撃者が転売・悪用・侵入の足がかりとして利用できる情報です。
企業規模に関わらず、事業を続けている限り何らかの情報を保有しているという事実を、まず認識しておく必要があります。

大企業への「踏み台」にされるサプライチェーン攻撃

サプライチェーン攻撃とは、標的とする大企業のシステムに直接侵入するのではなく、その取引先である中小企業を経由して侵入を図る手法です。

いわば、中小企業をただの「踏み台」としか考えないようなもので、大企業本体のセキュリティが強固であっても、取引先との接続経路が存在する以上、そこが弱点になりえます。

この構造において、中小企業は「被害者」であると同時に「侵入経路の提供者」になります。自社のデータよりも、「接続された先の大企業」が本来の標的である場合が多く、自社には実害がなかったとしても、取引先に損害を与えた経路になったという事実は残ります。

取引先からの信頼失墜や、損害賠償責任が問われる可能性も否定できませんので、「自分たちには関係ない」という認識こそが攻撃を受けるきっかけにもなりかねません。

ランサムウェア被害が中小企業にとって深刻な理由

データが暗号化されたとき、事業はどうなるか

ランサムウェアは、感染したコンピューターのファイルを暗号化し、復号と引き換えに身代金を要求するマルウェアです。

顧客情報、受発注データ、会計記録などが一括して使用不能になってしまうと、事業活動に多大な影響を及ぼすはずです。

大手飲料メーカーがランサムウェア被害により長期間にわたり受注が停止した事例も記憶に新しいはずです。

大企業であれば、バックアップシステムの切り替えや別部門による代替対応が可能な場合もあります。しかし、ITシステムを一元的に管理している中小企業では、業務全体が数日から数週間にわたって停止するケースは現実に起こり得ます。

その間の売上機会の損失、顧客対応の停止、取引先への影響といった実害は、「システムが止まった」という技術的な問題としてではなく、事業継続の問題として捉えるべきものです。

身代金を払えばよいというものではない

ランサム攻撃の場合、ファイル復旧やファイルの公開をやめるために身代金を要求してくるケースは多いです。しかし、身代金を支払ったとしても必ずファイルが復元されるわけではありません。支払い後に復号キーが提供されないケース、復号しても一部のデータが破損したままのケースだけでなく、怖いのは「支払った実績がある企業」として再度狙われるケースです。

被害を受けた後の対応にかけるコストを考えれば、事前のバックアップ整備の方が合理的です。

バックアップには「3-2-1ルール」と呼ばれる基本的な考え方があります。データを3つコピーし、2種類の異なる媒体に保存し、そのうち1つはオフサイト（社外または別の場所）に置く、という方法です。

特別な設備は不要で、クラウドストレージと外付けドライブを組み合わせるだけでも実践できますので、最も現実的な備えの一つです。

暗号化しない攻撃も

以上のように、従来ランサムウェアといえばファイルを暗号化して身代金を要求する、というものでしたが、数年前から”暗号化しない”攻撃も増えています。

これは「ノーウェアランサム」と呼ばれます。ファイルを暗号化することなく盗みだし、それを公表するといって脅して身代金を要求するものです。

ファイルを暗号化しないため、利用者は異変に気が付きにくく、またバックアップが整備されていたとしても、データやシステムは破壊されずそのまま利用できる状態であるため、対策としては効果がありません。

被害を受けた後に問われる法的な責任

サイバー攻撃による被害は、技術的な損害にとどまりません。

ランサムウェアなどの攻撃により個人情報が漏洩した場合、それがたとえ1件だけだったとしても、個人情報保護法の定めにより、本人への通知と個人情報保護委員会への報告義務が事業者に課されます。また、取引先のシステムへ被害が波及した場合には、損害賠償責任を問われる可能性もあります。
「被害者であっても、管理責任が問われる」というのが、この問題の核心です。

その管理責任には、事前に相応の対策を講じていたか否かというのが大きく関わってきます。当然、何もしていなければ、管理不十分だとみなされてしまいます。
つまり「後でやる」という判断が想定以上のリスクを持つのです。

中小企業が取るべき”優先順位の整理”

