SECURITY ACTIONとは？宣言から始める中小企業のセキュリティ対策

「セキュリティ対策と言われても、うちみたいな小さな会社が狙われるわけがない」。そう思っている経営者は少なくありません。一方で、補助金の申請書類にSECURITY ACTIONの宣言済アカウントIDを入力する欄があって、初めてこの名前を知ったという担当者もいます。何をすればいいのか分からないまま後回しにしがちなテーマですが、実は最初の一歩は驚くほど小さく設計されています。

この記事の結論

先に3点お伝えします。

1. SECURITY ACTIONは、中小企業が情報セキュリティ対策に自ら取り組むと宣言する制度です。 IPA（情報処理推進機構）が内容を審査・認証するものではありません¹
2. 一つ星は「情報セキュリティ6か条」に取り組むと宣言するだけで使えます。 二つ星を宣言するには、事前に自社診断の実施と基本方針の外部公開が必要です²³
3. デジタル化・AI導入補助金2026の交付申請には、一つ星か二つ星いずれかの宣言が要件になっています。 申込みには2026年4月1日からGビズIDが必須です⁴³

順に見ていきます。

SECURITY ACTIONとは何か

IPA公式サイトによれば、SECURITY ACTIONは「中小企業が自ら情報セキュリティ対策に取り組むことを自己宣言する」制度で、安全・安心なIT社会の実現を目的に創設されました¹。

ここで押さえておきたいのは、これは資格や認定ではないということです。IPAはこの宣言の内容を認証・認定するものではなく、事業者は「宣言した」と表現すべきで、「取得した」「認定された」という言い方は第三者に誤解を与えるおそれがあるとされています¹。つまり、審査に通るかどうかを心配する必要はなく、「うちはこの対策に取り組みます」と自ら意思表示する制度だということです。

一つ星は「情報セキュリティ6か条」に取り組む宣言

一つ星を使用するための条件は、IPAが配布する「情報セキュリティ6か条」のリーフレット（2026年6月15日版）に明記されています。「情報セキュリティ6か条に取組むことを宣言することで、1段階目『一つ星』を使用することができます」とあり、6か条は次の6項目です²。

いずれも「今日から始められる基本対策」として示されているもので、特別なシステム投資を前提にしていません。例えばパスワードの項目では「10文字以上でできるだけ長く、大文字・小文字・数字・記号を含めて複雑に、名前や誕生日など推測できるものは使わない」、バックアップの項目では「バックアップしたデータを戻せるか定期的に確認する」といった、実行できているかどうかが分かりやすい対策例が示されています²。

なお、この6か条は元々「情報セキュリティ5か条」でしたが、2026年3月27日公表の「中小企業の情報セキュリティ対策ガイドライン」第4.0版で「バックアップを取ろう！」が新たに加わり、6か条になりました。ランサムウェア被害の拡大やサプライチェーン経由の攻撃への対応が改定の背景です⁵。同ガイドラインには「5分でできる情報セキュリティ自社診断」が付録3として収録されており、Excel版も公開されています⁶。

二つ星は、事前の自社診断と基本方針の公開が条件

二つ星は一つ星より一段階進んだ宣言です。IPA公式サイトによれば、二つ星の宣言を行うには「『5分でできる！情報セキュリティ自社診断』の実施と、情報セキュリティ基本方針の外部公開を、事前に行っていることが条件」とされています³。

つまり、二つ星は「宣言するだけ」では完結せず、先に自社の現状を診断し、方針を文書化して公開しておくという準備が要ります。なお、一つ星と二つ星を同時に申し込んだり、両方のロゴを同時に使ったりすることはできません³。まだ社内ルールを何も決めていない段階であれば、まず一つ星を宣言し、体制が整ってから二つ星を検討するのが無理のない進め方です。

