SECURITY ACTION二つ星の準備支援

山崎行政書士事務所
5月6日
読了時間: 18分

自社診断と情報セキュリティ基本方針の作成

メタディスクリプションSECURITY ACTION二つ星は、中小企業が「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を策定・外部公開したうえで、対策に取り組むことを宣言する制度です。自社診断の使い方、基本方針の作り方、公開時の注意点、取引先に説明できる文書・台帳・記録の整備を、企業法務とサイバーセキュリティの実務視点から解説します。

1. SECURITY ACTION二つ星は「取引先に説明できる体制」への第一歩

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。IPAは、SECURITY ACTIONについて「中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度」と説明しており、取組段階として一つ星と二つ星があります。二つ星は、一つ星よりも一段進んで、自社の状況を診断し、会社としての情報セキュリティ基本方針を外部に示す段階です。

ここで最初に押さえるべき点は、二つ星は「認定」や「取得」ではないということです。IPAは、SECURITY ACTIONが情報セキュリティ対策状況等を認定するものではなく、「二つ星の認定を受けました」「二つ星を取得しました」という表現は不適切で、「二つ星を宣言しました」が適切であると案内しています。

実務上、これは非常に重要です。取引先への提案書、会社案内、Webサイト、セキュリティチェックシートに「取得」「認定」と記載してしまうと、第三者審査を受けたかのような誤解を与える可能性があります。山崎行政書士事務所では、二つ星の支援を「ロゴを表示するための手続」ではなく、自社の情報管理体制を文書化し、取引先・顧客に説明できる状態へ整える支援として位置付けています。

2. 二つ星で必要なこと

IPAは、二つ星について、「5分でできる！情報セキュリティ自社診断」と「情報セキュリティ基本方針」を策定し、外部公開したうえで、情報セキュリティ対策に取り組むことを宣言するものと説明しています。自社診断は25個の診断項目に答えることで、自社の情報セキュリティ対策状況を把握するツールです。

項目	二つ星で必要な内容	実務上のポイント
自社診断	5分でできる！情報セキュリティ自社診断を実施	点数よりも、弱点と改善計画を残す
基本方針	情報セキュリティ基本方針を策定	会社の実態に合わせて作る
外部公開	Webサイト、会社案内、パンフレット等で公開	公開日、掲載場所、改定履歴を記録する
自己宣言	SECURITY ACTION管理システムから二つ星を宣言	「取得」ではなく「宣言」と表記する
継続改善	年1回程度、診断・見直し・改善を行う	台帳・教育記録・点検記録を残す

二つ星は、ISMSやプライバシーマークのような第三者認証ではありません。しかし、取引先から見れば、「この会社は情報セキュリティを会社の方針として掲げ、自社診断を行い、外部に公開している」という説明材料になります。

3. なぜ今、二つ星が重要なのか

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスク、4位がシステムの脆弱性を悪用した攻撃とされています。これらはいずれも、中小企業にとって「うちは小さいから関係ない」と言えないリスクです。

また、2026年3月に公開された「中小企業の情報セキュリティ対策ガイドライン第4.0版」では、ランサムウェア被害、サプライチェーンを介した被害、セキュリティ人材不足などを背景に、情報セキュリティ6か条へのバックアップ追加、自社診断項目の見直し、SCS評価制度の考え方の取り込みなどが行われています。

つまり、二つ星の価値は「補助金の要件だから」だけではありません。中小企業が、取引先から次のように問われたときに、根拠を持って説明するための入口になります。

「情報セキュリティ方針はありますか」「従業員教育はしていますか」「クラウドサービスを管理していますか」「事故時の連絡体制はありますか」「個人情報や顧客情報をどう守っていますか」「委託先や外部サービスの管理はしていますか」