技術的対策の優先順位

「何でもやる」ことは人手の限られた中小企業には現実的ではありません。優先順位をつけて順に整えるアプローチが、確実に前進できる方法です。

まず最初に取り組むべきは、OSとソフトウェアのアップデートです。
既知の脆弱性を放置することは、鍵を壊れたままにしておくようなものであり、コストをかけずに塞げる穴の代表格です。

次に、メールやシステムへのログインに多要素認証を導入することで、パスワード漏洩だけでは侵入できない状態を作れます。

そして、先述の3-2-1ルールを意識したバックアップの定期取得。この三つが、費用をあまりかけずに実施できる基盤となります。

高価なセキュリティ製品を導入する前に、この基盤が整っているかどうかを確認することが先決です。むしろ、中小企業にとっては、高価な製品よりもまずは小さな足固めは非常に重要です。
高度な製品が入っていても、アップデートが放置されていれば意味をなしません。

社内の運用ルールと社員への周知

技術的な対策は、運用する人間の行動が伴って初めて機能します。不審なメールのリンクをクリックしない、パスワードを使い回さない、会社のデータを私用端末で扱わないなど、こうした基本的な判断は社員一人ひとりが日常的に行うものであり、システムが自動的に防げる範囲の外にあります。

「システムを入れたから安全」という誤解は根強くありますが、現実のインシデントの多くは、技術的な欠陥ではなく人的な操作ミスや判断の誤りから始まっている事例も少なくありません。

不審メールへの対応手順、パスワード管理のルール、外部デバイスの取り扱いについて、全社員が共通の認識を持てるよう周知することは、コストをほとんどかけずにできる対策の一つです。技術と運用は両輪であり、どちらか一方では安全は成立しません。

対策は「実施する」だけでなく「記録する」ことに意味がある

セキュリティ対策は、実施することと、それを記録・文書化することの両方が必要です。技術的に適切な対策を講じていても、「何をいつ行ったか」を示せなければ、取引先や監督官庁に対して証明する手段がありません。

この「実施した対策を記録し、定期的に見直す」というサイクルは、たとえISMSなどの認証を取得することが目的でなくても、その考え方を日常的な運用に取り入れることで、外部からの要求に応えられる体制が自然に育ちます。

記録する習慣は、取引先からセキュリティチェックシートが届いたとき、その回答を「過去の記録を確認する作業」として処理できる状態をあらかじめ作ることでもあります。

取引先からセキュリティチェックシートが届いたとき

チェックシート対応は「取引上の信頼証明」である

大企業や官公庁との取引において、セキュリティチェックシートへの回答を求められるケースは年々増えています。その背景には、サプライチェーン攻撃への対策として、発注元が取引先のセキュリティ水準を確認する動きが広がっていることがあります。

チェックシートの全体像を知りたい方はこちら

このチェックシート対応を単なる事務的な書類作業だと捉えている経営者も多いのではないでしょうか。
しかし、ビジネスにおいて「信用」というのは非常に重要です。だから、セキュリティチェックシートというツールを使うことで「自社がセキュリティ上の問題を起こさないよう対策を講じている取引先である」ことを証明するよう求められているということです。

前の節で述べた対策の実施と記録が、ここで初めて「対外的な証拠」として機能します。対策を講じていても記録が残っていなければ、それは「対策していない」と同じ扱いを受けることになります。

回答できない項目が多いほど、取引機会に影響が出る

チェックシートへの回答が不十分な場合、取引の継続や新規契約の審査において不利な評価につながりうるという現実があります。「届いてから対処する」という事後対応では、回答の準備に時間がかかり、その間に取引機会を逃すケースも生じます。

一方、日常的なセキュリティ整備と記録を先に進めておけば、チェックシートへの回答は「すでに実施していることの確認作業」に過ぎなくなります。

事前に整備している事業者と、届いてから慌てて対応する事業者では、回答の質と対応のスピードに明らかな差が出ます。結果として、事前整備の方がコストも手間も少なく、取引上のリスクを最小化できます。

チェックシートの項目は「自社の現状を把握する手がかり」になる

チェックシートをネガティブな外部圧力として受け取るのではなく、「自社のセキュリティ対応状況を棚卸しする機会」として捉え直すことができます。各項目は、取引先が「最低限期待するセキュリティ水準」を反映しており、回答できない項目があるということは、そこに対応できていない領域があるということです。

