SECURITY ACTION とは：中小企業が最初に取り組む一つ星・二つ星の宣言
SECURITY ACTION は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する IPA の制度です。一つ星は「情報セキュリティ6か条」に取り組むことの宣言、二つ星は自社診断と基本方針の策定・公開を済ませたうえでの宣言で、ロゴは無料で使え、有効期限もありません。
情報セキュリティ対策を何から始めればよいか分からない中小企業にとって、最初の目標にしやすいのが、IPA（独立行政法人 情報処理推進機構）の SECURITY ACTION（セキュリティ対策自己宣言） です。
一つ星と二つ星の違い
| 一つ星 | 二つ星 | |
|---|---|---|
| 宣言の内容 | 「情報セキュリティ6か条」に取り組む | 自社の状況を診断し、基本方針を定めて公開した |
| 宣言の前に必要なこと | 対策を終えている必要はない（これから6か条に取り組むことを宣言する） | 「5分でできる！情報セキュリティ自社診断」の実施、「情報セキュリティ基本方針」の策定と外部への公開 |
| 向いている会社 | これから対策を始める会社 | 基本的な対策を進め、取引先に方針を示したい会社 |
どちらも IPA が審査・認定するものではなく、自己宣言 です。ロゴは無料で使え、宣言に有効期限はありません。
一つ星：情報セキュリティ6か条
一つ星では、次の6つに取り組むことを宣言します。
- OSやソフトウェアは常に最新の状態にしよう！
- ウイルス対策ソフトを導入しよう！
- パスワードを強化しよう！
- 共有設定を見直そう！
- バックアップを取ろう！
- 脅威や攻撃の手口を知ろう！
以前は「情報セキュリティ5か条」でしたが、IPA は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」第4.0版の公開にあわせて「バックアップを取ろう！」を加え、6か条 に改めました。5か条の時期の資料と区別し、最新の資料は IPA のサイトから入手してください。
二つ星：自社診断と基本方針
二つ星は、次の3つを済ませてから申し込みます。
- 「5分でできる！情報セキュリティ自社診断」を行う：25の項目に答えて、自社の弱いところを把握する（何点以上という条件はない）
- 「情報セキュリティ基本方針」を定める：IPA の「中小企業の情報セキュリティ対策ガイドライン」の付録にあるサンプルを参考にできる
- 基本方針を外部に公開する：自社のウェブサイトに載せる、会社案内やパンフレットに載せる、など
申し込みに必要なもの
- GビズID（プライムまたはメンバー）。申し込みは IPA の「SECURITY ACTION 管理システム」から行います
- 宣言は原則として1法人に1つです
申し込みのシステムは2026年4月1日に新しくなりました。旧システムでの宣言やロゴは原則として引き続き使えますが、補助金の申請では扱いが変わっているため、次の項目を確認してください。
補助金との関係
国の「デジタル化・AI導入補助金」（旧称：IT導入補助金）では、SECURITY ACTION の一つ星または二つ星の宣言が 申請の必須要件 になっています。2026年度の第2次公募（2026年5月12日17時以降）からは、旧システムで発行された自己宣言 ID（「4」から始まる11桁）は使えず、新しい管理システムで取得した ID（「5」から始まる11桁）が必要です。補助金の申請に使う場合は、補助金の申請と同じ GビズID プライム で宣言を申し込んでください。
ほかにも、宣言を要件や加点の対象にしている補助金・助成金があります。IPA が一覧を公開しているので、申請の前に最新の公募要領とあわせて確認してください。
宣言したあとにすること
宣言はゴールではなく出発点です。宣言した内容を日々の運用で続けることが大切です。
- 6か条の取り組み（更新・ウイルス対策・パスワード・共有設定・バックアップ・脅威の情報の収集と社内での共有）を、担当と頻度を決めて続ける
- 年に1回などを目安に自社診断をやり直し、弱いところを見直す（IPA も定期的な診断を勧めている）
- 取引先からの要求が高まってきたら、Pマークや ISMS、経済産業省が整備を進めるサプライチェーン向けのセキュリティ対策評価制度を検討する
出典
- SECURITY ACTION セキュリティ対策自己宣言（IPA）
- 一つ星の宣言（IPA）
- 二つ星の宣言（IPA）
- よくあるご質問（IPA）
- 情報セキュリティ6か条（PDF、IPA）
- 補助金の申請について（IPA）
- 申請要件・加点対象となる補助金等の一覧（IPA）
- 自己宣言 ID の登録について（デジタル化・AI導入補助金）
- 「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）
- 中小企業の情報セキュリティ対策ガイドライン（IPA）
よくある質問
SECURITY ACTION を宣言すると「認証を取得した」と言えますか？
言えません。SECURITY ACTION は IPA が認定する制度ではなく、自己宣言の制度です。IPA は「認定を受けました」「取得しました」ではなく「宣言しました」と表記するよう求めています。
一つ星と二つ星は、両方のロゴを並べて使えますか？
同時には使えません。二つ星を宣言したら、二つ星のロゴを使います。
宣言に費用はかかりますか？
ロゴは無料で使えます。申し込みには GビズID（プライムまたはメンバー）が必要です。