補助金の申請の要件を読んでいたら、「SECURITY ACTIONの自己宣言を行っていること」と書かれていた。取引先から、情報セキュリティへの取り組みを示すものはあるかと聞かれた。こうした場面で名前を見かけるのが、IPA（情報処理推進機構）のSECURITY ACTION（セキュリティ対策自己宣言）です。
この記事の要点
- SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。IPAが対策の状況を認定するものではありません。ロゴマークは無料で使えます。
- 一つ星は「情報セキュリティ6か条」への取り組み、二つ星は「5分でできる!情報セキュリティ自社診断」と、情報セキュリティ基本方針の策定・外部への公開が要件です。
- 2026年4月から、申込みはGビズID（プライムまたはメンバー）でSECURITY ACTION管理システムにログインして行う方法に変わり、自己宣言IDは申込みの直後に発行されます。
- デジタル化・AI導入補助金（旧IT導入補助金）など、宣言を申請の要件や加点の対象にしている補助金があります。
この記事は、中小企業の経営者や総務の担当者、ホームページの担当者に向けて、SECURITY ACTIONの一つ星と二つ星の違い、宣言の手順、補助金との関係、ホームページの担当者が関わる項目を整理します。制度の内容は変わることがあるため、申込みの前にはIPAのSECURITY ACTIONのページで最新の情報を確認してください。結論を先に言うと、SECURITY ACTIONは「取り組みの第一歩を宣言する」制度です。宣言そのものより、宣言のために自社の状況を見直すことに意味があります。
SECURITY ACTIONとは
SECURITY ACTIONは、IPAが運営する、中小企業向けの情報セキュリティ対策の自己宣言の制度です。企業が自ら取り組みの段階を宣言し、その段階に応じたロゴマークを、ホームページや名刺、会社案内などに使えます。ロゴマークの利用は無料です。
注意したいのは、IPAが企業の対策の状況を確認して認定する制度ではない、という点です。宣言はあくまで自己申告で、「宣言している＝安全が保証されている」という意味にはなりません。取引先に示すときも、取り組みを始めていることを伝える材料として使うのが適切です。
一つ星と二つ星の違い
| 段階 |
要件 |
向いている会社 |
| ★一つ星 |
「中小企業の情報セキュリティ対策ガイドライン」に記載の「情報セキュリティ6か条」に取り組む |
まず基本の対策から始めたい会社 |
| ★★二つ星 |
「5分でできる!情報セキュリティ自社診断」で現状を把握し、情報セキュリティ基本方針を定めて外部に公開する |
方針を定め、社外に取り組みを示したい会社 |
一つ星は、まず社内で基本の対策を徹底することに重きがあり、二つ星は、自社の状況を点検し、方針として社外に示すことに重きがあります。同じくらいの取り組みが既にできている会社は、二つ星から始めることもできます。ISMS（ISO/IEC 27001）の認証を取得している会社は、基本方針を策定済みとして扱われます。
Service
補助金・制度のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
情報セキュリティ6か条の考え方
一つ星の要件になっている「情報セキュリティ6か条」は、IPAの中小企業の情報セキュリティ対策ガイドラインに載っている、最低限の対策のまとまりです。2026年3月公開の第4.0版で、それまでの5か条に「バックアップを取ろう!」が加わり、6か条になりました。これまでの5か条は、OSやソフトウェアを最新の状態にする、ウイルス対策ソフトを導入する、パスワードを強化する、共有設定を見直す、脅威や攻撃の手口を知る、という内容です。
どれも特別な費用をかけずに始められる対策です。一方で、「全員が実行できているか」を確かめるのは意外に手間がかかります。宣言の前に、社内のパソコンやスマートフォン、クラウドのサービス、ホームページの管理画面まで含めて、6か条が守られているかを点検します。点検の結果は、日付とともに記録しておきます。
