中小企業のセキュリティ対策は何から？IPA第4.0版の6か条と進め方

中小企業のセキュリティ対策を何から始めるかの答えは、IPA（情報処理推進機構）の中小企業の情報セキュリティ対策ガイドラインにある情報セキュリティ6か条です。2026年3月27日に公開された第4.0版で、これまでの情報セキュリティ5か条に「バックアップを取ろう！」が加わり、6か条になりました。

結論から言うと、最初の1か月でやることは2つです。6か条が社内でできているかを確かめることと、対策を進める担当者を決めることです。そのうえで、5分でできる！情報セキュリティ自社診断で弱いところを把握し、情報セキュリティ基本方針を定める、という順で進めます。

以下は、2026年10月30日時点のIPA・警察庁の公開資料と、システム開発・保守を受託する立場からのHVLの見解に基づく内容です。情報システムの専任担当者がいない会社の経営者・総務担当者が、社内の作業に置き換えられる形で整理します。

なぜ今、中小企業の対策が問われているのか

中小企業の対策が問われる理由は、ランサムウェアの被害が中小企業に及んでいることと、委託先まで含めた対策が論点になっていることです。公開資料からは、次の3つの動きが読み取れます。

• ランサムウェアの被害：警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月公表）によると、令和８年上半期の被害報告件数は123件です。統計を取り始めた令和２年下半期以降、半期の件数として最多で、被害企業を組織の規模別に見ると中小企業が約６割を占めています。ランサムウェアは、データを暗号化するなどして金銭を要求する不正プログラムです。
• 10大脅威の顔ぶれ：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）の組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスク（初選出）です。
• SCS評価制度の整備：2026年10月28日時点のIPAの公開情報では、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3・★4が、2027年3月の受付開始に向けて整備中です。

HVLの見解：何をしているかを説明できる状態にする

HVLは、自社が直接狙われる場合だけでなく、取引先から対策の状況を聞かれる場面が増えていると考えています。何をしているかを説明できる状態にしておくことが、取引の面でも必要になってきているという見方です。

HVLの考える「説明できる状態」とは、次の問いに社内の誰かがすぐ答えられることです。

• 対策を進める担当者は誰か。
• 情報セキュリティ6か条のどこまでを確かめたか。
• 外部に任せているシステムの更新とバックアップは、誰の担当か。

第4.0版で何が変わったか

第4.0版の変更点は、バックアップの追加、SCS評価制度の考え方の反映、人材の確保・育成に関する付録の追加です。

中小企業の情報セキュリティ対策ガイドラインとは、情報セキュリティ対策に取り組む際に経営者が認識し実施すべき指針と、社内で対策を実践する際の手順や手法をまとめたIPAの資料です。経営者編と実践編からなり、個人事業主、小規模事業者を含む中小企業の利用を想定しています。

改訂の主なポイント

IPAのガイドラインのページ（最終更新2026年9月30日）が挙げる改訂の主なポイントは、次の3つです。

1. 「バックアップを取ろう!」を追加し、情報セキュリティ6か条にしました。あわせて自社診断の診断項目に「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」等を追加しています。
2. SCS評価制度の基本的な考え方に沿った内容にしました。
3. 「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」を付録1として追加しました。

本編は全70ページです。HVLは、本編を最初から通読するより、6か条と自社診断から手を付け、必要になった付録を開く使い方が進めやすいと考えています。

付録をどの場面で使うか

付録はサンプルや手引きが中心で、自社の文書を一から作らずに済む点が実務上の利点です。下の表の「使う場面」はHVLの整理で、ガイドラインの規定ではありません。

2026年9月30日時点のガイドラインのページには、情報セキュリティ6か条（解説編）、5分でできる！情報セキュリティ自社診断（解説編）、自社診断のExcel版も掲載されています。

経営者が押さえる3原則と重要7項目

経営者の役割は、対策を現場任せにせず、方針・予算・担当者を決めて実行を指示することです。ガイドライン第4.0版の経営者編は、この役割を3原則と重要7項目で示しています。

経営者編が掲げる3つの原則

• 原則1：情報セキュリティ対策は経営者のリーダーシップで進める
• 原則2：委託先の情報セキュリティ対策まで考慮する
• 原則3：関係者とは常に情報セキュリティに関するコミュニケーションをとる

責任者・担当者に実行を指示する重要7項目

1. 情報セキュリティに関する組織全体の対応方針を定める
2. 情報セキュリティ対策のための予算や人材などを確保する
3. 必要と考えられる対策を検討させて実行を指示する
4. 情報セキュリティ対策に関する適宜の見直しを指示する
5. 緊急時の対応や復旧のための体制を整備する
6. 委託や外部サービス利用の際にはセキュリティに関する責任を明確にする
7. 情報セキュリティに関する最新動向を収集する

取組6について、ガイドラインは次のことを求めています。業務の一部を外部に委託する場合は、委託先でも少なくとも自社と同等の対策が行われるようにします。あわせて、契約書に情報セキュリティに関する委託先の責任や実施すべき対策を明記し、合意する必要があります。

