SECURITY ACTION やり方｜★1・★2を今日始める手順と意味

SECURITY ACTION（セキュリティアクション）は、中小企業が情報セキュリティ対策へ取り組むことを外部に示す、IPAの自己宣言制度です。

申込みやロゴマークの使用は無料で、審査もありません。ただし、2026年4月から申込方法が変わり、現在はGビズIDを使ってSECURITY ACTION管理システムから申し込む必要があります。

また、一つ星の取組内容は従来の「情報セキュリティ5か条」から「情報セキュリティ6か条」へ更新され、バックアップが追加されました。以前の解説を参考にすると、現在の申込方法や取組内容と異なる場合があります。

この記事では、2026年8月時点の制度に基づき、一つ星・二つ星の違い、GビズIDを使った申込手順、SCS評価制度との関係を解説します。

この記事の結論

SECURITY ACTIONは無料・審査なしの自己宣言制度
一つ星は「情報セキュリティ6か条」へ取り組む
二つ星は自社診断と情報セキュリティ基本方針の外部公開が必要
2026年4月から申込みにGビズIDが必須
GビズIDを取得済みなら最短1日で自己宣言できる
SCS評価制度とは別制度だが、SCSへ進むための基礎になる

SECURITY ACTIONとは
1. 無料・審査なしの自己宣言制度
2. 「取得」「認定」ではなく「宣言」
SECURITY ACTION一つ星・二つ星の違い
SECURITY ACTIONの申込方法
一つ星の情報セキュリティ6か条
二つ星を宣言する方法
SECURITY ACTIONとSCS評価制度の違い
1. 一つ星・二つ星を宣言してもSCS★3にはならない
2. SCSの準備段階として何を残すべきか
SECURITY ACTIONについてよくある質問
まとめ｜宣言を実際の改善につなげる

SECURITY ACTIONとは

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。独立行政法人情報処理推進機構（IPA）が運営しています。

セキュリティ対策をどこから始めればよいか分からない企業に対して、最初に取り組む基本項目を示すことが制度の役割です。

取組段階には「一つ星」と「二つ星」があります。一つ星では個別の基本対策、二つ星では自社診断と基本方針の策定まで進みます。

無料・審査なしの自己宣言制度

自己宣言の申込みとロゴマークの使用に費用はかかりません。また、申込時にIPAがセキュリティ対策を審査する制度でもありません。

一つ星は、対策をすべて完了した企業だけが申し込めるものではなく、これから情報セキュリティ6か条へ取り組む企業も宣言できます。

そのため、SECURITY ACTIONの価値は、ロゴマークを掲載することだけではありません。宣言をきっかけに自社の対策を確認し、できていない項目を実行へ移すことにあります。

「取得」「認定」ではなく「宣言」

SECURITY ACTIONは認定・認証制度ではありません。

自社サイトなどで紹介するときは、「一つ星を取得しました」「IPAの認定を受けました」ではなく、「SECURITY ACTION一つ星を宣言しました」と表記します。

宣言企業はIPAのサイトで公表されますが、掲載されていることが、個別のセキュリティ対策についてIPAの審査や保証を受けたことを意味するわけではありません。

SECURITY ACTION一つ星・二つ星の違い

一つ星と二つ星では、宣言前に求められる取組が異なります。

比較項目	一つ星	二つ星
位置づけ	基本対策を始める	組織的な取組を始める
主な要件	情報セキュリティ6か条へ取り組む	25項目の自社診断、基本方針の策定・外部公開
対策前の申込み	可能	診断と方針公開を済ませてから申し込む
審査	なし	なし
費用	無料	無料
有効期限	なし	なし

