SECURITY ACTIONとは何か｜一つ星・二つ星の違いと宣言方法を解説

昨今、大企業だけでなく中小企業を標的としたサイバー攻撃の手口が巧妙化しています。サプライチェーンを狙った攻撃が増加し、取引先からセキュリティ体制の提示を求められるケースも増えています。

しかし、1名体制で社内ITを支える「ひとり情シス」や、総務・管理部門がITを兼任している組織の担当者は、「何から手を付ければよいか分からない」「対策を行う予算や人手がない」と悩むこともあるのではないでしょうか。

そこで活用できるのが、中小企業が自社で取り組めるセキュリティ対策の第一歩となる「SECURITY ACTION（セキュリティアクション）」です。

この記事では、SECURITY ACTIONの概要や一つ星・二つ星の違い、宣言のメリット、2026年4月からの新しい申請手順について解説します。

SECURITY ACTIONとは

SECURITY ACTIONがどのような制度であるのか、目的や位置づけについて解説します。制度を正しく理解することが、セキュリティ対策への第一歩となります。

SECURITY ACTIONの概要

SECURITY ACTIONは、独立行政法人情報処理推進機構（IPA）が発起人となり、中小企業自らが情報セキュリティ対策に取り組むことを「自己宣言」する制度です。安全・安心なIT社会の実現を目指し、予算や人材に限りのある中小企業でも段階的にセキュリティレベルを向上できる仕組みになっています。

公的機関が主導する枠組みでありながら、中小企業などが、現状に合わせて導入できる点が特徴です。セキュリティ対策をこれから始めたいと考えている企業にとって、何に取り組めばよいかを示す基準となります。

一つ星と二つ星の違い

SECURITY ACTIONには、自社の取り組み状況に応じて「★一つ星」と「★★二つ星」の2段階が用意されています。

「★一つ星」の要件

IPAが推奨する「情報セキュリティ6か条」に自社で取り組むことを宣言する段階です。以下の6か条を実施します。

OSやソフトウェアは常に最新の状態にしよう！

ウイルス対策ソフトを導入しよう！

パスワードを強化しよう！

共有設定を見直そう！

バックアップを取ろう！

脅威や攻撃の手口を知ろう！

引用元：IPA 独立行政法人情報処理推進機構セキュリティセンター『情報セキュリティ６か条』

高度な専門知識がなくても、ひとり情シスや総務の担当者が社内に呼びかけることで実行できる内容です。

出典：IPA 独立行政法人情報処理推進機構セキュリティセンター『情報セキュリティ６か条』

「★★二つ星」の要件

一つ星の要件をクリアしたうえで、さらに一歩進んだ体制を構築する段階です。企業には具体的に、以下の対応が求められます。

• 「5分でできる！情報セキュリティ自社診断」の実施

• 自社の「情報セキュリティ基本方針」の策定

• 基本方針の外部公開（自社のWebサイトなど）

二つ星を宣言することで、企業は経営層を巻き込んだ組織的なセキュリティ管理体制を構築していることを対外的に示せます。

出典：IPA 独立行政法人情報処理推進機構セキュリティセンター『5分でできる！情報セキュリティ自社診断』

認定ではなく“自己宣言”である点に注意

SECURITY ACTIONは、外部機関から審査を受けて認定を取得する制度ではありません。ISMS（ISO27001）やプライバシーマーク（Pマーク）のように、審査費用を支払って第三者の審査を通過するものではない点に注意が必要です。

あくまで、自社が主体となって「私たちはこれらの対策を実施します」と約束する「自己宣言」です。審査を待つ期間がなく、費用負担もありません。その分、宣言した内容を実務で継続できるかどうかが問われる制度となっています。

SECURITY ACTIONに取り組む4つのメリット

少人数の管理部門がSECURITY ACTIONに取り組むことで、実務面や経営面において以下の4つのメリットが得られます。

①ロゴマークを活用できる

自己宣言の手続きを完了すると、一つ星または二つ星の専用「ロゴマーク」を利用できるようになります。

画像引用元：経済産業省『ここから始めるセキュリティ！　―SECURITY ACTION自己宣言ー』

ロゴマークは無料で利用でき、自社のWebサイト、会社案内、名刺、パンフレットなどに掲示できます。自社のセキュリティに対する姿勢を視覚的に表現でき、企業に対する信頼の補強に役立ちます。

出典：経済産業省『ここから始めるセキュリティ！　―SECURITY ACTION自己宣言ー』

②取引先や顧客への説明に使いやすい

近年、サプライチェーン攻撃が問題となっており、取引先からセキュリティチェックシートの提出や対策状況の開示を求められるケースが増加しています。

このような場面で、SECURITY ACTIONのロゴマークや自己宣言IDを提示することで、IPAの基準に則った対策を実施していることの客観的な説明になります。一から説明資料を作成する手間を省き、取引先へスムーズに対応できます。

③補助金・助成金の要件を満たせる場合がある

「デジタル化・AI導入補助金（旧：IT導入補助金）」など、公的な補助金や助成金を申請する際、SECURITY ACTIONの自己宣言が必須要件や加点項目として設定されている場合があります。申請時は、対象制度の最新の公募要領やIPAの案内を確認することが重要です。

