近年、サイバー攻撃の増加により、中小企業でも情報セキュリティ対策が不可欠となっています。しかし、「何から始めればよいかわからない」「コストや人手が足りない」と悩む企業も少なくありません。
そうした中小企業の情報セキュリティ対策を後押しする制度が「セキュリティアクション（SECURITY ACTION）」です。本記事では、セキュリティアクションの概要から「一つ星」「二つ星」の違い、宣言するメリット、宣言の手順を解説します。
セキュリティアクション（SECURITY ACTION）とは
セキュリティアクション（SECURITY ACTION）とは、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。中小企業のセキュリティ対策を促進する目的で、2017年にIPA（独立行政法人情報処理推進機構）と中小企業関係団体が共同で創設しました。
「中小企業の情報セキュリティ対策ガイドライン」の実践をベースに、「一つ星」「二つ星」の2段階の取り組み目標を設定しています。宣言することで、取り組み段階に応じたロゴマークを無料で使用でき、情報セキュリティへの取り組みをアピールできます。
2026年に変わった2つの点
セキュリティアクションは2026年に2つの変更がありました。これから宣言する場合も、すでに宣言している場合も関わる内容なので、先に整理しておきます。
1つ目は、一つ星の取り組み内容が「情報セキュリティ5か条」から「6か条」になったことです。 2026年3月27日に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、5か条に「バックアップを取ろう」が追加されました。あわせて二つ星で使う「5分でできる！情報セキュリティ自社診断」の項目も見直され、「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」などが加わっています。
すでに宣言している場合、この改訂によって宣言をやり直す必要はありません。改訂後の内容を踏まえて取り組みを進めていくことを宣言しているものとして扱われます。
2つ目は、申込方法が変わったことです。 2026年4月1日に「SECURITY ACTION管理システム」が公開され、申込みにはGビズIDのアカウントが必要になりました。
なお、補助金の申請では2026年3月以前に取得した自己宣言IDが使えない場合があります。この点もあわせて後述します。
セキュリティアクションの取り組み目標「一つ星」と「二つ星」の違い
セキュリティアクションには、取り組みレベルに応じて「一つ星」と「二つ星」の2段階が設定されています。ここではその違いについて紹介します。
一つ星の取り組み内容
一つ星は、「情報セキュリティ6か条」に取り組むことを宣言するものです。6か条の内容は以下のとおりです。
- OSやソフトウェアは常に最新の状態にしよう
- ウイルス対策ソフトを導入しよう
- パスワードを強化しよう
- 共有設定を見直そう
- バックアップを取ろう
- 脅威や攻撃の手口を知ろう
これらは、情報セキュリティ対策に取り組んだことのない企業でもすぐに始められる基本的な内容です。一つ星はこれから取り組むことを宣言するものなので、対策の実施前でも申し込めます。宣言すると一つ星ロゴマークが使用できるようになります。
二つ星の取り組み内容
二つ星は、「5分でできる！情報セキュリティ自社診断」で自社の状況を把握し、「情報セキュリティ基本方針」を策定・外部公開することで宣言できます。
自社診断は25個のチェック項目で対策状況を把握できるツールです。外部公開の方法としては、自社Webサイトへの掲載、会社案内やパンフレットへの掲載などがあります。
一つ星と二つ星、どちらから宣言してもよい
一つ星を宣言していないと二つ星を宣言できない、という決まりはありません。申込みの最初のステップは「一つ星と二つ星のどちらを宣言するか決める」ことで、二つ星から始めることもできます。
二つ星の申込みに必要なのは、「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を策定・外部公開していることです。一つ星の宣言は要件に含まれていません。
一方の一つ星は「これから6か条に取り組む」ことを宣言するものなので、対策の実施前でも申し込めます。まず一つ星を宣言して社内の足並みを揃え、自社診断と基本方針の公開が済んだ段階で、二つ星を改めて申し込むこともできます。現在は「SECURITY ACTION管理システム」から手続きを行います。
なお、一つ星と二つ星を同時に申し込むことはできず、ロゴマークもどちらか一方の使用となります。
補助金や助成金によっては二つ星の宣言が要件になっている場合があるため、活用を検討している制度の要件を先に確認しておくと迷いません。
セキュリティアクションを宣言するメリット
セキュリティアクションを宣言することで、企業は様々なメリットを得られます。ここでは、補助金申請、取引先への信頼性向上、社内意識の向上という3つの主要なメリットを紹介します。
メリット①デジタル化・AI導入補助金など各種補助金の申請要件をクリアできる