一つ星は情報セキュリティ6か条

一つ星では、業種や規模を問わず必要になる6つの基本対策へ取り組みます。

OSやソフトウェアを最新の状態にする
ウイルス対策ソフトを導入する
パスワードを強化する
共有設定を見直す
バックアップを取る
脅威や攻撃の手口を知る

以前は5か条でしたが、現在はバックアップを加えた6か条です。

二つ星は自社診断と基本方針の公開

二つ星では、「5分でできる！情報セキュリティ自社診断」の25項目に回答し、情報セキュリティ基本方針を策定して外部へ公開します。

自社診断に合格点はありません。点数の高さを競うものではなく、現在できていることと、できていないことを把握し、改善へつなげるために行います。

どちらから始めるべきか

セキュリティ対策をほとんど整理できていない場合は、一つ星から始めるのが分かりやすいでしょう。

すでに基本対策を実施しており、情報セキュリティ基本方針を公開できる場合は、二つ星から始めることもできます。一つ星を先に宣言しなければ、二つ星を宣言できないわけではありません。

「どちらのロゴが欲しいか」ではなく、現在の取組段階で選んでください。一つ星と二つ星を同時に申し込んだり、両方のロゴマークを同時に使用したりすることはできません。

SECURITY ACTIONの申込方法

2026年4月1日から、SECURITY ACTIONの申込方法が変更されました。現在はGビズIDを使って、SECURITY ACTION管理システムから自己宣言します。

申込みの全体像は次のとおりです。

一つ星・二つ星のどちらを宣言するか決める
GビズIDを取得する
SECURITY ACTION管理システムへログインする
規約へ同意する
事業者情報と取組内容を入力する
自己宣言IDを確認する
必要に応じてロゴマークをダウンロードする

最新の画面と申込先は、IPA「SECURITY ACTION 自己宣言の申込方法」から確認できます。

申込前にGビズIDを用意する

GビズIDは、法人や個人事業主が複数の行政サービスへログインするための共通アカウントです。補助金申請、社会保険、各種届出など、GビズIDに対応した行政手続きで使用します。

GビズIDには、プライム、メンバー、エントリーの3種類があります。

種類	主に利用する人	SECURITY ACTIONでの利用
GビズIDプライム	法人代表者・個人事業主本人	利用できる
GビズIDメンバー	会社の従業員・実務担当者	利用できる
GビズIDエントリー	簡易登録した利用者	利用できない

法人代表者または個人事業主本人が手続きする場合は、GビズIDプライムを使用します。従業員がSECURITY ACTIONの申込みを担当する場合は、代表者のプライムアカウントから担当者用のGビズIDメンバーを作成し、必要な権限を設定します。

つまり、GビズIDメンバーを従業員が単独で取得することはできません。まず会社・事業者のプライムアカウントが必要です。

個人事業主本人が申し込む場合も、GビズIDエントリーではなくGビズIDプライムを取得します。

GビズIDを取得済みなら、自己宣言からロゴマークの利用まで最短1日で進められます。取得していない場合は、SECURITY ACTIONより先にGビズIDの申請が必要です。

したがって、「SECURITY ACTIONは15分で終わる」と考えるのではなく、まず自社に利用できるGビズIDがあるかを確認してください。

SECURITY ACTION管理システムで自己宣言する

GビズIDで管理システムへログインした後、個人情報の取扱いとロゴマーク使用規約へ同意し、事業者情報を入力します。

主な入力内容は、事業者名、所在地、業種、所属団体、宣言する取組段階などです。一部の事業者情報と一つ星・二つ星の取組段階は、宣言事業者としてIPAのサイトに公開されます。

二つ星を選ぶ場合は、申込みより先に自社診断と基本方針の外部公開を済ませておきます。

自己宣言IDとロゴマークを確認する

申込手続きが完了すると、自己宣言IDとロゴマークの利用方法を知らせるメールが届きます。

メールが届かない場合でも、管理システムのマイページに自己宣言IDが表示されていれば手続きは完了しています。ロゴマークもマイページからダウンロードできます。

ロゴマークの掲載は任意です。ただし、宣言を社内外へ伝えることで、取組を継続する理由を作りやすくなります。

一つ星の情報セキュリティ6か条

一つ星を「宣言だけ」で終わらせないために、6か条を具体的な確認作業へ置き換えます。

1．OS・ソフトウェアを最新にする

パソコン、スマートフォン、サーバー、ネットワーク機器、業務ソフトを確認し、サポート中の製品を使用します。

自動更新を有効にしていても、長期間使用していない端末や、更新のために再起動が必要な端末は適用が止まっている場合があります。「自動更新だから大丈夫」で終わらせず、更新状況を確認してください。

