取引先から「SECURITY ACTIONを宣言していますか」と尋ねられたり、補助金の公募要領に「SECURITY ACTIONの宣言」と書かれていたりして、この制度にたどり着いた方は多いのではないでしょうか。
SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPA（独立行政法人情報処理推進機構）の制度です。審査を受けて合格する認証ではなく、取り組みを宣言してロゴマークを使える仕組みのため、費用をかけずに始められます。
本記事では、一つ星と二つ星の違いと具体的な宣言要件、2026年4月に変わった宣言のやり方、費用や更新の扱い、取引先への説明や補助金での使われ方を整理します。あわせて、宣言はゴールではなく出発点であり、宣言の次に実際のセキュリティ対策へ進む流れまで解説します。
目次
一括ダウンロードする
SECURITY ACTIONとは？
はじめに、SECURITY ACTIONがどのような制度かを押さえておきましょう。要点は次の4つです。
- 自己宣言の制度：審査を受けて合格する認証ではなく、対策に取り組むことを企業が自ら宣言します。
- 運営はIPA：独立行政法人情報処理推進機構（IPA）が実施する、中小企業向けの制度です。
- ロゴマークを無料で使える：取り組み段階に応じて「★一つ星」「★★二つ星」のロゴマークを無料で使用できます。
- 対象は中小企業・小規模事業者など：専任のセキュリティ担当者を置きにくい事業者でも始めやすい設計です。
制度の性格を正しく理解するうえで重要なのは、これが「認証」や「認定」ではない点です。IPAは次のように説明しています。
「SECURITY ACTION」は中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度です。なお、SECURITY ACTION普及賛同企業等は、IPAが認定する、あるいは認証等を付与する制度ではございません。
出典：SECURITY ACTIONとは？｜独立行政法人情報処理推進機構（IPA）
そのため、社外へ説明するときは「認定を受けた」「取得した」ではなく、「宣言しました」と伝えるのが正確です。ISMS（ISO/IEC 27001）やプライバシーマークのように第三者の審査で認証を取得する制度とは、この点が大きく異なります。SECURITY ACTIONは、より高度な対策へ進む前の第一歩として位置づけられています。
出典・参考資料（1件）
一つ星と二つ星の違い
ここからは、SECURITY ACTIONの2つの段階「一つ星」と「二つ星」について、何を宣言し、何を用意すればよいのかを整理します。自社がどちらを選ぶべきか判断する材料にしてください。
| 比較項目 | ★ 一つ星 | ★★ 二つ星 |
|---|---|---|
| 宣言する内容 | 「情報セキュリティ6か条」に取り組むことを宣言する | 自社診断（25項目）を実施し、情報セキュリティ基本方針を策定・外部公開したうえで宣言する |
| 事前に用意するもの | 特になし（対策の実施前でも申し込める） | 自社診断の実施 情報セキュリティ基本方針の策定と外部公開 |
| 向いている企業 | これからセキュリティ対策を始める企業 まず取引先対応や補助金の要件を満たしたい企業 | 取引先により強く取り組み姿勢を示したい企業 二つ星を求められる場面に備えたい企業 |
中小企業の情報セキュリティ対策ガイドライン（第4.0版、2026年3月27日公開）にもとづき作成
一つ星は「情報セキュリティ6か条」への取り組み宣言
一つ星は、これから「情報セキュリティ6か条」に取り組むことを宣言する段階です。対策を実施する前の状態でも申し込めるため、セキュリティ対策の第一歩として位置づけられています。6か条の内容は次のとおりです。
- OSやソフトウェアは常に最新の状態にしよう！
- ウイルス対策ソフトを導入しよう！
- パスワードを強化しよう！
- 共有設定を見直そう！
- バックアップを取ろう！
- 脅威や攻撃の手口を知ろう！
かつては「情報セキュリティ5か条」でしたが、ガイドライン第4.0版で5番目の「バックアップを取ろう！」が加わり、現在は6か条になっています。古い解説記事では5か条のままになっている場合があるため、最新の6項目で確認してください。
この6か条や、二つ星で使う「5分でできる！情報セキュリティ自社診断」は、いずれもIPAのガイドライン第4.0版にもとづいています。各項目の中身や診断の使い方を詳しく確認したい場合は、ガイドラインの構成を整理したこちらの記事が参考になります。
二つ星は自社診断と基本方針の公開まで
二つ星は、一つ星より踏み込んだ段階です。IPAは要件を次のように定めています。
二つ星は、「5分でできる！情報セキュリティ自社診断」を実施した上で、「情報セキュリティ基本方針」を策定・外部公開し、情報セキュリティ対策に取り組むことを宣言するものです。
