【2026年最新】IPA中小企業情報セキュリティ対策ガイドライン第4.0版をどこより分かりやすく解説

IPA「中小企業の情報セキュリティ対策ガイドライン」とは？ 

「中小企業の情報セキュリティ対策ガイドライン」は、独立行政法人情報処理推進機構（IPA）が、中小企業向けに公開している情報セキュリティ対策の公式ガイドです。中小企業だけでなく、小規模事業者、個人事業主、各種団体も対象に含まれています。主な読者は、経営者と、社内で情報管理やセキュリティ対策を担当する人です。 

第1部：経営者編 

セキュリティ対策を怠ることで会社が受ける不利益や、経営者が負う責任、経営者が認識・実行すべき事項が説明されています。 

第2部：実践編 

現場の担当者が、どのような順番でセキュリティ対策を進めればよいのかが、段階的に説明されています。 

さらに、実務で利用できる次の付録も公開されています。 

• 情報セキュリティ基本方針のサンプル 

• 5分でできる情報セキュリティ自社診断 

• 情報セキュリティハンドブックのひな形 

• 情報セキュリティ関連規程のサンプル 

• 資産管理台帳のサンプル 

• クラウドサービス安全利用の手引き 

• セキュリティインシデント対応の手引き 

• セキュリティ人材の確保・育成に関するガイドブック 

新人社員：70ページもあると、読む前から挫折しそうです…… 

セキスぺパートナー：全部を暗記する資料ではないよ。自社の状況を確認し、次に何をするか決めるための地図として使えばいいんだ。 

なぜ中小企業のセキュリティ担当者が理解する必要があるのか 

このガイドラインは、経営者だけの資料ではありません。中小企業のセキュリティ担当者にとって重要な理由は、大きく5つあります。 

理由1：担当者の経験や勘だけで対策を決めなくて済む 

中小企業では、「パソコンに詳しい」「外部ベンダーとの窓口になっている」といった理由で担当を任されることがあります。その場合、何をどこまで行うべきかという基準が曖昧になりがちです。 

ガイドラインを理解しておけば、担当者個人の経験や販売会社から勧められた製品だけに頼らず、公的機関が示した基準をもとに対策を整理できます。経営者へ予算や人員を求める際の説明根拠にもなります。ガイドラインは、担当者が一人で責任を抱え込まないための根拠です。 

理由2：セキュリティ事故が「ITの問題」ではなく「経営の問題」になっている 

ランサムウェアに感染した場合、困るのはパソコンが使えなくなることだけではありません。顧客情報を確認できない、受発注や出荷ができない、請求書を発行できない、給与計算ができないといった形で、事業全体へ影響します。 

セキュリティ担当者が守るのは機器だけではなく、会社が事業を続けられる状態そのものです。 

理由3：取引先から対策状況を確認される可能性がある 

攻撃者が対策の比較的弱い企業へ侵入し、メールや共有システムなどを経由して取引先へ被害を広げることがあります。そのため、取引先から更新、認証、バックアップ、教育、事故対応などの実施状況を確認される機会が増えると考えられます。 

対策を実施していても、担当者が内容を把握せず記録もなければ説明できません。設定作業に加えて、自社の実施状況を把握し、説明できる状態にすることが必要です。 

理由4：事故発生時に最初の判断を迫られる 

不審な添付ファイルを開いた、偽サイトへパスワードを入力した、共有フォルダが開かない、ウェブサイトが改ざんされた可能性がある。こうした相談を最初に受けるのは、社内の担当者であることが多いでしょう。 

事故が起きてから連絡先や手順を探すのでは遅れます。第一連絡先、経営者への報告基準、外部相談先、端末の隔離手順、復旧責任者などを平常時に決めておく必要があります。 

理由5：担当者だけでは実行できない対策が多い 

予算確保、古いシステムの更新、全社員研修、社内ルール、取引先との契約見直し、対外説明、復旧優先順位などは、担当者一人では決められません。 

ガイドラインを理解することで、「担当者が対応すること」と「経営者に判断してもらうこと」を切り分けやすくなります。 

新人社員：セキュリティ担当者は、ウイルスを見つける人だと思っていました。 

セキスぺパートナー：それも役割の一つだけど、本当の目的は事業への影響を小さくすることなんだ。 

第4.0版の主な変更点 

変更点	内容	担当者が確認すること
情報セキュリティ6か条	従来の5か条にバックアップを追加	取得状況だけでなく、保存先と復元方法を確認する
サプライチェーン対策の強化	SCS評価制度の基本的な考え方を反映	取引先から対策状況を聞かれても説明できるようにする
人材確保・育成ガイドの追加	社内外の人材を活用する考え方や事例を追加	担当者一人で抱えず、体制と相談先を決める

