情シス兼任総務の情報セキュリティ最低限チェック：IPAガイドライン第4.0版とSECURITY ACTION
情シス専任者がいない会社の総務担当者向けに、まず押さえるべき情報セキュリティ対策をまとめました。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版で示された「情報セキュリティ6か条」、自社診断、SECURITY ACTIONの自己宣言の進め方を解説します。
- 対象読者
- 専任の情報システム担当がいない従業員30〜300名の企業で、ITも兼任する総務担当者
- 難易度
- 基本
- 所要時間
- 読了9分
- 最終確認日
この記事のポイント
- IPAのガイドラインは2026年3月に第4.0版となり、「5か条」に「バックアップを取ろう！」が加わって「6か条」になった
- まずは6か条を全社で徹底し、「5分でできる！情報セキュリティ自社診断」で弱点を把握する
- SECURITY ACTIONの一つ星は6か条への取組み宣言、二つ星は自社診断と基本方針の策定・公開が要件
「パソコンに詳しいから」という理由で、総務担当者が社内のIT全般を任されている会社は少なくありません。とはいえ、セキュリティは何から手をつければよいかわかりにくい分野です。
この記事では、IPA（独立行政法人 情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」をもとに、兼任担当者が最低限やるべきことを順番に整理します。
IPAのガイドラインとは
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、中小企業が情報セキュリティ対策に取り組むための手引きです。個人事業主や小規模事業者も対象にしています。
- 経営者編：経営者が認識すべきことと、指示すべきこと
- 実践編：社内で対策を進める手順や手法
2026年3月に第4.0版が公開されました。主な改訂点は次のとおりです。
| 改訂点 | 内容 |
|---|---|
| 6か条への拡充 | 従来の「情報セキュリティ5か条」に「バックアップを取ろう！」が加わった |
| 自社診断の項目追加 | 不要な通信の遮断や、Webサイトの安全な運用に関する項目が加わった |
| 人材の確保・育成 | 中小企業のセキュリティ人材に関するガイドブックが付録に加わった |
付録には、情報セキュリティ基本方針のサンプル、関連規程のサンプル、資産管理台帳のサンプル、クラウドサービス安全利用の手引き、インシデント対応の手引きなどがあり、無料でダウンロードできます。ひな形から作るほうが早いので、まず付録を確認しましょう。
最初にやる「情報セキュリティ6か条」
6か条は、規模にかかわらず最初に取り組む基本の対策です。
| No. | 対策 | 総務が具体的にやること |
|---|---|---|
| 1 | OSやソフトウェアは常に最新の状態にしよう | Windows Update・macOSのアップデートを自動にする。サポートが終わったOSやソフトを使わない |
| 2 | ウイルス対策ソフトを導入しよう | 全台に導入し、定義ファイルを自動更新にする |
| 3 | パスワードを強化しよう | 使い回しを禁止し、長く推測されにくいものにする。多要素認証を使えるサービスは有効にする |
| 4 | 共有設定を見直そう | クラウドストレージやNASの「リンクを知っている全員」設定や、退職者のアクセス権を点検する |
| 5 | バックアップを取ろう | 重要データを定期的にバックアップし、復元できるかも確認する |
| 6 | 脅威や攻撃の手口を知ろう | 標的型メールや偽の請求書メールなどの手口を、社内で定期的に共有する |
バックアップの考え方
第4.0版で追加されたバックアップでは、次の点が示されています。
- バックアップ用の装置・媒体は、バックアップを取るときだけパソコンにつなぐ（ランサムウェアで一緒に暗号化されるのを防ぐ）
- 保管場所の安全を確保する
- 定期的に、実際に復元できるかを確かめる
