SECURITY ACTIONとは？宣言方法と宣言後にやること

取引先から情報セキュリティの確認シートが届く。開いてみると「SECURITY ACTIONの宣言状況」という欄がある。あるいは補助金の申請フォームを開いたら、自己宣言IDの入力欄が出てくる。

SECURITY ACTIONは、中小企業が「うちはこれに取り組みます」と自分で外に向けて言う制度です。認定でも許可でもないので審査はなく、宣言そのものに費用もかかりません。

分かれ目は、GビズIDプライムというアカウントを持っているかどうかの一点だけです。持っていれば、申し込んだその場で自己宣言IDが出ます。持っていない会社は、まずそのアカウントを取るところで時間がかかり、申請の方法によっては1か月かかります。

私たちデジタル屋さんは、中小企業に外から入ってデジタル化の順番を決める仕事をしています。そのうえで書くと、時間がかかるのは宣言の前ではなく、宣言したあとに残るもののほうだと思います。申込の手順と、あとに残るものを順番に整理します。

その日のうちに終わるか、1か月かかるか

運営しているのはIPA（情報処理推進機構。国の独立行政法人で、中小企業向けのセキュリティ資料を無料で公開しているところ）で、宣言もロゴの使用も無料です。

2026年4月1日に申込方法が変わりました。いまはSECURITY ACTION管理システムにGビズIDでログインして申し込みます。使えるのはGビズIDプライムかメンバーで、エントリーでは申し込めません。そのかわり、以前は1週間ほどかかっていた自己宣言IDの発行が申込直後になり、ロゴも申込直後にダウンロードできるようになりました。IPAは申込方法のページで「②GビズID取得から⑤ロゴマークの使用まで、最短1日で実施が可能」と書いています。

すでにGビズIDプライムを持っている会社なら、思い立ってから30分ほどで終わる手続きです。持っていない会社にとっては、GビズIDプライムを取るところが作業の本体になります。

GビズIDは、デジタル庁が運用している法人向けの共通アカウントです。GビズIDのよくある質問には、申請の方法が2つ書かれています。

• オンライン申請：最短で即日発行。代表者のマイナンバーカードと、それを読み取れるスマートフォン（GビズIDアプリ）が要ります
• 書類郵送申請：印鑑（登録）証明書の原本（発行日から3か月以内）を郵送します。不備がなければ最大1か月以内

締切が決まっている場合、最初に確認したいのは6か条でも星の数でもなく、代表者のマイナンバーカードが今どこにあるかだと思います。手元にあってスマートフォンで読み取れるなら即日、印鑑証明書を郵送するなら最大1か月と、ここで所要期間が分かれます。

今日の手順

最初に決めるのは、一つ星と二つ星のどちらを出すかです。両方を同時に申し込むことはできず、ロゴも二つ並べて使うことはできません。

一つ星は「これから情報セキュリティ6か条に取り組みます」という宣言です。IPAは「対策実施前でもお申込みいただけます」と明記しているので、いま何もできていなくても申し込めます。補助金の要件を満たすためなら、一つ星で足ります。ここでいう補助金は、2026年に名称が変わったIT導入補助金2026｜デジタル化・AI導入補助金の申請先のことです。

二つ星は逆で、自社診断を終えて情報セキュリティ基本方針を公開したあとに申し込みます。一つ星から二つ星へはあとから上げられるので、取引先の確認シートで二つ星を指定されているのでなければ、先に一つ星でよさそうです。

申込フォームで入力するのは事業者情報です。IPAのサイトで公開されるのは、法人なら事業者名・都道府県・市区町村・業種・取組段階で、ロゴマーク使用規約の5-(3)ではこれに法人番号も加わると書かれています。業種は日本標準産業分類の大分類から選び、事業が複数あるなら売上が最大のものを1つ選びます。「所属団体」の欄は参考情報で、所属しているのに未記入でも補助金の申請で不利に扱われることはないとIPAが明言しています。

申込が終わると、直後に自己宣言IDとロゴの使用方法を知らせるメールが届きます。届かないときは迷惑メールフォルダを見て、それでも無ければ管理システムにログインしてマイページを開いてください。マイページに自己宣言IDが出ていれば、手続きは完了しています。

二つ星で止まるのは、たいていここ

ウェブサイトにプライバシーポリシーを載せている会社は多いと思いますが、二つ星の要件はそれでは満たせません。IPAのよくある質問に、そのままの問いが載っています。

Q. 「二つ星」の申込時、個人情報保護方針を公開している場合は、情報セキュリティ基本方針を公開しているとみなすことができますか。
A. いいえ、できません。

個人情報に限らない、情報セキュリティ全体についての方針が別に要る、ということです。逆にISMS（ISO/IEC 27001）の基本方針を公開している会社は、それで二つ星の取り組みに該当します。