HVLは、外部に開発や保守を任せている会社ほど、この取組6を早めに確かめる必要があると考えています。受託する側から見ても、範囲が決まっていない作業は誰の手にも渡らないまま残りやすいためです。

情報セキュリティ6か条を自社の作業に置き換える

6か条は、ガイドラインで「企業の規模に関わらず、必ず実行すべき重要な対策」とされています。次の表は、担当者のいない会社でも回せるように、HVLが6か条を作業へ置き換えた例です。

「担当の目安」と「頻度の目安」はHVLの目安であり、ガイドラインの規定ではありません。

多要素認証は、パスワードに加えて別の要素でも本人を確かめる仕組みです。

バックアップは取得・保管・復旧の3段階で整える

第4.0版で加わったバックアップについて、ガイドラインのコラムは3段階で整理しています。

• 取得する：対象を選定する。取得方法や取得日時、間隔を検討する。
• 保管する：保管場所を検討する。世代管理を行う。保管期間を決める。
• 復旧する：復旧計画を立てる。正しく復旧できることを確認する。

HVLは、この3段階のうち、正しく復旧できることの確認が特に抜けやすいと考えています。取得が続いていても、戻せるかどうかは試すまで分からないためです。

従業員への周知は脅威の共有から始める

従業員への周知は、6か条の最後にある「脅威や攻撃の手口を知ろう！」を入口にできます。情報セキュリティ10大脅威 2026の組織編には、ビジネスメール詐欺や機密情報を狙った標的型攻撃も挙がっています。HVLは、こうした手口を社内で知らせる場面に、付録4の情報セキュリティハンドブック（ひな形）を土台として使えると考えています。

次の段階：自社診断と基本方針、そしてSECURITY ACTION

6か条の次は、自社診断で弱いところを把握し、基本方針を定め、SECURITY ACTIONの宣言を検討する段階です。

進め方の手順：実践編のSTEP1〜4

ガイドライン第4.0版の実践編は、4つのSTEPで構成されています。

HVLは、専任の担当者がいない会社では、まずSTEP2までを到達点に置くと進めやすいと考えています。

自社診断の答え方と採点

自社診断は、25項目の設問に答える形式です。採点と集計の方法は次のとおりです。

• 「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」マイナス1点で採点します。
• 合計点と「わからない」項目を把握します。
• 事業所や部署が複数ある場合は、部署ごとに記入して集計する方法が示されています。

HVLは、「わからない」と答えた項目から確かめることを勧めています。第4.0版で追加された「ウェブサイトを安全に運用する」のような項目は、外部に任せていると社内だけでは答えられないことがあります。その場合は、委託先に状況を聞くことがそのまま対策の第一歩になります。

SECURITY ACTIONの一つ星と二つ星の選び方

SECURITY ACTIONとは、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。IPAがお墨付きを与える制度ではなく、自己宣言の制度です。取り組み目標に応じて、次の2つがあります。

• ★一つ星：情報セキュリティ6か条に取り組むことを宣言します。
• ★★二つ星：付録3の自社診断で状況を把握したうえで、付録2を参考に情報セキュリティ基本方針を定め、外部に公開します。

どちらを宣言するかは、IPAの案内に沿って次の基準で判断できます。

• 申請予定の補助金の要件になっている場合は、その要件に合わせます。
• すでに6か条と同等の取り組みができている場合は、二つ星から始めます。
• どちらにも当てはまらない場合や迷う場合は、まず一つ星から始めます。

ロゴマークは無料で使え、補助金など公的支援制度の要件になっている場合があります。対外的に書くときは、IPAが適切な例として示す「一つ星（二つ星）を宣言しました」という表現を使います。なお、SECURITY ACTIONの一つ星・二つ星と、次に説明するSCS評価制度の★3・★4は別の制度です。

さらに上の段階：SCS評価制度★3

SCS評価制度の★3は、6か条と自社診断・基本方針を終えた先で検討する段階だとHVLは考えています。

SCS評価制度とは、経済産業省と内閣官房国家サイバー統括室の監督のもとでIPAが運営する、サプライチェーン強化に向けたセキュリティ対策の評価制度です。ガイドライン第4.0版は、この制度の基本的な考え方に沿った内容になっています。

上位の段階はそれ以下の段階で求められる事項を包括するため、★3を事前に取得していなければ★4を取得できないという関係にはなりません。★3と★4の違いや準備の手順は、SCS評価制度の★3・★4の違いと中小企業の準備手順で詳しく説明しています。

★3を目指すかの判断基準

HVLは、★3を目指すかどうかを次の基準で判断すればよいと考えています。

• 取引先から★を求められていない：まずSTEP1・STEP2を終えることが先です。
• 取引先から★を求められた：どの★を、いつまでに求められているのかを確かめたうえで検討します。

