SECURITY ACTIONとは｜IPAが運営する自己宣言の制度
SECURITY ACTIONは、中小企業や個人事業主が「情報セキュリティ対策に取り組むこと」を外部に向けて自己宣言する制度です。2017年4月に運用が始まり、IPAの発表によると、2025年4月に自己宣言の件数が40万件を突破しました（出典：IPA「SECURITY ACTION自己宣言数が40万件を突破!」）。
最初に押さえておきたいのは、これが「認定」や「資格」ではないことです。IPAが対策の実施状況を審査するわけではなく、自社が取り組むことを宣言する仕組みです。IPAのFAQでも、「一つ星の認定を受けました」「取得しました」という書き方は不適切で、「一つ星を宣言しました」が適切な表現だと案内されています。自社サイトや会社案内に載せるときは、この表記に注意してください。
対象は中小企業・個人事業者と、それと同等規模の団体などです。宣言すると取組段階に応じたロゴマークが使えるようになり、ロゴマークは無料です。宣言後にIPAへの実施報告は求められず、有効期間もありません。裏を返すと、宣言したあと続けるかどうかは自社に委ねられている、ということです。この点は記事の後半で取り上げます。
一つ星と二つ星の違い｜6か条か、自社診断と基本方針か
宣言には「一つ星」と「二つ星」の2つの段階があります。違いを整理すると次のとおりです。
| 項目 | 一つ星 | 二つ星 |
|---|---|---|
| 宣言する内容 | これから「情報セキュリティ6か条」に取り組むことを宣言する | 「5分でできる!情報セキュリティ自社診断」で現状を把握し、「情報セキュリティ基本方針」を定めて外部に公開する |
| 始められる状態 | 対策の実施前でも申し込める | 自社診断の実施と基本方針の用意が先に必要 |
| 向いている会社 | これから対策を始める会社 | 基本の対策が回り始めた会社 |
一つ星は、この連載の前回で取り上げた「情報セキュリティ6か条」（OSやソフトの更新、ウイルス対策、パスワードの強化、共有設定の見直し、バックアップ、手口を知る）に取り組むことの宣言です。IPAのページに「対策実施前でもお申込みいただけます」と明記されているとおり、これから始める段階で宣言してかまいません。
二つ星は一歩進んで、25の設問に答える「5分でできる!情報セキュリティ自社診断」で自社の現状を把握したうえで、「情報セキュリティ基本方針」を定めて外部に公開します。公開の方法は、自社ウェブサイトへの掲載、会社案内やパンフレットへの掲載などから選べます。基本方針のひな形（WordとPDF）はIPAの二つ星のページからダウンロードできるので、ゼロから書く必要はありません。
迷ったら一つ星から。ただし二つ星まで行く価値はある
どちらで宣言しても制度上の優劣はなく、後述する補助金の要件も多くの場合どちらかを宣言していれば満たせます。これから対策を始めるなら一つ星で十分です。一方、二つ星の要件である自社診断と基本方針づくりは、自社の弱い部分を一覧にする作業そのものなので、対策の計画づくりを兼ねられます。弊社は二つ星を宣言し、情報セキュリティ基本方針を自社サイトで公開しています。
宣言の手順｜GビズIDの取得からロゴの使用まで
申込方法は2026年4月1日に変わりました。新しく公開された「SECURITY ACTION管理システム」から申し込む方式になり、GビズIDプライムまたはメンバーのアカウントが必須になっています（出典：IPA「SECURITY ACTIONの申込方法」）。古い解説記事にはログイン不要の旧方式のまま書かれているものがあるので注意してください。手順は次のとおりです。
- 1. GビズIDを取得する——法人・個人事業主ともGビズIDプライムのアカウントを取得します（すでに補助金申請などで持っていれば、それを使います）
- 2. SECURITY ACTION管理システムにログインする——個人情報の取り扱いとロゴマーク使用規約に同意します
- 3. 事業者情報を入力する——事業者名・所在地・業種・取組段階などを入力します
- 4. 取組内容を選択する——一つ星か二つ星かを選び、自己宣言の取組内容を入力します
- 5. ロゴマークをダウンロードする——申込後、マイページから取組段階に応じたロゴマークを入手できます
IPAの案内では、手続きは最短1日で完了しますが、システムメンテナンスなどで利用できない期間もあるため、余裕を持って進めるよう案内されています。補助金の締切直前に慌てて宣言するのではなく、申請準備の最初の段階で済ませておくのが安全です。
2026年3月以前に宣言済みの会社も確認を
旧方式で宣言済みの事業者は、原則として改めての手続きは不要とされています。ただし、デジタル化・AI導入補助金（旧IT導入補助金）に申請する場合は、補助金申請に使うGビズIDで新システムから宣言し直す必要があるケースが案内されています（出典：IPA「2026年4月から、SECURITY ACTIONの申請方法が変わります」）。過去に宣言した記憶がある会社こそ、申請前に最新の案内を確認してください。
作業の目安としては、担当は経営者または総務の方で、GビズIDがすでにあれば宣言の入力自体は当日中に終わる分量です。二つ星の場合は、その前に自社診断（25問）とひな形をもとにした基本方針の調整が加わります。診断は設問に答えるだけなので、1時間ほど確保すれば両方に手を付けられます（所要時間は編集部の目安です）。
補助金の申請要件になっている場面
