「うちのセキュリティ対策は、これで足りているのだろうか」。情報システムの担当者であれば、一度はこう感じたことがあるのではないでしょうか。ウイルス対策ソフトは入れている、パスワードにも気をつけている、けれども、それが世間の水準から見て十分なのかどうかは、誰にも教えてもらえない。そんなもどかしさを抱えている中小企業は、決して少なくありません。
その「ものさし」の役割を果たしてくれるのが、IPA（独立行政法人 情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」です。無料で誰でも入手でき、専門家でなくても読み進められるように作られた、国の機関による公式の手引書です。2026年3月27日には約3年ぶりの改訂が行われ、「第4.0版」が公開されました。ランサムウェア（データを勝手に暗号化して身代金を要求するウイルス）による被害の深刻化や、取引先を経由した攻撃の増加、そしてセキュリティに詳しい人材の不足といった、いまの中小企業が直面している課題を大きく取り込んだ内容になっています。
この記事では、第4.0版の全体像、経営者と実務担当者それぞれが押さえておくべきポイント、新しく加わった内容、そして中小企業が限られた人員と予算の中でどのように活用していけばよいのかを、順を追って整理していきます。
まず、このガイドラインがどのような性格のものかを確認しておきます。
第一に、これは法律や規制ではありません。守らなかったからといって罰則があるわけではなく、あくまで「中小企業が情報セキュリティ対策に取り組むための手引き」として、IPAが公開しているものです。対象として想定されているのは、法人だけでなく個人事業主や各種団体も含めた中小企業・小規模事業者で、読み手として想定されているのは「経営者及び情報管理を統括する方」です。従業員数百名規模の会社であれば、「自社のための資料」として使いやすい内容になっています。
第二に、専門家向けの難しい技術書ではありません。経営者が読む部分と、実務担当者が読む部分とが分けて書かれており、専門用語も最小限に抑えられています。本編は「経営者編」と「実践編」で構成され、そのほかに、すぐに使える付録（診断シート、規程のひな形、資産管理台帳、社員向けハンドブックなど）が用意されています。「何を書けばよいのかわからない」という状態から、「ひな形を自社向けに直せばよい」という状態へ進める点が、実務担当者にとっては大きな助けになります。
第三に、これはSCS評価制度（経済産業省が検討を進めている、サプライチェーン強化に向けたセキュリティ対策評価制度）や、後ほど触れるSECURITY ACTIONといった、他の制度への「入口」としての役割も担っています。第4.0版では、SCS評価制度を踏まえて、組織的な対策や技術的な防御策の考え方が整理されました。つまり、このガイドラインに沿って対策を進めておくことが、今後取引先から「★の取得」を求められるようになったときの下地づくりにもなる、ということです。SCS評価制度の詳細については、当ブログの別の記事で詳しく解説していますので、あわせてご覧ください。
前回の第3.1版が公開されたのは2023年4月でした。それから約3年のあいだに、中小企業を取り巻く状況は大きく変わりました。IPAの発表では、主に次の3つの変化が改訂の背景として挙げられています。
まずは、ランサムウェア被害の顕在化です。かつては「情報が漏れる」ことが主な心配事でしたが、いまは、パソコンやサーバーのデータをすべて暗号化され、業務そのものが止まってしまうという被害が目立つようになりました。工場の生産ラインが止まる、受発注のシステムが使えなくなる、といった形で、事業活動の停止にまで影響が及びます。しかも、会社の大小は関係なく狙われます。むしろ、対策が手薄な中小企業のほうが「入りやすい」と見られてしまう面すらあります。
次に、サプライチェーン全体を狙った攻撃の増加です。大手企業のシステムに直接侵入するのは難しくても、取引先である中小企業を踏み台にすれば入り込める、という発想の攻撃です。そうなると、自社の被害だけでは済まず、取引先に迷惑をかけ、最悪の場合は取引そのものを失うことにもつながりかねません。
最後に、人材の不足です。対策の必要性は理解していても、それを推進できる人が社内にいない、という悩みは、中小企業では特に深刻です。第4.0版では、この点に正面から向き合い、人材の確保や育成に関する付録が新たに加えられました。
