SECURITY ACTIONとは一つ星・二つ星の宣言のやり方

SECURITY ACTION は「認定」ではなく「自己宣言」

IPA は SECURITY ACTION を「中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度」と説明しています。資格や認証ではありません。IPA は「情報セキュリティ対策状況等を、IPA が認定するものではありません」とはっきり書いています。

ホームページや名刺に書くときは、「一つ星（二つ星）を宣言しました」と書きます。「認定を受けました」「取得しました」は、IPA が不適切な例として挙げている書き方です。

SECURITY ACTION 一つ星と二つ星の違い

違いは「宣言の前に何をしておくか」です。一つ星と二つ星を同時に申し込むことや、両方のロゴマークを同時に使うことはできません。

二つ星の案内には「一つ星を先に宣言していること」という条件は書かれていません。決まっているのは、自社診断と基本方針の公開を済ませてから申し込むことです。一つ星から二つ星に上げるときは、管理システムで申込みをし直します。

情報セキュリティ6か条（以前の5か条）の中身

一つ星で取り組むと宣言するのが「情報セキュリティ6か条」です。以前は「5か条」でしたが、「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）で「バックアップを取ろう！」が加わり、6か条になりました。「5か条」で調べて来た方も、今はこの6つです。

• 1. OSやソフトウェアは常に最新の状態にしよう！ 古いまま使うと、見つかっている弱点（脆弱性）が残ります。Windows Update などの更新をかけ、サポートが続いている製品を使います。
• 2. ウイルス対策ソフトを導入しよう！ 入れるだけでなく、ウイルスを見分けるための情報（定義ファイル）が自動で新しくなる設定にします。
• 3. パスワードを強化しよう！ 「長く」「複雑に」「使い回さない」。IPA の対策例は10文字以上です。買ったときのままのパスワードも見直します。
• 4. 共有設定を見直そう！ ファイルを置くサービスや、ネットワークにつないだ複合機・カメラ・保存用の機器（NAS）が、関係のない人から見える設定になっていないかを確かめます。
• 5. バックアップを取ろう！ 故障やウイルスでデータが消えたり、勝手に暗号化されたりしたときに備えます。戻せるかどうかも定期的に確かめます。
• 6. 脅威や攻撃の手口を知ろう！ 取引先を装ったメールや偽サイトなどの手口を、IPA などの注意喚起で知り、社内に伝えます。

太字の6つは IPA の文言のままです。説明は、IPA の資料「情報セキュリティ6か条」（2026年6月15日 Version 2.1）をもとに短くまとめました。対策例の全部は、出典の資料をご覧ください。

SECURITY ACTION 自己宣言のやり方（今の手順）

申込みの方法は2026年4月1日に変わりました。以前はログインなしの申込みフォームで、ロゴマークが届くまで2〜3週間ほどかかっていました。今は GビズID でログインする「SECURITY ACTION管理システム」で申し込み、IDもロゴマークもすぐに受け取れます。

1. 1

   一つ星か二つ星かを決める

   二つ星にするなら、先に自社診断と基本方針の公開を済ませます（次の章）。急ぎで補助金に使うだけなら、一つ星から始められます。

2. 2

   GビズID を用意する

   法人と個人事業者は「GビズIDプライム」が必要です（介護事業所ごとに宣言する場合は「メンバー」）。「エントリー」は使えません。補助金に使うなら、補助金の申請と同じ GビズID で申し込みます。

3. 3

   管理システムにログインして入力する

   SECURITY ACTION管理システム を開き、個人情報の取扱いとロゴマーク使用規約に同意して、事業者の情報（名前・所在地・業種など）と、一つ星か二つ星かを入力します。二つ星では、基本方針の公開の方法も選びます。

4. 4

   完了メールで自己宣言IDを受け取る

   入力が終わった直後に、自己宣言IDとロゴマークの使い方を書いたメールが届きます。届かないときは迷惑メールを確かめ、それでもなければ管理システムのマイページにIDが出ているかを見ます。

5. 5

   ロゴマークをダウンロードする（任意）

   管理システムのマイページから、宣言した段階のロゴマークを受け取れます。一緒に入っている使用ガイドラインに沿って、ホームページや名刺、会社案内に使います。

時間がかかるのは GビズID のほうです。GビズID の公式サイトによると、オンライン申請の審査は速やかに行われますが、書類を郵送する申請は審査に最大1か月かかります。どちらの方法になるかは、事業の区分やマイナンバーカードの有無で決まります。なお、補助金の事務局のページには、自己宣言IDの発行まで「おおむね2〜3日」とも書かれています。締切が近いときは、余裕を見て先に動いてください。

二つ星の「情報セキュリティ基本方針」の書き方と公開のしかた

二つ星の前に済ませることは2つです。

1. 1

   「5分でできる！情報セキュリティ自社診断」に答える

   IPA のガイドライン付録3（PDF。Excel 版もあります）です。25問に「実施している／一部実施している／実施していない／わからない」で答えると、点数が出ます。最初の6問が6か条にあたります。「実施していない」「わからない」と答えた項目が、次に手をつける所です。

