SECURITY ACTION（セキュリティアクション）とは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの制度です。段階は「一つ星」と「二つ星」の2つで、ロゴマークは無料で使えます。認定や認証ではありません。
今日やることは2つです。1つ目は、GビズIDプライムの有無を社内で確かめることです。2026年4月から、申込にはGビズIDのアカウントが必須になりました。2つ目は、申請を予定している補助金があるか確かめ、あれば公募要領で求める星の数を見ることです。この2つで、どちらの星をいつまでに宣言するかが決まります。
サプライチェーンのセキュリティの中で見ると、この制度は審査なしで始められる入口にあたります。2023年10月に自己宣言が30万件を超えたことも、IPAが公表しています。
一つ星と二つ星の違いは？
条件が違います。IPAの案内を整理すると次のとおりです。
|
一つ星 |
二つ星 |
| 条件 |
情報セキュリティ6か条に取り組む |
自社診断を行い、基本方針を定めて外部に公開する |
| 向いている場面 |
初めて取り組む、補助金の要件が一つ星 |
補助金の要件が二つ星、ISMS認証を取得済み |
| 事前に必要なもの |
6か条の実行開始 |
診断の実施と方針の公開 |
一つ星の条件である6か条は、中小企業の情報セキュリティ対策ガイドライン第4.0版に載っています。
- OSやソフトウェアは常に最新の状態にしよう
- ウイルス対策ソフトを導入しよう
- パスワードを強化しよう
- 共有設定を見直そう
- バックアップを取ろう
- 脅威や攻撃の手口を知ろう
古い資料やIPAのページの一部には「5か条」の記載が残っています。現行のガイドラインと制度案内は、バックアップを加えた6か条です。
二つ星は、ガイドラインの付録3「5分でできる！情報セキュリティ自社診断」（25項目）で状況を把握し、付録2のサンプルを参考に基本方針を作ります。方針は自社のサイトなどで外部に公開します。診断も公開も宣言の前に済ませておくのが条件です。
一つ星と二つ星は同時に使えない
IPAの案内では、同時の申込も、両方のロゴの同時使用もできません。迷うなら一つ星から始めるよう案内されています。ISMS認証を取得済みの会社は基本方針を策定済みなので、二つ星のケースに挙げられています。
宣言の手順は？
IPAの申込手順は5段階です。GビズIDの取得からロゴの使用まで最短1日で実施できるとされていますが、メンテナンスで使えない期間もあるので、締切の直前は避けます。
- 取組目標を決める。一つ星か二つ星か
- GビズIDを取得する。法人、個人事業主ともにプライムのアカウントを取る
- SECURITY ACTION管理システムの申込フォームに入力する。個人情報の取扱いとロゴマーク使用規約への同意、事業者情報、取り組み内容の順
- 手続完了メールを受け取る。自己宣言IDとロゴの使い方が届く
- ロゴを使う（任意）。管理システムのマイページからダウンロードする
宣言するとIPAのサイトに掲載されます。法人の場合は、事業者名、都道府県、市区町村、業種、取組段階です。社外に公開される前提で申し込みます。
手続きは短く済みますが、宣言の中身は実行してはじめて意味があります。一つ星なら、申し込む前に6か条の担当者を決めます。「更新は誰が見るか」「バックアップはどこに、どの頻度で取るか」を1枚にまとめるだけでも、宣言と社内の実態が揃います。
製造業では、何から手を付ける？
たとえば、社員数十名の金属加工の会社が、生産管理ツールの導入で補助金を使う場合で考えます。事務所のパソコンは更新していても、加工機につながるパソコンや共有フォルダに手が回っていないことがあります。
6か条をそのまま工場に当てはめると、次の問いになります。
- 工場のパソコンは、更新の担当者が決まっているか。止められない機器は、どう補っているか
- 図面を置く共有フォルダは、全員が書き換えられる設定になっていないか
- 図面と加工データのバックアップはあるか。戻せることを確かめたか
- 現場の社員にも、不審なメールの扱いを伝えているか
工場の制御機器に更新をかけるときは、機器メーカーに確認してから進めます。動作に影響することがあるからです。6か条の最後の項目を社員教育で固めるなら、セキュリティ教育（eラーニング・メール訓練）の比較が参考になります。
どんな場面で使える？
大きく3つの場面があります。
補助金の要件や加点
IPAの一覧に、要件や加点対象の制度が載っています。
| 制度 |
求める星 |
| デジタル化・AI導入補助金（旧：IT導入補助金） |
一つ星または二つ星 |
| 東京都中小企業振興公社 サイバーセキュリティ対策促進助成金 |
二つ星 |
| 埼玉県 中小企業DX導入支援補助金 |
一つ星または二つ星 |
| DX認定制度 |
二つ星（中小企業は監査の概要の代わりにできる） |
デジタル化・AI導入補助金のセキュリティ対策推進枠の公募要領では、一つ星か二つ星の宣言が要件で、二つ星は加点項目にも挙がっています。
注意点が2つあります。1つ目は宣言の時期です。2026年3月以前の宣言は、この補助金の交付申請に使えません。第2次公募以降は、補助金で使うGビズIDで管理システムから申し込み直します。
2つ目は一覧の鮮度です。ものづくり補助金のデジタル枠は、一覧では2023年度までと整理されています。検索で出てくる古い記事で判断せず、IPAの一覧と各補助金の最新の公募要領で確かめてください。IPAの一覧もリアルタイムの更新ではないと断っています。
取引先への説明
取引先からのセキュリティ調査票に、取り組みを示す材料として書けます。「◯年◯月に二つ星を宣言。基本方針を自社サイトに公開」と書けば、最低限の取り組みが相手に伝わります。
ただ、できるのはそこまでです。第三者の審査は入っていません。相手が第三者による確認を求めているなら、PマークやISMSの認証、またはSCS評価制度の話になります。取引先を調べる側の視点はセキュリティレーティングの比較で、調査票への回答の負担を減らす道具はチェックシート回答ツールの比較で確かめられます。
クラウドを使う際の認証の扱いはISO27017の判断にまとめました。
社内の意識づけ
IPAの制度案内は、2023年度の調査として、宣言のきっかけは補助金の申請が大半である一方、宣言事業者の約40%で社内の意識向上につながったと紹介しています。IPAの調査の結果で、すべての会社に同じ効果を約束するものではありません。補助金をきっかけに始めても、対策の担当を決める機会には使えます。
書き方で気をつけることは？
IPAは、次の表現を不適切な例に挙げています。
- 不適切：「一つ星（二つ星）の認定を受けました」「一つ星（二つ星）を取得しました」
- 適切：「一つ星（二つ星）を宣言しました」
サイト、会社案内、提案書、調査票の回答を、同じ表現で揃えます。営業資料に「取得」と書かれていないか、今のうちに確かめておくと後で慌てません。
宣言が古いままの会社は、今の6か条とシステム上の宣言の状態を確かめ直すよい機会です。旧来の11桁のIDをお持ちなら、補助金の予定がなくても、担当者とアカウントの持ち主を社内で確認しておきます。