また、「5分でできる！情報セキュリティ自社診断」には、内部ネットワークを守るための不正アクセス対策や、ウェブサイトの安全な運用などを確認する項目も盛り込まれています。 

中小企業が最初に取り組む「情報セキュリティ6か条」 

1. OSやソフトウェアは常に最新の状態にしよう！ 

2. ウイルス対策ソフトを導入しよう！ 

3. パスワードを強化しよう！ 

4. 共有設定を見直そう！ 

5. バックアップを取ろう！ 

6. 脅威や攻撃の手口を知ろう！ 

第1条：OSやソフトウェアは常に最新の状態にしよう！ 

OSやソフトウェアには、公開後にセキュリティ上の問題が見つかることがあります。更新プログラムを適用せずに使い続けると、弱点を悪用される可能性があります。 

担当者が確認すること 

• WindowsやmacOSの自動更新が有効か 

• ブラウザやPDF閲覧ソフトが更新されているか 

• サポート終了OSを使用していないか 

• ルーターやNASのファームウェアが更新されているか 

• WordPress本体、テーマ、プラグインが更新されているか 

• 更新状況を誰が確認するか決まっているか 

第2条：ウイルス対策ソフトを導入しよう！ 

ウイルス対策ソフトは、不審なファイルやマルウェアを検知し、削除・隔離する仕組みです。インストールするだけでなく、更新と警告確認の運用が必要です。 

担当者が確認すること 

• すべての業務用パソコンへ導入されているか 

• 定義ファイルが自動更新されているか 

• 検知された警告を誰が確認するか 

• 従業員が勝手に機能を停止できないか 

• OS標準のセキュリティ機能が有効か 

第3条：パスワードを強化しよう！ 

短く単純なパスワードや使い回しは、不正ログインの原因になります。重要なサービスでは多要素認証やパスキーも活用しましょう。 

担当者が確認すること 

• できるだけ長く、推測されにくいパスワードにする 

• 複数サービスで使い回さない 

• 初期パスワードを変更する 

• メール、クラウド、VPN、会計、管理画面を優先する 

• 会社が認めたパスワード管理ツールを検討する 

第4条：共有設定を見直そう！ 

クラウドストレージ、NAS、複合機などは、共有設定を誤ると、本来見る必要のない人へ情報が公開されます。基本は「必要な人に、必要な期間、必要な権限だけ」です。 

担当者が確認すること 

• 共有フォルダの管理者を決める 

• 定期的に権限を確認する 

• 入社、異動、退職時の申請手順を作る 

• 社外共有に期限を設定する 

• 管理者アカウントを通常業務で使用しない 

第5条：バックアップを取ろう！ 

第4.0版で新たに追加された項目です。データは攻撃だけでなく、故障、誤削除、不具合、災害、盗難でも失われます。バックアップは「取る」だけでなく「戻せる」ことが重要です。 

