IPA「中小企業の情報セキュリティ対策ガイドライン」とは

まず経営者が責任者・予算・方針を決め、全社で基本対策を実施し、事業のリスクに合わせて対策を深めるための手引きです。日本の独立行政法人情報処理推進機構（IPA）が、中小企業・小規模事業者向けに公開しています。重要な情報の漏えい・改ざん・消失と事業停止を防ぎ、事故から復旧できるようにすることが目的です。最新版として本記事が参照したのは第4.0版（2026年3月27日公開） です。対象は業種を問わない事業者の業務ITと情報資産で、工場設備・制御システムはこのガイドラインの対象外です。[1][2]

このガイドラインは、経営者向けの第1部、実務担当者向けの第2部（STEP 1～4）、自社診断・規程・資産管理台帳・クラウド利用・事故対応などの付録で構成されます。小規模でもSTEP 1だけで終了と考えず、自社の取扱情報と取引先の要求を踏まえて到達目標を決めます。[1][2]

本記事はIPAの資料を基にした実務向けの解説です。以下の「実施例」「目安」「記録例」は、ガイドライン本文の文言をそのまま転記した義務や認証要件ではありません。法令・契約・業界固有の要求は別途確認してください。

最初に把握する4つの段階

段階	IPAが示す方向	現場での着手点
STEP 1	すべての企業が行う必要最低限の対策	情報セキュリティ6か条を着実に実施する
STEP 2	自社の弱みを把握し、基本対策を組織的に行う	基本方針を定め、25項目の自社診断を行い、改善事項を決めて周知する
STEP 3	体制と組織的・技術的な防御策を強化する	情報資産、役割、規程、アクセス、更新、監視、委託先、事故対応を運用する
STEP 4	リスク分析に基づく、より広範囲で強固な対策	重要業務と情報のリスクを評価し、技術対策・継続計画・点検を深める

IPAは各社の方針と資源に応じて目指すSTEPを選ぶ構成にしています。ここに示す着手点は本文を実務用に言い換えたものです。[2]

経営者が決めること

経営者は対策を担当者任せにせず、①自ら主導する、②委託先の対策も考慮する、③関係者と常に意思疎通するという3原則を踏まえ、次を指示します。[2]

守るべき情報と事業、許容できない停止や漏えいを特定し、短い基本方針を承認する。
責任者、日常の運用担当、代行者、予算、必要な外部支援を決める。
現状を点検し、優先順位・担当・期限を付けて対策を実行させる。
月次または四半期などの適切な機会に進捗・例外・事故を確認し、方針と対策を見直す。
事故時の指揮系統、連絡先、復旧の意思決定者を決め、演習する。
委託契約やクラウド利用で、実施すべき対策、責任分担、事故連絡、データ返却・削除を確認する。
新しい脅威、取引先の要求、事業・システムの変化を継続的に把握する。

IPAの「重要7項目」を実行しやすい表現に整理したものです。方針、責任者、予算、改善一覧、連絡網は、口頭だけで済ませず記録を残します。[2]

STEP 1：情報セキュリティ6か条を実装する

基本対策	実際に行うこと	放置した場合の例
OS・ソフトを最新に	PC・スマートフォン・サーバー・ルーター・CMSと追加機能の台帳を作る。自動更新を有効にし、重要な修正を優先する。サポート終了品は交換計画を立てる。	既知の欠陥から侵入・改ざんされる
ウイルス対策	業務端末に保護機能を導入・有効化し、定義と製品の更新、警告の確認を行う。	マルウェアによる情報窃取や暗号化に気づけない
パスワード強化	推測しにくい長い固有のパスワードを使い回さず、管理ツールを利用する。メール・クラウド・管理者アカウントには多要素認証を追加する。共有アカウントを減らす。	流出パスワードの再利用やなりすましで侵入される
共有設定の見直し	ファイル共有、クラウド公開リンク、NAS、複合機、Web会議を棚卸しし、必要な人だけに公開する。退職者や不要な外部アカウントを削除する。	社外秘や個人情報を無関係な人に閲覧される
バックアップ	重要データと設定の対象、頻度、保存先、世代、責任者を決める。元の環境と分離したコピーを保管し、実際に復元を試す。	誤削除、故障、ランサムウェアで業務を再開できない
脅威や攻撃の手口を知る	偽メール、偽ログイン画面、請求先口座変更、危険な添付ファイルなどを従業員に伝える。怪しいものを開いた時の報告先を明示する。	一人の操作が全社の侵入・送金被害につながる

6項目の名称はIPA第4.0版に沿います。多要素認証、管理ツール、分離コピーなどは、実務上の実装例です。バックアップは取得した事実だけでは不十分です。復元して必要な業務を再開できるかを確認します。[2]

STEP 2：属人的な対策を会社の運用に変える

基本方針を1ページ程度で作る。 守る情報、適用範囲、責任者、法令・契約の順守、事故報告、継続的改善を記載し、経営者が承認して従業員・必要な関係者に伝えます。IPA付録の基本方針サンプルを自社に合わせて編集できます。[1][2]

「5分でできる！情報セキュリティ自社診断」を実施する。 IPAの25項目で、更新・ウイルス対策・パスワード・共有・バックアップ・メール・Wi-Fi・持出し・社内ルールなどを点検します。未実施だけでなく「分からない」項目も調査対象にします。支店や部署で実態が違えば分けて回答し、結果を集約します。[1][2]