2. 2

   基本方針を作って、外に公開する

   IPA が付録2として「情報セキュリティ基本方針（サンプル）」（Word・1ページ）を出しています。会社名・代表者名・制定日を書き換え、自社に合わない文を直せば使えます。自分で一から書いてもかまいません。

サンプルの項目は、経営者の責任、社内体制の整備、従業員の取組み、法令及び契約上の要求事項の遵守、違反及び事故への対応の5つです。書いたことは社外への約束になります。たとえば「組織を設置し、規則として定めます」と書くなら、だれが担当かを決めておくと、聞かれたときに困りません。

「外に公開」は、自社のホームページに載せる例が多いものの、それに限られません。IPA は、印刷して社内に掲示する、会社案内やパンフレットに載せる、問い合わせがあったらメールで渡せる状態にしておく、といった例を挙げています。申込みのときは「自社ウェブサイトへの掲載」「会社案内やパンフレットへの掲載」「その他の方法」から選びます。

SECURITY ACTION が要件になる補助金（2026年度）

IPA の「補助金・助成金等の一覧」に載っている主なものです（2026年11月11日に確認）。一覧は IPA が確認できた範囲のもので、リアルタイムの更新ではないと書かれています。

2026年3月以前に宣言した方へ。「4」で始まる11桁の古い自己宣言IDは、デジタル化・AI導入補助金の第2次公募（2026年5月12日17時以降）から使えません。補助金で使う GビズID で、管理システムから宣言を申し込み直す必要があります。

ものづくり補助金（デジタル枠）や事業再構築補助金のように、過去には対象だったものの、今は一覧で「事業が終了、または要件の対象外」とされている補助金もあります。要件は年度によって変わるので、申請の前にその年の公募要領で確かめてください。来年度の扱いは、この記事を書いた時点では確認できていません。

宣言の限界と、セキュリティ対策評価制度（SCS評価制度）との違い

正直に書くと、SECURITY ACTION の宣言は、会社が安全であることの証明にはなりません。一つ星は対策を始める前でも申し込めますし、宣言したあとに実施の報告を求められることもありません。宣言したあと6か条に手をつけなければ、何も変わらないままです。

そのため、大きな取引先が仕入先や委託先に求めるものは、「宣言」だけでなく「対策の中身を確かめたもの」へ広がっていくと見込まれます。その物差しとして経済産業省と IPA が準備しているのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。

SCS評価制度の項目数・有効期間・時期は、IPA の「SCS評価制度の詳細情報」を2026年11月11日に確かめたものです。受付の時期や手続きは変わることがあるので、IPA の発表をご確認ください。26項目の中身と準備の進め方は、セキュリティ対策評価制度 ★3 の準備にまとめています。

宣言が無駄ということではありません。6か条は、どの会社にも共通する最初の一歩です。宣言をきっかけに6つを実際にやっておけば、取引先から次の段階を求められたときの土台になります。

6か条を「やっている」と言えるように確かめる方法

宣言を中身のあるものにするには、6つを実際に確かめるのが近道です。社内で見られる所は次のとおりです。

• 更新：パソコンの設定の「Windows Update」（Mac は「ソフトウェアアップデート」）を開き、更新が残っていないかを見ます。サポートが終わった OS や機器がないかも確かめます。
• ウイルス対策：対策ソフトの画面で、定義ファイルの日付が新しいか、自動更新になっているかを見ます。
• パスワード：ルーター・複合機・カメラが、買ったときのパスワードのままになっていないか。外からつなぐ仕組み（VPN）やメールに、2段階の確認を付けられないか。
• 共有設定：ファイル共有サービスで「リンクを知っている全員」に公開されているフォルダと、退職した人のアカウントを探します。
• バックアップ：最後に取った日を確かめ、ファイルを1つ実際に戻してみます。
• 手口を知る：IPA の注意喚起やメールニュースを、担当を1人決めて読み、社内に伝えます。

このうち、外からの診断が役に立つのは一部です。Security Ready のような外からの自動の脆弱性診断は、インターネットから見えるサーバーやホームページについて、古いままのソフトと既知の弱点、閉め忘れた入口（ポート）、見せてはいけないファイルの公開などを見つけます。6か条でいえば、1つ目の「最新の状態」と4つ目の「共有設定」のうち、外に出ている部分の裏付けになります。

一方で、外からは分からないことも多くあります。社内のパソコンにウイルス対策ソフトが入っているか、パスワードを使い回していないか、バックアップが取れているか、従業員が手口を知っているかは、外からの診断では確かめられません。パソコンやサーバーの中のソフトと更新の状況は、中を読むだけの調査プログラムを入れる内部診断で調べられますが、パスワードの使い方や社内の教育までは見られません。

Security Ready が宣言の申込みを代わりに行うことはありません。診断を受けても、一つ星・二つ星になるわけではありません。宣言は、ご自身の GビズID で IPA の管理システムから行うものです。

外から見える状態を先に知りたい方は、ドメインを入れるだけの30秒かんたんチェック（無料・登録不要）か、無料の精密診断（1社1台1回）で確かめられます。バックアップと侵入の入口については、中小企業のランサムウェア対策もご覧ください。