二つ星は、この問いに対して「当社は自社診断を行い、基本方針を公開し、具体的な改善に取り組んでいます」と答えるための土台です。

4. 一つ星と二つ星の違い

区分	位置付け	必要な取組み	取引先への説明力
一つ星	基本対策への着手宣言	情報セキュリティ6か条に取り組む	「基本対策を始めています」と説明できる
二つ星	組織的取組みの宣言	自社診断、基本方針の策定・外部公開	「方針と診断に基づき、組織として取り組んでいます」と説明できる

一つ星は、OS更新、ウイルス対策、パスワード、共有設定、バックアップ、攻撃手口の把握という基本対策に取り組む宣言です。二つ星はそこから一歩進み、自社診断と基本方針の外部公開によって、会社としての管理姿勢を示すものです。

実務上は、次のように考えると分かりやすいです。

一つ星は、「対策を始める」宣言です。二つ星は、「会社として方針を決め、診断し、説明する」宣言です。

5. 自社診断は「点数を取る試験」ではない

二つ星でよく誤解されるのが、「自社診断で何点以上取らなければならないのか」という点です。IPAのFAQでは、二つ星申込時の自社診断の点数について、何点でもよく、申込後は年1回など定期的に自社診断を行い、状況把握と改善計画のサイクルを回すことが期待されていると説明されています。

したがって、二つ星準備で大切なのは、高得点を装うことではありません。重要なのは、次の3つです。

見るべきこと	実務上の意味
実施できている項目	取引先に説明できる強み
一部実施の項目	ルール化・記録化すれば改善できる部分
未実施・分からない項目	優先的に改善すべきリスク

自社診断は、会社の弱点を責めるためのものではありません。弱点を見える化し、改善計画に変えるための道具です。

6. 自社診断25項目をどう読み解くか

「5分でできる！情報セキュリティ自社診断」は、基本的対策、従業員としての対策、組織としての対策に分かれています。診断項目には、OS・ソフトウェア更新、ウイルス対策、パスワード、共有設定、バックアップ、攻撃手口の把握のほか、メール誤送信、重要情報の受け渡し、無線LAN、紙媒体・電子媒体の保管・持出し・廃棄、教育、外部サービス選定、事故対応、ルール化などが含まれます。

分野	主な診断項目	実務で準備すべきもの
基本的対策	OS更新、ウイルス対策、パスワード、共有設定、バックアップ、脅威情報共有	端末台帳、アカウント台帳、バックアップ管理表
従業員対策	不審メール、誤送信、情報受け渡し、無線LAN、持出し、廃棄、離席時管理	情報管理ルール、教育記録、ヒヤリハット記録
組織対策	不正アクセス対策、Webサイト運用、教育、私物端末、契約、外部サービス、事故対応、ルール化	情報セキュリティ規程、クラウド/SaaS台帳、委託先台帳、インシデント対応表

ここで重要なのは、「診断票にチェックを入れる」だけで終わらせないことです。例えば、診断項目に「クラウドサービスやウェブサイトの運用などで利用する外部サービスは、安全・信頼性を把握して選定していますか」とあります。これに「実施している」と回答するなら、クラウド/SaaS台帳、選定基準、管理者、保存データ、MFA設定、ログ取得可否、契約・規約確認の記録が必要です。

「事故が発生した場合に備え、緊急時の体制整備や対応手順を作成していますか」という項目に「実施している」と回答するなら、インシデント対応表、社内外連絡網、初動チェックリスト、通知文案が必要です。

7. 自社診断後に作るべき改善計画

自社診断の結果は、次のように改善計画へ落とし込みます。

優先度	典型的な未対応項目	改善例
すぐ対応	退職者アカウント、外部共有リンク、弱いパスワード	アカウント停止、共有リンク削除、MFA設定
30日以内	台帳未整備、教育記録なし、バックアップ対象不明	端末台帳、クラウド台帳、教育記録、バックアップ管理表の作成
60日以内	基本方針なし、事故対応手順なし、委託先管理なし	基本方針、情報管理規程、インシデント対応表、委託先台帳の作成
90日以内	復元テスト未実施、契約条項未整備、外部サービス選定基準なし	復元テスト、委託契約見直し、クラウド利用基準の整備
予算化	EDR、脆弱性診断、ログ監視、ISMS検討	見積取得、費用対効果、取引要件との比較

