取引先や親会社から「自社のセキュリティ対策はどの水準にあるのか」を示すよう求められたり、ニュースで相次ぐ情報漏えいを見て「うちは大丈夫だろうか」と不安になったりして、自社のセキュリティレベルを把握したいと考える担当者が増えています。
ただ、いざ測ろうとすると「何を基準に、どうやって測ればよいのか」が分かりにくいものです。しかも「社内のセキュリティレベル」という言葉は、情報セキュリティ対策の水準を指す場合と、オフィス空間の入退室区分（ゾーニング）の段階を指す場合があり、冒頭で取り違えると必要な情報にたどり着けません。
本記事は、情報セキュリティ対策の水準としての「社内のセキュリティレベル」を扱います。IPA（情報処理推進機構）が無料で公開している自社診断ツールや、本文でその場で試せる自己採点チェックリストで現状を測る方法を示し、取引・監査で問われる公的な「ものさし」との対応づけ、そして測った後に弱いところを底上げする進め方までを順に解説します。
自己採点の項目はすべて本文に掲載しているので、資料をダウンロードしなくてもこの記事だけで自社のおおよその現在地を把握できます。現状を数値や項目で可視化し、次の一手を決める出発点としてご活用ください。
目次
一括ダウンロードする
社内のセキュリティレベルとは？情報セキュリティ対策の水準を指す言葉
社内のセキュリティレベルとは、自社の情報セキュリティ対策が今どの水準・段階にあるかを表す言葉です。IPAや経済産業省も、情報セキュリティ対策を「経営者が認識し実施すべき指針」と「社内で実践する手順・手法」として整理し、取引の場面では対策水準を段階（★）で示す仕組みを設けています。自社のレベルを測るとは、こうした公的な考え方に照らして現状を点数や段階で把握することだといえます。
「社内のセキュリティレベル」という言葉には、本記事が扱う情報セキュリティ対策の水準のほかに、オフィス空間をどこまで誰が入れるかで区切る入退室区分（ゾーニング）の段階を指す使い方もあります。
受付・執務室・サーバー室といった物理的な区画の話を探している場合は、オフィスセキュリティ・入退室管理の解説が適しています。本記事は、情報システムやデータを守る情報セキュリティ対策の水準に絞って解説します。
出典・参考資料（1件）
なぜ自社のセキュリティレベルを測るのか
自社のレベルを測る動機は、大きく2つに分かれます。1つは外からの要請です。取引先や親会社、監査から「どの程度の対策をしているか」を具体的に示すよう求められ、感覚ではなく客観的な根拠で答える必要が生じる場面が増えています。
もう1つは内側からの見直しです。対策は入れたものの、それが十分なのか、どこが手薄なのかが分からないという状態を解消したいという動機です。現状を点数や項目で可視化すると、「次に何から手を付けるか」の優先順位が立てやすくなります。測ること自体が目的ではなく、弱い部分を見つけて底上げにつなげるための出発点と位置づけると、測定結果を具体的な行動に変えやすくなります。
自社のセキュリティレベルを無料・短時間で測る方法
自社のレベルを測る最も手軽な方法は、IPAが無料で公開している自己診断ツールを使うことです。専門知識がなくても設問に答えるだけで現状をスコアにできる代表的なツールが2つあります。
IPA「5分でできる！情報セキュリティ自社診断」（25問・無料）
「5分でできる！情報セキュリティ自社診断」は、IPAが「中小企業の情報セキュリティ対策ガイドライン」の付録として無料で配布している自己診断シートです（本体ガイドラインは第4.0版、診断シートはVersion 6.0）。IPAのガイドライン公式ページから誰でもダウンロードして実際に試せます。
全25問の設問に4段階で答えると、合計点で自社の対策状況を把握できます。配点と設問の構成は次のとおりです。
【配点】実施している=4点／一部実施している=2点／実施していない=0点／わからない=-1点
Part１ 基本的対策（No.1〜6）／Part２ 従業員としての対策（No.7〜20）／Part３ 組織としての対策（No.21〜25）
出典：5分でできる！情報セキュリティ自社診断（中小企業の情報セキュリティ対策ガイドライン 付録3 Version 6.0）｜IPA（情報処理推進機構）
設問は、OS・ソフトウェアを常に最新に保っているか、破られにくいパスワードを設定しているか、重要情報を定期的にバックアップしているか、といった具体的な問いで構成され、満点は100点（25問×4点）です。
