中小企業の情報セキュリティ対策ガイドラインとは？ちゅうしょうきぎょうのじょうほうせきゅりてぃたいさくがいどらいん
中小企業の情報セキュリティ対策ガイドラインとは、IPAが、専任のセキュリティ担当者を置きにくい中小企業向けに、取り組みやすい対策の進め方と着手の順序をまとめた指針。経営者が認識すべき原則と、実務者向けの具体的な手順・様式類で構成され、自己宣言制度「SECURITY ACTION」の土台になっている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
規格や大企業向けの基準をそのまま持ち込むと、人も予算もない組織では最初の一歩すら踏み出せず、結果として何もしない状態が続く。そこで「まずここから」という順序と、そのまま使える様式を示して着手の敷居を下げる指針が用意された。委託先や取引先として中小企業を評価する立場からも、相手に何を求めるべきかの共通の物差しとして使える。
具体例
IPAが公開しており、付属の様式を使えば情報資産台帳やセキュリティ基本方針をそのまま作成できる。SECURITY ACTIONの二つ星の宣言では、このガイドラインの診断シートで自社を点検し、基本方針を定めて公表することが条件になる。
試験での引っ掛け
経済産業省のサイバーセキュリティ経営ガイドラインと取り違えやすい。あちらは経営者に向けて3原則と重要10項目を示すもので、こちらの策定主体はIPA、中身は中小企業が実務で踏む手順と様式である。名称のとおりガイドラインであって法令ではないため、遵守義務も罰則も生じない。
関連用語
出た過去問
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）
安全・安心なIT社会を実現するために創設された制度であり，IPA“中小企業の情報セキュリティ対策ガイドライン”に沿った情報セキュリティ対策に取り組むことを中小企…
正解：SECURITY ACTION
要点：SECURITY ACTIONは中小企業の対策取組みを自己宣言する制度
SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、IPAが運営している。第三者による審査を受ける認証制度ではなく自己宣言である点が特徴で、取組み段階に応じて一つ星・二つ星のロゴを使用できる。他の選択肢は第三者認証制度や脆弱性情報の提供サービスであり、自己宣言の枠組みではない。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）
IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述…
正解：組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。
要点：小規模組織はポリシを2階層に簡略化してもよい
情報セキュリティポリシは基本方針・対策基準・実施手順の3階層で構成するのが基本だが、組織の規模や実態に合わせて階層を統合してもよい。中小企業では対策基準と実施手順を一体化し、基本方針と併せて2階層にすることが現実的であり、ガイドラインでも認められている。策定順序は経営者が定める基本方針が先で、そこから対策基準、実施手順へと具体化していく。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）
IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”を参考に，次の表に基づいて，情報資産の機密性を評価した。機密性が評価値2とされた情報資産とその…
正解：主力製品の設計図（電子データ）／不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。
要点：機密性は漏えい時の影響で評価し、改ざんや停止と区別する
機密性の評価なので、情報が漏えいした場合の影響で判断する。設計図が外部に流出すると技術やデザインの優位性が失われ売上が減るという事例は、自社への深刻な影響があるため評価値2に当たる。可用性の話や完全性の話、漏えいしても影響が小さい話は、機密性の評価値2の根拠にならない。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問9（IPA）
組織での情報資産管理台帳の記入方法のうち、IPA "中小企業の情報セキュリティ対策ガイドライン（第2.1版）"に照らして、適切なものはどれか。
正解：利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。
要点：クラウド上のデータも含め情報資産は漏れなく台帳に記入する
情報資産管理台帳は、守るべき情報を漏れなく把握するために作るものなので、保管場所が自社内かクラウドかを問わず対象に含める。クラウドサービス上のデータは物理的に手元になくても組織の情報資産であり、記入対象から外すと管理の空白が生まれる。重要度が判断しにくい、媒体が複数ある、といった理由で記入を省くのも誤りである。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティに関する基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。