★3を目指すかどうかは、取引先の要請が見えてから判断しても、STEP2までの準備は無駄になりません。

担当者がいない会社の役割分担

情報システムの専任担当者がいない会社でも、役割を分ければ対策は回せるとHVLは考えています。HVLが回りやすいと考える分担は次のとおりです。

• 経営者：方針を決め、予算と担当者を決める。月1回、進み具合の報告を受ける。
• 総務（兼任の担当者）：端末とアカウントの台帳を持ち、6か条の確認を回す。
• 各部門：共有設定と部門のデータの扱いを確認する。
• 外部の開発会社・保守会社：任せている業務システム・Webサイト・サーバーの更新、バックアップ、障害時の連絡を担う。契約でどこまでが範囲かを決めておく。

つまずきやすい点と対処

HVLがシステム開発・保守を受託する立場から見て、つまずきやすいと考えている点と対処は次のとおりです。

仕様書や構成の資料がない場合の進め方は、仕様書がないAIシステムの保守・引き継ぎと解析の進め方で扱っています。

委託先に確かめておくこと

HVLは、外部に任せているシステムがある会社は、次の項目を委託先に確かめておくことが大切だと考えています。

• 更新：どのシステムのどの部分を、誰が更新するか。
• バックアップ：何をどこに取り、誰が復元を確かめるか。
• 障害時の連絡：何が起きたら、誰が誰に連絡するか。
• アカウント：委託先のアカウントを誰が管理し、委託の終了時に誰が止めるか。
• 資料：仕様書や構成の資料がどこにあり、自社でも見られるか。

困ったときの相談先

ガイドラインは、国の支援策としてサイバーセキュリティお助け隊サービスとデジタル化・AI導入補助金を紹介しています。被害が疑われるときは、警察（サイバー犯罪相談窓口）や、IPAの情報セキュリティ安心相談窓口に相談できます。

生成AIの利用ルールも忘れない

業務で生成AIを使っている会社は、6か条とあわせて、入力してよい情報の範囲を決めておく必要があります。

情報セキュリティ10大脅威 2026の組織編で、「AIの利用をめぐるサイバーリスク」が3位に初めて選ばれました。AIに関する攻撃と防御の全体像は、AIとサイバーセキュリティの攻撃・防御・社内AIの守り方で整理しています。

HVLは、最初のルールとして、取引先から預かった情報や個人情報を入力してよいかを決めるところから始めることを勧めています。入力・出力・運用のリスクと社内ルールの作り方は、生成AIの情報漏洩対策と社内ルールの進め方で扱っています。

最初の1か月のチェックリスト

最初の1か月は、次の項目を順に確かめれば、STEP1からSTEP2の入口まで進められます。項目はHVLの整理です。

• 対策を進める担当者を決めた
• 端末（パソコン・スマートフォン）とアカウントの一覧を作った
• OSやソフトウェアの更新状況を確認した
• ウイルス対策ソフトの導入と定義ファイルの更新を確認した
• 多要素認証が使えるサービスで有効にした
• 共有フォルダとクラウドストレージの公開範囲を確認した
• バックアップの対象と保管場所を決め、復元を試した
• 外部に任せているシステムの更新とバックアップの担当を確認した
• 自社診断の25項目に答えた

よくある質問

中小企業のセキュリティ対策は何から始めればよいですか？

IPAのガイドライン第4.0版の情報セキュリティ6か条から始め、担当者を決めます。次に、自社診断の25項目で弱いところを把握します。

情報セキュリティ5か条と6か条の違いは何ですか？

2026年3月27日公開の第4.0版で、情報セキュリティ5か条に「バックアップを取ろう！」が加わり、6か条になりました。

SECURITY ACTIONの一つ星と二つ星の違いは何ですか？

一つ星は、情報セキュリティ6か条に取り組む宣言です。二つ星は、自社診断で状況を把握し、情報セキュリティ基本方針を定めて外部に公開したうえでの宣言です。

専任の担当者がいなくても対策できますか？

経営者・総務・各部門・外部の保守会社で役割を分ければ、STEP1・STEP2は進められるとHVLは考えています。

SCS評価制度の★3はすぐに取るべきですか？

2026年10月28日時点のIPAの公開情報では、★3・★4は2027年3月の受付開始に向けて整備中です。HVLは、まず6か条と自社診断・基本方針を終えることが先だと考えています。

まとめ

中小企業のセキュリティ対策は、IPAガイドライン第4.0版の情報セキュリティ6か条から始め、自社診断と基本方針でSTEP2まで進めるのが基本の順序です。外部に任せているシステムがある場合は、更新とバックアップを誰が担当するかを契約で確かめておくことが大切だと、HVLは開発・保守の現場の立場から考えています。

自社の業務システムやWebサイトの開発・保守の体制、委託先との役割分担を見直したい場合は、HVLのシステム開発・保守（システムインテグレーション）にご相談ください。開発・保守の進め方をまとめた資料の請求や、お問い合わせも受け付けています。