IPAは「自社診断で100点満点が取れるよう組織全体のレベルアップを図りましょう」と、満点を目安に改善を続けることを示しています。点数が低い設問が、そのまま優先して手を付けるべき弱点になります。
IPA「情報セキュリティ対策ベンチマーク」（同規模他社との比較）
もう1つが「情報セキュリティ対策ベンチマーク」です。同じく設問に答えて対策状況をスコア化するIPAの自己診断ツールですが、自社診断との違いは、自社の点数に加えて、企業規模別・業種別などの観点で他社平均と比べたレーダーチャートが得られる点にあります。自社が同じ規模・業種の中でどのあたりに位置するのかを客観的に把握したいときに向いています。
情報セキュリティ対策ベンチマークは、組織の情報セキュリティマネジメントシステムの実施状況を、自らが評価する自己診断ツールです。
出典：情報セキュリティ対策ベンチマーク｜IPA（情報処理推進機構）
対策状況に応じて「高水準が要求される層（GI）」「相応の水準が望まれる層（GII）」「対策が喫緊の課題でない層（GIII）」のグループに分けて比較できるため、自社が目指すべき水準の見当もつけやすくなります。ただし、現在はオンライン版の公開が停止されており、IPAが配布するExcelファイル（ダウンロード版）で自己評価する形になっています。
このほか、各社（セキュリティベンダーや業界団体）が独自に配布するセキュリティチェックシートもあります。手軽に使えますが、設問の範囲や観点が配布元の立場によって偏ることもあるため、まずは公的で中立なIPAのツールで全体像をつかみ、補助的に使うのが安全です。
社内のセキュリティレベル自己採点チェックリスト（本文で○×採点）
ツールをダウンロードする前に、まずはこの場で大まかな現在地をつかめるよう、基本的な対策を5つのカテゴリに分けたチェックリストを用意しました。各項目について、できていれば○、できていなければ×を付け、最後に○の数を数えてください。
各項目は、IPAの「情報セキュリティ6か条」（①OS・ソフトの更新 ②ウイルス対策ソフト ③パスワード強化 ④共有設定の見直し ⑤バックアップ ⑥脅威や手口を知る）や「5分でできる！情報セキュリティ自社診断」の設問に対応させています。
| 社内のセキュリティレベル自己採点チェックリスト | パスワード・認証 | パスワード・認証 | メール・フィッシング | メール・フィッシング | 端末・ソフトの更新 | 端末・ソフトの更新 | データ・バックアップ | データ・バックアップ | 社内ルール・教育 | 社内ルール・教育 |
|---|---|---|---|---|---|---|---|---|---|---|
| チェック項目（できていれば○） | 破られにくい長く複雑なパスワードを設定し、サービス間で使い回していない | 重要なサービスでは、パスワードに加えもう1要素を使う多要素認証を有効にしている | 添付ファイルや本文中のURLリンク経由のウイルス感染に、従業員全員が注意している | 不審なメールの見分け方と、気づいたときの報告先を全員が知っている | パソコンやスマートフォンのOS・ソフトウェアを常に最新の状態にしている | すべての業務端末にウイルス対策ソフトを導入し、有効にしている | 重要情報を定期的にバックアップし、元データと切り離して保管している | クラウドストレージや共有フォルダの共有設定を、必要な範囲に絞っている | 情報セキュリティ対策をルール化し、従業員に明示している | 従業員への情報セキュリティ教育や注意喚起を定期的に行っている |
| 対応するIPAの基準 | 自社診断 No.3／6か条③ | 認証の強化（6か条③の発展） | 自社診断 No.7 | 6か条⑥（手口を知る） | 自社診断 No.1／6か条① | 6か条② | 自社診断 No.5／6か条⑤ | 6か条④（共有設定の見直し） | 自社診断 No.25 | 自社診断 No.20 |
※項目はIPA「情報セキュリティ6か条」「5分でできる！情報セキュリティ自社診断」に対応させた基本対策の抜粋です。正確に点数化したい場合はIPAの自社診断（100点満点）をご利用ください。
採点結果の見方とスコア帯別に次へ進む目安