ガイドラインの本編は、大きく２部に分かれています。
第1部は「経営者編」で、経営者自身が理解し、判断すべきことがまとめられています。ここでは、経営者が認識すべき「3原則」と、実行すべき「重要7項目」が示されています。
3原則とは、次のような考え方です。１つ目は、情報セキュリティ対策は経営者のリーダーシップで進めるということ。対策にどこまで人と予算をかけるかは、事業へのリスクを見ながら経営が判断することであり、現場の担当者に任せきりにしてはいけない、という趣旨です。２つ目は、委託先の情報セキュリティ対策まで考慮するということ。業務を外部に委託していても、そこから情報が漏れた場合の責任は自社にも及びます。３つ目は、関係者と、常に情報セキュリティについてコミュニケーションを取るということです。
その上で、経営者が実際に行うべき7つの項目が挙げられています。基本方針を定めること、対策のための予算と人材を確保すること、リスクへの対策を検討して実行を指示すること、定期的に見直しを指示すること、緊急時に備えた体制を整えること、委託先を含めて責任を明確にすること、そして最新の動向を収集して把握しておくことです。
これらは、いずれも難しいことを求めているわけではありません。ただ、情報セキュリティ対策は「経営者が意思表示をしなければ、現場は動けない」という性質があります。情報システム担当者の立場としては、この第1部を経営層に読んでもらい、「国の機関が、経営者の役割としてこう書いている」という形で、予算や体制の相談を切り出す材料にするのが効果的です。担当者が一人で「セキュリティにお金をかけてください」とお願いするよりも、はるかに話が通りやすくなります。
第2部は「実践編」で、実務担当者が具体的に何をすればよいかが、段階を追って書かれています。この段階が「STEP1」から「STEP4」までの4つです。
第2部の特徴は、いきなり完璧を求めず、「できるところから、少しずつ」進める設計になっていることです。
STEP1は、情報セキュリティ6か条の実施です。ここが出発点であり、最低限やっておくべき基本の対策です。6か条の中身は、次章で詳しく見ていきます。
STEP2は、自社診断と基本方針の作成です。「5分でできる！情報セキュリティ自社診断」（25項目）で自社の弱点を把握し、社内で「情報セキュリティ基本方針」を定めて公表します。
STEP3は、本格的な取り組みへの移行です。必要に応じて外部専門家を交えながら、セキュリティに関する体制を整備し、基本的な組織的対策や技術的な防御対策を実施します。
STEP4は、さらに強固な対策です。人的・組織的な対策に加えて、必要に応じて外部専門家を交えてリスク分析を行い、技術的な対策を強化することで、包括的なセキュリティ対策を実施する段階です。
この4段階は、ちょうど階段のように、下から順に上っていくイメージです。大切なのは、いま自社がどの段にいるのかを把握し、次の一段に進むことです。第4.0版では、SCS評価制度を踏まえて、上の段（STEP3・4）にあたる組織的な対策や技術的な防御策の考え方が整理されています。
STEP1で取り組む6か条は、次のとおりです。第4.0版では、これまでの5か条に「バックアップを取ろう！」が加わり、6か条になりました。
1. OSやソフトウェアは常に最新の状態にしよう！ パソコンやスマートフォンのOS、使っているソフトウェアには、時間が経つと「弱点（脆弱性）」が見つかります。それを塞ぐための更新プログラムを適用せず放置すると、そこからウイルスに入り込まれます。更新の通知を後回しにしない、サポートが終わった古いOSやソフトを使い続けない、といった基本の徹底が求められます。
2. ウイルス対策ソフトを導入しよう！ すべてのパソコンにウイルス対策ソフトを入れ、常に最新の状態に保ちます。IDやパスワードの盗難、遠隔操作といった被害から守るための基本です。
3. パスワードを強化しよう！ パスワードは「長く」「複雑に」「使い回さない」が原則です。あわせて、パスワードに加えてもうひとつ確認を求める「多要素認証」を使えるところでは使う、という考え方も重要になっています。
4. 共有設定を見直そう！ クラウドサービスに置いたファイルや、複合機、ネットワーク機器などの共有設定が、意図せず「誰でも見られる状態」になっていることがあります。設定を定期的に確認し、不必要な公開や不要なアクセス権限をなくします。