デジタル化・AI導入補助金（旧：IT導入補助金）の申請では、セキュリティアクションの宣言（一つ星または二つ星）が必須要件となっています。東京都のサイバーセキュリティ対策促進助成金では、申請資格を満たす方法の一つとして、セキュリティアクションの二つ星宣言が定められています。詳しい対象要件は、申請年度の募集要項をご確認ください。
IPAの公式サイトでは、セキュリティアクションを申請要件または加点要件としている補助金・助成金等の一覧が公開されています。掲載情報はリアルタイムで更新されるものではないため、申請前に各制度の公式サイトで最新の要件をご確認ください。
メリット②取引先への信頼性向上とロゴマークの活用
セキュリティアクションのロゴマークは、Webサイトや名刺、パンフレットなどに表示でき、情報セキュリティ対策への取り組みを対外的にアピールできます。
サプライチェーンセキュリティへの関心が高まる中、取引先から情報セキュリティ対策の状況を確認されることがあります。セキュリティアクションのロゴマークを活用することで、自社の取り組み姿勢を対外的に示しやすくなります。
メリット③社内のセキュリティ意識向上
セキュリティアクションに取り組む過程で、社内の情報セキュリティ意識が高まる効果があります。2023年度のIPAの調査では、回答者の40％が、経営層・従業員の意識向上や取引先からの信頼性向上など、何らかの効果があったと回答しています。組織全体でセキュリティへの意識を共有することは、人的ミスによる情報漏えいを防ぐための基盤づくりにもつながります。
出典：「2023年度 SECURITY ACTION宣言事業者における情報セキュリティ対策の実態調査」 報告書｜IPA（独立行政法人 情報処理推進機構）
セキュリティアクション宣言で活用できる補助金・助成金
セキュリティアクション宣言を申請要件とする主な補助金・助成金を紹介します。デジタル化・AI導入補助金（旧：IT導入補助金）やサイバーセキュリティ対策促進助成金など、中小企業が活用できる制度について紹介します。
①デジタル化・AI導入補助金（旧：IT導入補助金）
デジタル化・AI導入補助金は、中小企業・小規模事業者がITツールを導入する際の費用を補助する制度です。2026年度にIT導入補助金から名称が変わりました。申請には、セキュリティアクションの一つ星または二つ星の宣言が求められます。また、申請枠によっては二つ星の宣言が加点対象となる場合があります。対象となる枠や条件は、最新の公募要領をご確認ください。
なお、すでに宣言済みの場合も、あらためて申し込みが必要になることがあります。2026年4月にセキュリティアクションの申込方法が変わったため、2026年5月12日17時以降の公募回では、それ以前に取得した自己宣言ID（4で始まる11桁の数字）では申請できません。補助金の申請に使うGビズIDで、SECURITY ACTION管理システムからあらためて自己宣言を申し込む必要があります。
募集回と締切は年度内に複数回設定されます。最新の日程はデジタル化・AI導入補助金の事業スケジュールでご確認ください。
②サイバーセキュリティ対策促進助成金（東京都）
サイバーセキュリティ対策促進助成金は、東京都中小企業振興公社が実施する助成制度です。セキュリティアクションの二つ星宣言が申請要件となっています。詳しい対象要件は、申請年度の募集要項をご確認ください。
東京都以外の地方自治体でも、セキュリティアクションを申請要件や加点要件としている制度があります。主な制度は、IPAの公式サイトで確認できます。
セキュリティアクションと併せて知っておきたい関連制度
セキュリティアクションに関連する制度として、サプライチェーン強化に向けたセキュリティ対策評価制度、中小企業の情報セキュリティ対策ガイドライン、サイバーセキュリティお助け隊サービスがあります。ここではそれぞれについて紹介します。
①サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
サプライチェーン強化に向けたセキュリティ対策評価制度は、経済産業省が2026年度末頃の申請受付開始を目指している、企業のセキュリティ対策状況を可視化する新たな制度です。
制度構築方針では★3・★4の要求事項・評価基準が具体化されており、★5はさらに高度な対策として今後検討される予定です。制度構築方針では、セキュリティアクションの一つ星・二つ星が、SCS評価制度の★3・★4より前の基礎的な取り組み段階に相当するものとして整理されています。ただし、セキュリティアクションとSCS評価制度は別の制度です。
セキュリティアクションを宣言していないと★3を取得できない、という関係ではありません。制度構築方針では、上位の段階は下位の段階で求められる事項を含むため、下位の段階を事前に取得していなくても上位の段階を取得できるとされています。
ただし★3は、セキュリティ専門家の確認を受けた自己評価が必要とされており、自らの宣言で完結するセキュリティアクションとは求められる水準が異なります（★4はさらに第三者評価が必要です）。取引先から★の提示を求められる可能性に備えるなら、まずセキュリティアクションで足元を固めておくと、その後の対応が進めやすくなります。
関連記事：セキュリティ対策評価制度とは？新評価制度の内容について解説
②中小企業の情報セキュリティ対策ガイドライン
中小企業の情報セキュリティ対策ガイドラインは、IPAが公開している中小企業向けの情報セキュリティ対策の指針です。「経営者編」と「実践編」で構成され、経営者が認識すべき3原則や重要7項目の取り組みを解説しています。