○の数で、おおよその現在地が見えてきます。下記は、現状把握から次の一手を決めるための目安です。この区分は現状を分かりやすくつかむための整理で、IPAが定める公式な判定区分ではありません。より厳密に測りたい場合は、前述のIPA自社診断（100点満点）やベンチマークを使ってください。
- ○が8〜10個：基本的な対策はおおむね整っています。次は、取引・監査で問われる公的な「ものさし」への対応や、検知・復旧といった一段上の対策を検討する段階です。
- ○が4〜7個：基本対策に穴があります。×を付けたカテゴリのうち、パスワード・認証と端末・ソフトの更新は被害に直結しやすいため、優先して手を付けるのが有効です。
- ○が3個以下：まず基本から固める段階です。IPAの「情報セキュリティ6か条」を上から順に実施し、あわせて自社診断で全設問の現状を洗い出すところから始めると着手しやすくなります。
×が多いカテゴリが、そのまま底上げの優先順位になります。具体的な進め方は後半の「測った後にレベルを底上げする進め方」で解説します。
一括ダウンロードする
セキュリティレベルは何段階？成熟度の段階と自社の位置
「セキュリティレベルは何段階あるのか」という問いに、取引・監査で共通に使う基準で答えるなら、後述するSCS評価制度の「★1〜★5」の5段階が代表的な目安になります。ただし段階は何を基準に測るかで変わり、大きく2つの捉え方があります。
- 自社の到達度で見る段階：IPAの自社診断の点数（100点満点）や、本記事のチェックリストの○の数のように、自社がどこまで対策できているかを連続的な度合いで捉える見方です。「まず基本（6か条）を固める → 全設問を満たす → さらに検知・復旧まで広げる」という伸ばし方で位置づけます。
- 取引で共通基準として使う段階：後述のSCS評価制度のように、★1〜★5といった共通の段階で水準を示し、取引先に提示する見方です。自社の自己満足ではなく、相手と共有できる「ものさし」として機能します。
自社の位置は、公的な基準を手がかりに次のような段階で捉えると分かりやすくなります。チェックリストの○が少ないうちは下の段から、着実に積み上げていくイメージです。
- 基本に着手した段階：情報セキュリティ6か条に取り組む段階で、SECURITY ACTIONの「★一つ星」を宣言できる水準にあたります。
- 現状把握と方針化の段階：IPAの自社診断（25問・100点満点）で現状を把握し、情報セキュリティ基本方針を定めて公開する段階で、「★★二つ星」を宣言できる水準です。
- 取引基準で示す段階：取引先と共通のものさしが必要な場合に、SCS評価制度の★（★1〜★5）で水準を示す段階です。求められる★は取引先が提示します。
この段階分けは、公的な基準を手がかりに現在地をつかみやすくするための整理で、各基準を1本の序列として公式に対応づけたものではありません。実務では、まず自社診断やチェックリストで到達度をつかみ、取引先から水準を求められている場合に、その★の段階へ自社がどこまで届いているかを重ねて確認する二段構えが現実的です。次の章で、この共通基準にあたる公的な「ものさし」を具体的に見ていきます。
取引・監査で問われる公的な「ものさし」
自社の中だけで測るのに加えて、取引先や監査に対して水準を示すときには、誰が見ても同じ意味になる公的な基準が役立ちます。ここでは、中小企業でも取り組みやすいものから順に2つ取り上げます。
SECURITY ACTION（自己宣言／情報セキュリティ6か条との関係）
SECURITY ACTIONは、中小企業が自社の情報セキュリティ対策への取り組みを自ら宣言する、IPAの制度です。取り組み目標に応じて「★一つ星」と「★★二つ星」があり、宣言するとロゴマークを無料で使えます。
「★一つ星」を宣言するには・・・「中小企業の情報セキュリティ対策ガイドライン」に記載されている「情報セキュリティ6か条」に取組んでください。
「★★二つ星」を宣言するには・・・「中小企業の情報セキュリティ対策ガイドライン」の付録3「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、付録2「情報セキュリティ基本方針（サンプル）」を定め、外部に公開してください。
出典：SECURITY ACTION とは？｜IPA（情報処理推進機構）
