SECURITY ACTION（セキュリティアクション）宣言のやり方 一つ星・二つ星

SECURITY ACTION（セキュリティアクション）は、中小企業が自ら情報セキュリティ対策に取り組むことを宣言する制度です。IPA と中小企業の関係団体が 2017年2月の共同宣言で創設を発表し（IPA の資料）、2017年4月に運営が始まりました。取り組みの段階に応じて「★一つ星」と「★★二つ星」のロゴマークを無料で使えます。

中小企業、個人事業者、同じくらいの規模の団体を主な対象としていますが、企業の規模による制限はありません。宣言は基本的に 1 法人につき 1 つで、宣言後の実施報告は求められず、有効期限もありません。宣言した事業者の名前などは IPA のサイトで公表されます。IPA によると、自己宣言の件数は 2025年4月に 40万件を超えました。

注意したいのは、IPA が対策の状況を認定するものではないことです。IPA は「認定を受けました」「取得しました」ではなく、「宣言しました」と書くよう案内しています。

2026年3月の「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、それまでの 5 か条に「バックアップを取ろう！」が加わり、6 か条になりました。IPA は、10大脅威で上位に挙がるランサムウェアへの対策として、また事業を続ける観点からも重要だとして、中小企業が最初に取り組む対策に加えたと説明しています。

1. OSやソフトウェアは常に最新の状態にしよう！パソコンやスマートフォンなどの OS とソフトウェアの更新を止めないようにします。
2. ウイルス対策ソフトを導入しよう！情報を盗むマルウェアなどへの備えです。
3. パスワードを強化しよう！使い回しや推測されやすいパスワードは、認証情報の悪用の入口になります。
4. 共有設定を見直そう！クラウドのファイルや機器の共有の範囲を確かめます。クラウドの設定不備で外から見える状態にしないためです。
5. バックアップを取ろう！第4.0版で加わった項目です。
6. 脅威や攻撃の手口を知ろう！フィッシングなど、よくある手口を社内で共有します。

各条の具体的な対策の例は、IPA の一つ星のページにある 6 か条の資料に載っています。

「5分でできる！情報セキュリティ自社診断」は 25 項目で、基本的対策、従業員としての対策、組織としての対策の 3 つの部に分かれています。各項目は「実施している」4 点、「一部実施している」2 点、「実施していない」0 点、「わからない」マイナス 1 点で、100 点満点です。第4.0版では、外部から内部ネットワークへの不要な通信を止めること、ウェブサイトを安全に運用することなどが診断項目に加わりました。25 項目を印刷して記入できる形にしたひな形は、セキュリティチェックシートに置いています。

情報セキュリティ基本方針（セキュリティポリシーの土台）は、理念や指針、目標を表した「方針書」や「宣言書」のことで、IPA が 1 ページのサンプル（Word）を配っています。ISMS の基本方針を公開していれば、それで代えられます。個人情報保護方針だけでは代えられません。

1. 自社診断を定期的にやり直すIPA は、申込のあとも年に 1 回など定期的に自社診断を行うよう勧めています。点数の低い項目から手を付けます。
2. ガイドラインの改訂に合わせるガイドラインが改訂されても宣言のやり直しは要りません。IPA は、宣言済みの事業者も改訂版の内容を踏まえて取り組むことを宣言しているものとして扱うとしています。
3. GビズID を更新するIPA のよくある質問によると、GビズID の有効期間は 2 年 3 か月です。メールアドレスを変えた場合は、宣言の削除と再申込が要ると IPA は案内しています。
4. 次の対策に進む一つ星の 6 か条のうち、バックアップと更新は、ランサムウェア対策の最初の一歩でもあります。