本文
エレノア代表の豊島と申します。
自社のセキュリティ対策が、どの程度できているかを把握されていますか？
本記事から、連載「中小企業のセキュリティ対策」を始めます。骨組みには、IPA（情報処理推進機構）が中小企業向けに公開している資料を使います。1本目の本記事では、資料の全体像と、自社の対策の状況を点検する25問の使い方をご紹介いたします。
本記事の内容
- IPAの中小企業向けガイドラインの構成
- 最初に取り組む「情報セキュリティ6か条」
- 25問の自社診断の答え方と、点数の見方
中小企業の情報セキュリティ対策ガイドラインの構成
IPAは、2026年3月27日に「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開しました。個人事業主や小規模事業者を含む、中小企業を対象とした資料です。
ガイドラインは、経営者編と実践編の2部で構成されています。経営者編では、経営者が認識すべき3つの原則と、実行すべき7つの取組を示しています。実践編では、対策の進め方を次の4つの段階で説明しています。
| 段階 | 名称 | 主な内容 |
|---|---|---|
| STEP1 | できるところから始める | 情報セキュリティ6か条 |
| STEP2 | 組織的な取り組みを開始する | 基本方針の作成、実施状況の把握 |
| STEP3 | 本格的に取り組む | 体制と規程の整備、攻撃の防御と検知 |
| STEP4 | より強固にするための方策 | ウェブサイト、クラウドサービス、テレワーク |
最初に取り組む「情報セキュリティ6か条」
STEP1では、企業の規模に関わらず実行すべき対策を、「情報セキュリティ6か条」にまとめています。第4.0版では、従来の5か条に「バックアップを取ろう！」が追加されました。
- 1. OSやソフトウェアは常に最新の状態にしよう！
- 2. ウイルス対策ソフトを導入しよう！
- 3. パスワードを強化しよう！
- 4. 共有設定を見直そう！
- 5. バックアップを取ろう！
- 6. 脅威や攻撃の手口を知ろう！
25問の自社診断の答え方
付録の「5分でできる！情報セキュリティ自社診断」は、25問に答えて対策の状況を把握するためのチェックシートです。設問は次の3つの区分に分かれています。
| 区分 | 問の数 | 主な内容 |
|---|---|---|
| 基本的対策 | 6問 | 更新、ウイルス対策、パスワード、共有設定、バックアップ |
| 従業員としての対策 | 11問 | メール、無線LAN、書類と機器の管理 |
| 組織としての対策 | 8問 | 不正アクセス対策、ウェブサイト、教育、委託先、事故への備え |
各問には、「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」マイナス1点で答えます。回答するのは、経営者か、対策の実施状況がわかる担当者です。状況がわからない問は、各従業員に確認して回答します。
点数の見方
合計点は100点満点です。点数ごとの目安は次のとおりです。
| 合計点 | 診断の目安 |
|---|---|
| 100点 | 入門レベルの対策は達成。次の段階を検討する |
| 70〜99点 | ほぼできているが、部分的に不十分な点がある |
| 50〜69点 | 対策が行き届いていない所が目立つ |
| 49点以下 | いつ事故が起きても不思議ではない |
点数が低かった問は、IPAの解説編を参考に対策を検討します。本連載でも、次回から1問ずつ対策をご紹介する予定です。
SECURITY ACTIONの宣言
IPAには、中小企業が対策への取り組みを自ら宣言する「SECURITY ACTION」という制度がございます。6か条に取り組むことを宣言すると「一つ星」、自社診断を実施し、基本方針を定めて公開すると「二つ星」を使用できます。詳しくは、連載の最後に説明する予定です。
よくある質問
自社診断に、費用はかかりますか？
かかりません。チェックシートはIPAのサイトからPDFで入手できます。Excel版も公開されています。
何点以上を目指せばよいですか？
ガイドラインでは、100点を入門レベルの対策の達成としています。まずは点数の低い問から対策を進め、100点を目指すことが案内されています。
まとめ
- IPAのガイドライン第4.0版は、中小企業の対策を4つの段階で説明しています
- 最初に取り組むのは、バックアップが加わった「情報セキュリティ6か条」です
- 25問の自社診断で現状を把握し、点数の低い問から対策を進めます
本連載では、6か条と自社診断の順に、対策を1つずつご紹介する予定です。ホームページの制作と、公開後の保守のご相談は、お問い合わせからお気軽にご連絡ください。