一つ星の条件である「情報セキュリティ6か条」は、以前は「5か条」と呼ばれていましたが、IPAがガイドライン第4.0版（2026年3月27日公開）で「バックアップを取ろう！」を追加し、6か条に改めたものです。6項目は次のとおりです。
- OSやソフトウェアは常に最新の状態にしよう！
- ウイルス対策ソフトを導入しよう！
- パスワードを強化しよう！
- 共有設定を見直そう！
- バックアップを取ろう！
- 脅威や攻撃の手口を知ろう！
前章のチェックリストはこの6か条に対応しているため、チェックリストで○を付けられた項目は、そのまま一つ星の取り組みにつながります。
6か条それぞれで具体的に何をすればよいか、ガイドライン本体の構成や付録「5分でできる！情報セキュリティ自社診断」の使い方までは、次の記事で詳しく解説しています。
注意したいのは、SECURITY ACTIONはIPAが対策状況を認定・認証するものではなく、企業自身による「自己宣言」である点です。IPAも表記について、「一つ星（二つ星）の認定を受けました／取得しました」ではなく「宣言しました」と書くよう案内しています。取引先に示すときも、この言葉づかいに沿うのが正確です。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★段階
もう一段踏み込んで、取引の中で共通の段階として水準を示すのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した制度構築方針に基づき、IPAが運営します。委託元が委託先に適切な段階（★）を提示し、対策を促して実施状況を確認することを想定した仕組みです。
対策の段階は★1〜★5に分かれ、段階ごとに評価の方法が異なります。上位の段階は下位で求められる事項を包括しますが、★3を取得していないと★4を取得できない、という前提関係ではありません。
★3は、セキュリティ専門家による確認を経た取得希望組織による自己評価（専門家確認付き自己評価）を求めます。
★4は、第三者評価（要求事項について評価機関による審査）及び技術検証の実施を求めます。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度 段階別評価の概要｜IPA（情報処理推進機構）
この制度は現在、準備・立ち上げの段階にあります。本記事公開時点（2026年10月）では、★3・★4の要求事項・評価基準がExcelで公開され、2026年9月18日には料金設定の公開と評価機関などの申請募集が始まり、解説書は2026年10月頃の公開が予定されています。
制度は動いている分野のため、最新の状況や自社が求められる段階は、経済産業省・IPAの公式ページで確認してください。取引先から段階を提示される側になる企業も、動向を把握しておくと準備しやすくなります。
出典・参考資料（1件）
測った後にレベルを底上げする進め方（優先順位と手段の選び方）
測って弱点が見えたら、次は底上げです。やみくもに製品を増やすのではなく、「入口・内部・出口と教育」という流れで優先順位を考えると、抜け漏れを防ぎやすくなります。
入口は外部との境界（通信の出入り口）を守る対策、内部は端末やデータそのものを守る対策、出口は万一侵入された後に被害を広げない・早く戻す対策、そして全体を支えるのが従業員教育です。チェックリストで×が多かったカテゴリから、この流れに沿って手を打ちます。
チェックリストの5カテゴリは、この流れとおおむね次のように対応します。×が付いたカテゴリは、製品を導入する前に、まず自前でできる次の一手から着手できます。
- パスワード・認証（入口）：パスワードの使い回しをやめ、重要なサービスで多要素認証を有効にします。
- メール・フィッシング（入口・教育）：不審メールの見分け方と報告先を全員に周知し、定期的に注意喚起します。
- 端末・ソフトの更新（内部）：OS・ソフトの更新を徹底し、すべての業務端末にウイルス対策ソフトを導入します。
- データ・バックアップ（出口）：重要データを定期的にバックアップし、元データと切り離して（オフラインや別拠点に）保管します。
- 社内ルール・教育（全体）：対策をルールとして明文化し、従業員教育を定期的に続けます。
こうした基本の多くは自前で着手できます。そのうえで、端末の常時監視や認証基盤の整備、自社では気づきにくい弱点の洗い出しといった自前では担いにくい領域を、次に挙げる外部サービスや製品で補うと、無理なく底上げできます。
