SECURITY ACTIONの宣言手順｜一つ星・二つ星の要件と、2026年4月から必須になったGビズID

取引先から「セキュリティの対応状況を出してほしい」と言われて、何を出せばいいのか分からない。ISMSやPマークは費用も期間も重く、そこまでの話ではない。そこで名前が出てくるのがIPAのSECURITY ACTIONだが、調べると解説記事によって書いてあることが違う。

違って見えるのは、2026年に2つの変更があったからだ。情報セキュリティ5か条は6か条になり、申込にはGビズIDが必須になった。この記事はIPAの一次資料だけで、いま宣言するために何が要るのかを並べ直す。

社内ツールの閲覧範囲は社内ツールの権限設定、生成AIの扱いは生成AIの社内ルール、方針文書そのものの書き方は情報セキュリティ基本方針の作り方が扱う。この記事は宣言に到達するまでの手続きに絞る。

SECURITY ACTIONは審査ではなく自己宣言

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、実施主体はIPA（独立行政法人情報処理推進機構）だ（IPA「SECURITY ACTION」、2026年8月26日に確認）。第三者が現地を見て認証する仕組みではないため、「取っている／取っていない」ではなく「宣言しているかどうか」になる。

この性質は弱点ではなく、使いどころを決めるものだ。取引先に示せる形が要るがISMSは重い、という段階で使う。逆に、宣言だけして中身を作らなければ、聞かれたときに答えられるものは何も増えない。

5か条ではなく6か条になっている

一つ星は「情報セキュリティ六か条」に取り組むことの宣言だ（IPA「一つ星を宣言する」、2026年8月26日に確認）。六か条は次の内容になっている。

5番目のバックアップは、2026年3月27日に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版で追加された。同じ改訂でサプライチェーン評価制度の考え方も組み込まれている（IPA「中小企業の情報セキュリティ対策ガイドライン」、最終更新2026年7月3日、2026年8月26日に確認）。「情報セキュリティ5か条」として説明している記事は、この改訂より前の内容だと考えてよい。

2026年4月1日から、申込にGビズIDが必要になった

実務で最初に詰まるのはここだ。IPAは自己宣言の申込方法について、GビズIDプライムまたはメンバーのアカウントが必須だと案内している（IPA「自己宣言の申込方法」、2026年8月26日に確認）。申込の流れは、取組目標の決定、GビズIDの取得、申込フォームの入力、完了メールの受信、ロゴマークの使用という5段階になる。

補助金の申請でGビズIDプライムを既に持っている会社なら、この段は飛ばせる。持っていない場合は、宣言そのものより先にアカウントの取得から始まる。「今日中に宣言する」を前提に予定を組まないのが実際的だ。IPAもシステムメンテナンスがあるため余裕を持った手続きを勧めている。

二つ星は「作る」だけでなく「公開する」まで

二つ星は、組織的な取り組みを開始したことの宣言になる。IPAが挙げている要件は次のとおり（IPA「二つ星を宣言する」、2026年8月26日に確認）。

1. 「5分でできる！情報セキュリティ自社診断」を実施する。診断は25項目。
2. 情報セキュリティ基本方針を策定する。理念、指針、原則、目標等を表した方針書・宣言書にあたる。
3. 基本方針を外部に公開する。自社ウェブサイトへの掲載、会社案内やパンフレットへの掲載、その他の方法から選ぶ。

見落とされやすいのが3番目だ。方針を作って社内フォルダに置いた状態は、要件を満たしていない。公開する前提で書くかどうかで、方針の中身は変わる。実態と違うことを書けば、公開した文書と現場のずれが外から見える形で残ってしまう。

宣言までの5手順

3の自社診断でつまずく項目は、たいてい技術ではなく持ち主の問題として出てくる。共有IDが残っている、退職者のアカウントが生きている、誰がバックアップを見ているか決まっていない、といった形だ。共有IDの整理は共有アカウントを廃止する移行手順、社内で動いているツールの把握は内製ツールの棚卸し手順が扱う。

来週できる一歩：診断25項目を先に1回通す

1. GビズIDプライムを持っているか確認する。無ければ取得の手続きだけ先に始める。
2. 「5分でできる！情報セキュリティ自社診断」の25項目を、宣言する前に1回通す。
3. できていない項目を、技術で直すものと担当を決めれば済むものに分ける。
4. 担当を決めれば済むものだけ、先に人を割り当てる。
5. その状態を前提に基本方針を書く。実態より先に理想を書かない。

この順番で回すと、宣言は結果として付いてくる。逆に宣言を先に置くと、公開した方針と実態がずれたまま止まる。

宣言まで行っても残るもの

ここまでの手順を踏めば宣言には到達する。制度そのもの、つまり要件・申込・ロゴマークの扱いはIPAの案内が正確で、宣言は事業者本人が行う自己宣言なので、代行を頼む種類のものではない。

実際に止まるのは制度の外側だ。自社診断の25項目でできていない箇所は、たいてい技術ではなく持ち主の問題として出てくる。共有IDが残っている、退職者のアカウントが生きている、バックアップを誰が見ているか決まっていない。買って解決する話ではなく、誰の担当かを決める話になる。

件数は流れているのに、判断基準と責任者とデータのつながりが後回しになっている会社ほど、宣言のあとも同じ場所で止まり続ける。最後の確認が社長に集まっていると特にそうなる。心当たりがあれば、どの業務から手を付けるかを3分・8問の事業基盤診断で確認できる。要件だけ知りたい場合は上のIPAのページで足りる。

社内の仕組みづくりの事例は業務改善カテゴリで確認できる。

よくある質問