ガイド・中小企業の対策
セキュリティチェックシート 中小企業向け 印刷して使える無料のひな形
自社の情報セキュリティを点検するチェックシートは、IPA が中小企業向けに無料で公開している「5分でできる！情報セキュリティ自社診断」が土台になります。2026年3月に改訂された第4.0版の25問をそのまま使い、記入欄、採点欄、次にやることの欄を足したひな形を、登録なしで印刷とダウンロードができる形で置きました。
要点
- 使うもの 中小企業が自社を点検するなら、IPA の「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録3「5分でできる！情報セキュリティ自社診断」の25問が無料で使えます。
- 採点 25問それぞれを「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」-1点で採点し、合計100点満点で組織全体の状況と、わからない項目をつかみます。
- 取引先のシート 取引先から届くチェックシートは相手ごとに項目が違うため、自社診断の結果を答えるときの材料にし、経済産業省が2026年度末頃の開始を目指す SCS 評価制度（★3と★4）の動きも確かめておきます。
最終確認日 （出典はページの最後）
チェックシートの土台は IPA の自社診断
IPA の「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月27日に第4.0版になりました。付録3の「5分でできる！情報セキュリティ自社診断」は、25の問いに答えて自社の対策の状況をつかむためのシートです。第4.0版では、はじめに取り組む「情報セキュリティ5か条」に「バックアップを取ろう！」を加えて6か条にし、自社診断にも外部から内部ネットワークへの不要な通信を遮断する項目や、ウェブサイトを安全に運用する項目などを加えました。
IPA は、出典（機構名、資料名、URL）を明記し、できるだけ原文のまま載せることなどを条件に、資料の引用を認めています。このページのひな形は、25問と配点を原文のまま載せ、記入欄、集計欄、次にやることの欄を当サイトが加えたものです。
25問の分け方と採点
- 1Part1基本的対策
更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、手口を知る仕組み。IPA の情報セキュリティ6か条と同じ内容。
- 2Part2従業員としての対策
メールの添付ファイルやリンク、送信ミス、無線 LAN、書類と媒体の保管と持ち出しと破棄、離席時の画面、事務所への立ち入り。
- 3Part3組織としての対策
不正アクセス対策、ウェブサイトで公開する情報、教育、私物の機器、取引先との契約、外部サービスの選定、事故への備え、ルール化。
- 4採点合計点
実施している4点、一部実施している2点、実施していない0点、わからない-1点。わからない項目と点の低い項目から、直す担当と期限を決める。
- 1Part1基本的対策
更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、手口を知る仕組み。IPA の情報セキュリティ6か条と同じ内容。
- 2Part2従業員としての対策
メールの添付ファイルやリンク、送信ミス、無線 LAN、書類と媒体の保管と持ち出しと破棄、離席時の画面、事務所への立ち入り。
- 3Part3組織としての対策
不正アクセス対策、ウェブサイトで公開する情報、教育、私物の機器、取引先との契約、外部サービスの選定、事故への備え、ルール化。
- 4採点合計点
実施している4点、一部実施している2点、実施していない0点、わからない-1点。わからない項目と点の低い項目から、直す担当と期限を決める。
| 分類 | 問いの数 | 何を点検するか | 関係する手口 |
|---|---|---|---|
| Part1 基本的対策 | 6問（No.1〜6） | OS やソフトの更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、新しい手口を知る仕組み | ランサムウェア、認証情報の悪用 |
| Part2 従業員としての対策 | 11問（No.7〜17） | メールの添付ファイルや URL、宛先の送信ミス、暗号化した受け渡し、無線 LAN、SNS、書類と媒体の保管、持ち出し、破棄、離席時の画面、事務所への立ち入り、退社時の施錠 | 標的型攻撃メール、フィッシング |
| Part3 組織としての対策 | 8問（No.18〜25） | 不正アクセス対策、ウェブサイトで公開する情報、教育、私物の機器、取引先との秘密保持、外部サービスの選定、事故への備え、ルール化 | VPN・エッジ機器の脆弱性悪用、クラウドの設定不備 |
配点は、どの問いも「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」-1点です。「実施している」の合計点（A）、「一部実施している」の合計点（B）、「わからない」の合計点（C、マイナス）を足して合計点にします。25問すべてが「実施している」なら100点です。
IPA は、何点以上なら合格という線を引いていません。合計点で組織全体の状況と、「わからない」になっている項目をつかみ、100点満点が取れるようレベルを上げるよう勧めています。
印刷して使えるひな形
下のひな形は、印刷するか .md ファイルをダウンロードして使えます。会社全体として答えるので、パソコンやネットワークを見ている人、総務や人事の人など、何人かで一緒に記入すると「わからない」が減ります。
そのまま使える下書きです。Markdown をダウンロード
ひな形だけを印刷するときは、このリンクを開いてからブラウザの印刷を使ってください。ひな形の部分だけが印刷されます。
ひな形
情報セキュリティ チェックシート 中小企業向け（ひな形）
このひな形は、IPA（独立行政法人情報処理推進機構）の「5分でできる！情報セキュリティ自社診断」（中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録3、https://www.ipa.go.jp/security/guide/sme/about.html ）の25問を原文のまま載せ、記入欄、採点欄、次にやることの欄は BlueAI セキュリティが加えて作成したものです。設問と配点は IPA の原文、それ以外は当サイトの作成です。