打ち手には、大きく3つの進め方があります。1つ目は自前で運用する方法で、6か条のような基本対策は自社の運用ルールと無料ツールで固められます。2つ目は外部の定期診断サービスを使う方法で、専門家の視点で弱点を継続的に洗い出してもらえます。
3つ目は対策製品を導入する方法で、端末の監視や認証の強化など、自前では担いにくい領域を製品で補います。どれか1つではなく、基本は自前で固め、苦手な領域を外部診断や製品で補うという組み合わせが現実的です。
とくに中小企業で「限られた予算の中で何から着手すればよいか」を決めかねる場合は、対策の優先順位を費用の目安つきで整理した次の記事が、計画を立てる助けになります。
ここからは、底上げの手段ごとに代表的なサービスを紹介します。社内ネットワークの弱点を外部からの定期診断で継続的に洗い出すサービスと、端末を監視して不正な動きを検知・対応する製品（EPP＝端末を守る基本機能、EDR＝不審な挙動を検知して対応する仕組み）です。
もう1つが、IDとアクセスを一元管理して認証を強くする製品（MFA＝パスワードに加えてもう1要素で確認する多要素認証）です。
| 比較項目 | CloudGate UNO | Eye"247" Safety Zone | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 底上げする領域 | 認証・アクセス管理 （ID・多要素認証・SSOの一元管理） | 端末の防御・検知 （EPP＋EDRを1製品に統合） | 社内ネットワークの定期診断 （予防・復旧・補償） |
| 提供形態 | クラウド型のID管理サービス（IDaaS） | インストール型のエンドポイント保護ソフト | 外部からの定期診断＋対策パッケージ型サービス |
| 向いている企業 | 「パスワード・認証」が弱く、複数のクラウドサービスの認証を一本化したい企業 | 「端末・ソフトの更新」が手薄で、ランサムウェアなど未知の脅威への備えを固めたい企業 | 自社だけでは弱点を見つけきれず、外部の定期診断で継続的に点検したい企業 |
| 月額費用 | 1ユーザー月額400〜600円（税抜） | 要問い合わせ | 1台月額1,250円〜 |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 提供会社 | 株式会社インターナショナルシステムリサーチ | 株式会社フーバーブレイン | 株式会社SYNCHRO |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
ここからは、上で取り上げた各サービスの特徴を順に紹介します。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
認証とアクセス管理の底上げに向くのが、株式会社インターナショナルシステムリサーチ（ISR）が自社開発するCloudGate UNOです。一度の認証で複数のクラウドサービスへログインできるシングルサインオン（SSO）に、多要素認証・アクセス制限・ID管理を統合した、ゼロトラスト型のアイデンティティ管理サービス（IDaaS）です。
チェックリストの「パスワード・認証」が弱い企業に効きます。フィッシングに強いパスキー（FIDO2）によるパスワードレス認証が全プラン・全ユーザーで無制限に使え、端末・場所・時間の3軸でアクセスを細かく制限できます。
料金はStandard Plus 400円／Enterprise Plus 500円／Smart Pack 600円（いずれも1ユーザー月額・税抜）で、初期費用は要問い合わせ、30日間の無料トライアルがあります。
認証方式ごとの耐性の違いについて、同社の平澤氏はインタビューで次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
ISMS（ISO/IEC 27001）やプライバシーマークを取得し、国産の自社開発で日本語サポートを提供する点も、はじめて認証基盤を整える企業には確認材料になります。
Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末そのものの守りを底上げするのが、株式会社フーバーブレインのEye”247″ Safety Zoneです。マルウェアの侵入を防ぐEPP（端末を守る基本機能）と、侵入後の不審な挙動を検知して対応するEDRを1つの製品に組み合わせた、エンドポイントセキュリティソフトウェアです。
