SECURITY ACTION、4月変更の前に整理しておきたいこと、という話

中小企業の情報セキュリティ対策というと、どうしても「何から手をつければよいのか分かりにくい」という話になりがちです。

大企業のように専任担当がいるわけではない。とはいえ、取引先から確認を受けることは増えているし、社内でも最低限のルールや体制は必要になる…。

そういう中で、現実的な入口として位置づけやすいのが、IPA（独立行政法人 情報処理推進機構）のSECURITY ACTIONです。
デジタル化・AI導入補助金（旧：IT導入補助金）の申請要件にもなっています。

もっとも、SECURITY ACTIONという名前自体は知っていても、それが何なのか、何のために取り組むものなのか、少し分かりにくいところがあります。

しかも、2026年4月から申込方法が変わる予定で、その前提になる「中小企業の情報セキュリティ対策ガイドライン」も2026年3月中に改訂予定です。この記事執筆時点はちょうど、制度の枠組みは見えているが、細部はこれから変わる、という何とも中途半端な時期です。

SECURITY ACTIONは何のための制度か

そもそも「SECURITY ACTION」は、IPAが運営する中小企業向けの情報セキュリティ対策の自己宣言制度です。
「中小企業の情報セキュリティ対策ガイドライン」を土台にして、自社で情報セキュリティ対策に取り組むことを外部に向けて示す仕組み、と考えるのが分かりやすいと思います。

ここで大事なのは、ISMSやPマークなどとは異なり、何か厳格な審査を受けて認証を取得する制度ではなく、自社として情報セキュリティ対策に向き合い、必要な取組を進めていくための実務的な入口だという点です。

中小企業にとって、情報セキュリティは
「完璧にやるか、何もしないか」
の二択ではありません。
その中間の領域があるのです。

まずは現状を把握して、できるところから整えていくことが大切であり、その足掛かりとして使いやすいのが、この制度です。

一つ星と二つ星

SECURITY ACTIONには、一つ星と二つ星の二段階があります。

一つ星は、情報セキュリティ5か条に取り組むことを宣言するものです。
まずは基本的な対策を意識し、社内で最低限の共通認識を持つところから始める、という位置づけに近いと思います。

二つ星は、そこから一歩進んで、「５分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、情報セキュリティ基本方針を定めて外部公開したことを宣言するものです。
こちらは、単に「気をつけています」という話ではなく、自社としてどう考え、どう進めるのかを言語化していく段階です。

この違いを見ると、SECURITY ACTIONは単なる手続というより、自社の情報セキュリティ対策を、どこまで整理できているかを映すものだと分かります。

4月から申込方法が変わる

そのSECURITY ACTIONですが、2026年4月から申込方法が変わる予定です。

新システムが公開され、申込や管理の方法が切り替わるのですが、大きな違いとしては、GビズIDを使ってログインする形になり、登録情報の確認や変更、ロゴマークのダウンロードなどもマイページ上でできるようになる、という点です。

制度の考え方そのものが大きく変わるというより、まずは申込み実務の前提が変わると捉えるのがよさそうです。
ただ、実務はこういう「前提の変更」でつまずきやすいので、4月になってから見ればよい、と考えるよりは、今のうちに整理しておいた方が楽です。

まだ気をつけて見ておきたいこと

今回もう一つ気をつけたいのが、SECURITY ACTIONの前提になる「中小企業の情報セキュリティ対策ガイドライン」も改訂予定だということです。

つまり、4月から申込方法が変わるだけでなく、今後は新しいガイドラインに沿った考え方で運用されていくことになります。

ただ、現時点（3月8日）では、その改訂版の本文まで見えていない段階です。
そのため、「新しいルールに完全対応しています」と今の時点で言い切るのは早いです。ただその一方で、「まだ改訂版が出ていないから何もしない」というのも、あまり現実的ではありません。

なので、今の段階では、現行の考え方をベースに自社の状況を整理し、改訂版が公表されたら差分を確認して調整するという進め方がいちばん無理がないと思います。

先に進めておけること

改訂版がまだ見えていないとはいえ、今のうちに進められることはあります。

まず、自社として情報セキュリティ対策をどこまで整理できているかを確認することです。
担当者が誰なのか、基本的なルールはあるのか、使っているITツールやクラウドサービスをどこまで把握しているのか。こういったセキュリティ対策の基礎となる確認は、SECURITY ACTION制度変更の有無にかかわらず必要です。

次に、一つ星で進めるのか、二つ星まで視野に入れるのかを考えることです。
ここは制度上の違いというだけでなく、自社としてどこまで外部に示せる状態にしたいか、という話でもあります。

そしてもう一つ大事なのが、文書や方針を雛形の貼り付けで済ませないことです。
情報セキュリティ基本方針や自社診断は、形だけ整えようと思えば整えられてしまいます。けれど、実態と合っていない文書は、後で見直しが必要になりますし、取引先からの確認や社内運用の場面でも苦しくなります。

補助金との関係は「結果として」出てくる

ここまで書いてきたように、SECURITY ACTIONは本来、補助金のためだけにある制度ではありません。
中小企業が、自社の情報セキュリティ対策を無理のない形で整えていくための実務的な仕組みとして見るほうが、本筋に近いと思います。

その結果として、先に挙げたデジタル化・AI導入補助金（旧：IT導入補助金）などの各種補助金においてこのSECURITY ACTION宣言が申請要件になっていることがあります。

そんな状況であるため、普段は後回しになりがちな情報セキュリティ対策を、実際に見直すきっかけにもなります。意味があるのは、補助金要件だからではなく、もともと必要な取組であり、それが制度上も求められているという順番です。

ですので、IT系の補助金申請を予定している会社はもちろん気にした方がよいのですが、それだけでなく、取引先対応や自社の体制整備の観点からも、一度きちんと見ておく価値がある制度だと思います。

形だけで終わらせないために

SECURITY ACTIONに取り組むときに、実際に手が止まりやすいのは、制度の概要を読むところではありません。
自社診断をどう書くか、基本方針をどうまとめるか、自社の実態に合わせてどこまで整理するか、というところで止まりやすいです。

特に二つ星まで考える場合は、社内の運用実態と文書の整合が取れていないと、後で見直しが必要になります。
制度対応として整えるにしても、取引先からの説明に使える状態にするにしても、結局は「自社の実情に合っているか」が一番大事です。

セキュリティ対策の入口に

SECURITY ACTIONは、補助金のための手続としてだけ見るには、もったいない制度です。
中小企業が情報セキュリティ対策を無理なく整えていく入口として考えると、取り組む意味はかなりあります。

そのため、4月の新システム公開を待ってから全部考えるのではなく、今のうちに自社の状況を整理しておくことが大切です。
ただし、改訂版ガイドラインの本文がまだ見えていない以上、新しい基準に完全に合わせきったと言い切るのは避けたほうが無難です。
この二つを両立させるのが、現時点で進める対応としては現実的だと思います。

なお、実際には、自社診断や基本方針の整理のところで手が止まることが多いです。
自社の実態に合わせて進めたい場合や、制度対応としてきちんと整えたい場合は、こちらにまとめています。
SECURITY ACTIONサポートのご案内

SECURITY ACTIONへの取り組み方や宣言の準備について、一緒に整理したい方はこちらもご覧ください。

▶ SECURITY ACTIONサポートページ（Beans Security Service）

まず状況を相談したい方は、30分の無料相談もご利用ください。

▶ 無料相談はこちら（Beans Security Service）