担当者が確認すること 

• 何をバックアップするか 

• どの頻度で取得するか 

• どこへ保存し、何世代残すか 

• 誰が成功・失敗を確認するか 

• 誰が復元作業を行うか 

• どの業務から優先して復旧するか 

• 実際に復元できるか定期的に試す 

新人社員：外付けハードディスクに毎日コピーしているので大丈夫ですよね？ 

セキスぺパートナー：常につないだままだと、バックアップも一緒に暗号化される可能性があるよ。切り離した保管と復元テストも必要なんだ。 

第6条：脅威や攻撃の手口を知ろう！ 

攻撃の手口は変化しています。担当者がすべてを見抜くのではなく、必要な情報を集め、社員へ伝え、すぐ報告してもらえる仕組みを作ることが重要です。 

担当者が確認すること 

• 最近増えているフィッシングメールを共有する 

• 不審な添付ファイルやURLの特徴を伝える 

• 振込先変更メールは別経路で確認する 

• 感染が疑われる場合の連絡先を周知する 

• ミスを責めず、早く報告できる雰囲気を作る 

6か条だけ実施すれば十分なのか？ 

情報セキュリティ6か条は、最初に取り組む基本対策です。すべての攻撃を防げるという意味ではありません。第4.0版では、次のように段階的に対策を進めます。 

段階	取り組み
ステップ1	6か条を実施し、できるところから始める
ステップ2	基本方針を作り、自社診断で現状を把握し、対策を社内へ周知する
ステップ3	体制、規程、資産管理、防御・検知、点検、事故対応、委託先管理を整える
ステップ4	リスク分析を行い、クラウド、ウェブサイト、テレワークなどの対策を強化する

担当者にとって重要なのは、一気に高度な状態を目指すことではありません。自社が現在どの段階にいるかを把握し、次に何をするか決めることです。 

担当者はまず「5分でできる！情報セキュリティ自社診断」を実施しよう 

自社診断は25項目で構成され、「実施している」「一部実施している」「実施していない」「分からない」の4段階で回答します。 

分類	主な確認内容
基本的対策	更新、ウイルス対策、パスワード、共有設定、バックアップ、情報収集
従業員としての対策	メール、情報の受け渡し、持ち出し、廃棄、盗難、無線LAN
組織としての対策	教育、外部サービス、取引先との契約、事故対応、社内ルール

高得点を取ることが目的ではありません。「実施していない」と「分からない」を見つけることが目的です。特に「分からない」は、設定以前に、管理者や運用状況を把握できていない可能性があります。 

• バックアップが正常に取得できているか 

• ルーターが更新されているか 

• 退職者のアカウントが残っていないか 

• ウェブサイトの保守範囲はどこまでか 

• 事故発生時に誰へ連絡するか 

• 外部保守会社が何を管理しているか 

まとめ：ガイドラインは担当者を縛るものではなく、担当者を守るもの 

第4.0版で押さえておきたい変更点は、バックアップを含む6か条、サプライチェーン全体で対策する考え方、人材確保・育成に関する付録の追加です。 

担当者がガイドラインを理解する目的は、専門家になることではありません。自社の現状を整理し、優先順位を付け、経営者や外部事業者と共通認識を持つことです。 

• 対策の抜け漏れを確認できる 

• 経営者へ予算や体制の必要性を説明できる 

• 取引先からの確認に回答できる 

• 事故発生時に迷わず動ける 

• 外部ベンダーとの役割分担を明確にできる 

• 担当者一人で責任を抱え込まずに済む 

新人社員：ガイドラインを読むと、仕事が増えそうで不安でした。 

セキスぺパートナー：逆だよ。何をどこまでやるべきか整理して、担当者だけで抱え込まないために使うんだ。 

まずはIPAの「5分でできる！情報セキュリティ自社診断」を実施し、自社の「分からない」を見つけるところから始めてみましょう。 

参考文献・参照サイト

本記事で解説した「中小企業の情報セキュリティ対策ガイドライン第4.0版」の原文、および実務でそのまま使える各種付録（ひな形・診断シート）は、以下のIPA（独立行政法人情報処理推進機構）公式ページより無料でダウンロードいただけます。

IPA公式ガイドライン・解説資料

• IPA 中小企業の情報セキュリティ対策ガイドライン 概要ページ
  ガイドラインの改訂背景や、経営者編・実践編の構成についてまとめたIPAの公式案内トップページです。
• 中小企業の情報セキュリティ対策ガイドライン第4.0版（本体PDF）
  2026年3月に改訂された全70ページにおよぶガイドラインの公式全編PDFデータです。
• ガイドライン第4.0版 改訂のポイント解説資料（PDF）
  従来の5か条から「バックアップ」が追加されて「情報セキュリティ6か条」になった経緯など、改訂の要点をスライド形式で分かりやすくまとめた公式資料です。

実務で使えるダウンロードツール（付録）

• 5分でできる！情報セキュリティ自社診断（PDF版）
  本記事の後半で紹介した、自社のセキュリティ状況や「分からないこと」を25項目で洗い出せるセルフチェックシートです。
• 情報セキュリティ5か条・6か条 案内ページ
  中小企業がまず取り組むべき一歩として、IPAが普及を推進している基本対策の取り組み方法やロゴマークの申請手順が掲載されています。