出典：「二つ星」を宣言する｜独立行政法人情報処理推進機構（IPA）
「5分でできる！情報セキュリティ自社診断」は、25項目の設問に答えて自社の対策状況を把握するツールです。診断を踏まえて情報セキュリティ基本方針を策定し、自社サイトへの掲載や会社案内への記載などで外部に公開することが、二つ星の宣言要件になります。基本方針の雛形はガイドライン第4.0版の付録として用意されています。
情報セキュリティ基本方針は、いざ策定するとなると「何を・どの粒度で書けばよいか」で迷いやすい文書です。方針の位置づけ（基本方針・対策基準・実施手順の三層構造）や、具体的な作り方・ひな形を知りたい場合は、こちらの記事が参考になります。
どちらを選ぶか迷う場合は、まず一つ星から始め、取り組みが進んだ段階で二つ星へステップアップする流れが基本です。取引先や補助金の要件では一つ星・二つ星のいずれでも認められる場面が多く、まずは一つ星で要件を満たしておく判断も有効です。全体の流れを整理すると次のようになります。
出典・参考資料（3件）
SECURITY ACTION 宣言のやり方
続いて、実際の宣言手順を一つ星・二つ星に分けて説明します。2026年4月に申し込みの仕組みが大きく変わった点に注意してください。
IPAは2026年4月1日に新しい「SECURITY ACTION管理システム」を公開し、申し込みから管理までの方法を一新しました。
新規の自己宣言には、法人・個人事業主ともにGビズID（GビズIDプライムまたはGビズIDメンバー。エントリーは利用不可）が必要です。GビズIDはGビズIDの公式サイトで取得できる行政サービス共通の認証システムで、取得には数日かかる場合があるため、宣言の前に準備しておくとスムーズです。
一つ星の宣言手順
- GビズIDプライム（またはメンバー）のアカウントを用意する。
- SECURITY ACTION管理システム（sme-security.ipa.go.jp）にログインし、一つ星の自己宣言を申し込む。
- 申し込み後、マイページから一つ星のロゴマークをダウンロードして使用する。
一つ星は「6か条に取り組む」という宣言のため、対策が完了していなくても申し込めます。宣言後に6か条の取り組みを進めていく形で問題ありません。
二つ星の宣言手順
- 「5分でできる！情報セキュリティ自社診断」（25項目）を実施し、自社の対策状況を把握する。
- 診断を踏まえて「情報セキュリティ基本方針」を策定し、自社サイトなどで外部に公開する。
- GビズIDで管理システムにログインし、基本方針の公開先を登録して二つ星を申し込む。
すでに一つ星を宣言している場合は、二つ星の要件（自社診断の実施と基本方針の外部公開）を満たしたうえで、改めて二つ星を申し込みます。
出典・参考資料（2件）
費用・有効期限・更新とロゴマークの使い方
ここでは、宣言にあたって気になりやすい費用・有効期限・更新の扱いと、ロゴマークの使い方を確認します。
費用と有効期限・更新の扱い
SECURITY ACTIONのロゴマークは無料で使用できます。自己宣言そのものに明確な有効期限はなく、IPAも「有効期間はありません」と案内しています。取り組みを続けている限り有効で、定期的な更新手続きも設けられていません。
ただし、事業の閉鎖などで取り組みを続けられなくなった場合は、「SECURITY ACTIONロゴマーク使用中止申込書」を事務局に提出して取り下げます。宣言に用いるGビズIDのアカウント自体には別途の有効期限があるため、制度の有効期限とは分けて考えてください。
ロゴマークの使い方
宣言後に使えるロゴマークは、自社サイトや名刺、会社案内、提案書などに掲示し、情報セキュリティへの取り組みを対外的に示す用途で使えます。前述のとおり、表記は「宣言しました」とし、「認定を受けた」「取得した」といった表現は使わないよう注意してください。一つ星・二つ星のロゴを同時に掲示することはできません。
出典・参考資料（1件）
一括ダウンロードする
SECURITY ACTIONを宣言するメリットと使われ方
ここからは、SECURITY ACTIONを宣言すると何の役に立つのかを、取引先対応・補助金・社内の3つの面から整理します。自社の状況に近いところから読んでください。
取引先・顧客からの信頼につながる
取引先から委託先のセキュリティ対応を確認される場面は増えています。ロゴマークを掲示しておけば、情報セキュリティに取り組んでいる姿勢をひと目で伝えられます。大企業や官公庁との取引で、委託先の対策状況を問われたときの説明材料としても役立ちます。
補助金の必須要件になる
SECURITY ACTIONは、補助金の申請要件になっている点が実務上のメリットとして大きい制度です。デジタル化・AI導入補助金（旧：IT導入補助金）では、申請にあたって宣言が必須要件とされています。