一から書く必要はありません。中小企業の情報セキュリティ対策ガイドラインの付録2に、A4一枚のWordサンプルがあります。どこを自社用に直すかは別の記事にまとめています。

公開の方法も、自社ウェブサイトに限られていません。IPAは「自社ウェブサイトに掲載される事例が多いですが、ウェブサイト掲載に限定するものではありません」として、印刷して社内掲示、会社案内やパンフレットへの記載、問い合わせがあった際にメール添付で提供できる状態、を例に挙げています。申込時に「自社ウェブサイトへの掲載」「会社案内やパンフレットへの掲載」「その他の方法」から選ぶだけなので、自社サイトを自分で更新できない会社でも、二つ星は出せます。

自社診断は25項目ありますが、点数の下限はありません。「何点でも構いません」とIPAが答えていて、低い点数が出ても申し込めます。合否が付く試験ではないので、正直に付けたほうがあとで役に立つと思います。

取引先の確認シートに、今日なんと書いて返すか

取引先から届く情報セキュリティの確認シートに「SECURITY ACTIONの宣言状況」の欄があることがあります。今日申し込めば、今日の日付で一つ星を宣言済みと書けますし、自己宣言IDもその場で出ます。

書き方だけ気をつけてください。IPAは不適切な表現を名指ししていて、「認定を受けました」「取得しました」は不適切、「宣言しました」が適切だとしています。認定制度ではないので、認定と書くと相手に誤解させることになります。

やっかいなのは、すでに宣言している会社のほうです。IPAのお知らせに、こう書かれています。

2026年3月以前に自己宣言された事業者は、SECURITY ACTION管理システムの「宣言事業者検索」には表示されません。これまでと同様に宣言事業者一覧（PDF）からご確認ください。

宣言事業者検索はログイン不要で誰でも引けるので、確認シートを送ってきた相手が新しいシステムで御社を検索して、出てこない、という順番が起こりえます。宣言はしているのに載っていない会社に見えてしまうので、返送する前に自社名で一度引いておくと安全だと思います。

あわせて、以前に宣言した会社が新しく申し込み直したほうがよい場面をIPAが4つ挙げています。一つ星から二つ星へ上げるとき、事業者名や所在地や担当者を変えるとき、自己宣言IDやロゴZIPのパスワードを忘れたとき、通知の再送がほしいときです。とくに旧IDとパスワードは、事務局に問い合わせても再発行されません。忘れた場合は、申し込み直すことになります。新旧の自己宣言IDが2つできても問題はなく、事務局が古いほうを中止処理する予定になっています。

ロゴを貼っていい場所、貼ってはいけない場所

ロゴをダウンロードすると、使用規約が付いてきます。SECURITY ACTIONロゴマーク使用規約（自己宣言事業者向け・令和8年4月1日一部改定）です。申込のときに同意する書類なので、一度目を通しておくとよいと思います。

貼ってよいのは、ポスター、パンフレット、名刺、封筒、ウェブサイト等で、使用料はかかりません。加工は「判読可能な範囲内で単純に拡大・縮小する態様での使用に限」られ、縦横比を変えた拡大縮小、規定以外のカラー、回転や変形、一部を隠す、他のマークと結合する、はいずれも不可です。ロゴはIPAの登録商標だと規約に書かれています。

気をつけたいのは禁止事項の6-(3)です。

事業者が提供する特定の商品やサービスの品質・安全性を担保又は証明するような使用若しくは保証すると誤認させるような使用をする場合

会社の信用を示すために名刺や会社案内に置くのは想定された使い方です。一方、特定の商品ページやサービスの案内ページに「この商品は安全です」の意味で置くと、この禁止に当たりえます。宣言しているのは会社であって、商品ではないからです。

規約にはもう一つ、意外と知られていないことが書かれています。IPAはよくある質問で「宣言後の実施報告などを求めることはございません」と答えていますが、規約の5-(1)には、事務局が使用希望者に対して情報セキュリティ基本方針の公開の事実を確認したり、自社診断の実施結果の提出を求めたりする場合がある、と書かれています。5-(6)では、取組状況の確認や取組内容の紹介を目的として実地訪問による取材等を実施する場合がある、とも書かれています。定期報告の義務はないけれど、聞かれない前提でもない、というのが正確なところです。二つ星で「公開しました」と申告して公開していない、という状態は作らないほうがよいと思います。