記入のしかた
- 会社全体として、設問ごとに「実施している」「一部実施している」「実施していない」「わからない」のどれか1つに ✓ を付けます。
- 点数は「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」-1点です（IPA の配点）。
- 25問すべてで「実施している」なら100点です。「わからない」に付けた項目は、担当者に確かめてから記入し直します。
記入した人 【氏名】 部署 【部署】 確かめた範囲 【全社、または対象の拠点】
Part1 基本的対策
| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
|---|---|---|---|---|---|
| 1 | パソコンやスマートフォンなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？ | □ | □ | □ | □ |
| 2 | パソコンやスマートフォンなどにはウイルス対策ソフトを導入し、ウイルス定義ファイル※1は最新の状態にしていますか？ | □ | □ | □ | □ |
| 3 | パスワードは破られにくい「長く」「複雑な」パスワードを設定していますか？ | □ | □ | □ | □ |
| 4 | データの共有設定を必要な人に限定していますか？ | □ | □ | □ | □ |
| 5 | 故障や誤操作、ウイルス感染などによる重要情報※2の消失に備えて定期的にバックアップを取得していますか？ | □ | □ | □ | □ |
| 6 | 新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか？ | □ | □ | □ | □ |
Part2 従業員としての対策
| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
|---|---|---|---|---|---|
| 7 | 電子メールの添付ファイルや本文中のURLリンクを介したウイルス感染に気をつけていますか？ | □ | □ | □ | □ |
| 8 | 電子メールやFAXの宛先の送信ミスを防ぐ取り組みを実施していますか？ | □ | □ | □ | □ |
| 9 | 重要情報の受け渡しは、暗号化など安全な手段で行っていますか？ | □ | □ | □ | □ |
| 10 | 無線LANを安全に使うために適切な暗号化方式を設定するなどの対策をしていますか？ | □ | □ | □ | □ |
| 11 | インターネットを介したウイルス感染やSNSへの書き込みなどのトラブルへの対策をしていますか？ | □ | □ | □ | □ |
| 12 | 紛失や盗難を防止するため、重要情報が記載された書類や電子媒体は机上に放置せず、書庫などに安全に保管していますか？ | □ | □ | □ | □ |
| 13 | 重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか？ | □ | □ | □ | □ |
| 14 | 重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか？ | □ | □ | □ | □ |
| 15 | 離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？ | □ | □ | □ | □ |
| 16 | 関係者以外の事務所への立ち入りを制限していますか？ | □ | □ | □ | □ |
| 17 | 退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしていますか？ | □ | □ | □ | □ |
Part3 組織としての対策
| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
|---|---|---|---|---|---|
| 18 | 内部ネットワークを守るため、不正アクセス対策機能を設定していますか？ | □ | □ | □ | □ |
| 19 | ウェブサイトで公開すべきでない情報を公開していませんか？ | □ | □ | □ | □ |
| 20 | 従業員に情報セキュリティに関する教育や注意喚起を行っていますか？ | □ | □ | □ | □ |
| 21 | 個人所有の情報機器を業務で利用する場合のセキュリティ対策を明確にしていますか？ | □ | □ | □ | □ |
| 22 | 重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？ | □ | □ | □ | □ |
| 23 | クラウドサービスやウェブサイトの運用などで利用する外部サービスは、安全・信頼性を把握して選定していますか？ | □ | □ | □ | □ |
| 24 | セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？ | □ | □ | □ | □ |
| 25 | 情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？ | □ | □ | □ | □ |
No.19 は「公開していませんか？」という問いです。公開すべきでない情報を公開していない状態が「実施している」にあたります（この注記は当サイトが加えました）。
※1 コンピュータウイルスを検出するためのデータベースファイル。「パターンファイル」とも呼ばれます。
※2 重要情報とは、営業秘密など事業に必要で組織にとって価値のある情報や、顧客や従業員の個人情報など流出した場合に組織のイメージダウンや損害賠償責任を問われるなどの管理責任を伴う情報のことです。
集計
| 欄 | 点数 |
|---|---|
| A 「実施している」の合計点 | 【 】点 |
| B 「一部実施している」の合計点 | 【 】点 |