2．ウイルス対策ソフトを導入する

業務で使用する端末にウイルス対策機能があるか、機能が有効か、定義ファイルが更新されているかを確認します。

製品を導入するだけでなく、警告が出たときに誰が確認し、感染が疑われる端末をどう切り離すかまで決めておくと、実際の対策になります。

3．パスワードを強化する

短く推測しやすいパスワードと、複数サービスでの使い回しをやめます。初期パスワードが残っている機器やサービスも確認します。

特に、クラウドサービス、メール、VPN、管理者アカウントなど、侵入された場合の影響が大きいアカウントでは、多要素認証やパスキーを利用します。

4．共有設定を見直す

クラウドストレージ、ファイルサーバー、NAS、複合機、カメラなどの共有範囲を確認します。

「全員が見られる」「URLを知っていれば見られる」という設定が、本当に必要かを見直してください。退職者や異動者のアカウントとアクセス権も削除・変更します。

5．バックアップを取る

重要なデータを定期的にバックアップし、業務システムやパソコンが使えなくなった場合に復旧できる状態を作ります。

バックアップが本番環境へ常時接続されていると、ランサムウェアによって一緒に暗号化される可能性があります。バックアップ先を分離し、実際にデータを戻せるかまで確認してください。

バックアップの有無と、事業を再開できるかは別の問題です。「バックアップ実効性を中小企業が確認する方法」で、復旧確認の考え方を解説しています。

6．脅威や攻撃の手口を知る

フィッシングメール、偽サイト、請求書のなりすまし、ランサムウェアなど、現在使われている攻撃手口を社内へ伝えます。

「怪しいメールを開かない」だけでは判断できません。迷ったときの連絡先と、誤ってリンクや添付ファイルを開いた場合にすぐ報告できるルールを決めることが重要です。

二つ星を宣言する方法

二つ星は、一つ星よりロゴの数が増えるだけではありません。個別対策から、会社として継続的に取り組む段階へ進むための自己宣言です。

25項目の自社診断を行う

IPAの「5分でできる！情報セキュリティ自社診断」を使い、基本方針、管理体制、従業員、技術対策、取引先対応などを確認します。

診断点数に合格・不合格はありません。重要なのは、回答できなかった項目と「実施しているつもりだった項目」を見つけることです。

診断は一度だけで終わらせず、年1回など時期を決めて再度実施し、改善状況を確認します。

情報セキュリティ基本方針を作成する

基本方針には、会社として情報を守ること、法令や契約を守ること、従業員教育を行うこと、事故が起きた場合に対応することなどを記載します。

IPAのサンプルを利用できますが、会社名と代表者名だけを変えて掲載するのではなく、自社が実際に実行できる内容かを確認してください。

二つ星の基本方針から、SCSに向けた規程整備へ進む場合は「中小企業向けセキュリティポリシーの作り方」も参考にしてください。

基本方針を外部へ公開する

基本方針の公開方法は、自社サイトへの掲載だけではありません。会社案内やパンフレットへの掲載、社内掲示、問い合わせがあったときに提供できる状態なども公開方法として認められています。

個人情報保護方針だけでは、二つ星の情報セキュリティ基本方針を公開したことにはなりません。一方、ISMSの情報セキュリティ方針を公開している場合は、二つ星の取組に該当します。

SECURITY ACTIONとSCS評価制度の違い

SECURITY ACTIONの一つ星・二つ星と、SCS評価制度の★3・★4は別の制度です。

比較項目	SECURITY ACTION	SCS評価制度
段階	一つ星・二つ星	★3・★4・将来の★5
性質	自己宣言	共通基準に基づく評価・登録
第三者の確認	なし	★3は専門家確認、★4は第三者評価・技術検証
費用	無料	申請・登録費用等は今後公表
主な目的	基本対策・組織的取組の開始	取引先の対策水準を確認・可視化する