中小企業の情報セキュリティ対策ガイドライン第4.0版とは｜3.1版からの変更点・6か条・4つのSTEP

IPA（独立行政法人情報処理推進機構）は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」を第3.1版（2023年4月）から改訂し、第4.0版を公開しました。いちばん目立つ変更は、最初に取り組む「情報セキュリティ5か条」に「バックアップを取ろう！」が加わり、6か条になったことです。実践編はSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の考え方に合わせて全面的に書き直され、人材の確保・育成のガイドブックが付録1として追加されました。

本編と付録はIPAのガイドライン配布ページから無償でダウンロードできます。この記事では、本編（全70ページ）・説明資料・付録1・6か条解説編の記載をもとに、第3.1版からの変更点、経営者編の3原則と重要7項目、実践編の4つのSTEPでやることを整理します。後半では、SECURITY ACTIONやSCS評価制度の★との対応と、人手や予算が足りない会社が使える支援策を扱います。

まとめ：第4.0版の変更点と最初に手を付ける順番

• 公開は2026年3月27日。本編70ページと付録8点の構成で、対象は個人事業主を含む全業種の中小企業です。工場設備や制御システムは対象外です。
• 5か条は6か条になり、No.5に「バックアップを取ろう！」が入りました。自社診断は25項目のまま内訳が変わり、外部からの不要な通信の遮断とウェブサイトの安全な運用が加わっています。
• 実践編はSTEP1「できるところから始める」からSTEP4「より強固にするための方策」までの4段階です。STEP3の規程サンプル（付録5）には、SCS評価制度★3・★4の要求事項との対応表があります。
• SECURITY ACTIONの一つ星が6か条、二つ星が自社診断25項目に対応し、SCS評価制度は★3から始まります。★3・★4の運用開始は2027年3月頃の予定です。
• 第3.1版で取り組んできた会社は、まず第4.0版の自社診断（2026年4月21日にExcel版も公開）を受け直し、バックアップと外部公開サーバーの項目から点検すると差分を埋めやすくなります。

第4.0版の構成と配布物｜本編70ページと付録8点の使い道

本ガイドラインは、第1部「経営者編」と第2部「実践編」の本編に、すぐ編集して使えるひな形などの付録8点が付く構成です。想定読者は経営者と、対策を実践する責任者・担当者です。業務でのIT利用と情報資産の管理が記載範囲で、工場設備や制御システムなどの分野は対象外と明記されています。

配布物は公開後も増えています。IPAのガイドラインページの更新履歴では、2026年4月21日に自社診断のExcel版、6月1日に本編などの文言修正、9月30日に「情報セキュリティ6か条（解説編）」（24ページ）と「5分でできる！情報セキュリティ自社診断（解説編）」（110ページ）が追加されました。3月に本編だけをダウンロードした場合は、追加公開された解説編2点もダウンロードしてください。付録7の15項目のチェックシートは、クラウドサービスを選ぶ前の確認表としてそのまま使えます。

第3.1版から第4.0版への変更点｜6か条・自社診断・実践編・付録の差分

IPAは改訂の背景として、ランサムウェアで被害が情報漏えいから事業停止まで広がったこと、サプライチェーンを介した被害の拡大、社内で対策を進める人材の著しい不足の3点を挙げています。改訂は第1部・第2部の基本構成を残したうえで、2024年度の中小企業実態調査と支援機関・中小企業へのヒアリングを反映したものです。

5か条から6か条へ｜No.5「バックアップを取ろう！」の追加

第4.0版の6か条は次のとおりです。追加されたのはNo.5で、他の5項目は第3.1版の5か条を引き継いでいます。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！（第4.0版で追加）
6. 脅威や攻撃の手口を知ろう！

No.3は「長く」「複雑に」「使い回さない」の3点を求めています。ログインできる外部サービスが多い会社は、パスワード強化と合わせて多要素認証の方式を確認して導入すると、パスワードだけが流出した場合の不正ログインのリスクを下げられます。

自社診断25項目の内訳変更と追加された2つの観点

付録3の自社診断は、第4.0版でも25項目です。内訳は基本的対策6項目、従業員としての対策11項目、組織としての対策8項目で、基本的対策の6項目は6か条と1対1で対応します。プレスリリースが新たな診断項目として挙げたのは「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」の2つです。診断票では「内部ネットワークを守るため、不正アクセス対策機能を設定していますか？」と「ウェブサイトで公開すべきでない情報を公開していませんか？」の設問になっています。

