SECURITY ACTIONとは｜建設会社の一つ星・二つ星の宣言手順

SECURITY ACTION（セキュリティアクション）とは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPA（情報処理推進機構）の制度です。 一つ星は「情報セキュリティ6か条」に取り組むこと、二つ星は「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで情報セキュリティ基本方針を定めて外部に公開することが要件で、段階に応じたロゴマークを無料で使えます。IPAが対策の状況を認定する制度ではないため、「取得しました」ではなく「宣言しました」と表現します。

2026年4月からは、GビズID（行政の手続きに使う法人向けの共通アカウント）でSECURITY ACTION管理システムにログインして申し込む方式に変わりました。デジタル化・AI導入補助金（旧：IT導入補助金）の申請では、一つ星か二つ星のどちらかを宣言していることが必須の要件です。この記事では、作業所を持つ建設会社が、6か条と自社診断をどう自社に当てはめれば中身のある宣言になるかを整理します。

【早見表】一つ星と二つ星の違い

項目	一つ星	二つ星
要件	「情報セキュリティ6か条」に取り組む	「5分でできる！情報セキュリティ自社診断」で状況を把握し、情報セキュリティ基本方針を定めて外部に公開する
使う資料	中小企業の情報セキュリティ対策ガイドライン	同ガイドラインの付録（自社診断、基本方針のサンプル）
ロゴマーク	一つ星のロゴを無料で使える	二つ星のロゴを無料で使える
始め方	対策に取り組んだことのない会社でもすぐ始められる	一つ星と同等の取り組みができていれば、二つ星から始めることもできる
表現の注意	「認定を受けました」「取得しました」は不適切。「宣言しました」と表現する	同じ

出典：IPA「SECURITY ACTION」、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

情報セキュリティ6か条を建設会社に当てはめる

IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）は、企業の規模に関わらず必ず実行すべき対策を「情報セキュリティ6か条」にまとめています。以前の版では「情報セキュリティ5か条」と呼ばれていましたが、第4.0版では「バックアップを取ろう！」を含む6か条になっています。宣言を形だけにしないために、作業所を含めて何をするかに置き換えます。

6か条	建設会社で具体的にすること
1. OSやソフトウェアは常に最新の状態にしよう！	作業所に持ち込んだPC、作業所のルーターやネットワークカメラも更新の対象にする
2. ウイルス対策ソフトを導入しよう！	本社と全作業所の端末で、有効期限が切れていないか一覧で確かめる
3. パスワードを強化しよう！	作業所の共有IDをやめ、長く・複雑に・使い回さない（パスワード管理のルール）
4. 共有設定を見直そう！	協力会社と使うクラウドストレージの共有範囲を見直し、竣工した現場の共有を止める
5. バックアップを取ろう！	図面、工事写真、契約書類、会計データのバックアップを取り、戻せるか試す（バックアップの方法と3-2-1ルール）
6. 脅威や攻撃の手口を知ろう！	協力会社を装った振込先変更のメールなど、建設会社が狙われやすい手口を朝礼や安全大会の場で共有する

6つ目の「手口を知る」は、現場の朝礼や安全教育の仕組みに乗せると続けやすくなります。安全の話と同じように、短い事例を1つずつ伝えるだけでも効果があります。

二つ星：自社診断は本社と作業所の両方で

「5分でできる！情報セキュリティ自社診断」は25の質問に答える形式で、Part1「基本的対策」、Part2「従業員としての対策」、Part3「組織としての対策」に分かれています。それぞれ「実施している」「一部実施している」「実施していない」「わからない」で答え、点数で状況を把握します。

建設会社では、本社だけで答えると作業所の実態が抜けます。次のように分担すると、答えの精度が上がります。

質問の例	主に答える人
電子メールやFAXの宛先の送信ミスを防ぐ取り組みをしているか	本社の事務・経理
重要情報が記載された書類や電子媒体を持ち出す時に、盗難や紛失の対策をしているか	作業所の所長
関係者以外の事務所への立ち入りを制限しているか	作業所の所長（協力会社や来訪者の出入りがある仮設事務所）
個人所有の情報機器を業務で利用する場合の対策を明確にしているか	本社の情報システム担当と作業所の所長
重要情報の授受を伴う取引先との契約書に、秘密保持条項を規定しているか	本社の契約担当
セキュリティ事故が発生した場合に備え、緊急時の体制や対応手順を作成しているか	経営者

