SECURITY ACTIONとは？一つ星・二つ星の宣言方法

補助金の申請や取引先とのやり取りで、「SECURITY ACTIONを宣言していますか」と聞かれることがあります。初めて名前を見て、何かの審査を受けなければならないのかと戸惑った方もいるのではないでしょうか。

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。IPA（情報処理推進機構）が運営しています。

申込にはGビズIDが必要ですが、専門的な試験を受ける制度ではありません。一つ星と二つ星の違い、申込の流れ、情報セキュリティ基本方針をホームページに掲載するときの確認事項を順に見ていきます。

SECURITY ACTIONとは、何を宣言する制度？

SECURITY ACTIONは、会社が情報セキュリティ対策に取り組むことを自ら表明する「自己宣言」の制度です。

IPAが会社の安全性を審査し、認定や認証をするものではありません。そのため、宣言後のホームページや会社案内には「認定を受けました」「取得しました」ではなく、「SECURITY ACTIONの一つ星を宣言しました」または「二つ星を宣言しました」と書きます。

補助金の申請でSECURITY ACTIONを求められることもあります。IPAのサイトには、デジタル化・AI補助金の案内へのバナーもありますが、必要な宣言や条件は補助金ごとに公式の案内で確かめてください。

取引先から名前を聞いた場合も、何の手続きが必要なのかを確認してから進めると落ち着いて対応できます。

一つ星と二つ星はどう違う？

一つ星は、「情報セキュリティ6か条」に取り組むことを宣言するものです。まだすべての対策ができていない段階でも申し込めます。

情報セキュリティ6か条は、次の内容です。

OSやソフトウェアは常に最新の状態にしよう
ウイルス対策ソフトを導入しよう
パスワードを強化しよう
共有設定を見直そう
バックアップを取ろう
脅威や攻撃の手口を知ろう

会社のパソコンだけを考えればよいわけではありません。「OSやソフトウェア」には、会社のホームページを動かしているWordPressなども含めて考えるとよいでしょう。

パソコンの更新はできていても、ホームページが何年も前の状態で止まっていることがあります。誰が更新を担当しているのか分からない場合は、宣言をきっかけに現在の管理状況を確かめてみてください。

二つ星では、「5分でできる！情報セキュリティ自社診断」を使って自社の状況を確かめます。そのうえで「情報セキュリティ基本方針」を定め、社外から確認できる形で公開します。

基本方針を一から考えるのがむずかしい場合は、IPAのガイドラインに付いているWordのサンプルを参考にできます。自社診断と基本方針の公開が必要なところが、一つ星との主な違いです。

一つ星と二つ星を同時に申し込むことはできません。二つのロゴを同時に使うこともできないため、補助金や取引先から指定がある場合は、どちらの宣言を求められているのかを先に確かめておくと安心です。

SECURITY ACTIONの宣言方法は？

SECURITY ACTIONの申込方法は、2026年4月1日から変わりました。現在は、GビズIDのプライムまたはメンバーのアカウントが必要です。

申込は新しい「SECURITY ACTION管理システム」で行います。大まかな流れは次のとおりです。

一つ星か二つ星か、取り組む目標を決める
GビズIDを用意する
申込フォームに事業者情報や取り組み内容を入力する
個人情報の取扱いとロゴマーク使用規約に同意して申し込む
自己宣言IDとロゴマークの使い方が書かれた完了メールを確認する
必要に応じてマイページからロゴマークをダウンロードする

一つ星の場合は、情報セキュリティ6か条の内容を確認してから申し込みます。対策前でも申し込めますが、申込後は宣言した内容に沿って取り組んでいくことになります。

二つ星の場合は、申込前に自社診断と基本方針の作成・公開が必要です。基本方針をホームページに載せるのであれば、公開作業まで済ませてから申込フォームへ進みます。

二つ星の基本方針は、どこに公開すればいい？

二つ星の申込では、情報セキュリティ基本方針の公開方法を選びます。選択肢は「自社ウェブサイトへの掲載」「会社案内やパンフレットへの掲載」「その他の方法」です。

ホームページに載せる場合は、会社概要の近くなど、訪れた人が見つけやすい場所にページへのリンクを置くと確認しやすくなります。基本方針の文章を用意しただけで終わらず、実際にページが表示されるか、リンク切れがないかも確かめてみてください。

以前の制作会社との契約が終わっていると、ホームページの更新方法やログイン情報が分からないこともあります。その場合は、基本方針をどこに載せるかを決める前に、現在もホームページを更新できる状態かを確認する必要があります。

宣言後にロゴマークを使う場合は、IPAから案内される使用方法と規約に沿って掲載します。ロゴがあるからといってIPAの認定や認証を受けたことにはならないため、説明文も「一つ星を宣言しました」「二つ星を宣言しました」と表記します。

また、SECURITY ACTIONとSCS評価制度は別の制度です。取引先から指定された名前がSCS評価制度だった場合は、取引先から「SCS評価制度」と言われたらもあわせてご覧ください。

どこに相談すればいいか分からないときは

SECURITY ACTIONの制度や申込については、IPAの公式案内を確認してください。当社はIPAの関係者ではなく、宣言の申込を代行する立場でもありません。

ただ、二つ星の基本方針をホームページに載せる作業や、ホームページが現在も更新できる状態かの確認ならお手伝いできます。どこに相談すればいいか分からない、以前の制作会社との契約がもう終わっているという場合は、確認だけでもお気軽にご相談ください。

まとめ

SECURITY ACTIONは、中小企業が情報セキュリティ対策への取り組みを自己宣言する制度です。一つ星は情報セキュリティ6か条への取り組み、二つ星は自社診断と情報セキュリティ基本方針の公開が必要になります。

認定や認証ではないため、宣言後は「一つ星を宣言しました」「二つ星を宣言しました」と表記します。一つ星と二つ星は同時に申し込めないので、補助金や取引先から求められた場合は、必要なほうを確かめてください。

まずは自社が宣言する星を決め、GビズIDを用意してみてください。二つ星を選ぶ場合は、自社診断と基本方針の公開まで済ませてから申込へ進むとスムーズです。