取り組みの実態と星の段階に実質的な齟齬が生じた場合は、事務局が裁量でロゴの種類の変更等を決定し、書面で通知することがあります（規約5-(9)）。あわせて、ロゴの使用は反社会的勢力に該当しないことの誓約が条件になっています（規約7）。

補助金で、旧IDが使えなくなったのは1つだけ

デジタル化・AI導入補助金（旧：IT導入補助金）は、SECURITY ACTIONの宣言が必須要件です。一つ星か二つ星のどちらかを宣言していれば要件を満たすので、申請フォームで自己宣言IDを求められます。

この補助金だけ、注意点が2つあります。1つは、第2次公募（2026年5月12日17時以降）からは2026年3月以前に発行された「4」で始まる自己宣言IDでは申請できないことです。新しいIDは「5」で始まる11桁です。もう1つは、補助金の申請に使うGビズIDと同じGビズIDでSECURITY ACTIONを申し込む必要があることで、別のGビズIDで宣言してはいけません。

この2つは、デジタル化・AI導入補助金に固有の話です。それ以外の補助金についてはIPAが「はい、できます」と答えていて、旧IDのままで申請できます。ただし今後、管理システムでの自己宣言を求めるよう変更される可能性があるとも書かれているので、申請前に募集要領を見てください。

どの補助金がSECURITY ACTIONを要件や加点にしているかは、IPAの一覧ページにまとまっています。終了した制度は「2024年度まで」のように明記されているので、どこかで見かけた補助金名を鵜呑みにせず、ここで現役かどうかを確かめるほうが早いと思います。

宣言したあとに残るもの

「宣言したら社員全員に研修をさせられるのでは」と身構える方がいますが、全社研修は宣言の要件ではありません。手続きとして必要なのは、一つ星なら申込だけ、二つ星なら基本方針を1枚作って公開することだけで、従業員を集める作業は発生しません。

そのかわり、あとから効いてくるものが5つあります。

• 自己宣言そのものに有効期限はなく、更新手続きも要りません
• ただしGビズIDプライム・メンバーには2年3か月の有効期間があります（2026年7月導入）。制度そのものに期限が無くても、申し込みや変更に使うGビズIDのほうは切れます。切れると補助金の申請にも差し支えます
• GビズIDのメールアドレスを変えたときは、古いGビズIDで自己宣言を削除してから、新しいGビズIDで申し込み直します。担当者が退職して削除できない場合は、IPAの問い合わせフォームから連絡します
• 親会社がグループの情報セキュリティを一括管理していても、子会社ごとに宣言が必要です。原則は1法人に1つ（介護施設だけ例外）
• 合併などで法人番号が変わったら、宣言のやり直しと旧宣言の中止が要ります。社名だけの変更とは扱いが違います

なお、ガイドラインが改訂されて一つ星の中身が5か条から6か条に増えましたが、宣言のやり直しは不要です。改訂版の内容を踏まえて取り組みを進めていくものとして扱われます。

私たちがどう見ているか

デジタル屋さんは、中小企業の外部デジタル顧問として、月額で会社の中に入る仕事をしています。そのうえで書くと、SECURITY ACTIONの宣言そのものは、外に出す仕事ではないと思います。GビズIDを取って、管理システムで申し込むだけの手続きなので、ここに費用をかける理由はないと考えています。

外に出す価値があるとすれば、その後ろにある4つのほうかもしれません。基本方針に何を書くか。書いた方針を毎年誰が見直すか。取引先から確認シートが届いたとき、誰が答えるか。GビズIDの有効期限が切れる前に、誰が気づくか。ここが決まっていないと、宣言だけが済んで社内の運用は何も変わりません。ロゴが名刺に載っているのに、確認シートに答えられる人が社内に1人もいない、という形になります。

自社がどこで止まっているのかがはっきりしないときは、会社の課題診断を用意しています。5分ほどで、どこに手を入れるべきかの見当が付きます。宣言は今日ご自身で終わらせてしまって、そのあとの話だけ持ってきてもらうのがいちばん早いと思います。

この記事で参照した一次情報

• IPA「SECURITY ACTION 自己宣言の申込方法」
• IPA「SECURITY ACTION よくある質問」
• IPA「SECURITY ACTION管理システムリリースのご案内」
• IPA「SECURITY ACTIONロゴマーク使用規約（自己宣言事業者）」（PDF）
• IPA「デジタル化・AI導入補助金の申請について」
• IPA「中小企業の情報セキュリティ対策ガイドライン」
• デジタル庁「GビズID よくある質問」