IT環境の整備やシステムの導入を検討している企業にとって、資金援助を受けやすくすることは実利的なメリットとなります。

④対策を始めるきっかけになる

ひとり情シスや総務の兼任担当者は社内のセキュリティ対策を強化したくても、経営層や他部門の社員からの理解を得られず、調整が進まないことがあります。

SECURITY ACTIONという公的制度を利用することで、「国が推奨する基準であり、補助金の要件にもなっている」という説得力のある理由ができます。これをきっかけに、パスワードルールの変更やOSアップデートの義務化といった社内ルールの見直しについて、社内の協力を引き出しやすくなります。

SECURITY ACTIONの宣言方法

ここでは、SECURITY ACTIONの自己宣言を行うための具体的な手順を解説します。2026年4月の新システム移行にともなう変更点にも注意が必要です。

一つ星か二つ星かを決める

最初に、自社の現状や対策状況に合わせて、一つ星・二つ星のどちらの段階からスタートするかを判断します。

一つ星は、社内のIT管理ルールが明文化されておらず、これから対策を始める企業におすすめです。二つ星は、すでに社内規程があり、対外的なアピールを行いたい企業向けになります。

必要な準備を行う

選択した段階に応じて、申込み前の事前準備を行います。

一つ星の場合は、自社の全端末でのOS更新やウイルス対策ソフトの稼働など、「情報セキュリティ6か条」の項目をクリアできているか確認します。

二つ星の場合は、IPAのツールで自社診断を行い、「情報セキュリティ基本方針」を作成して自社Webサイトなどで公開します。

管理システムから申込む

2026年4月1日に「SECURITY ACTION管理システム」が刷新され、自己宣言の申込みには「GビズID」が必須となりました。IPAの案内では、法人・個人事業主はGビズIDプライムアカウントを取得し、介護施設で自己宣言する場合は施設ごとにGビズIDメンバーアカウントを作成するとされています。

そのため、企業は申請前に、法人・個人事業主ともに「GビズIDプライム」または「GビズIDメンバー」のアカウントを取得しておく必要があります（エントリーアカウントは不可）。すでにデジタル化・AI導入補助金などでGビズIDを利用している場合は、そのIDを利用して申込めます。

申込み後の対応

申込みが完了すると、自己宣言IDとロゴマークの使用方法を知らせるメールが届きます。メールが届かない場合でも、SECURITY ACTION管理システムのマイページに自己宣言IDが表示されていれば、申込手続きは完了しています。 手続き後の主な対応は以下のとおりです。

• IDやロゴマークの管理責任者を社内で明確にする

• 会社住所の移転や代表者の変更があった場合は、マイページから登録情報を更新する

• 一つ星から二つ星へ移行する場合は、新規に自己宣言の申込みを行う

• GビズIDのログイン情報は、担当者変更時にも引き継げるよう台帳へ記録する

宣言後の運用定着と、少人数情シスの課題解決

SECURITY ACTIONは、ロゴマークを取得して終わりではなく、日々の業務にセキュリティの習慣を浸透させることが本来の目的です。

基本方針の展開と資産の棚卸し

まずは「パスワードは10文字以上にする」「不審なメールの添付ファイルは開かない」といった具体的なルールを従業員へ周知し、研修などを通じて意識を向上させます。

あわせて、稼働しているPCやOSバージョン、クラウドサービスの権限付与状況など「IT資産・ID管理」の棚卸しを行い、現状を把握することがセキュリティ運用の土台となります。

情シスの負荷増加と外部パートナーの活用

宣言に沿ってIT環境を維持しようとすると、OSのアップデート確認やID管理、社員からの問い合わせ対応など、情シス担当者への作業負荷が急増します。1人、または少人数の体制ですべてを抱え込むと通常業務に支障が出るため、優先順位をつけて対応するとともに、社内のリソースだけで対応が進まない場合は、外部のIT専門家やアウトソーシングサービスに依頼することも選択肢の一つです。

『FGLテクノソリューションズ』では、少人数体制の情シス部門・管理部門を支援する「社内システム運用管理サービス」を提供しています。日々のヘルプデスク業務やIT資産管理、ID管理のアウトソーシングから、企業のセキュリティポリシーに応じたITインフラの構築まで、状況に合わせてサポートいたします。

また、Microsoft 365やAzureを導入し、標準のセキュリティ機能（Microsoft Defenderなど）を活用した安全なクラウド環境の構築も行っています。

まとめ

この記事では、SECURITY ACTIONについて解説しました。

• SECURITY ACTIONとは

• 一つ星と二つ星の違い

• SECURITY ACTIONに取り組む4つのメリット

• SECURITY ACTIONの宣言方法

• 宣言後に進めること

• 自社だけで対応しきれない場合の考え方

SECURITY ACTIONは、中小企業が自ら対策を約束する「自己宣言」の制度です。宣言により、ロゴマークの活用や取引先への説明、補助金申請の要件クリアといったメリットがあります。なお、宣言後は、IT資産管理やルールを日常の運用として定着させることが重要です。

セキュリティ対策の重要性を理解していても、少人数体制では日常業務との両立が困難な場合があります。SECURITY ACTIONをきっかけに自社の現状を見直し、社内での対応が難しい部分については、外部のITアウトソーシングの活用を検討して、安全なIT基盤を構築してください。

『FGLテクノソリューションズ』では、少人数体制の管理部門を支援する社内システム運用管理サービスや、インフラ構築サービスを提供しています。自社のリソースや状況に合わせたセキュリティ体制の構築に向けて、お気軽にご相談ください。