改善を管理する。 各課題に「危険なこと／対策／責任者／期限／完了を示す証拠」を付け、従業員向けハンドブックに日常の手順を記載します。毎月の短い確認会で未完了を追い、システムや取引先が変わったら再診断します。IPAの自社診断、ハンドブック、規程のひな形を使えます。[1]

STEP 3・4：事業のリスクに応じて広げる

次の項目は、ガイドラインの組織的対策、技術的防御策、リスク分析を現場の作業単位に整理した例です。すべてを同時に購入するという意味ではありません。重要業務への影響から優先します。[2]

情報とシステムを把握する

顧客情報、従業員情報、契約、設計資料、決済情報、業務データについて、保管場所・管理者・利用者・委託先・保存期間を台帳化する。SaaS、端末、サーバー、ネットワーク機器も記録する。
「誰が見られるか」「漏えい・改ざん・停止したら何が起こるか」を業務ごとに評価する。台帳にない私用クラウドや共有設定も洗い出す。
重要度に応じてアクセス権を絞り、権限付与・変更・削除の承認と定期見直しを行う。管理者権限は通常作業と分ける。

端末、ネットワーク、クラウドを守る

更新漏れと保護機能の停止を把握できるようにし、不要なソフト・通信・公開ポートを減らす。外部からの管理画面への接続は特に制限する。
端末を暗号化し、画面ロック、適切なWi-Fi暗号化、リモートワーク時の安全な接続を設定する。機器の初期パスワードを変更する。
メールと重要なクラウドサービスで多要素認証を適用し、管理者の操作記録とログイン警告を確認する。共有リンク・外部連携アプリを定期的に点検する。
Webサイト・CMS・プラグインを更新し、管理画面を保護する。決済などの重要な機能は専門家と設計・点検する。
バックアップの保管先への権限を分け、複数の世代を残す。必要なデータと設定を実際に戻し、復旧にかかった時間を記録する。

人と取引先を含めて運用する

入社・異動・退職時にアカウントと権限を更新し、持出し、送信、保管、廃棄のルールを短く明文化する。教育は入社時と定期的に行う。
委託先・SaaSについて、アクセスできる情報、対策、再委託、事故通知、復旧、契約終了時の削除・返却を確認する。サービス側と自社側の責任を区別する。
定期的にリスクを見直す。新しいシステム導入、大口顧客の要求、重大な脆弱性、事故の発生時には臨時に再評価し、経営者に未対応リスクを報告する。

事故が疑われたときの初動

人を守り、拡大を止める。 端末の異常・不審なログイン・誤送信をすぐ担当者へ報告する。被害端末をネットワークから隔離するなど、状況に応じて拡大を防ぐ。証拠を失わないよう、自己判断でログ消去や初期化をしない。
責任者が状況を整理する。 発見時刻、影響する端末・アカウント・情報・業務、実施した操作を記録する。必要に応じて外部の専門家に連絡する。
被害範囲と連絡先を判断する。 顧客・委託元・サービス提供者、法令上の報告先について、適用法域・契約・漏えいした情報に応じて確認する。内容が未確定なら確定した事実と調査中の点を分ける。
安全に復旧する。 原因を確認し、侵入に使われた認証情報や設定を改め、検証済みバックアップから復旧する。復旧後は監視を強め、再発防止と手順の改善を行う。

連絡網、代替業務、バックアップの場所、外部専門家の連絡先を平時から紙または別の安全な場所にも残し、机上演習をします。IPAには事故対応の付録があります。[1][2]

小さな会社の着手例

時期の目安	実施し、残すもの
最初の1週間	経営者が担当者を任命。重要業務・利用サービス・管理者アカウント・保存データを一覧化。6か条の未実施を確認し、重大な公開設定・更新漏れ・バックアップ不備を優先修正する。
30日程度	基本方針を承認し、IPAの25項目診断を実施。多要素認証とアクセス権を見直し、重要データの復元を試す。担当・期限のある改善一覧を作る。
90日程度	委託先と契約・事故連絡経路を整理し、従業員に教育を実施。事故の机上演習と復旧テストを行い、経営者へ結果と残るリスクを報告する。
継続	更新・警告・バックアップを定常監視し、権限と公開設定を定期的に見直す。診断と方針を事業の変化に合わせて再評価する。

この日数は本記事の運用例であり、IPAが定める達成期限ではありません。特に重要なリスクが見つかったら予定日を待たず対処してください。

完了を確認するための記録

経営者承認の基本方針、責任者・代行者・連絡網
情報資産・端末・クラウド・委託先の台帳
自社診断の回答と、担当・期限・証拠付きの改善一覧
更新状況、保護機能、重要アカウントの多要素認証、権限レビューの記録
バックアップの成功状況、復元テスト、許容停止時間を踏まえた復旧手順
教育記録、事故対応演習の結果、経営者への報告と改善決定

制度との関係： IPAの「SECURITY ACTION」一つ星はSTEP 1の6か条に取り組む自己宣言、二つ星はSTEP 2の組織的取組を行う自己宣言です。第三者が安全性を保証する認証とは扱わないでください。SCS評価制度について第4.0版は基本的な考え方を取り入れていますが、このガイドラインの実施だけで特定の評価・認証を取得できるという意味ではありません。[2][3]

IPAの原資料とひな形

原資料の付録には、人材確保・育成ガイド、基本方針サンプル、25項目の自社診断、従業員向けハンドブック、規程サンプル、資産管理台帳、クラウド安全利用の手引き、事故対応の手引きがあります。まず自社診断と基本方針のひな形から使うと着手しやすくなります。[1]

確認日：2026年9月25日。IPA資料の要約・翻案であり、IPAの公式翻訳または認定資料ではありません。