チェックシートの具体的な構成は業界や発注元によって異なりますが、多くの場合、「パスワード管理とアクセス権限の設定」「定期的なバックアップの実施と確認」「インシデント発生時の対応手順の有無」「ウイルス対策ソフトやOSアップデートの状況」といった領域をカバーしています。これは、この記事で取り上げてきた技術的対策・運用ルール・記録の整備と、ほぼ重なります。

つまり、チェックシートで答えに詰まる項目は、そのまま自社が優先的に整備すべき課題の一覧として読むことができます。

自社だけで対応が難しい場合は、まずは無料相談で現状をお聞かせください。
→ 無料相談を予約する

セキュリティ対応 ＝「事業の信頼資産」

技術だけでなく「規程と文書」の整備が、説明責任を可能にする

ISMSやプライバシーマークの取得を検討していない場合でも、社内のセキュリティポリシーや情報管理に関する規程を整備することは、法令上・取引上の説明責任を果たす上で重要です。
技術的な対策は「実際にやっていること」の実態であり、規程や文書は「それを第三者に証明するもの」です。両者が揃って初めて、「対策を講じている」と外部に示すことができます。

この領域は、セキュリティの専門家に相談しても、法務の専門家に相談しても、単独では完結しません。「現在の技術的な対策状況を把握し、リスクを特定する」作業と、「それを裏づける規程・文書を整備する」作業は、それぞれ異なる専門性を必要とします。

多くの中小企業がセキュリティ整備を進めにくい理由の一つは、この二つが分断されたまま支援を受けられる場所が少ないことにあります。

整えたセキュリティ対応が、新しい取引機会を開く

セキュリティ対応を一定水準まで整えた事業者は、大企業・官公庁・上場企業との取引において、チェックシートへの回答や審査を通過できる状態になります。これは「リスクを減らした」という守りの成果であると同時に、「新たな取引先との信頼構築への第一歩」という前向きな変化でもあります。

官公庁案件や大企業のサプライヤー登録では、セキュリティ対応の水準が参入条件として機能するケースがあります。対策を整備するということは、そのような案件にアクセスできる事業者の側に移ることを意味します。

整備の流れとしては、
現状把握（何を保有し、何を守るべきか）
→ 優先順位の設定
→ 対策の実施と記録
→ 規程・文書の整備
という順序が現実的です。この流れは自力でも始められますが、現状把握の段階で専門家の伴走があると、見落としや誤った優先順位の設定を避けやすく、最初の一歩が確実になります。

まとめ

中小企業がセキュリティを後回しにしてきた背景には、コスト・人手・知識という現実的な制約があるのは理解できます。しかし、優先順位を整理すれば、大きな予算をかけずに着実に対処できる問題でもあります。

ランサムウェアやサプライチェーン攻撃は、企業規模とは無関係に取引関係の中に組み込まれています。自社単独の判断でリスクを完結させることは、もはや難しい状況です。

セキュリティとは守るためにかけるコストだという考えは、まだ多くの中小企業に根強く残っています。しかし取引関係の中でその水準が問われるようになった今、整備されたセキュリティ対応は、事業の信頼性を外部に示す資産として機能します。守りの整備が、そのまま前へ進む基盤になる。そう捉え直すことで、セキュリティへの向き合い方は変わります。

ご相談について

取引先からセキュリティチェックシートが届いている、あるいは近く届きそうだという状況であれば、その項目を手がかりに現状の対応状況を確認するところから始められます。「何が整っていて、何が不足しているか」の把握だけを目的としたご相談も承っています。技術的な対策状況の確認と、規程・文書の整備の両面から対応できますので、まずご連絡ください。
→ 無料相談を予約する

SECURITY ACTIONの一つ星と二つ星は、何が違うのでしょうか。

結論を先に示します。一つ星は「情報セキュリティ5か条に取り組むことの宣言」、二つ星はそれに加えて「情報セキュリティ自社診断の実施」と「情報セキュリティ基本方針の策定・外部公開」が必要な宣言です。

