中小企業の情報セキュリティ対策ガイドラインとは？ちゅうしょうきぎょうのじょうほうせきゅりてぃたいさくがいどらいん
中小企業の情報セキュリティ対策ガイドラインとは、IPAが、専任のセキュリティ担当者を置きにくい中小企業向けに、経営者が認識すべき3原則と実行すべき重要7項目、それを実務に落とす手順（5分でできる自社診断、情報セキュリティ基本方針の策定、対策の実施）をまとめたガイドライン。自己宣言制度「SECURITY ACTION」の土台で、一つ星は「情報セキュリティ5か条」への取組み、二つ星は自社診断と基本方針の公開を宣言する。委託先に求める対策の水準を示す物差しにもなる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
大企業向けの規格やフレームワークは、担当者も予算もない中小企業では読むことすら難しく、「何から手を付ければよいか」で止まっていた。一方で取引先の中小企業がサプライチェーン攻撃の入口になる事例が増え、大企業側にも委託先に求める水準を示す必要が出た。そこでIPAが段階を分けて取り組める指針と、取組みを対外的に示す自己宣言の仕組みを用意した。支援士では基準・指針の一つとして、経営ガイドラインとの違いが問われる。
具体例
IT導入補助金の申請要件にSECURITY ACTIONの宣言が組み込まれており、従業員数十名の会社がまず一つ星として「情報セキュリティ5か条」（OSやソフトの更新、ウイルス対策ソフトの導入、パスワードの強化、共有設定の見直し、脅威や攻撃の手口を知る）に取り組み、次に自社診断25項目と基本方針の公開で二つ星を宣言する。
試験での引っ掛け
策定したのはIPAで、経済産業省のサイバーセキュリティ経営ガイドラインとは別物。あちらは大企業・中堅企業の経営者向けに3原則と重要10項目を示すもの、こちらは中小企業が実務で取り組む手順を示すもの。ガイドラインであって法令ではないため遵守義務や罰則はなく、SECURITY ACTIONも自己宣言であって第三者認証ではない。
関連用語
出た過去問
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7（IPA）
安全・安心なIT社会を実現するために創設された制度であり、IPA“中小企業の情報セキュリティ対策ガイドライン”に沿った情報セキュリティ対策に取り組むことを中小企…
正解：SECURITY ACTION
要点：SECURITY ACTIONは中小企業の対策取組を自己宣言する制度
SECURITY ACTIONは、IPAが中小企業向けに設けた自己宣言の制度である。ガイドラインの付録である五つのポイントに取り組むと一つ星、基本方針の策定と自社診断を経て情報セキュリティ基本方針を公開すると二つ星を宣言でき、専用のロゴマークを使用できる。第三者による審査や認証ではなく、あくまで自ら宣言する仕組みである点が特徴である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (8) 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。