改善計画は、難しい資料である必要はありません。「項目」「現状」「対応内容」「担当者」「期限」「完了確認日」を一覧化するだけで十分です。

8. 情報セキュリティ基本方針とは何を書くものか

IPAは、情報セキュリティ基本方針について、理念、指針、原則、目標等を表した方針書・宣言書等であり、中小企業の情報セキュリティ対策ガイドライン付録のサンプルを参考にするか、独自に策定できると説明しています。また、二つ星申込時には、外部公開の方法として「自社ウェブサイトへの掲載」「会社案内やパンフレットへの掲載」「その他の方法」のいずれかを選択することとされています。

情報セキュリティ基本方針には、最低限、次の事項を入れるべきです。

項目	記載内容
目的	顧客、取引先、従業員、会社の重要情報を守ること
対象情報	個人情報、顧客情報、営業秘密、契約情報、認証情報、業務データ
経営者の責任	経営者が情報セキュリティを経営課題として取り組むこと
法令・契約遵守	個人情報保護法、契約上の秘密保持義務、社内規程を守ること
教育・周知	従業員への教育、注意喚起、報告ルールを整備すること
技術的対策	アカウント管理、MFA、ウイルス対策、バックアップ、クラウド管理
事故対応	漏えい、不正アクセス、誤送信、紛失、ランサムウェア時の対応体制
継続的改善	定期的な点検、改善、規程見直しを行うこと

重要なのは、見栄えのよい文章を作ることではありません。取引先から「この方針に基づいて何をしていますか」と聞かれたときに、台帳や記録で説明できることです。

9. 情報セキュリティ基本方針の文案例

以下は、社員数の少ない中小企業でも使いやすい基本方針の骨子です。実際には、業種、取扱情報、クラウド利用、委託業務の内容に合わせて調整します。

情報セキュリティ基本方針

当社は、事業活動において取り扱う顧客情報、取引先情報、個人情報、営業秘密、契約情報、認証情報その他の重要情報を、会社の重要な資産として認識し、これらを適切に保護するため、以下の方針に基づき情報セキュリティ対策に取り組みます。

当社は、情報セキュリティを経営上の重要課題として位置付け、経営者の責任の下で必要な体制を整備します。
当社は、法令、契約、社内規程その他の要求事項を遵守し、顧客及び取引先から預かった情報を適切に取り扱います。
当社は、情報資産の重要度に応じて、アクセス制御、アカウント管理、多要素認証、ウイルス対策、バックアップ、クラウド利用管理等の安全管理措置を講じます。
当社は、従業員に対し、情報セキュリティに関する教育及び注意喚起を行い、不審メール、誤送信、紛失、漏えい等を発見した場合の報告体制を整備します。
当社は、情報セキュリティ事故が発生した場合、影響拡大の防止、関係先への連絡、原因調査、再発防止に速やかに取り組みます。
当社は、情報セキュリティ対策の実施状況を定期的に確認し、必要に応じて継続的に改善します。

制定日：〇年〇月〇日会社名：〇〇株式会社代表者：代表取締役　〇〇〇〇

この文案で大切なのは、方針と実務を対応させることです。たとえば「多要素認証」と書くなら、メール、クラウド、会計、VPN、管理者アカウントにどこまでMFAを設定しているかを台帳で管理する必要があります。

10. 個人情報保護方針だけでは足りない

二つ星準備でよくある誤解が、「当社はプライバシーポリシーを公開しているので、情報セキュリティ基本方針もある」という考え方です。

IPAのFAQでは、ISMSの情報セキュリティ方針を公開している場合は、二つ星の情報セキュリティ基本方針の公開に該当するとされています。一方、個人情報保護方針は、個人情報保護に限定するものであり、情報セキュリティに関する理念・方針・声明・宣言を示すものではないため、情報セキュリティ基本方針の公開とはみなされないと説明されています。