セキュリティアクションの「情報セキュリティ6か条」や「5分でできる！情報セキュリティ自社診断」も本ガイドラインの付録として提供されており、宣言後の継続的な対策強化に活用できます。
③サイバーセキュリティお助け隊サービス
サイバーセキュリティお助け隊サービスは、IPAが運営する中小企業向けのセキュリティ対策支援サービスの認定制度です。ネットワーク監視、相談窓口、緊急時の駆けつけ支援、簡易サイバー保険などをワンパッケージで安価に提供しています。
デジタル化・AI導入補助金（セキュリティ対策推進枠）の対象となっており、セキュリティアクション宣言後にさらに実践的な対策を導入したい企業に適しています。
セキュリティアクションの申請方法
セキュリティアクションの申込みは、IPAの「SECURITY ACTION管理システム」から無料で行えます。2026年4月1日に申込方法が変わり、利用にはGビズIDのアカウントが必要になりました。ここでは手順と、事前に見込んでおきたい期間を紹介します。
申込みの手順
STEP1：一つ星と二つ星のどちらを宣言するか決める
一つ星と二つ星を同時に申し込むことはできず、ロゴマークもどちらか一方の使用となります。
二つ星を宣言する場合は、申込みの前に「5分でできる！情報セキュリティ自社診断」の実施と、情報セキュリティ基本方針の策定・外部公開を済ませておきます。
STEP2：GビズIDのアカウントを取得する
法人・個人事業主のいずれも、GビズIDプライムのアカウントを取得します（介護施設ごとに宣言する場合はメンバーアカウント）。すでにお持ちの場合はSTEP3へ進んでください。
STEP3：申込みフォームに入力する
個人情報の取扱いとロゴマーク使用規約に同意し、事業者情報と取り組み内容を入力します。
二つ星の場合は、自社診断の結果と情報セキュリティ基本方針の公開方法（自社ウェブサイトへの掲載／会社案内やパンフレットへの掲載／その他）もあわせて選択します。
なお宣言すると、事業者名・都道府県・市区町村・業種・取組段階がIPAのサイトで公開されます（個人事業主の場合は代表者名・屋号など）。
STEP4：手続完了メールを受け取る
フォームの入力を終えた直後に、自己宣言IDとロゴマークの使用方法を知らせるメールが届きます。
STEP5：ロゴマークを使う（任意）
管理システムにGビズIDでログインし、マイページから取組段階に応じたロゴマークをダウンロードします。ロゴマークと一緒にダウンロードされる使用ガイドラインに従ってご使用ください。
申込み時に気をつけたいこと
GビズIDの取得期間を見込んでおく
セキュリティアクションの申込み自体は、フォームの入力を終えれば自己宣言IDがすぐに発行されます。時間がかかるのは、その前提となるGビズIDプライムの取得です。
申請方法は、事業区分やマイナンバーカードの保有状況によってオンライン申請と書類申請に分かれます。
オンライン申請は最短即日で審査が完了しますが、書類申請の場合は、書類到着後の審査に最大1か月かかる場合があります。補助金の申請期限がある場合は、ここから逆算して進めると安心です。最新の申請方法と審査期間は、デジタル庁のGビズIDサイトでご確認ください。
メールが届かないときはマイページを確認する
手続完了メールが届かない場合は、まず迷惑メールフォルダと受信拒否設定をご確認ください。それでも受信できない場合は、SECURITY ACTION管理システムにGビズIDでログインし、マイページをご覧ください。マイページに自己宣言IDが表示されていれば、申込手続きは完了しています。
なお、2026年3月以前に宣言した場合、当時の自己宣言IDやロゴマークの解凍パスワードは、問い合わせても確認・再発行ができません。SECURITY ACTION管理システムからあらためて自己宣言を申し込むことで、新しい自己宣言IDが発行され、マイページからロゴマークを入手できるようになります。
新旧の自己宣言IDを複数持つこと自体は問題ありませんが、以後は新しいIDを使用します。IPAは、同一事業者が複数のIDを持っていることを確認した場合、旧IDを中止処理する予定としています。
「認定」「取得」ではなく「宣言」と書く
セキュリティアクションは、IPAが情報セキュリティ対策状況を認定するものではありません。Webサイトや資料では「一つ星を宣言しました」のように書きます。「一つ星の認定を受けました」「二つ星を取得しました」といった表現は、第三者の誤解につながるとしてIPAが不適切な例に挙げています。
まとめ
本記事では、セキュリティアクション（SECURITY ACTION）の概要から、「一つ星」「二つ星」の違い、宣言するメリット、活用できる補助金・助成金、申請方法までを解説しました。
セキュリティアクションは、中小企業が情報セキュリティ対策に取り組むための第一歩として有効な制度です。しかし、取り組みを進める中で「これで十分なのか」「見落としているリスクはないか」と感じる企業も少なくありません。
そうした不安を解消する手段のひとつが、第三者の専門家による脆弱性診断です。バルテスの脆弱性診断サービスは、セキュリティ対策をこれから本格化させたい企業にも取り組みやすい内容でご提供しています。
自社のセキュリティ強化をお考えの方は、ぜひお気軽にご相談ください。