SECURITY ACTIONを検討する理由は、人によって異なります。デジタル化・AI導入補助金の申請要件として調べている方もいれば、取引先から取得を求められている方、あるいは自社のセキュリティ対応姿勢を対外的に示したい方もいるはずです。

この記事では、どの目的であっても必要になる「一つ星と二つ星の違い」「選び方の判断基準」「申請にあたって確認しておくべき点」を整理します。

そもそもSECURITY ACTIONとは何か

SECURITY ACTIONは、独立行政法人情報処理推進機構（IPA）が運営する、中小企業向けの情報セキュリティ対策自己宣言制度です。
IPA公式サイト内「SECURITY ACTION」ページ

※IPAから認定を受けるといったものではなく、あくまで自己宣言である点はご注意ください

制度の本来の目的は「セキュリティ対策に取り組む姿勢を対外的に示すこと」です。審査はなく、費用も不要で申し込むことができます。宣言後はロゴマークが付与され、自社のウェブサイトや会社案内に掲載することで、取引先や顧客に対してセキュリティへの取り組み姿勢を示すことができます。

補助金申請の要件として広く知られるようになりましたが、それはこの制度の活用方法の一つにすぎません。「補助金のために取る」という文脈だけで語られることが多い制度ですが、本来はセキュリティ対策の自己宣言としての意味を持っています。

対象は中小企業・小規模事業者です。業種の指定はなく、情報セキュリティ対策に取り組む意思があれば申し込むことができます。

違いは「求められる準備の深さ」

まず一覧表でその違いを確認してみます。

比較項目	一つ星	二つ星
目的	情報セキュリティ5か条への取り組みを宣言	自社診断と基本方針の整備まで行ったうえで宣言
必要な対応	5か条に取り組むことを宣言するのみ	自社診断の実施＋基本方針の策定・外部公開＋宣言
基本方針の公開	不要	必須（外部公開が条件）
準備の手間	比較的少ない	自社診断・基本方針の整備が必要
向いているケース	まず要件を満たしたい／早期に進めたい	整備水準を上げて対外的に示したい
補助金申請との関係	申請要件を満たす	申請要件を満たす＋加点項目にもなりうる

一つ星と二つ星は、どちらが「正しい」ということではありません。自社の目的と現状に合わせてどちらを選ぶかが重要です。この点については、後半の「目的別の判断基準」で整理します。

一つ星とは何か

一つ星は、SECURITY ACTIONの第1段階の宣言です。

「情報セキュリティ5か条に取り組むことを宣言する」というもので、IPAの公式案内では、これから取り組む段階であっても申し込みが可能とされています。つまり、対策を完了していなくても、取り組む意思と姿勢を示すことが宣言の要件になります。

情報セキュリティ5か条とは、IPAが中小企業向けに示している基本的なセキュリティ対策の指針で、以下の5項目が含まれます。

1. OSやソフトウェアを最新の状態にする
2. ウイルス対策ソフトを導入する
3. パスワードを強化する
4. 共有設定を見直す
5. 脅威や攻撃の手口を知る

一つ星は「準備が整っていなければ取れない」ものではなく、これから整えていく意思を示す宣言です。補助金申請の要件としてだけでなく、セキュリティ対策のスタートラインとして位置づけることができます。

二つ星とは何か

二つ星は、SECURITY ACTIONの第2段階の宣言です。

一つ星の宣言に加えて、以下の2つの対応が必要です。

• 情報セキュリティ自社診断の実施：IPAが提供する診断シートを用いて、自社のセキュリティ対策の現状を把握します。
• 情報セキュリティ基本方針の策定・外部公開：自社のセキュリティに関する方針を文書化し、ウェブサイト等で外部に公開します。

一つ星が「取り組む意思の宣言」であるのに対し、二つ星は「実際に現状を把握し、方針を整備したうえでの宣言」という点で、対応の深さが異なります。

ここで実務上の注意点があります。二つ星の取得で詰まりやすいのは、宣言の手続きそのものよりも、自社診断の回答を実態に合わせて整えることや、基本方針をテンプレートのコピーではなく自社に合った内容に仕上げることです。この部分の精度が、宣言の実質的な意味を左右します。