公開済み文書	二つ星の基本方針としての扱い	理由
ISMS基本方針	原則として該当し得る	情報セキュリティ方針として趣旨が同じ
個人情報保護方針	該当しない	個人情報保護に限定される
プライバシーポリシー	該当しない	利用目的・第三者提供等の説明が中心
情報セキュリティ基本方針	該当	情報資産全般を守る方針

個人情報保護方針は重要です。しかし、二つ星では、個人情報だけでなく、顧客情報、契約情報、営業秘密、認証情報、クラウド上の業務データ、バックアップ、事故対応まで含めた情報セキュリティ方針が必要です。

11. 二つ星とISMS・Pマークの違い

SECURITY ACTION二つ星は、ISMS認証やプライバシーマークとは異なります。

制度	性質	主な目的
SECURITY ACTION二つ星	自己宣言	中小企業が自社診断と基本方針公開を通じて対策に取り組む
ISMS認証	第三者認証	ISO/IEC 27001に基づく情報セキュリティマネジメントシステムを審査・認証する
プライバシーマーク	個人情報保護マネジメントシステムに関する制度	個人情報保護を中心とした体制の審査・付与

ISMSは、情報の機密性・完全性・可用性を保護するための体系的な仕組みであり、技術的対策だけでなく、従業員の教育・訓練、組織体制の整備も含むものです。ISMS認証は、第三者である認証機関がISO/IEC 27001に基づいて適切に運用管理されているかを審査し、顧客や取引先に客観的に示す仕組みです。

一方、プライバシーマークは個人情報保護を中心とした制度であり、PMK500では付与事業者の事故等報告、本人通知、公表、調査、注意・勧告、一時停止、取消し等の規定が置かれています。これはSECURITY ACTIONの自己宣言とは制度の性質が異なります。

したがって、二つ星は「ISMSやPマークの代わり」ではありません。ただし、中小企業が情報セキュリティの文書・台帳・記録を整え、将来的にISMSやPマーク、取引先監査へ進むための入口としては非常に有効です。

12. 二つ星準備で整えるべき文書・台帳・記録

二つ星の申込自体に、詳細な規程や台帳の提出が必要という意味ではありません。しかし、取引先に説明する実務を考えると、次の資料を整えるべきです。

分類	整えるもの	目的
方針	情報セキュリティ基本方針	会社としての姿勢を外部に示す
規程	情報管理規程、クラウド利用ルール、アカウント管理ルール	方針を現場ルールに落とす
台帳	端末台帳、クラウド/SaaS台帳、アカウント台帳、個人情報管理台帳、委託先台帳	現状を把握する
記録	教育記録、アカウント棚卸し記録、共有リンク確認記録、バックアップ復元テスト記録	運用の証拠を残す
事故対応	インシデント対応表、社内外連絡網、通知文案	事故時に動けるようにする
契約	秘密保持契約、業務委託契約、個人情報取扱覚書	取引先・委託先との責任分担を明確にする
改善	自社診断結果、改善計画表、改定履歴	継続的改善を説明する

二つ星の本質は「基本方針を公開したこと」だけではありません。基本方針を支える実務資料があるかどうかです。

13. 2026年4月以降の申込実務で注意すること

現在、SECURITY ACTIONは管理システムから申し込みます。IPAは、SECURITY ACTION管理システムの主なメリットとして、GビズIDを使ったログイン、申込直後の自己宣言IDやロゴマーク取得、マイページでの登録情報確認・変更、ロゴマークダウンロード、宣言事業者検索機能の充実を挙げています。

申込方法について、IPAは、取組目標を一つ星または二つ星から決め、法人・個人事業主はGビズIDプライムを取得し、管理システムから申込フォームに入力する流れを案内しています。また、一つ星と二つ星を同時に申し込むこと、双方のロゴマークを同時に使用することはできません。