VPN機器やリモート保守用の回線、自社サイトのCMSが、この2項目で点検する入口です。この2項目で対策が未実施・不十分、または実施状況が分からない会社は、6か条と合わせて対策を進めてください。

実践編の全面改訂と付録の見直し

第2部の実践編は、中小企業実態調査の結果とSCS評価制度を受けて全面的に改訂されました。STEP3には「攻撃等の防御」「攻撃等の検知」「取引先／外部情報サービスの管理」の項が並び、★3・★4で問われる技術的な防御と取引先管理に沿った並びになっています。付録3と付録4はSTEP2に、付録5は新しい実践編に合わせて見直され、付録6の資産管理台帳も改訂されました。

第3.1版の規程サンプルを自社用に書き換えて使っている会社は、付録5の第4.0版と見比べ、★3・★4の要求事項との対応表（付録5のP56-57）で不足している規程だけを足すと手戻りが少なくなります。

経営者編の3原則と重要7項目｜経営者が指示する範囲

第1部は、対策を怠ったときの不利益（金銭の損失・顧客の喪失・事業の停止・従業員への影響）と経営者の責任を説明したうえで、経営者が認識すべき「3原則」と、実行すべき「重要7項目の取組」を示します。3原則は次のとおりです。

1. 情報セキュリティ対策は経営者のリーダーシップで進める
2. 委託先の情報セキュリティ対策まで考慮する
3. 関係者とは常に情報セキュリティに関するコミュニケーションをとる

重要7項目は、経営者が責任者・担当者に指示する（場合によっては自ら実行する）取り組みです。

経営者の法的責任について、本編は取締役の善管注意義務と任務懈怠による損害賠償責任を挙げています。個人情報保護法やマイナンバー法の違反では行為者だけでなく事業者にも罰則が科されることがあり、会社法の第三者責任や民法の不法行為責任が認められれば、経営者個人が損害賠償を負う場合もあると書かれています。7項目のうち取組1と取組2は担当者に任せられない項目です。担当者が自社診断で問題を見つけても、方針と予算が無ければ対策は進みません。

実践編4つのSTEPの進め方｜自社の段階の見極め方

実践編は、できるところから始めて段階的に引き上げる4つのSTEPで構成されます。付録1は、自社に合ったSTEPを選んで進め、取り組みの結果を見ながら次のSTEPへ移るよう勧めています。対策に着手したばかりの会社は、まずSTEP1とSTEP2で基本対策を整えてください。取引先の要求だけでなく、自社の情報資産や業務停止時の影響を踏まえて、STEP3以降に進む必要性を判断します。

STEP1「できるところから始める」｜6か条と兼務の担当者1人

STEP1は6か条を守るところから始めます。付録1は、この段階でも社内のセキュリティ担当者を兼務でよいので1人は確保するよう求めています。事例に出てくる従業員30人の建設業A社は、取引先がサイバー攻撃でサーバーのデータを全て失い業務が止まったのをきっかけに、Webサイトの作成を担当していた従業員を兼務の担当者に任命しました。担当者は分からない点を取引のあるITベンダーに聞きながら、OSとソフトウェアの最新化、ウイルス対策、バックアップから着手しています。

STEP2「組織的な取り組みを開始する」｜基本方針・自社診断・ハンドブック

STEP2では、付録2を編集して基本方針を作り、従業員と関係者に周知します。続いて付録3の自社診断で実施状況を把握し、問題があった項目の対策を自社診断の解説編を参考に決め、付録4のハンドブックにまとめて社内に配ります。付録1は、担当者を役割に応じて兼務で複数名にすることと、IPAの情報セキュリティマネジメント試験などで知識を補うことを勧めています。従業員10人の金属加工業B社は、社長と担当者がこの試験に合格した後、ベンダーの提案内容を理解したうえで、Wi-Fi機器の設定やファイアウォールの不要ポートの無効化を選べるようになりました。

STEP3「本格的に取り組む」｜規程・資産管理・インシデント対応の10項目

STEP3は、(1)基本方針の作成、(2)体制の整備、(3)情報セキュリティ規程の作成、(4)資産管理、(5)攻撃等の防御、(6)攻撃等の検知、(7)点検と改善、(8)インシデント対応体制等の整備、(9)取引先／外部情報サービスの管理、(10)情報収集と共有の10項目です。(5)の防御は、IDアクセス制御、データセキュリティ（暗号化・保管・バックアップ）、プラットフォームセキュリティ（安全な構成・ログ取得）、技術インフラの境界防護、意識向上とトレーニングの5分野に分かれます。付録1はこの段階から専任の担当者を置くよう勧めています。

