minervaIPA（情報処理推進機構）は、中小企業向けのセキュリティの手引きを無料で公開しています。2026年3月には第4.0版が出ました。ただ、本編だけで70ページあり、どこから手を付けるか迷いがちです。手引きの中身と、小さな会社が無理なく読み進める順番を整理します。
01どんな手引きか
IPA（情報処理推進機構）は、経済産業省のもとで情報セキュリティの啓発などを行う公的な機関です。そのIPAが出しているのが「中小企業の情報セキュリティ対策ガイドライン」です。個人事業主や小さな事業者も含めた中小企業に向けて書かれており、誰でも無料でダウンロードできます。
2026年3月に公開された第4.0版は、本編が全70ページで、経営者に向けた部分と、社内で対策を進める人に向けた部分に分かれています。このほかに、方針の書き方の見本や、社内ルールのひな形、点検表など、8つの付録が付いています。すべてを最初から読む必要はありません。まずは短い資料から入り、必要に応じて本編に戻る読み方で十分です。
02最初の1枚は「情報セキュリティ6か条」
最初に読みたいのは、1枚にまとまった「情報セキュリティ6か条」です。以前は5か条でしたが、第4.0版で「バックアップを取ろう」が加わり、6か条になりました。セキュリティ対策の、いちばん土台になる部分です。
中身は次の6つです。1つ目は、パソコンのOSやソフトを最新の状態にし、メーカーのサポートが切れた製品を使わないこと。2つ目は、ウイルス対策ソフトを入れ、常に最新にしておくこと。3つ目は、パスワードを長く複雑にして使い回さず、大切な仕組みには確認を2段階にする方法などを使うこと。4つ目は、ネット上のサービスや複合機、共有の保存場所などで、誰に見せるかの範囲を絞り、異動や退職のときに設定を変えること。5つ目は、大切な情報を定期的にバックアップし、元に戻せるかを確かめておくこと。6つ目は、公的機関の情報で最近の手口を知り、社員に伝え、気になることはすぐに報告してもらうことです。どれも特別な機器がなくても始められる内容です。
03次に、25問の自社診断で今の状態を知る
6か条を読んだら、付録3の「5分でできる！情報セキュリティ自社診断」に進みます。全25問で、基本的な対策、社員一人ひとりの対策、会社としての対策の3つに分かれています。それぞれの問いに「実施している」「一部実施している」「実施していない」「わからない」で答え、4点、2点、0点、マイナス1点として合計します。100点が目標です。
点数そのものより大切なのは、「わからない」と答えた問いです。そこは、社内で誰も把握していない場所だということが分かります。担当者が1人で答えるより、経営者と、パソコンに詳しい社員と、総務の担当者の何人かで一緒に答えると、認識の違いも見えてきます。診断のあとのページには、問いごとに対策の例が載っているので、点の低いところから読めば足ります。2026年4月には、入力すると集計できるExcel版も公開されています。
04本編と付録は、必要になったところだけ
自社診断で弱いところが見えたら、そこに関係する本編や付録を開きます。たとえば、社員に守ってほしいことを配りたいときは、付録4の「情報セキュリティハンドブック（ひな形）」が使えます。社内の決まりを文書にしたいときは、付録5の規程のサンプルがあります。どのパソコンや機器に何の情報が入っているかを整理したいときは、付録6の資産管理台帳のサンプルが役に立ちます。
クラウドのサービスをよく使う会社には付録7、ウイルス感染などが起きたときの動き方を決めておきたい会社には付録8の手引きがあります。いずれも8ページほどの短い資料です。規程のサンプルは59ページと長いので、そのまま全部を取り入れるより、自社に関係のある部分を選んで使うほうが現実的です。
05取り組みを外に示す「SECURITY ACTION」
この手引きに沿って取り組んだことを、自分で宣言する仕組みが「SECURITY ACTION」です。6か条に取り組むことを宣言するのが一つ星、自社診断で状況を確かめたうえで、会社の情報セキュリティの基本方針を決めて外部に公開するのが二つ星です。申し込みはインターネットで行い、2026年4月からは、国の共通の手続き用アカウントである「GビズID」が必要になりました。
IPAが審査して認める制度ではないため、「認定を受けた」ではなく「宣言した」と表すよう案内されています。つまり、宣言したから安全だと証明されるわけではありません。それでも、取引先に自社の取り組みを説明するときの手がかりになります。手引きをすべて読み込もうとすると手が止まりがちです。6か条を読む、25問に答える、低かったところだけ本編を開く。この順番で、少しずつ進めてみてください。
記事一覧へ戻る