注意点	実務上の対応
GビズID	会社の重要な行政手続アカウントとして管理する
申込情報	事業者名、所在地、業種、担当者を正確に入力する
二つ星要件	自社診断、基本方針、外部公開を先に整える
ロゴ利用	ガイドラインに従い、「宣言しました」と表記する
証跡保存	申込日、自己宣言ID、公開URL、方針制定日を記録する

GビズIDのID・パスワードを外部支援者に安易に共有することは避けるべきです。支援者は、申込前の文書作成、方針の整備、表示文言、チェックシート対応を支援し、実際のアカウント管理は事業者側で責任を持つ運用が望ましいです。

14. 補助金目的だけで終わらせない

デジタル化・AI導入補助金では、SECURITY ACTIONの一つ星または二つ星の宣言が要件とされています。IPAも、同補助金の申請ではGビズIDを用いてSECURITY ACTION自己宣言を申し込むよう案内しています。

しかし、補助金申請のためだけに二つ星を宣言し、その後何も運用しない会社は危険です。取引先からセキュリティチェックシートが届いたときに、二つ星を宣言しているのに、基本方針の内容を誰も知らない、クラウド台帳がない、バックアップ復元テストをしたことがない、事故対応手順がない、という状態では説明ができません。

二つ星は、補助金申請のための形式ではなく、会社の情報管理体制を整えるきっかけとして使うべきです。

15. 取引先に二つ星を説明するときの回答例

取引先から「SECURITY ACTION二つ星ですか」と聞かれた場合、単に「はい」と答えるのではなく、次のように説明すると実務上の信頼性が高まります。

当社は、IPAのSECURITY ACTION二つ星を宣言しています。二つ星の宣言にあたり、「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を策定・外部公開しています。

また、同方針に基づき、業務端末の管理、クラウド/SaaS利用状況の把握、重要アカウントへの多要素認証、重要データのバックアップ、従業員への注意喚起、インシデント発生時の連絡体制の整備に取り組んでいます。

今後も年1回を目安に自社診断を実施し、未対応項目について改善計画を作成・実施していきます。

この説明では、「宣言」「自社診断」「基本方針」「具体的運用」「継続改善」を分けて示しています。取引先が本当に見ているのはロゴではなく、こうした運用の中身です。

16. 発注側が取引先へ二つ星や追加対策を求める場合の注意

自社が発注者側で、委託先にSECURITY ACTION二つ星、ISMS、EDR、脆弱性診断、ログ保存、バックアップ、24時間連絡体制などを求める場合は、取引適正化にも注意が必要です。

2026年1月から、従来の下請法は取適法へ改正され、従業員基準の追加、特定運送委託の追加、協議に応じない一方的な代金決定の禁止、手形払等の禁止などが整理されています。発注内容等を明示する義務、取引記録を作成し2年間保存する義務も示されています。

また、公正取引委員会は、サプライチェーンの弱点を突いたサイバー攻撃が中小企業等にも及び、発注者側の要請に基づき取引先が実施したサイバーセキュリティ対策費用について、価格交渉や費用負担を独占禁止法・取適法との関係で整理する想定事例を公表しています。

制度改正前の下請法ガイドブックでも、親事業者が下請事業者にISO認証取得を要請し、その取得費用を考慮せず一方的に下請代金を据え置く事例は、買いたたきの観点で問題になり得るものとして示されていました。現在の取適法実務でも、セキュリティ要求を出す場合は、仕様、費用、納期、協議経緯を文書で残すことが重要です。

17. 30日で始める二つ星準備ロードマップ

1週目：自社診断と現状把握

まず、自社診断を実施します。点数の高さではなく、「未実施」「分からない」「一部実施」を洗い出します。あわせて、端末、クラウド、アカウント、個人情報、委託先、バックアップの現状を簡単に一覧化します。