申込みの手順とGビズID

SECURITY ACTIONの申込みはIPAの管理システムから行います。IPA公式サイトによれば、手順は次の5ステップです³。

1. 「一つ星」または「二つ星」の取組目標を決める
2. GビズID（プライムまたはメンバー）を取得する。すでに取得済みなら次へ進む
3. 申込みフォームに、個人情報の取扱いへの同意・ロゴ使用規約への同意・事業者情報等を入力する
4. 自己宣言IDとロゴマークの使用方法を記載した完了メールを受信する
5. 管理システムからロゴマークをダウンロードする

ここで注意したいのが、2026年4月1日からGビズID（プライムまたはメンバー）のアカウントが申込みに必須になったことです³。以前に別の方法で宣言していた場合でも、これから新たに宣言する、あるいは宣言し直す場合はGビズIDの取得が前提になります。GビズIDプライムの取得には一定の日数がかかるため、思い立ってすぐに宣言できるとは限りません。なお、自己宣言の申込みとロゴマークの使用はいずれも無料です⁷。

宣言すると何が変わるか

宣言後にできることは、大きく2つです。

1つ目は、対応する星のロゴマークを対外的に使用できることです。 「情報セキュリティに取り組んでいる会社である」ことを示す材料になります¹。

2つ目は、一部の補助金の申請要件を満たせることです。 IPA公式サイトによれば、デジタル化・AI導入補助金（旧：IT導入補助金）の交付申請には、SECURITY ACTIONの「★一つ星」または「★★二つ星」いずれかの宣言が要件とされています⁴。AI導入で使える補助金を検討している場合、この宣言は避けて通れない準備の1つです。2026年5月12日17時以降の第2次公募からは、先頭が「4」で始まる古い形式の自己宣言IDは使えなくなっており、デジタル化・AI導入補助金の申請に使うGビズIDでSECURITY ACTION管理システムから申し込み直す必要があります⁴。

有効期限についても押さえておく必要があります。IPAの「よくある質問」によれば、自己宣言そのものに有効期限はありません。一方で、申込みに使うGビズIDには2年3か月の有効期間が設定されており、継続して使うには更新手続きが必要です⁷。宣言をした後も、GビズIDの更新期限は忘れずに管理しておく必要があります。

導入時につまずきやすいところ

1つ目は、GビズIDの取得を後回しにしてしまうことです。 SECURITY ACTIONの宣言にはGビズID（プライムまたはメンバー）が必須で、まだ取得していなければ先にその手続きから始めることになります³。補助金の申請直前に慌てないよう、GビズIDをまだ持っていないなら早めに取得しておくと安心です。

2つ目は、二つ星の条件を誤解することです。 二つ星は宣言フォームに入力するだけでは完結せず、自社診断の実施と基本方針の外部公開が事前に済んでいる必要があります³。まずは一つ星から始め、社内の体制が整ってから二つ星に進む方が無理がありません。

なお、SECURITY ACTIONの宣言や情報セキュリティ6か条への取り組みは、法律で義務づけられた手続きではありません。自社の状況に応じてどこまで対応するかは経営判断になります。補助金の申請要件としての最新の扱いは公募のたびに変わりうるため、判断に迷う点があれば、IT導入支援事業者や行政書士などの専門家、地域の商工会議所・よろず支援拠点などの相談窓口に確認することをおすすめします。

まとめと、明日できること

1. まず「情報セキュリティ6か条」の6項目を見て、自社でできていないものがないか確認する²
2. 一つ星の宣言を検討する。 GビズID（プライムまたはメンバー）を持っていなければ、先に取得の手続きを始める³
3. 補助金の申請を検討しているなら、宣言の要件（一つ星か二つ星）を早めに確認する⁴
4. すでに宣言している場合は、GビズIDの有効期限（2年3か月）が近づいていないか確認する⁷

セキュリティ対策は「完璧を目指す」と身動きが取れなくなりがちです。SECURITY ACTIONの一つ星は、その名のとおり最初の一歩として設計された制度です。まずは6か条に取り組めているかを確認するところから始めてみてください。

出典