サイバーセキュリティ経営ガイドライン｜10項目と、中小企業向けの7項目

セキュリティは情報システム担当の仕事だ、と思われがちです。
機器を選び、設定をし、更新をかける。
確かにそれは担当者の仕事です。

しかし、その担当者が「予算をください」「業務を止めさせてください」「他部署にも守らせてください」と言えるかというと、言えません。
権限がないからです。

この点について、国は文書を2つ用意しています。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」と、IPAの「中小企業の情報セキュリティ対策ガイドライン」です。

前者は、経営者が指示すべきことを10項目挙げています。
後者は、7項目です。
同じIPAが関わっていて、数が違います。

違うのは、対象にしている会社の規模です。
そして中小企業にとって効くのは、7項目のほうです。

この記事では、2つの文書が何を求めているのかを並べ、専任の担当者がいない会社が明日から手をつけられる順番まで落とします。
費用のかからないところから始めます。

なぜ、これが経営者の仕事なのか

現場だけでは決められないこと

まず、担当者の判断では決まらないことを並べてみます。

• 機器やサービスに、いくらまで使えるのか

• 業務を止めてでも復旧を優先するのか

• 取引先に、自社の対策状況をどこまで開示するのか

• 社員に、どこまでの手間を強いるのか

• 事故が起きたとき、誰が対外的に説明するのか

どれも経営判断です。
そして、これらが決まっていない状態では、担当者がどれだけ知識を持っていても動けません。

セキュリティの話が現場で止まりがちなのは、技術の話に見えるからです。
実際には、資源配分と権限の話が大半を占めます。

経営ガイドラインが挙げる、3つの原則

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」は、平成27年のVer1.0以来、経営者向けの指針として使われてきた文書です。
現行はVer3.0で、令和5年3月24日に公開されました。
本編は全53ページです。

この文書は、経営者が認識すべき3原則を次のように書いています。

3つの原則が、実務では何を意味するか

1つ目のリーダーシップは、担当者に任せきりにしない、という意味です。
現実的には、経営者がこの話題を会議の議題に載せるかどうかに表れます。
議題に載らなければ、予算も出ませんし、他部署も動きません。

ガイドラインは、この原則の解説で、対策の実施を通じてリスクを許容できる水準まで下げることが経営者としての責務である、と書いています。
現場の努力目標ではなく、経営者の責務として書かれている点が要点です。

2つ目のサプライチェーンは、自社だけ守っても足りない、という意味です。
委託先が事故を起こせば、自社の顧客情報が漏れます。
逆に、自社が事故を起こせば、取引先に迷惑がかかります。

ガイドラインは、自社の対策が不十分だった場合、自社がサプライチェーンの他企業にとっての加害者の立場になる、とはっきり書いています。
被害者になる話だけではありません。

3つ目のコミュニケーションは、平時と緊急時の両方が挙げられている点が重要です。
緊急時だけ話せる関係は、まず作れません。
平時に話していない相手とは、緊急時にも話せないということです。

ガイドラインは、ここでいう関係者に、社内の担当者だけでなく、IPA、JPCERT/CC、商工会議所、セキュリティ関連製品・サービスの事業者を含めています。

重要10項目は、「指示」の一覧として書かれている

10項目は、5つの塊に分かれている

3原則の先に置かれているのが、「サイバーセキュリティ経営の重要10項目」です。

この10項目には特徴があります。
やるべきことの一覧ではなく、経営者がCISO等に指示すべきことの一覧として書かれている点です。

実際、10項目はいずれも「指示1」「指示2」という形で並んでいます。
経営者が自分で手を動かす項目ではありません。

この作りは、実務に照らすと合理的です。
経営者にファイアウォールの設定はできません。
できるのは、設定する人に予算と権限と期限を与えることです。
逆に言えば、指示が出ていない項目は、社内の誰もやらないままになります。