(8)では、インシデントの範囲とレベルを先に決めておきます。説明資料の例は次の4段階です。

規程は付録5の赤字・青字部分を自社向けに直せば形になりますが、(4)の資産管理を飛ばすと、どの情報を守る規程なのかが決まりません。付録6の「情報資産管理台帳」シートで業務に使っている情報を先に洗い出してから規程に入ってください。

STEP4「より強固にするための方策」｜リスク分析とクラウド・テレワーク・ウェブサイト

STEP4は、(1)資産ベースのリスク分析、(2)技術的対策例と活用、(3)セキュリティサービス例と活用、(4)ウェブサイト、(5)クラウドサービス、(6)テレワーク、(7)セキュリティインシデント対応の7項目です。リスク分析では、情報資産ごとに機密性・完全性・可用性を評価し、そのうち最大の値を重要度とします。リスク値の大きい資産から、低減・保有・回避・移転のいずれかの対応を選びます。

(3)のセキュリティサービスには、コンサルテーション、教育、監査、脆弱性診断、デジタルフォレンジック、監視・運用、機器検証の7種類が並びます。外部に頼む範囲を決めるときは脆弱性診断の種類と外注時の判断基準、自社サイトの作り込みは設計段階から作り込む安全なWebサイトの基本が参考になります。付録1の事例では、従業員50人の情報通信業D社が、従業員に情報処理安全確保支援士を取らせたうえで、監視は外部のサービスに委託し、社内にCSIRTを構築しています。

バックアップを6か条に入れた理由と「戻せるか」の確認

バックアップが最初の6か条に入ったのは、ランサムウェアの被害が情報漏えいにとどまらず、事業活動の停止にまで広がっているためです。6か条解説編は、No.5の対策例として次の5つを挙げています。

• 重要情報のバックアップを定期的に行う
• バックアップに使う装置・媒体は、バックアップ時のみパソコンと接続する
• 取得方法を決める（オンラインバックアップの活用など）
• バックアップしたデータを安全な場所に保管する
• 戻せるかを定期的に確認する

同じ解説編は「3-2-1ルール」として、本体を含めてデータのコピーを3つ以上持ち、2種類のメディアに保管し、そのうち1つは稼働システムと異なる拠点に置くことを示しています。例は「パソコン本体＋バックアップ用記憶装置＋クラウドサーバー」です。Windowsの標準機能では、Windowsバックアップ（OneDriveへの保存）、ファイル履歴、システムイメージの3つを使い分けるよう説明しています。IPAはシステムイメージもランサムウェア対策に有効と説明しています。ただし、Windowsのシステムイメージバックアップ（コントロールパネルの「バックアップと復元（Windows 7）」）はMicrosoftが非推奨機能に挙げており、フルディスクのバックアップには他社製品を使うよう案内しています。新しく仕組みを作る会社は、こちらを前提に製品を選んでください。

確認したいのは、共有フォルダ用のNASにバックアップも置き、常時つないだままにしていないかという点です。この構成では、感染端末や侵害されたアカウントからバックアップも書き換えられる場合、業務データと同時に暗号化されるおそれがあります。NASが暗号化された後の復旧の経緯は佐賀大学のランサムウェア被害と事務NASの暗号化で読めます。自社診断でバックアップの設問に「実施している」と答える前に、一度実際にファイルを戻してみて、何時間かかるかを測っておいてください。

SECURITY ACTIONとSCS評価制度への対応｜★1・★2と★3・★4の関係

説明資料の参考図は、ガイドラインのSTEP1〜STEP4を、SECURITY ACTIONの一つ星・二つ星とSCS評価制度の★3・★4に順に対応させています。SCS評価制度の★が3から始まるのは、★1・★2にあたる段階をSECURITY ACTIONの自己宣言が担っているためです。

SECURITY ACTIONの一つ星は、6か条にこれから取り組むことを宣言するもので、対策を終える前でも申し込めます。二つ星は、自社診断を実施し、情報セキュリティ基本方針を策定して外部に公開したうえで宣言します。基本方針の公開が要件に入っている点が、一つ星との違いです。