「わからない」と答えた項目は、点数が下がるだけでなく、誰も管理していない場所を示しています。点数より、「わからない」がどこに出たかを見て、担当を決めるのに使ってください。

その後、ガイドラインの付録にある情報セキュリティ基本方針のサンプルをもとに自社の方針を定め、ホームページなどで外部に公開します。

宣言の手順（2026年4月から）

1. GビズIDを用意する: プライムまたはメンバーのアカウントが必要で、エントリーは使えません。補助金の申請を予定している場合は、補助金の申請に使うGビズIDで申し込みます
2. 一つ星か二つ星かを決める: 6か条に取り組んだうえで、自社診断と基本方針の公開まで進めるなら二つ星を選びます
3. SECURITY ACTION管理システムで申し込む: 申込の直後に自己宣言IDが発行され、ロゴマークもすぐにダウンロードできます
4. 社内に周知する: 宣言した内容を、本社と各作業所に伝えます。宣言は会社単位なので、作業所で守られていなければ意味がありません

注意したいのは、以前の方式で宣言した会社です。IPAによると、デジタル化・AI導入補助金の第2次公募（2026年5月12日17時以降）からは、先頭が「4」で始まる11桁の旧方式の自己宣言IDは使えません。新しい方式では「5」で始まる11桁のIDが発行されます。補助金の申請を考えている会社は、自社のIDを確かめてください。

宣言を取引の場で生かす

IPAのガイドラインは、SECURITY ACTIONが顧客や取引先との信頼関係の構築に役立ち、デジタル化やサイバーセキュリティ対策を支援する公的支援制度の要件にもなっていると説明しています。元請の建設会社にとっては、次の2つの場面で役に立ちます。

• 発注者から対策の説明を求められたとき: 工場や物流倉庫など、情報の守りに厳しい発注者から、受注者としての取り組みを聞かれる場面が増えています。宣言と基本方針は、最初に示せる資料になります
• 協力会社に求める目安として: 協力会社に「何をしてほしいか」を伝えるとき、6か条は共通の言葉として使いやすい水準です。求め方はサプライチェーン攻撃とはで整理しています

よくある質問

Q. SECURITY ACTIONの宣言に費用はかかりますか。 A. IPAは、取り組み段階に応じてロゴマークを無料で使えると案内しています。申込にはGビズIDが必要なので、未取得の場合は先にGビズIDの手続きを済ませてください。

Q. 宣言すれば、セキュリティ対策ができていると認められたことになりますか。 A. なりません。SECURITY ACTIONは自己宣言の制度で、IPAが対策の状況を認定するものではありません。対外的には「一つ星（二つ星）を宣言しました」と表現します。

Q. 一つ星と二つ星のどちらから始めればよいですか。 A. 初めて取り組むなら一つ星から始め、6か条を作業所まで行き渡らせてから二つ星に進むのが無理のない順番です。すでに同等の取り組みができていれば、二つ星から始めることもできます。

まとめ

SECURITY ACTIONは、6か条と自社診断という共通の物差しで、自社の取り組みを外に示せる制度です。建設会社では、本社だけで宣言を済ませず、作業所のPC・共有ID・協力会社との共有設定まで6か条を当てはめることが、宣言に中身を持たせる鍵です。補助金の要件として使う場合は、2026年4月からの新しい申込方式とIDの違いに注意してください。

出典・参考

• IPA（情報処理推進機構）「SECURITY ACTION セキュリティ対策自己宣言」: https://www.ipa.go.jp/security/security-action/sa/index.html
• IPA「SECURITY ACTION 申込方法の変更について」（2026年4月からの変更点）: https://www.ipa.go.jp/security/security-action/news/sa-notice-202602.html
• IPA「デジタル化・AI導入補助金（旧：IT導入補助金）の申請をご検討の方へ」: https://www.ipa.go.jp/security/security-action/it-hojo.html
• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）情報セキュリティ6か条、付録「5分でできる！情報セキュリティ自社診断」: https://www.ipa.go.jp/security/guide/sme/about.html

※ 2026年10月14日時点で各資料を確認しています。