| 6か条の考え方 |
ホームページ・サーバーでの点検の例 |
| ソフトウェアを最新に |
WordPressなどのCMS、拡張機能、テーマ、サーバーのPHPが最新か |
| ウイルス対策 |
ホームページを更新するパソコンに対策ソフトが入っているか |
| パスワードの強化 |
管理画面のパスワードが使い回されていないか、二段階認証があるか |
| 共有設定の見直し |
原稿や写真の共有フォルダが、外部から見える設定になっていないか |
| 手口を知る |
問い合わせフォームを装った不審なメールの見分け方を共有しているか |
| バックアップ |
ホームページのデータを、サーバーとは別の場所に保管しているか |
ホームページのバックアップの考え方はサーバーのバックアップと復元で説明しています。
二つ星の基本方針と、ホームページでの公開
二つ星では、情報セキュリティ基本方針を定めて外部に公開することが要件です。ガイドラインの付録に「情報セキュリティ基本方針（サンプル）」があるため、それを参考に自社の言葉に直して作ります。基本方針は、会社として情報を守る姿勢と、取り組む内容を短くまとめたものです。サンプルの文言をそのまま使うのではなく、自社の業務で扱う情報（顧客の情報、図面、取引先の資料など）に合わせて書き直すと、社員にとっても自分ごとになります。
外部への公開は、会社のホームページに掲載するのが一般的です。プライバシーポリシーの近くに「情報セキュリティ基本方針」のページを作り、フッターなどからたどれるようにします。ホームページの担当者は、掲載するページの作成と、改定したときの更新を担います。プライバシーポリシーとの関係の整理はプライバシーポリシーの書き方も参考になります。
- 基本方針には、制定日と、代表者の名前を入れる。
- 改定したら、改定日を書き、古い内容と混ざらないようにする。
- ロゴマークを掲載する場合は、IPAが定める使用の条件に従う。
宣言の手順（2026年4月から）
IPAの案内によると、2026年4月から申込みの方法が変わりました。主な変更点は次のとおりです。
| 項目 |
2026年4月からの方法 |
| 申込み |
SECURITY ACTION管理システムにGビズIDでログインして申し込む。GビズIDは「プライム」または「メンバー」が必要で、「エントリー」は使えない |
| 自己宣言IDの発行 |
申込みの直後に発行される（「5」から始まる11桁の数字） |
| ロゴマーク |
申込みの直後からダウンロードできる |
| 変更・停止 |
管理システムにGビズIDでログインして手続きし、すぐに反映される |
| 宣言事業者の検索 |
管理システムで事業者名や都道府県などから検索できる（ログイン不要） |
- GビズID（プライムまたはメンバー）を用意する。持っていない場合は、取得に時間がかかることがあるため早めに申請する。
- 一つ星なら6か条への取り組みを、二つ星なら自社診断と基本方針の策定・公開を済ませる。
- 管理システムにログインして申し込み、自己宣言IDを受け取る。
- ロゴマークをダウンロードし、ホームページなどに掲載する。
- 補助金の申請に使う場合は、自己宣言IDを申請書に記入する。
ホームページの担当者が関わること
SECURITY ACTIONの宣言は経営者や総務が中心になって進めることが多いものの、ホームページの担当者が関わる場面も少なくありません。自社診断には、ウェブサイトの安全な運用に関する項目なども加わっており、ホームページの管理の状況を答える必要があります。
- 自社診断の回答: CMSの更新、管理画面のパスワードとアカウント、バックアップの状況を、正確に答えるための情報を出す。
- 基本方針のページ: 公開するページを作り、改定のたびに更新する。
- ロゴマークの掲載: 使用の条件に沿って、フッターや会社概要に掲載する。
- 委託先への確認: 制作会社や保守の会社に、更新やバックアップの状況を確認し、記録を受け取る。
ホームページを外部に任せている会社は、委託先からの報告がないと自社診断に正しく答えられません。保守の契約で、毎月の作業の記録を受け取れるようにしておくと安心です。
補助金との関係