デジタル化・AI導入補助金（旧：IT導入補助金）を申請するにあたってはSECURITY ACTIONを宣言することが必須要件となっています。補助金の申請には、SECURITY ACTIONの「★一つ星」または「★★二つ星」いずれかを宣言していることが要件になっています。
出典：デジタル化・AI導入補助金（旧：IT導入補助金）とSECURITY ACTION｜独立行政法人情報処理推進機構（IPA）
注意したいのは、宣言は申請の前提条件であって、採択を保証するものではない点です。採択は事業計画の内容などを含めて総合的に判断されます。また、補助金や助成金によって宣言が要件になっているかどうかは異なり、今後要件化される制度もあり得ます。申請の前には、必ずその補助金の募集要領で最新の要件を確認してください。
従業員の情報セキュリティ意識が高まる
6か条や自社診断に沿って自社の状況を見直す過程そのものが、社内のセキュリティ意識を高めるきっかけになります。OSの更新やパスワードの強化、バックアップの習慣づけなど、日常業務に直結する項目を全社で確認でき、宣言を社内周知の節目として活用できます。
出典・参考資料（1件）
宣言の次にやるセキュリティ対策
SECURITY ACTIONの宣言は、情報セキュリティ対策のゴールではなく出発点です。特に二つ星の「5分でできる！情報セキュリティ自社診断」では、自社の弱い部分が具体的に見えてきます。ここでは、診断でつまずきやすい項目と、それを埋めるための対策の型を対応づけて整理します。
| 診断で見えやすい弱点 | 端末がウイルスやランサムウェアに弱い | 不審メール・迷惑メールへの対策が弱い | パスワード管理やアクセス制限が弱い | どこに弱点があるか把握できていない |
|---|---|---|---|---|
| 取り組むべき対策の型 | 端末のウイルス対策・振る舞い検知・ランサムウェア対策（EPP/EDR） | メールのフィルタリング・なりすまし対策（メールセキュリティ） | 多要素認証・シングルサインオン・アクセス制限（ID管理） | 脆弱性診断・バックアップ（予防と復旧） |
これらの対策は、それぞれ専用のサービスで実現できます。ここからは制度の解説を離れ、対策の型ごとに代表的なサービスを具体的に見ていきます。自社の弱点に合うものから確認し、各サービスの料金や機能は資料でまとめて比較してください。
| サービス名 | Eye"247" Safety Zone | Eye"247" Spam Shield | CloudGate UNO | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|
| 対策領域 | 端末のウイルス・ランサムウェア対策（EPP/EDR） | 不審メール・迷惑メール対策（メールセキュリティ） | ID管理・多要素認証・シングルサインオン | 脆弱性診断・バックアップ（予防・復旧・補償） |
| 提供形態・特徴 | 端末にインストールするエンドポイント型 Bitdefender共同開発エンジンで振る舞い検知 ランサムウェアの自動バックアップを標準搭載 | 完全クラウド型 MXレコード変更のみで導入 なりすまし対策（DMARC・送信ドメイン認証）も搭載 | クラウド型のID基盤（IDaaS） パスキー（FIDO2）によるパスワードレス認証 端末・場所・時間でのアクセス制限 | 予防・復旧・補償を束ねた統合パッケージ ネットワーク内部から月次で脆弱性診断 設置10分・最短2週間で利用開始 |
| 料金目安 | 要お問い合わせ | 要お問い合わせ | 月額440円〜／ユーザー（税込） | 月額1台1,250円〜 |
| 無料トライアル | 記載なし | あり（1か月） | あり（30日間） | 記載なし（初回相談は無料） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金・無料トライアルは2026年11月時点の各社公式情報・カタログ掲載情報による
1. Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末のウイルス・ランサムウェア対策を強化したい企業に向くのが、フーバーブレインの「Eye”247″ Safety Zone」です。マルウェアの侵入を防ぐEPP（Endpoint Protection Platform）と、侵入後の不審な挙動を検知・対応するEDR（Endpoint Detection and Response）を1つの製品に備えています。
検知エンジンはBitdefenderと共同開発したもので、機械学習による検知を取り入れています。専任担当者を置きにくい中小企業でも、端末側の防御を一通り備えられるエンドポイントセキュリティソフトです。
アプリケーションの動作を常時監視する振る舞い検知に加え、ランサムウェアの動きを監視してファイルを自動でバックアップし、直近の状態からリストアできる機能を標準で搭載します。ブラウザベースの管理コンソールで各PCの状況を一元管理できるため、少人数のIT体制でも運用しやすい設計です。料金は導入台数や契約期間に応じた個別見積もりとなっています。