SECURITY ACTIONを調べるきっかけとして多いのが補助金です。IPAのページには、デジタル化・AI導入補助金（旧IT導入補助金）の申請には一つ星または二つ星のいずれかを宣言していることが要件になっていると明記されています。IT導入補助金で申請要件になったのは2018年4月からで、国の補助金のほかにも、自治体のデジタル化支援やサイバーセキュリティ対策の助成金で、宣言が申請要件や加点の対象になっている例があります。IPAが採用している補助金・助成金の一覧を公開しているので、自社が使う制度が載っているか確認できます。
IPAが公表した2023年度の実態調査の抜粋によると、宣言のきっかけは補助金申請が大半である一方、宣言事業者の約40%が、意識向上や取引先からの信頼性向上などの効果を感じているとされています。入口は補助金でも、点検の習慣につなげられるかどうかで、宣言の価値は変わります。
なお、補助金の公募要領は毎回改訂されます。要件の詳細や宣言のタイミングは、申請する回の最新の公募要領でご確認ください。年内の公募に向けた準備の順番はデジタル化・AI導入補助金2026の準備の順番で整理しています。
宣言して終わりにしない｜宣言後に実際にやること
前述のとおり、宣言後の実施報告は求められず、有効期間もありません。つまり、宣言しただけでは自社の状態は何も変わりません。宣言を意味のあるものにするために、次の4つをおすすめします。
- 基本方針を自社サイトに載せる——二つ星なら要件そのものです。一つ星でも、方針を1枚にまとめて公開すると、取引先から聞かれたときの説明がそのまま用意できます
- 6か条をひととおり実施する——一つ星は「これから取り組む」宣言です。宣言した週のうちに、更新・ウイルス対策・パスワード・共有設定・バックアップ・手口の共有の6つに手を付けます
- 月1回の点検日を決める——担当者と日付を決め、15分だけ確認します。宣言は、この習慣を続ける社内向けの理由としていちばん機能します
- 表記を整える——ロゴを載せるときは「宣言しました」と書きます。「認定」「取得」と書くと、制度の趣旨と合わない表現になります
弊社の場合、二つ星の宣言と基本方針の公開を土台に、IPAとJPCERT/CCが公開する脆弱性情報を毎朝自動で収集して自社と保守先に関係するものを拾う、問い合わせフォームのスパム対策を週次で見直す、APIキーなどの秘密情報をプログラムから分離する、といった日々の運用を続けています。宣言が立派なのではなく、宣言を理由に運用が続くことに意味がある、というのが実感です。
また、自社サイトで基本方針を公開するなら、そのサイト自体が放置されていては説得力がありません。何年も更新されていないサイトで何が起きるかは放置したホームページの実例で、外部の点検で実際に見つかった問題はWebアプリの点検で見つかった3つの穴で紹介しています。
国の制度はSECURITY ACTIONだけではない
セキュリティに関する国の制度としては、経済産業省が準備を進めているSCS評価制度（セキュリティ対策の段階評価）のような新しい枠組みもあります。SECURITY ACTIONは自己宣言、SCS評価制度は評価と、性格が異なります。まずは無料で今日から動けるSECURITY ACTIONで土台を作り、新しい制度の動向は公表資料で追う、という順番が現実的です。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
宣言の次は、外から見える部分の点検を
宣言と基本方針は、社内の取り組みの土台です。一方、ホームページや業務ツールのように外から見える部分には、第三者の点検で初めて分かる穴があります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. SECURITY ACTIONは認定制度ですか?
いいえ、IPAが審査して認定する制度ではなく、自社が情報セキュリティ対策に取り組むことを外部に宣言する「自己宣言」の制度です。IPAのFAQでも「認定を受けました」「取得しました」という表現は不適切で、「宣言しました」が適切な書き方だと案内されています。自社サイトや営業資料に載せるときは表記に注意してください。
Q. SECURITY ACTIONの宣言に費用はかかりますか?
IPAのFAQでは、ロゴマークは無料で使用できるとされています。宣言の手続きについて、審査料のような費用の定めはIPAの公開資料には見当たりません。なお、2026年4月以降の申込みにはGビズIDプライムまたはメンバーのアカウントが必要です。アカウントの取得方法や条件は、デジタル庁のGビズIDのサイトでご確認ください。
Q. 一つ星と二つ星、どちらで宣言すればよいですか?
これから対策を始める段階なら一つ星で十分です。一つ星は「情報セキュリティ6か条」に取り組むことの宣言で、対策の実施前でも申し込めます。自社診断で現状を把握し、情報セキュリティ基本方針を作って公開できる状態なら二つ星を選びます。デジタル化・AI導入補助金の申請要件は、どちらの宣言でも満たせるとされています。
Q. 宣言したあとは何をすればよいですか?
宣言後の実施報告は求められないため、続けるかどうかは自社次第です。宣言した内容（6か条や基本方針）をひととおり実施し、月1回15分の点検日を決めて回すことをおすすめします。あわせて、ホームページや業務ツールなど外から見える部分の点検も有効です。弊社のセキュリティ診断は、サイトのURLだけで10項目を点検し、優先度つきの対策リストをお渡しします。