| C 「わからない」の合計点（マイナス） | 【 】点 |
| 合計 A+B+C（100点満点） | 【 】点 |
次にやること（記入欄）
| No | 直すこと | 担当 | 期限 |
|---|---|---|---|
| 【No】 | 【例 ルーターとパソコンの更新を自動にする】 | 【担当】 | 【期限】 |
| 【No】 | 【例 バックアップを社内ネットワークから切り離して保管する】 | 【担当】 | 【期限】 |
| 【No】 | 【例 事故のときの連絡先を一覧にする】 | 【担当】 | 【期限】 |
対策の考え方と例は、IPA の「5分でできる！情報セキュリティ自社診断（解説編）」と「中小企業の情報セキュリティ対策ガイドライン」にあります。
記入日 【年月日】
点検のあとにやること
- 「わからない」を確かめる「わからない」に付けた項目は、担当者や委託先に聞いて、どれかに付け直します。
- 点の低い項目から、担当と期限を決めるひな形の最後の表に、直すことと担当、期限を書きます。IPA の「5分でできる！情報セキュリティ自社診断（解説編）」に、問いごとの対策の考え方があります。
- 事例と照らし合わせるNo.1 の更新が遅れた入口の機器は、ランサムウェアの侵入口になります。岡山県精神科医療センターの事例では、VPN 装置の脆弱性が設置から直されていませんでした。No.3 のパスワードについては、名古屋港の事例で保守用 VPN が ID とパスワードだけでつなげる状態でした。No.5 のバックアップは、アスクルの事例のように、ランサムウェアを想定した環境に置かないと一緒に暗号化されます。
- 宣言と規程につなげる自社診断をして情報セキュリティ基本方針を定めて公開すると、IPA の SECURITY ACTION の二つ星を宣言できます。基本方針のひな形は、ガイドラインの付録2にあります。
ランサムウェアへの備えで先にやることはランサムウェア対策 中小企業が先にやることに、監視や駆け付けを外に頼む方法はサイバーセキュリティお助け隊サービスにまとめています。
取引先から届くチェックシートとの違い
「セキュリティチェックシート」という言葉は、取引先が委託先に送る質問票の意味でも使われます。こちらは発注する会社ごとに項目が違い、答える側は相手ごとに別の書式に答えることになります。
経済産業省は2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS 評価制度）の制度構築方針を公表しました。発注元からは取引先の対策の状況が外から見えにくく、委託先は複数の取引先からさまざまな対策を求められる、という両方の課題を挙げ、2026年度末頃の制度開始を目指すとしています。
| 項目 | IPA の自社診断 | 取引先から届くチェックシート | SCS 評価制度 |
|---|---|---|---|
| 目的 | 自社の対策の状況をつかむ | 委託先の対策を発注元が確かめる | 取引の中で求める対策の段階を共通の物差しで示す |
| 項目 | 25問で決まっている | 発注元ごとに違う | ★3と★4の要求事項（★5は今後検討） |
| 評価する人 | 自社 | 発注元 | ★3は専門家の確認を経た自己評価、★4は評価機関による第三者評価と技術検証 |
| 始まった時期 | 公開中（第4.0版は2026年3月） | 取引ごと | 2026年度末頃の開始を目指している |
経済産業省は、SCS 評価制度は企業の対策の状況を見えるようにする制度で、対策のレベルを競わせる格付けではないと説明しています。自社診断の25問は ★3 の要求事項そのものではないため、このひな形で ★3 を満たしたとは言えません。それでも、自社の状況を言葉と記録で説明できるようにしておくことは、どの質問票に答えるときにも役立ちます。
よくある質問
- このチェックシートは無料で使えますか。
- 使えます。登録もメールアドレスの入力も要りません。設問と配点は IPA の「5分でできる！情報セキュリティ自社診断」の原文で、IPA は出典を明記すれば資料を引用して使えるとしています。社内で配るときも、ひな形の出典の欄を残してください。
- 何点なら合格ですか。
- IPA は合格の点数を決めていません。全項目の合計点で組織全体の対策の状況と「わからない」になっている項目をつかみ、100点満点が取れるよう組織全体のレベルを上げるよう勧めています。
- 取引先から届いたチェックシートにも、これで答えられますか。
- そのままでは答えられません。取引先のシートは相手ごとに項目が違います。自社診断で状況をつかみ、決めている規程や設定を確かめておくと、回答の材料になります。経済産業省は、取引先に求める対策の段階を★3と★4で示す SCS 評価制度を、2026年度末頃に始めることを目指しています。
- 古い版の自社診断を使っていても大丈夫ですか。
- 第4.0版で項目が変わっているので、新しい版を使うのがよいです。IPA は2026年3月の第4.0版で、外部から内部ネットワークへの不要な通信を遮断すること、ウェブサイトを安全に運用することなどを加えました。
- 点検したあと、SECURITY ACTION の宣言に使えますか。
- 使えます。IPA の SECURITY ACTION の二つ星は、この自社診断で状況をつかみ、情報セキュリティ基本方針を定めて公開したうえで宣言します。
関係するページ
このページが根拠に使っている手口、グループ、事例のページです。
出典
- 中小企業の情報セキュリティ対策ガイドライン IPA（独立行政法人情報処理推進機構）・2026-09-30
- 中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録3 5分でできる！情報セキュリティ自社診断（3、8ページ） IPA（独立行政法人情報処理推進機構）・2026-06
- サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針を公表しました 経済産業省・2026-03-27
- SCS評価制度の詳細 IPA（独立行政法人情報処理推進機構）・2026-05-29
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）