2週目：基本方針の作成

情報セキュリティ基本方針を作成します。IPAのサンプルをそのまま貼り付けるのではなく、自社が守るべき情報、クラウド利用、委託業務、個人情報の取扱い、事故対応の実態に合わせて調整します。

3週目：外部公開と社内周知

基本方針を自社Webサイト、会社案内、パンフレット、店頭掲示、取引先説明資料などの方法で外部公開します。公開日、掲載場所、社内承認者を記録します。従業員にも、基本方針の内容を周知します。

4週目：改善計画と申込準備

自社診断で弱かった項目について、改善計画を作成します。特に、MFA、退職者アカウント、共有リンク、バックアップ、事故連絡網は優先順位が高い項目です。そのうえで、GビズID、申込情報、表示文言、公開URLを確認し、SECURITY ACTION管理システムで二つ星を宣言します。

18. 二つ星準備で最低限整える10点セット

優先	整備するもの	目的
1	自社診断結果	現状と弱点を把握する
2	改善計画表	未対応項目を期限付きで管理する
3	情報セキュリティ基本方針	会社としての姿勢を外部に示す
4	外部公開記録	いつ、どこで公開したかを残す
5	端末・アカウント台帳	PC、スマホ、管理者権限、MFAを管理する
6	クラウド/SaaS台帳	利用サービス、保存データ、管理者、共有設定を把握する
7	バックアップ管理表	何を、いつ、どこに保存し、戻せるかを確認する
8	教育・注意喚起記録	従業員に周知した証拠を残す
9	インシデント対応表	事故時の第一報、判断者、連絡先を定める
10	取引先説明資料	セキュリティチェックシート対応の土台にする

この10点がそろうと、二つ星を「宣言しただけ」ではなく、取引先に説明できる実務体制として活用できます。

19. 山崎行政書士事務所が支援できること

山崎行政書士事務所では、行政書士として対応できる範囲で、SECURITY ACTION二つ星に向けた文書・台帳・記録の整備を支援します。

支援内容	具体例
自社診断支援	診断結果の整理、弱点分析、改善計画作成
基本方針作成	情報セキュリティ基本方針の作成・改定
外部公開支援	Web掲載文、会社案内掲載文、対外表示文言の整備
規程整備	情報管理規程、クラウド利用ルール、アカウント管理ルール
台帳整備	端末台帳、クラウド/SaaS台帳、個人情報管理台帳、委託先台帳
事故対応	インシデント対応表、連絡網、初動チェックリスト
契約連動	秘密保持契約、業務委託契約、個人情報取扱覚書の整備
取引先対応	セキュリティチェックシート回答根拠、提出用概要資料の作成

技術的な設定作業、脆弱性診断、EDR/SOC運用、フォレンジック調査等が必要な場合は、IT専門事業者、情報処理安全確保支援士等と連携します。紛争性のある損害賠償交渉、訴訟対応、法的代理が必要な場合は、弁護士と連携します。

20. まとめ：二つ星は「宣言」から「説明できる体制」へ進むための制度

SECURITY ACTION二つ星は、単なるロゴ表示ではありません。自社診断を行い、情報セキュリティ基本方針を策定・外部公開し、会社として情報管理に取り組むことを宣言する制度です。

重要なのは、次の5点です。

二つ星は認定・取得ではなく、自己宣言である
自社診断は点数を取る試験ではなく、弱点を見える化する道具である
情報セキュリティ基本方針は、個人情報保護方針とは別に作る必要がある
方針だけでなく、台帳・記録・改善計画を整えることが実務上重要である
取引先に説明できるよう、契約、クラウド、委託先、事故対応まで連動させるべきである

山崎行政書士事務所では、SECURITY ACTION二つ星を「申込手続」ではなく、中小企業が取引先・顧客に説明できる情報管理体制を整える第一歩として支援しています。自社診断、基本方針、台帳、規程、記録、契約を一体で整えることで、二つ星を実務に活きる制度として活用できます。