SECURITY ACTIONの自己宣言を、申請の要件や採択の審査での加点の対象にしている補助金や助成金があります。IPAが公開している一覧には、2026年11月時点で次のようなものが載っています。
| 制度 |
必要な段階 |
| デジタル化・AI導入補助金（旧IT導入補助金） |
★または★★ |
| DX認定制度 |
★★ |
| 東京都中小企業振興公社 サイバーセキュリティ対策促進助成金 |
★★ |
| 埼玉県 中小企業DX導入支援補助金 |
★または★★ |
| 埼玉県 中小企業省力化支援事業補助金 |
★または★★（採択審査での加点） |
一覧は随時更新されるものの、リアルタイムではないとされています。公募の状況や要件の詳細は、それぞれの補助金の公式サイトで確認してください。ホームページの制作に使える補助金はホームページ制作に使える補助金・助成金の一覧、埼玉県の制度は埼玉県でホームページ制作に使える補助金でまとめています。
宣言の後に続けること
宣言は取り組みの始まりです。ロゴマークを掲載したまま対策が止まっていると、かえって信頼を損ねるおそれがあります。宣言した内容が実際に続いていなければ、取引先からの信頼にはつながりません。次のことを、年間の予定に入れておきます。
- 年に一度、自社診断をやり直し、点数の変化を記録する。
- 基本方針を見直し、必要なら改定してホームページの掲載を更新する。
- 新しく入った社員に、6か条と社内の決まりを説明する。
- ホームページの管理画面のアカウントを棚卸しし、退職者のアカウントを削除する。
取引先から、より具体的な対策の状況を求められる場面も増えています。経済産業省が構築を進めるSCS評価制度との関係はセキュリティ対策評価制度（SCS）とはで説明しています。
よくあるご質問
SECURITY ACTIONの宣言に費用はかかりますか？
IPAの案内では、ロゴマークは無料で使えるとされています。GビズIDの取得も、通常は無料です。
宣言すれば、取引先からのセキュリティの確認は不要になりますか？
不要にはなりません。宣言は自己申告で、IPAが対策の状況を認定するものではないためです。取引先から質問票などで確認を求められた場合は、実際の取り組みの内容を答えます。
一つ星と二つ星、どちらから始めるべきですか？
補助金の要件で二つ星が必要な場合は、二つ星を目指します。そうでなければ、一つ星で6か条を全社に徹底し、その後に自社診断と基本方針に進む順番が無理のない進め方です。
個人事業主でも宣言できますか？
IPAの案内では中小企業が対象とされています。対象や要件の詳細は、申込みの前にIPAのページで確認してください。
宣言をやめたり、内容を変えたりできますか？
2026年4月からの方法では、管理システムにGビズIDでログインして、登録の内容の変更や宣言の停止の手続きができ、すぐに反映されるとされています。
ホームページに載せる基本方針は、どこに置けばよいですか？
フッターのプライバシーポリシーの近くに置くのが一般的です。会社概要のページからもリンクしておくと、取引先が見つけやすくなります。ロゴマークを近くに置くと、取り組みが一目で伝わります。
ホームページ側の対策を任せる場合
フェニックスデザインでは、基本方針のページの作成や、CMSの更新、バックアップ、管理画面のアカウントの整理など、ホームページとサーバーに関わる対策を担当しています。対応範囲はWEBサイトのセキュリティ対策をご覧ください。
まとめ
- SECURITY ACTIONは、中小企業が情報セキュリティ対策への取り組みを自ら宣言する制度で、IPAが認定するものではありません。
- 一つ星は情報セキュリティ6か条、二つ星は自社診断と基本方針の策定・公開が要件です。
- 2026年4月から、GビズID（プライムまたはメンバー）で管理システムにログインして申し込む方法に変わりました。
- デジタル化・AI導入補助金など、宣言を要件や加点の対象にしている補助金があります。
- 宣言の後も、自社診断と基本方針の見直し、アカウントの棚卸しを毎年続けます。
- ホームページの担当者は、自社診断の回答、基本方針のページ、委託先からの記録の受け取りで関わります。