チェックリストの「端末・ソフトの更新」や、ランサムウェア（データを暗号化して身代金を要求する攻撃）への備えが手薄な企業に向きます。グローバルのセキュリティベンダーBitdefenderと共同開発した検知エンジンを採用し、アプリの挙動を常時監視する振る舞い検知で未知の脅威に対応します。ランサムウェアの不審な動きを監視し、ファイルを自動バックアップして復旧できる機能も標準で備えます。
EDR機能を別オプションとして追加契約せず単一製品で使える点が特徴で、ブラウザベースの管理画面で検知状況を一元的に確認できます。料金は公開されておらず要問い合わせです。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
「自社だけでは弱点を見つけきれない」という企業の底上げに向くのが、株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージです。予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）を1つにまとめたパッケージ型のサービスで、外部の定期診断で現状を継続的に測りたいニーズに応えます。
特徴は、独自の通信技術を使ってリモートで社内ネットワークの内部まで診断できる点です。従来は専門家が訪問して行っていたネットワーク機器や複合機の脆弱性診断を、毎月（年12回）外部から実施し、A〜Eの5段階で評価して改善策を提示します。
サーバーや複合機が初期パスワードのまま使われているといった、見落としがちな弱点の洗い出しに向きます。インタビューでは、製造業向けに前述のSCS評価制度への対応を注力領域に挙げています。
外部診断で実際にどのような弱点が見つかるのか、同社の北口氏はインタビューで次のように話します。
工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。
料金は1台あたり月額1,250円〜で、診断する端末台数と頻度によって変わります。初期費用は要問い合わせです。専任のセキュリティ担当者がいない企業でも、対策の実施まで伴走してもらえる体制がある点が選びやすさにつながります。
ここで挙げた3サービスは、底上げの手段を領域別に示した一例です。守る対象ごとのタイプや他の選択肢まで含めて、社内のセキュリティ対策に使えるソリューション全体を見比べたい場合は、次の記事で各タイプの違いと選び方を解説しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
社内のセキュリティレベルは、感覚ではなく具体的な方法で測れます。まずIPAの「5分でできる！情報セキュリティ自社診断」や本記事のチェックリストで現状を点数・項目にし、×が多いカテゴリを弱点として把握します。取引先や監査に水準を示す必要があれば、SECURITY ACTIONの自己宣言や、SCS評価制度の★段階という公的な「ものさし」に対応づけて示します。
測った後は、弱い領域から底上げするのが基本です。基本対策は自前で固めつつ、苦手な領域は外部の定期診断サービスや、端末監視・認証強化の製品で補うと、無理なく水準を引き上げられます。自社の弱点に合う手段の資料を見比べて、対策を具体的に動かす一歩としてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 情報セキュリティ6か条とは何ですか？
A. 情報セキュリティ6か条とは、IPA（情報処理推進機構）が、企業にまず取り組んでほしい対策としてまとめた6つの基本行動です。
内容は「①OSやソフトウェアを常に最新にする」「②ウイルス対策ソフトを導入する」「③パスワードを強化する」「④共有設定を見直す」「⑤バックアップを取る」「⑥脅威や攻撃の手口を知る」の6項目です。
以前は「情報セキュリティ5か条」でしたが、IPAが「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）で「バックアップを取ろう！」を追加し、6か条に改めました。SECURITY ACTIONの★一つ星の要件でもあり、社内のセキュリティレベルを底上げする最初の一歩になります。
Q. 社内のセキュリティレベルは何で決まりますか？