2. Eye”247″ Spam Shield（株式会社フーバーブレイン）
迷惑メールや標的型攻撃メールは、情報漏えいやウイルス感染の主要な入り口になります。同じフーバーブレインが提供する「Eye”247″ Spam Shield」は、自社のメールサーバの手前でこれらをフィルタリングし、迷惑メール・ウイルスメールがサーバに届く前にブロックする完全クラウド型のメールセキュリティです。
導入はMXレコードを変更するだけで、専用ソフトのインストールは不要です。受信側のフィルタリングだけでなく、自社からの迷惑メール送信を防ぐアウトバウンド対策や、DMARC・送信ドメイン認証によるなりすまし対策も備えます。1ドメイン100メールアカウントまでに対応し、1か月の無償トライアルを利用できます。料金は販売元への問い合わせとなります。
3. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
パスワード管理やアクセス制限に課題があるなら、ID基盤（IDaaS）の「CloudGate UNO」が選択肢になります。インターナショナルシステムリサーチが自社開発するクラウド型のサービスで、一度の認証で複数のクラウドサービスを使えるシングルサインオン（SSO）、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理をまとめて提供します。
利用環境や端末の状態に応じて認証方式を切り替えられるため、利便性とセキュリティを両立しやすい点が特徴です。パスキー認証は全プランで無制限に使え、月額はユーザーあたり440円（税込）からと、段階的に導入しやすい料金になっています。30日間の無料体験も用意されています。
パスワード管理やアクセス制限を見直すと、運用現場では何が変わるのか。提供元のインターナショナルシステムリサーチは、独自インタビューで導入後の変化を次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
「そもそも自社のどこに弱点があるか分からない」という段階の企業の出発点になるのが、SYNCHROの「KATABAMI サイバーセキュリティ対策パッケージ」です。脆弱性診断（予防）・バックアップ（復旧）・サイバー保険（補償）を1つにまとめた点が、単機能の製品との違いです。
脆弱性診断「KATABAMI VDP」は、ネットワークの内部から年12回（毎月）の頻度で弱点を検出し、対策案をレポートで提示します。あわせて、隔離した通信経路でデータを自動バックアップする「KATABAMI CRA」と、あいおいニッセイ同和損保のサイバー保険を組み合わせています。
「設置10分」「最短2週間で利用開始」を掲げ、専任担当者がいない企業でも導入しやすい設計です。料金は1台あたり月額1,250円からとなっています。ただし、検出した脆弱性への対策の実装自体は標準サービスの範囲外で、希望する場合は別料金で依頼できます。
ランサムウェア対策では、バックアップそのものを攻撃から守れるかどうかが復旧の分かれ目になります。提供元のSYNCHROは、独自インタビューでバックアップを隔離する背景を次のように説明しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
ここで取り上げたのは、自社診断で見えやすい弱点に対応する代表的なサービスです。社内のセキュリティ対策を守る対象（端末・メール・ID・ネットワークなど）ごとに整理し、ほかのタイプも含めて幅広く比較検討したい場合は、以下の記事で選び方とあわせて解説しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
SECURITY ACTIONは、中小企業が情報セキュリティ対策への取り組みを自ら宣言し、無料でロゴマークを使える制度です。一つ星は「情報セキュリティ6か条」への取り組み宣言、二つ星は自社診断の実施と情報セキュリティ基本方針の公開までが要件で、取引先への信頼づくりや、デジタル化・AI導入補助金の必須要件への対応に役立ちます。
2026年4月からは、新しい管理システムとGビズIDでの申し込みに変わりました。まずは一つ星から宣言し、自社診断で見えた弱点を具体的な対策で埋めていくことが、実効性のあるセキュリティにつながります。端末・メール・ID管理・脆弱性診断など、自社の弱点に合うサービスの資料を取り寄せて比較検討を進めてください。
一括ダウンロードする
SECURITY ACTIONに関するよくある質問（FAQ）
Q. SECURITY ACTIONとは何ですか？
A. SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPA（独立行政法人情報処理推進機構）の制度です。審査を受けて合格する認証ではなく、取り組みを宣言してロゴマークを使える仕組みです。
