当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
SECURITY ACTIONとは
SECURITY ACTIONとは、独立行政法人情報処理推進機構（IPA）が推進する、小規模事業者向けの情報セキュリティ自己宣言制度である。
情報セキュリティ対策へ取り組むことを自ら宣言し、その取り組みを社外へ示すことを目的としている。
なお、第三者機関が対策状況を審査・認証する制度ではなく、事業者自身が取り組みを宣言する自己宣言制度である。
SECURITY ACTIONの目的
SECURITY ACTIONは、小規模事業者でも基本的な情報セキュリティ対策へ取り組みやすくすることを目的としている。
また、取引先や顧客に対して、情報セキュリティ対策へ取り組んでいることを示す役割も持つ。
専門の情報システム担当者がいない事業者でも、段階的に対策へ取り組めるよう設計されていることが特徴である。
SECURITY ACTIONの二つの段階
SECURITY ACTIONには、一つ星と二つ星の二つの段階が用意されている。
★ 一つ星
一つ星は、「情報セキュリティ6か条」へ取り組むことを自己宣言する段階である。
情報セキュリティ6か条では、次のような基本的な対策を扱う。
- OSやソフトウェアを最新の状態にする
- ウイルス対策ソフトを導入する
- パスワードを適切に管理する
- 共有設定を見直す
- 情報セキュリティの脅威や手口を知る
- バックアップを取得する
まずはこれらの基本対策へ取り組むことが求められる。
★★ 二つ星
二つ星では、「5分でできる！情報セキュリティ自社診断」を実施し、自社の対策状況を確認する。
さらに、情報セキュリティ基本方針を策定・公開し、継続的に情報セキュリティ対策へ取り組むことを自己宣言する。
一つ星よりも計画的・継続的な運用を重視した内容となっている。
SECURITY ACTIONは何を基準にしているのか
SECURITY ACTIONは、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」を基に構成されている。
そのため、SECURITY ACTIONは制度そのものではなく、ガイドラインに沿って情報セキュリティ対策へ取り組むための入口という位置付けである。
ガイドラインでは、基本的な情報セキュリティ対策だけでなく、情報資産の管理、委託先管理、インシデント対応、バックアップなどについても解説されている。
SECURITY ACTIONへ取り組むメリット
SECURITY ACTIONへ取り組むことで、次のようなメリットがある。
- 基本的な情報セキュリティ対策を体系的に確認できる
- 社内で情報セキュリティ対策を進めるきっかけになる
- 取引先へ取り組み状況を示しやすくなる
- 一部の補助金・助成金や制度において、申請要件や加点要件として利用される場合がある
SECURITY ACTIONの限界
SECURITY ACTIONを宣言しただけで、安全な事業者になるわけではない。
また、一つ星や二つ星を取得した後も、新たな脅威への対応やシステムの更新、運用の見直しを継続する必要がある。
SECURITY ACTIONは、情報セキュリティ対策のゴールではなく、継続的な改善を始めるための出発点として活用することが重要である。
まとめ
SECURITY ACTIONとは、IPAが推進する小規模事業者向けの情報セキュリティ自己宣言制度である。
認証制度ではなく、事業者自身が情報セキュリティ対策へ取り組むことを宣言する制度であり、「中小企業の情報セキュリティ対策ガイドライン」に基づいて構成されている。
情報セキュリティ対策は、一度宣言して終わりではない。SECURITY ACTIONを入口として、自社の状況に合わせた対策を継続的に実施することが重要である。