どちらを選ぶべきかの判断基準

取引先・親会社から取得を求められている場合

サプライチェーン全体のセキュリティ水準を高める観点から、大企業や親会社が取引先にSECURITY ACTIONの取得を求めるケースが増えています。

この場合、まず相手方から「何星が必要か」を確認することが先決です。指定がある場合はそれに従います。

指定がない場合は、二つ星を選択するほうが対応水準として示しやすいです。自社診断と基本方針の公開まで整えることで、セキュリティ対策に実質的に取り組んでいることを具体的に示せるからです。

自社のセキュリティ姿勢を対外的に示したい場合

補助金や取引先要求とは無関係に、自社の情報セキュリティへの取り組みを対外的に示したいという場合は、二つ星が有効です。

理由は2つあります。1つ目は、自社診断の実施によって現状の課題が明確になり、実質的なセキュリティ整備につながるからです。2つ目は、基本方針を外部公開することで、顧客や取引先に対して具体的な根拠をもって示せるからです。

宣言後に付与されるロゴマークは、ウェブサイトや会社案内、提案書などに掲載することができます。対外的な信頼性の補強として活用できます。

どのケースにも共通する選び方の軸

目的にかかわらず、選び方の判断軸は次の2点に集約されます。

• 「とにかく早く要件を満たしたい」「まず始める」→ 一つ星から始める選択肢がある
• 「整備水準を上げて対外的に示したい」→ 二つ星が有力

どちらの目的であっても、自社診断の回答と基本方針の内容の質が問われる点は共通です。形式だけ整えたものは、宣言としての実質的な意味が薄くなります。

---

自社が一つ星・二つ星のどちらで進めるべきか迷う場合、または自社の状況を整理したい場合は、支援内容もあわせてご確認いただけます。

→ SECURITY ACTION支援ページへ

補助金申請を進める場合に確認しておきたいこと

補助金対応とSECURITY ACTION対応を並行して進める場合

補助金の申請準備とSECURITY ACTIONへの対応を同時に進めるケースでは、両者の説明内容や準備事項を整合させながら進めることが重要です。補助金申請書類の内容と、SECURITY ACTION上の宣言内容が乖離しないよう、並行して整理しておくと後の対応がスムーズになります。

2026年の申込方法変更について（補足）

SECURITY ACTIONは2026年4月（予定）に新管理システムへの移行が案内されており、申込み方法が変わります。移行後の申込みには、GビズIDプライムまたはメンバーのアカウントが必要になります。

申請時期が近い場合は、GビズIDの取得状況を早めに確認しておくことをお勧めします。

※申込方法の詳細・最新情報は、IPA公式サイトでご確認ください。制度の運用変更により、本記事の内容が実際と異なる場合があります。

こんな場合は専門家に相談したほうが早い

次のような状況に当てはまる場合、自力で進めるよりも専門家に確認しながら進めるほうが結果的に早くなることがあります。

• 一つ星・二つ星のどちらで進めるべきか、判断の根拠が定まらない
• 自社診断の回答が自社の実態を正しく反映しているか不安がある
• 基本方針をテンプレートのままにしてよいか判断がつかない
• 取引先から求められているが、何をどこまで準備すればよいか分からない
• 補助金対応とSECURITY ACTION対応を並行して、整合性を保ちながら進めたい

申請目的を問わず、自社診断・基本方針の整備から補助金申請対応の整合性確認まで、行政書士・登録セキスペが直接対応します。

→ SECURITY ACTION支援ページへ（まずは確認だけでも大丈夫です）

まとめ

• 一つ星：情報セキュリティ5か条への取り組みを宣言するもの。対策実施前でも申し込み可能。
• 二つ星：自社診断の実施と基本方針の策定・外部公開が必要な、第2段階の宣言。
• 補助金申請では一つ星・二つ星どちらも要件を満たすが、申請する枠によっては二つ星は加点項目にもなりうる。
• 取引先対応・自社の姿勢を示す目的でも、二つ星のほうが対応水準として示しやすい。
• どの目的であっても、自社診断と基本方針の内容の質が宣言の実質的な意味を左右する。

迷う場合は、「何のために取得するのか」という目的と「自社の現状」の両方を見て判断してください。