取引先から「情報セキュリティの対策はどうなっていますか」と聞かれて、何を見せればよいか迷う中小企業は少なくありません。情報処理推進機構（IPA）の「SECURITY ACTION（セキュリティアクション）」は、中小企業が自社の取り組みを自分で宣言する制度です。宣言には「一つ星」と「二つ星」の2段階があります。
この記事では、二つ星に必要な「5分でできる！情報セキュリティ自社診断」について、25問の中身、点数のつけ方、結果の見方をまとめます。設問・点数・結果の見方は、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録3とExcel版の原文に沿っています。
一つ星と二つ星の違い
| 一つ星 | 二つ星 | |
|---|---|---|
| 宣言の内容 | 「情報セキュリティ6か条」に取り組む | 組織的な取り組みを始める |
| 事前に必要 | なし（対策を実施する前でも申し込める） | 「5分でできる！情報セキュリティ自社診断」を実施し、「情報セキュリティ基本方針」を策定して外部に公開する |
| 方針の公開 | — | 申し込みのときに「自社ウェブサイトへの掲載」「会社案内やパンフレットへの掲載」「その他の方法」から選ぶ |
一つ星の「情報セキュリティ6か条」は、OSやソフトウェアを最新にする、ウイルス対策ソフトを入れる、パスワードを強化する、共有設定を見直す、バックアップを取る、脅威や攻撃の手口を知る、の6つです。この6つは、自社診断のPart 1（No.1〜6）と同じ並びになっています。一つ星に取り組んできた会社なら、自社診断のPart 1はすでに見覚えのある内容です。
情報セキュリティ基本方針は、ガイドラインの付録2にWord形式のサンプルがあります。IPAのページでは、必要な項目を自社の事情に合わせて書き換えるだけで作れると案内しています。
自社診断の25問（3つのパート）
25問は、次の3つのパートに分かれています。各項目の名前は、IPAのExcel版で使われているものです。
| パート | No. | 項目 |
|---|---|---|
| Part 1 基本的対策 | 1〜6 | アップデート／ウイルス感染／パスワード／アクセス制御／バックアップ／情報共有 |
| Part 2 従業員としての対策 | 7〜17 | 電子メール受信／電子メール送信／添付重要情報の保護／無線LAN／インターネット／保管／盗難対策／破棄／利用者限定／立ち入り監視／盗難防止 |
| Part 3 組織としての対策 | 18〜25 | ネットワーク監視／ウェブサイト管理／意識教育／個人所有／取引先／外部サービス／事故対応／対策の明確化 |
たとえばNo.1は「パソコンやスマートフォンなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？」、No.25は「情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？」です。問いの中の「重要情報」は、営業秘密など事業に必要で組織にとって価値のある情報や、顧客や従業員の個人情報など、流出すると組織のイメージダウンや損害賠償責任を問われるような情報を指す、と注記されています。
点数のつけ方：「わからない」は−1点
1問ごとに、次の4つから1つを選びます。
| 回答 | 点数 |
|---|---|
| 実施している | 4点 |
| 一部実施している | 2点 |
| 実施していない | 0点 |
| わからない | −1点 |
PDF版では、「実施している」の合計（A）、「一部実施している」の合計（B）、「わからない」の合計（C・マイナス）を足して合計点を出します。25問すべてが「実施している」なら100点です。
「わからない」は「実施していない」より低い点数です。担当者が知らない項目がある、ということ自体を課題として扱う点数のつけ方だと読めます（ここはgiverthの読み方です）。社内でパソコンの管理をしている人や、ホームページを管理している人に聞けば分かる項目は、確かめてから答えると、点数と実態が近くなります。
結果の見方（100点満点）
| 合計点 | IPAの資料の見方（原文） |
|---|---|