A. 社内のセキュリティレベルは、1つの対策で決まるのではなく、パスワード・認証、端末やソフトの更新、メール対策、バックアップ、社内ルール・教育といった複数分野の対策がどこまで実施できているかの総合で決まります。
IPAの「5分でできる！情報セキュリティ自社診断」が25問・100点満点で測るように、幅広い分野の実施状況を合計して水準を捉えるのが基本の考え方です。高機能な製品を1つ導入すれば上がるというものではなく、基本対策が分野横断でもれなく揃っているかが鍵になります。だからこそ、まず診断やチェックリストで分野ごとの現状を可視化することが出発点になります。
Q. 社内のセキュリティレベルは無料で測れますか？
A. 社内のセキュリティレベルは、IPAが無料で公開している自己診断ツールを使えば、費用をかけずに測れます。
代表的なものが「5分でできる！情報セキュリティ自社診断」（全25問・100点満点）と「情報セキュリティ対策ベンチマーク」（同規模・同業種の他社平均と比較できる）で、いずれも無料です。本記事の自己採点チェックリストも、ダウンロードせずその場で現在地をつかめます。一方、外部の専門家にネットワークや端末を詳しく診断してもらう場合は、有償のサービスになります。
Q. 中小企業も社内のセキュリティレベルを測るべきですか？
A. 中小企業こそ、社内のセキュリティレベルを測っておくべきです。
取引先や親会社から対策水準の提示を求められる場面が増えているうえ、サプライチェーンの一員として攻撃の入口に狙われやすいためです。IPAの自社診断やSECURITY ACTIONは中小企業向けに無料・短時間で用意されており、専任のセキュリティ担当者がいない企業でも着手できます。まず現状を点数や項目で把握し、弱い部分から手を付けるだけでも、リスクは着実に下げられます。
Q. 社内のセキュリティレベルはどのくらいの頻度で測ればよいですか？
A. 社内のセキュリティレベルは、最低でも年1回、加えて組織変更・新しいシステムの導入・インシデント発生など環境が変わったタイミングで測り直すのが実務的な目安です。
対策は一度整えても、新しい攻撃手口や人の入れ替わりで徐々に実態とずれていくため、定点観測して変化を捉えることが大切です。自前の診断に加え、外部の定期診断サービスには毎月など高い頻度で継続的に弱点を洗い出すものもあり、専任担当者がいない企業の定点観測を補う選択肢になります。
Q. SECURITY ACTIONは第三者が認定する制度ですか？
A. SECURITY ACTIONは、第三者が認定・認証する制度ではなく、企業が自ら対策への取り組みを宣言する「自己宣言」の制度です。
IPAも、取り組みを示すときは「認定を受けました」「取得しました」ではなく「宣言しました」と表記するよう案内しています。★一つ星は情報セキュリティ6か条への取り組み、★★二つ星は自社診断での現状把握と情報セキュリティ基本方針の策定・公開が条件で、宣言するとロゴマークを無料で使えます。取引先に示す際も「宣言」という言葉づかいに沿うのが正確です。
Q. オフィスのゾーニングの「セキュリティレベル」とは別物ですか？
A. はい、オフィス空間の入退室区分（ゾーニング）の「レベル」と、本記事が扱う情報セキュリティ対策の水準は別物です。
オフィスのゾーニングは、受付・執務室・サーバー室のように、どこまで誰が物理的に立ち入れるかで区画を段階的に分ける考え方です（段階の数え方は資料により異なります）。一方、本記事の「社内のセキュリティレベル」は、情報システムやデータを守る対策がどこまでできているかという水準を指します。
どちらも企業の安全に関わりますが、取引先や監査から「セキュリティ水準を示してほしい」と問われる場面で求められるのは、多くが後者の情報セキュリティ対策です。物理的な区画の見直しを検討している場合は、オフィスセキュリティ・入退室管理の解説を参照してください。
社内のセキュリティレベル向上に役立つサービスの資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・エンドポイント保護・ID認証強化など、社内のセキュリティ対策に役立つサービスの最新資料を無料で一括請求できます。自社の弱点に合う手段を資料で見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
