SECURITY ACTIONとは何か
IPAの「SECURITY ACTIONとは？」のページは、この制度を「中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度」と説明しています。国や団体の審査を受ける認証ではなく、自分で取り組みを約束する宣言です。
段階は2つあります。「★一つ星」と「★★二つ星」で、取り組みの深さに応じて選びます。宣言した会社は、段階に応じたロゴマークを無料で使えます。
注意したいのは言葉の使い方です。IPAは、ロゴを使うときに「認定を受けた」と書くのは不適切だとしています。名刺や会社案内には「宣言しました」と書くのが正しい表現です。
数字で見る中小企業のセキュリティ
なぜ今この宣言なのか。IPAが2025年に公表した「2024年度中小企業における情報セキュリティ対策の実態調査」の速報は、全国の中小企業4,191社に聞いた結果です。そこでは情報セキュリティ対策の投資をしていない企業が62.6%でした。
同じ調査では、専門の部署がある企業は9.3%にとどまり、組織的な体制がない企業は約7割でした。被害を受けた975社では、過去3期の被害額の平均が73万円、復旧までの平均が5.8日です。
被害は自社だけで終わりません。被害を受けた企業の約7割が、取引先の事業にも影響が出たと答えています。不正アクセスの手口では、ソフトの弱点を突かれたが48.0%、IDとパスワードをだまし取られたが36.8%でした。どちらも、6か条で手当てできる入口です。
一つ星：情報セキュリティ6か条
一つ星の中身は、IPAの「中小企業の情報セキュリティ対策ガイドライン」にある6か条です。ガイドラインは2026年3月27日に第4.0版が公開されました。2023年4月の第3.1版から約3年ぶりの改訂です。
改訂で、それまでの5か条に「バックアップを取ろう！」が加わり6か条になりました。ランサムウェアで事業が止まる被害が増えたことが背景です。
ガイドライン第4.0版は、6か条について「企業の規模に関わらず、必ず実行すべき重要な対策」と明記しています。社員が数人の会社でも、省いてよい項目はないということです。
6か条をAIの使い方に当てはめる
6か条は、AIのために作られたものではありません。けれども、AIを仕事に使う場面に当てはめると、やることが具体的になります。ガイドライン第4.0版にも、生成AIの利用に関するコラムがあります。
| 6か条 | AIを使う場面での具体例 | 確かめる人 |
|---|---|---|
| 1 OS・ソフトを最新に | AIを使うパソコンとスマホの更新を止めない | 各社員 |
| 2 ウイルス対策 | AIの拡張機能や便利アプリを勝手に入れない | 管理担当 |
| 3 パスワード強化 | AIのアカウントを使い回しのパスワードで作らない | 各社員 |
| 4 共有設定の見直し | 会話の共有リンクや連携したフォルダの範囲を確かめる | 管理担当 |
| 5 バックアップ | AIで作った大事な資料を社内の保存先にも残す | 各部署 |
| 6 脅威・手口を知る | AIで作られた偽メールや偽の声の手口を共有する | 経営者 |
コラムでは、注意点として利用規約の確認、機密や個人情報を入力しないこと、生成物を人が確認することなどの4点を挙げています。入力してはいけない情報の整理はAIに入力してはいけない情報一覧でまとめています。
二つ星：25問の自社診断と基本方針
二つ星は、一つ星の次の段階です。ガイドラインの付録3「5分でできる！情報セキュリティ自社診断」で自社の状況を確かめ、付録2をもとに情報セキュリティ基本方針を定めて外部に公開します。
自社診断は25の質問に答える形です。「実施している」は4点、「一部実施している」は2点、「実施していない」は0点、「わからない」はマイナス1点で数えます。第4.0版では、ウェブサイトを安全に運用する項目などが加わりました。
基本方針は、会社が情報をどう守るかを外に向けて約束する短い文書です。ホームページに載せるところまでが二つ星の条件なので、公開する場所も先に決めておきます。
宣言すると何が変わるのか
いちばん分かりやすいのは補助金です。「デジタル化・AI導入補助金2026」（旧IT導入補助金）では、交付申請のときにSECURITY ACTIONの自己宣言IDを登録します。IPAの一覧でも、一つ星か二つ星の宣言が申請要件の制度として載っています。
取引の場面でも効きます。前述の実態調査では、取引先から求められた対策が取引につながったと答えた企業が42.1%でした。ガイドラインは、宣言でサイバー保険の保険料が割引になる場合があることにも触れています。
そして何より、社内の言葉がそろいます。「うちは6か条をやると決めた」と言えると、AIの使い方を注意するときの根拠になります。補助金の全体像はデジタル化・AI導入補助金の基本で解説しています。
宣言までの4歩
手順1は段階を選ぶことです。迷ったら一つ星から始めます。一つ星と二つ星を同時に申し込むことはできません。
手順2はGビズIDの用意です。IPAの「自己宣言の申込方法」によると、2026年4月から申し込みにGビズIDのアカウントが必要になりました。法人も個人事業主も、GビズIDプライムを取ります。
手順3で申込フォームに入力し、手順4で自己宣言IDの書かれたメールを受け取ります。法人は事業者名や所在地の市区町村、業種などがIPAのサイトで公開されます。GビズIDの取得からロゴの使用まで、最短1日でできるとされています。
補助金の締め切り直前に慌てない
IPAは、システムの点検などで申し込めない期間もあるとして、余裕を持った手続きを呼びかけています。補助金に使うなら、締め切りから逆算して早めに宣言しておきましょう。
基本方針の下書きをAIに頼む
二つ星の基本方針は、ゼロから書くと手が止まります。ガイドラインの付録2にサンプルがあるので、サンプルを土台に、自社の言葉へ直す作業をAIに手伝わせると早く進みます。社名や取引先名は入れずに、次の文を送ってください。
出てきた案は、そのまま公開しません。実際にやっていないことを約束していないかを経営者が確かめてから載せます。社内ルールの作り方は社員向けAI利用ルールの作り方が参考になります。
よくある質問（Q&A）
SECURITY ACTIONって何？お金はかかるの？
中小企業が情報セキュリティ対策に取り組むことを自分で宣言する、IPAの制度です。ロゴマークは無料で使えます。一つ星なら、6か条に取り組むと決めた段階で申し込めます。
一つ星と二つ星、どっちを選べばいい？
初めてなら一つ星からで十分です。二つ星は、25問の自社診断をして基本方針を作り、外部に公開する必要があります。補助金によって求める段階が違うので、申請先の条件も確かめてください。
AIを使ってる会社は宣言しないといけないの？
義務ではありません。ただ、デジタル化・AI導入補助金を申請するなら宣言が必要です。AIのアカウントや共有設定を守る最低線として、6か条はAIを使う会社にこそ役立ちます。
まとめ
- SECURITY ACTIONは、情報セキュリティ対策への取り組みを自ら宣言するIPAの制度。認定ではない。
- 対策投資をしていない中小企業は62.6%。一つ星は6か条に取り組む宣言で、対策の前でも申し込める。
- 6か条をAIに当てはめると、アカウント・共有リンク・保存先・偽メールの対策になる。
- 2026年4月から申し込みにGビズIDが必要。補助金に使うなら早めに宣言する。
まずは今日、6か条を社内の掲示板に貼ってみてください。全部できていなくても、取り組むと決めることが一つ星の出発点です。