| 100点満点 | 入門レベルのセキュリティ対策は達成です。ステップアップを検討しましょう。→「中小企業の情報セキュリティ対策ガイドライン」を参照して、情報セキュリティ対策の強化に取り組みましょう。 |
| 70〜99点 | ほぼ、出来ていますが、部分的に対策が不十分な点があるようです。→小さな隙間から情報が漏えいすることもあります。100点満点を目指しつつ、「中小企業の情報セキュリティ対策ガイドライン」を参照して対策の強化に取り組みましょう。 |
| 50〜69点 | 対策が行き届いていないところが目立ちます。→点数が低かった項目について「解説編」を参考に対策を検討し、「情報セキュリティハンドブック」を活用して周知しましょう。 |
| 49点以下 | いつ情報流出などの事故が起きても不思議ではありません。→「解説編」や「映像で知る情報セキュリティ」を利用して、分からなかった部分や点数が低かった項目を確認し、対策を施しましょう。 |
100点は「入門レベルのセキュリティ対策は達成」という位置づけです。満点でも終わりではなく、ガイドラインを使って次の段階に進むよう書かれています。
点数が低かった項目は、解説編のどこを読むか
付録3のPDFでは、p.4〜8が項目ごとの解説編です。
- p.4：No.1〜6（Part 1 基本的対策）
- p.5：No.7〜11
- p.6：No.12〜17
- p.7：No.18〜21
- p.8：No.22〜25
「5分でできる！情報セキュリティ自社診断」の25問を、IPAの原文のまま画面に並べました。4つの選択肢から選ぶと、IPAと同じ点数のつけ方で合計し、結果の見方と、「実施している」以外の項目の解説編のページを表示します。会員登録不要・送信なし・生成AI不使用です。正式な宣言の手続きは、IPAのSECURITY ACTIONのページから行ってください。
自社診断（25問）を画面で答える →2026年10月の動き
IPAは、不正アクセスによる情報漏えいの公表が相次いでいることを受けて、2026年10月9日に、速やかに実施すべき対策等の注意喚起を公開しました。10月16日からは、実際に被害を受けている、またはその可能性がある企業や組織を対象に、初動対応を支援する「不正アクセス特別相談窓口」を開いています。自社診断は被害を防ぐ対策そのものではありませんが、自社がどこまでできているかを短い時間でつかむ最初の一歩になります。
よくある質問
SECURITY ACTIONの一つ星と二つ星は何が違いますか？
一つ星は、IPAの「情報セキュリティ6か条」に取り組むことを宣言するもので、対策を実施する前でも申し込めます。二つ星は、「5分でできる！情報セキュリティ自社診断」を実施したうえで、「情報セキュリティ基本方針」を策定して外部に公開し、情報セキュリティ対策に取り組むことを宣言するものです。
5分でできる！情報セキュリティ自社診断の点数はどうつけますか？
25問それぞれに、実施している＝4点、一部実施している＝2点、実施していない＝0点、わからない＝−1点をつけて合計します。満点は100点です。IPAの資料では、100点満点、70〜99点、50〜69点、49点以下の4つに分けて、次に取り組むことを示しています。
自社診断の25問はどこで手に入りますか？
IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録3（PDF・全8ページ）と、Excel版がIPAのウェブサイトで公開されています。PDFのp.3が25問の診断編、p.4〜8が項目ごとの解説編です。
「わからない」と答えるとどうなりますか？
「わからない」は−1点で、「実施していない」の0点より低い点数です。IPAの資料では、49点以下だった場合、分からなかった部分や点数が低かった項目を、解説編や「映像で知る情報セキュリティ」で確認するよう勧めています。
社内にAIを入れるときも、外とのつながりから確かめます
giverthは、社内の情報を外に出さずに使えるAI（オフラインAI）の導入を支援しています。AIの機械を置く前に、VPN機器・遠隔保守の回線などの外部とのつながりをヒアリングで確認し、出荷前に侵入テストを行います。社内ネットワーク全体の点検は請け負っていません。初回のご相談は無料です。
無料で相談する