ISMS（ISO/IEC 27001）やプライバシーマークのように第三者の審査で認証を取得する制度とは異なります。社外へ説明するときは「認定を受けた」「取得した」ではなく「宣言しました」と伝えるのが正確です。
Q. SECURITY ACTIONの宣言に費用はかかりますか？
A. SECURITY ACTIONのロゴマークは無料で使用できます。IPAも「ロゴマークは無料でご使用いただけます」と案内しており、情報セキュリティへの取り組みを費用をかけずに対外的に示せます。宣言に使うGビズID（GビズIDプライムまたはGビズIDメンバー）の取得にも料金はかかりませんが、GビズIDは行政サービス共通の別制度で、取得には数日かかる場合があります。
Q. SECURITY ACTIONの宣言に有効期限はありますか？更新は必要ですか？
A. SECURITY ACTIONの自己宣言に有効期限はなく、定期的な更新手続きも必要ありません。IPAも「有効期間はありません」と案内しており、取り組みを続けている限り有効です。
ただし、事業の閉鎖などで取り組みを続けられなくなった場合は、「SECURITY ACTIONロゴマーク使用中止申込書」を事務局に提出して取り下げます。宣言に用いるGビズIDのアカウント自体には別途の有効期限があるため、制度の有効期限とは分けて考えてください。
Q. SECURITY ACTIONは一つ星と二つ星のどちらを選べばよいですか？
A. SECURITY ACTIONは、これからセキュリティ対策を始めるならまず一つ星、取り組みが進んだ段階で二つ星へステップアップするのが基本です。一つ星は「情報セキュリティ6か条」への取り組み宣言で、対策の実施前でも申し込めます。
二つ星は自社診断（25項目）の実施と情報セキュリティ基本方針の策定・外部公開が要件になります。取引先対応や補助金の要件では一つ星・二つ星のいずれでも認められる場面が多いため、まずは一つ星で要件を満たしておく判断も有効です。
Q. ISMSやプライバシーマークがあれば、二つ星の情報セキュリティ基本方針の公開は代替できますか？
A. SECURITY ACTION二つ星では、ISMS（ISO/IEC 27001）の基本方針を公開していれば情報セキュリティ基本方針の公開に代えられますが、プライバシーマークの個人情報保護方針の公開では代替できません。
IPAはよくある質問で、ISMS基本方針の公開は二つ星の取組みに該当すると回答する一方、個人情報保護方針の公開は情報セキュリティ基本方針を公開しているとはみなせないとしています。すでにISMSを取得している場合は、その基本方針の公開を二つ星の要件に充てられます。
Q. SECURITY ACTIONを宣言すれば、必ず補助金に採択されますか？
A. SECURITY ACTIONを宣言しても、補助金の採択が保証されるわけではありません。デジタル化・AI導入補助金（旧：IT導入補助金）では宣言が申請の必須要件ですが、これはあくまで申請の前提条件で、採択は事業計画の内容などを含めて総合的に判断されます。
また、補助金・助成金によって宣言が要件になっているかは異なり、今後要件化される制度もあり得るため、申請の前には必ずその補助金の募集要領で最新の要件を確認してください。
Q. SECURITY ACTIONの宣言にGビズIDは必要ですか？
A. 2026年4月以降にSECURITY ACTIONを新規で宣言するには、法人・個人事業主ともにGビズID（GビズIDプライムまたはGビズIDメンバー）が必要です（エントリーは利用不可）。IPAが2026年4月1日に新しい「SECURITY ACTION管理システム」を公開し、申し込みから管理までの方法を一新したためです。
GビズIDの取得には数日かかる場合があるため、宣言の前に準備しておくとスムーズです。
Q. 2026年4月より前にSECURITY ACTIONを宣言していた場合、改めて手続きは必要ですか？
A. 自己宣言そのものに有効期限はありませんが、2026年4月に申し込み・管理の仕組みが新しい「SECURITY ACTION管理システム」とGビズIDに一新されました。現在の登録状況や移行の要否は、管理システムで確認してください。
補助金に使う場合は注意が必要です。IPAは、デジタル化・AI導入補助金（旧：IT導入補助金）について、2026年3月以前に申し込んだ自己宣言は交付申請に利用できないと案内しています。補助金の申請に使うなら、新システムで改めて宣言しているかを確認してください。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、端末防御・メールセキュリティ・ID管理・脆弱性診断など社内セキュリティ対策の最新資料を無料で一括請求できます。料金や機能、サポート体制を資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
