情報セキュリティ対策を進めたいけれど、社内で何を目標にすればよいか分からない。そんな中小企業が知っておきたい公的な取組みが、IPAの「SECURITY ACTION」です。専任担当者がいない会社でも、まず現在の取組みを整理する入口になります。
安全性の認証ではなく、取組みの自己宣言
SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。IPAが会社の対策状況を認定するものではありません。宣言しただけで事故を防げるわけではなく、実際の業務で対策を続けることが大切です。
一つ星と二つ星で確認すること
IPAの現在の案内では、一つ星は「情報セキュリティ6か条」に取り組むことが目標です。二つ星は「5分でできる！情報セキュリティ自社診断」で状況を把握したうえで、情報セキュリティ基本方針を定めて外部に公開します。既に同等の取組みができていれば、二つ星から始めることも案内されています。
古い解説記事だけを頼りにせず、公式ページから最新のガイドラインや付録を確認しましょう。社内の実施状況を把握せずに、星の数だけを選ぶことは避けたいところです。
2026年4月以降の申込みにはGビズIDが必要
IPAの申込案内によると、2026年4月1日に申込方法が変更され、GビズIDプライムまたはメンバーのアカウントが必須になりました。以前の手順を保存している場合は、公式の申込案内で現在の流れを確かめてください。
申込みを担当する人と、実際の対策を確認する人が別の場合は、先に役割を決めます。アカウントのパスワードを共有する方法ではなく、組織の権限管理に沿って手続きを進めましょう。
宣言の前に、担当と見直す日を決める
ここからは編集部による実務上の提案です。公式資料を読みながら、取り組む項目、担当者、現在の状態、次の確認日を表にします。「対応済み」と書くときは、どの端末や業務を確認したのかも残すと、後から見直しやすくなります。
例えば新しい端末を導入した際に、社内ルールに沿って設定を確認する担当を決める、といった運用です。人の異動や利用サービスの変更があったときにも確認する機会を設けます。これは自社で継続するための例で、制度の追加要件ではありません。
外部に説明するときの注意
取引先や自社サイトで紹介する際は「自己宣言」という制度の性質が伝わる表現を使い、「IPAの認証を取得した」といった誤解を招く説明は避けます。ロゴの使用条件も公式案内で確認してください。補助金との関係が気になる場合は、各公募の最新要領を別途確認し、宣言だけで申請資格や採択が決まると判断しないようにしましょう。
情報確認日：2026年10月7日。出典：IPA「SECURITY ACTIONとは？」、自己宣言の申込方法。