SCS評価制度の★3は全てのサプライチェーン企業が最低限実装すべき対策、★4は取引先管理や検知、インシデント対応まで含む標準的な対策と位置づけられています。IPAのよくある質問では★3・★4の運用開始は2027年3月頃の予定です。要求事項の中身、評価方法の違い、登録料はセキュリティ対策評価制度（SCS評価制度）とは：★3・★4の違いと開始時期・費用で詳しく扱っています。取引先から★の取得を打診された会社は、付録5の対応表で自社の規程に足りない要求事項を洗い出すところから始めると、ガイドラインの作業がそのまま★の準備になります。

人手と予算が足りない会社が使える支援｜お助け隊サービスと補助金

担当者を置けない会社向けに、IPAは「サイバーセキュリティお助け隊サービス」を基準に適合したサービスとして登録しています。サービス基準2.1版（2025年9月8日）では、1類サービスの価格に上限があります。

2類サービスには一律の上限が無く、業種・規模・システム構成に照らして妥当な額であることが要件です。導入費用には、デジタル化・AI導入補助金2026の「セキュリティ対策推進枠」を使えます。お助け隊サービスリストに載ったサービスのうちIT導入支援事業者が提供して事務局に登録されたものが対象で、サービス利用料を最大2年分補助します。補助額は5万円〜150万円、補助率は小規模事業者が3分の2以内、中小企業が2分の1以内です（セキュリティ対策推進枠の公式ページ）。

お助け隊を入れても、6か条と自社診断の取り組みは社内に残ります。パッチの適用や共有設定の見直しまで委託できるかは、契約するサービスの範囲によります。異常監視だけで社内の対策が完了すると考えず、委託先と自社の担当範囲を確認してください。付録1も、兼務でよいので担当者を1人確保したうえで、社内だけでは難しい対策を外部の専門家に相談する順番を示しています。

中小企業の情報セキュリティ対策ガイドラインのよくある質問

第3.1版の資料はまだ使えますか？

IPAのガイドラインページで配布されているのは第4.0版です。第3.1版の5か条にはバックアップの項目が無く、自社診断の設問も入れ替わっているため、社内研修や取引先への説明に使う資料は第4.0版に差し替えてください。英語版は、IPAの英語ページで第3.1版が配布されています。

5分でできる自社診断はExcelでも実施できますか？

できます。2026年4月21日に「5分でできる！情報セキュリティ自社診断Excel版」が公開されました。紙の付録3（8ページ）と設問は同じ25項目で、2026年9月30日に公開された解説編（110ページ）に、問題があった項目ごとの対策例が載っています。

SCS評価制度の★取得に補助金は使えますか？

★の取得に向けた対策のうち、監視サービスなどの費用には、お助け隊サービスを対象とするデジタル化・AI導入補助金のセキュリティ対策推進枠（補助額5万円〜150万円）を使えます。IPAは★3・★4の取得を伴走支援する「お助け隊サービス（新類型）」の実証事業を2026年10月から1年間の予定で行い、2027年度末までの制度化を目指しているため、最新の状況はIPAのSCS評価制度のページで確認してください。

個人事業主や数人の会社もガイドラインの対象ですか？

対象です。本編は対象組織を全ての業種の中小企業と小規模事業者とし、法人・個人事業主・各種団体を含むと明記しています。人数が少ない会社は、STEP1の6か条とSECURITY ACTIONの一つ星から始めるのが現実的です。

クラウドサービスを選ぶときのチェックリストはどれですか？

付録7「中小企業のためのクラウドサービス安全利用の手引き」に15項目のチェックシートがあります。利用する業務の明確化、取り扱う情報の重要度、事業者の信頼性、バックアップへの責任、利用終了時のデータの取り扱い、データ保存先の所在地などを、選定・運用・セキュリティ対策の順に確かめる構成です。説明資料（32ページ）も別に配布されています。

関連記事

• セキュリティ対策評価制度（SCS評価制度）とは：★3・★4の違いと開始時期・費用
• サプライチェーン攻撃とは？起点別3類型と最新事例・対策の優先順位
• ISMSとISO 27001の違いとは？「仕組み」と「規格」の関係を最新規格対応で解説
• NIST CSF 2.0（サイバーセキュリティフレームワーク）とは？6機能・22カテゴリの構成と1.1からの変更点、導入の進め方
• 佐賀大学のランサムウェア被害と事務NASの暗号化｜4日で業務再開した初動と戻せるバックアップ