5. バックアップを取ろう！（新規） 今回の改訂で最も注目される追加項目です。ランサムウェアにデータを暗号化されてしまっても、バックアップさえあれば、業務を再開できます。ガイドラインでは、バックアップしたデータを安全な場所に保管することが求められています。なお、一般的なバックアップの考え方として、「3つ持つ、2種類の媒体に保存する、1つは離れた場所に置く」という「3-2-1ルール」がよく知られています。バックアップを同じネットワークにつなぎっぱなしにしていると一緒に暗号化されるおそれがあることや、実際にデータを戻せるかを確認しておくことも、あわせて意識しておきたい点です。
6. 脅威や攻撃の手口を知ろう！ 攻撃者の手口は日々変化しています。IPAをはじめとする公的機関が発信する情報に目を通し、社内にも共有することで、被害を未然に防ぎます。たとえば、実在する企業を装った偽メールの手口などは、知っているだけで被害に遭う確率が下がります。
この6つは、どれも新しい技術や高額な投資を必要とするものではありません。すでに実施できている項目も多いと思いますが、「全社員のパソコンで、例外なく」できているかを確認してみると、意外な抜けが見つかることがあります。従業員200〜300名の規模になると、部署や拠点ごとに運用がバラバラになっていることも珍しくないからです。
STEP2で活用する「5分でできる！情報セキュリティ自社診断」は、25の質問に、自社の実施状況を選びながら答えていく診断シートです。名前のとおり、短時間で自社の対策状況を確認できる点が特徴で、ガイドラインの付録として提供されています。
第4.0版では、この診断項目にも見直しが入り、次の2項目が新たに加わりました。
ひとつは「外部から内部ネットワークへの不要な通信を遮断する」という項目で、外部から社内のネットワークへの不要な通信を適切に遮断できているかを確認するものです。もうひとつは「ウェブサイトを安全に運用する」という項目で、自社のウェブサイトを安全に運用できているかを確認するものです。自社サイトを持っている会社にとっては、見落としがちな盲点への注意喚起になります。
診断のポイントは、「点数を上げること」ではなく、「自社の弱いところを正直に知ること」です。「わからない」と答えた項目こそ、実は最も注意が必要な部分かもしれません。情報システム担当者が一人で答えるのではなく、総務や人事、各部署のリーダーとも一緒に確認すると、実態が見えやすくなります。結果は、社内で優先順位を決めて改善を進めるための、共通の話題にもなります。
IPAには、「SECURITY ACTION」という制度があります。これは、中小企業が自ら情報セキュリティ対策に取り組むことを「宣言」する制度で、取り組みの段階に応じて「一つ星」と「二つ星」があります。
一つ星は、情報セキュリティ5か条（現在の6か条）に取り組むことを宣言するものです。二つ星は、自社診断を実施した上で、情報セキュリティ基本方針を定めて外部に公開することを宣言するものです。ガイドラインのSTEP1・STEP2と、ちょうど対応しています。
「一つ星」「二つ星」のロゴマークは無料で使用でき、取引先や顧客に対して「自社はセキュリティ対策に取り組んでいる」という姿勢を示せます。さらに、補助金・助成金の中には、SECURITY ACTIONの自己宣言を申請要件などにしているものがあり、IPAがその一覧を公開しています。補助金を活用してITツールを導入する予定がある会社にとっては、宣言しておくこと自体が実利につながります。
すでに宣言済みの会社は、今回の改訂に合わせて、内容を見直してみるとよいでしょう。まだ宣言していない会社は、6か条の確認さえできれば一つ星の宣言に進めますので、最初の一歩として非常に取り組みやすい制度です。
第4.0版の大きな特徴のひとつが、付録として新たに加えられた「セキュリティ人材の確保・育成の実践ガイドブック」です。セキュリティ対策を実施するために必要な人材の確保・育成のための方策をまとめたものです。
情報システム担当者が少ない中小企業では、「セキュリティ専任の人を採用する」という選択肢は、現実的ではないことが多いでしょう。また、ガイドライン本編でも、STEP3・4で「必要に応じて外部専門家を交え」て進めることが想定されています。すべてを自社の人員でまかなうのではなく、「どこまでを自社で行い、どこからを外部に任せるか」を考える際の材料として、役立つ資料です。