解説資料では、データのコピーを3つ以上持ち、2種類の媒体に保存し、そのうち1つは別の場所に置く「3-2-1ルール」も紹介されています。
自社診断で弱点を把握する
6か条の次は、付録の「5分でできる！情報セキュリティ自社診断」で現状を確認します。25の質問に答えると、自社の対策状況と弱点がわかる仕組みです。
進め方のコツは次のとおりです。
- 総務担当者が一人で回答せず、経営者や各部署の責任者にも答えてもらう
- 「いいえ」「わからない」と答えた項目を、対策リストにする
- 半年〜1年ごとに再診断し、点数の変化を経営会議で報告する
SECURITY ACTION（自己宣言）
SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。宣言すると、ロゴマークをWebサイトや名刺などに表示できます。
| 段階 | 要件 |
|---|---|
| 一つ星 | 「情報セキュリティ6か条」に取り組むことを宣言する。対策の実施前でも申し込める |
| 二つ星 | 「5分でできる！情報セキュリティ自社診断」で現状を把握したうえで、「情報セキュリティ基本方針」を策定・外部に公開し、取り組むことを宣言する |
二つ星の基本方針は、ガイドライン付録のサンプルを参考に作れます。公開方法は、自社Webサイトへの掲載、会社案内への掲載などから選びます。
なお、2026年4月から申込みは新しい「SECURITY ACTION管理システム」で受け付けています。申込方法の詳細はIPAのサイトで確認してください。
補助金の申請要件として、SECURITY ACTIONの宣言を求められることがあります。要件は補助金ごとに異なるので、公募要領で確認してください。
兼任担当者が決めておくべき運用ルール
入退社とアカウント
- 入社時：アカウント発行、パソコン貸与、誓約書の取得（PC貸与誓約書のテンプレートがあります）
- 退職時：最終日にアカウント停止、機器の回収、共有フォルダの権限削除
機器の管理方法は「備品・IT機器の管理台帳のつくり方」で解説しています。
事故が起きたときの連絡先
- 社内の連絡先（総務担当者、責任者、経営者）
- 外部の連絡先（保守ベンダー、契約しているセキュリティサービス）
- 個人情報が漏えいした場合は、個人情報保護委員会への報告が必要になることがあります
生成AI・クラウドの利用ルール
無料のクラウドサービスや生成AIに、社内の機密情報や個人情報を入力するルールも決めておきましょう。「生成AIの社内利用ガイドラインのつくり方」も参考にしてください。
1年間の進め方の例
兼任担当者が無理なく続けられるよう、年間の予定に落とし込んでおくと抜けがなくなります。
| 時期 | やること |
|---|---|
| 最初の1か月 | 6か条の実施状況を確認し、OS更新・ウイルス対策・パスワードの抜けを解消 |
| 2〜3か月目 | 自社診断を実施し、弱点リストを経営者と共有。SECURITY ACTIONの一つ星を宣言 |
| 4〜6か月目 | 付録のサンプルをもとに基本方針と関連規程を作り、二つ星を宣言 |
| 毎月 | 退職者アカウントの棚卸し、バックアップの確認 |
| 半年ごと | 共有設定の点検、攻撃の手口の社内共有（朝礼・チャット） |
| 毎年 | 自社診断の再実施、資産管理台帳の更新、経営者への報告 |
経営者に伝えること
セキュリティ対策には、ソフトウェアの費用やバックアップ機器の購入など、予算が必要です。ガイドラインの経営者編は、経営者が認識すべきことをまとめた資料なので、経営者に読んでもらうか、要点を共有して予算と権限を確保しましょう。「事故が起きたときに事業が止まる」「取引先から対策状況を聞かれる」といった具体的な影響を示すと、理解を得やすくなります。
まとめ
- IPAガイドラインは第4.0版で「6か条」になった。まずは6か条を全社で徹底する
- 自社診断で弱点を洗い出し、定期的に再診断して経営者に報告する
- SECURITY ACTIONの一つ星から始め、基本方針を作って二つ星を目指す
完璧を目指すより、「更新・ウイルス対策・パスワード・共有設定・バックアップ・手口の共有」を確実に続けることが、兼任担当者にとって一番の近道です。