ここまで内容を見てきましたが、実際に、限られた人員でどう進めればよいのでしょうか。現実的な進め方を、5つの段階に分けて整理します。
まず、経営層を巻き込みます。 第1部の3原則と7項目を、経営層に共有してください。対策にかかる予算や工数は、「コスト」ではなく「事業を守るための投資」であることを、国の資料を根拠に説明できます。
次に、6か条の実施状況を棚卸しします。 全社員のパソコンで、更新は適用されているか、ウイルス対策ソフトは入っているか、共有設定に問題はないか。特に、新しく加わったバックアップについては、「取っているか」だけでなく、「実際に戻せるか」「ネットワークから切り離して保管しているか」まで確認しましょう。
３つ目に、自社診断を実施します。 25項目の診断を行い、弱い部分を洗い出します。結果は、優先度の高い順に、半年〜1年程度の改善計画に落とし込みます。
４つ目に、社内のルールを文書にします。 基本方針をはじめ、付録で提供されている規程のサンプルを、自社向けに直して使います。ゼロから作る必要はありません。ひな形があるということは、それだけで作業の負担を大きく減らしてくれます。
最後に、SECURITY ACTIONを宣言し、次の一手を考えます。 取り組みの成果を、一つ星、二つ星として形にします。その上で、取引先の要請に応じて、SCS評価制度の★3などを見据え、STEP3以降に進んでいきます。専門的な判断が必要な部分は、外部の専門家やIT運用のパートナーと分担するのが現実的です。
大切なのは、完璧を目指さないことです。IPAのガイドライン自体が、「できるところから、段階的に」という考え方で作られています。いま、何もできていないと感じている会社であっても、6か条の確認から始めれば、それは立派な第一歩です。
Q. 従業員数が多い会社でも、このガイドラインは役に立ちますか。 はい。ガイドラインは、個人事業主のような小さな事業者から、数百名規模の会社まで、幅広い中小企業を想定しています。むしろ、従業員数が増えるほど、対策のばらつきや抜けが生じやすくなるため、STEP3・4に当たる規程の整備や体制づくりが重要になってきます。
Q. ガイドラインに従えば、ISMS（ISO27001）などの認証は不要になりますか。 別のものとお考えください。ガイドラインは、自社で対策を進めるための手引きであり、第三者による認証ではありません。ただし、STEPを順に進めることで、将来ISMSやSCS評価制度に取り組む際の、土台をつくることができます。
Q. 費用はどのくらいかかりますか。 ガイドライン本編も付録も、無料で入手できます。SECURITY ACTIONのロゴマークの使用も無料です。ただし、バックアップ用の機器やサービス、多要素認証の導入、外部専門家への相談などには、別途費用が発生します。
Q. 最新版はどこで入手できますか。 IPAのウェブサイトに、「中小企業の情報セキュリティ対策ガイドライン」のページがあり、本編と付録をダウンロードできます。改訂が行われることもありますので、利用する際は、最新の版であることを確認してください。
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、中小企業が「何から、どこまで、どの順番で」対策を進めればよいかを、無料で、しかも段階的に示してくれる貴重な手引きです。今回の改訂では、バックアップが6か条に加わり、自社診断の項目が見直され、人材確保・育成のための付録が新設されるなど、ランサムウェアやサプライチェーン攻撃、人材不足という、いまの課題に正面から向き合った内容になりました。
情報システム担当者が少ない中小企業 では、すべてを一度に整えることは難しいです。だからこそ、まずは6か条の棚卸しと自社診断から始め、SECURITY ACTIONの宣言で成果を形にし、その先のSCS評価制度への備えへとつなげていく、という段階的な進め方が有効だと思います。
「何から手をつければよいかわからない」「診断結果をもとに、優先順位をつけて進めたい」といったお悩みがあれば、ぜひお気軽にご相談ください。デジックでは、中小企業のみなさまの状況に合わせて、無理のない対策の進め方をご一緒に考えます。