ガイドラインは、10項目を5つの区分に分けて並べています。

• 経営者がリーダーシップをとったセキュリティ対策の推進

• （サイバーセキュリティリスクの管理体制構築）指示1・指示2・指示3

• （サイバーセキュリティリスクの特定と対策の実装）指示4・指示5・指示6

• （インシデント発生に備えた体制構築）指示7・指示8

• サプライチェーンセキュリティ対策の推進：指示9

• ステークホルダーを含めた関係者とのコミュニケーションの推進：指示10

10項目の全体

原文の表記は次のとおりです。

• 指示1 サイバーセキュリティリスクの認識、組織全体での対応方針の策定

• 指示2 サイバーセキュリティリスク管理体制の構築

• 指示3 サイバーセキュリティ対策のための資源（予算、人材等）確保

• 指示4 サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

• 指示5 サイバーセキュリティリスクに効果的に対応する仕組みの構築

• 指示6 PDCAサイクルによるサイバーセキュリティ対策の継続的改善

• 指示7 インシデント発生時の緊急対応体制の整備

• 指示8 インシデントによる被害に備えた事業継続・復旧体制の整備

• 指示9 ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策

• 指示10 サイバーセキュリティに関する情報の収集、共有及び開示の促進

指示1から3が前提です。
方針を決め、体制を作り、予算と人材をつける。
このうち指示3が、最も経営者らしい仕事だと思います。
方針も体制も、資源がなければ紙のままで終わります。

指示4から6が、回すための仕組みです。
リスクを洗い出し、対応する仕組みを作り、一度やって終わりにしない。
セキュリティ対策が形骸化する典型は、導入したきり見直さないという状態です。

指示7と8は、事故が起きることを前提にした項目です。
気づいた人が何をするか、誰に連絡するか、どこに届け出るか。
そして、戻せる状態を作り、戻す順番を決めておく。
防ぐことと、起きたあとに立て直すことが、別の項目として立てられています。

指示9と10は、社外に向いた項目です。
委託先や取引先の対策状況を把握すること。
脅威の情報を集め、自社の対策状況を必要に応じて外に示すこと。
中小企業にとっては、把握する側であると同時に、把握される側でもあります。

チェックシートは、付録に入っている

10項目を点検表にして使いたくなりますが、自分で作る必要はありません。
ガイドラインの付録Aが、そのままチェックシートになっています。

付録A-1が3原則に関するチェックシートで、経営者のセルフチェックを想定した9つの項目です。
付録A-2が重要10項目に関するチェックシートで、こちらは実務者がチェックして経営者が結果を確認する形が想定されています。

IPAは、この付録A-2をもとにした「サイバーセキュリティ経営可視化ツール」も公開しています。

なお、このガイドラインが対象にしているのは、大企業と、中小企業のうち小規模事業者を除く企業です。
社員が数人の会社を、正面から想定した文書ではありません。
ここが、次の話につながります。

PR

中小企業には、7項目の版がある

対象が違う

IPAは「中小企業の情報セキュリティ対策ガイドライン」を別に公開しています。
2016年11月に初版が出て、2026年3月27日に第4.0版が公開されました。
本編は経営者編と実践編に分かれており、全70ページです。

そしてこちらは、個人事業主と小規模事業者を含む中小企業の利用を想定しています。
経営ガイドラインが外していた層が、入っています。

3原則は、言い方が変わっている

中小企業向けガイドラインの経営者編にも3原則があります。
中身は対応していますが、言い方が実務の言葉になっています。

• 原則1 情報セキュリティ対策は経営者のリーダーシップで進める

• 原則2 委託先の情報セキュリティ対策まで考慮する

• 原則3 関係者とは常に情報セキュリティに関するコミュニケーションをとる

重要7項目の取組

そして、重要10項目にあたるものが、こちらでは7項目になっています。

• 取組1 情報セキュリティに関する組織全体の対応方針を定める

• 取組2 情報セキュリティ対策のための予算や人材などを確保する

• 取組3 必要と考えられる対策を検討させて実行を指示する

• 取組4 情報セキュリティ対策に関する適宜の見直しを指示する

• 取組5 緊急時の対応や復旧のための体制を整備する

• 取組6 委託や外部サービス利用の際にはセキュリティに関する責任を明確にする

• 取組7 情報セキュリティに関する最新動向を収集する

10項目と並べると、対応関係が見えます。

• 取組1は指示1、取組2は指示3にあたります

• 取組3が指示4と指示5、取組4が指示6をまとめています

• 取組5が指示7と指示8をまとめています

• 取組6が指示9、取組7が指示10にあたります

指示2の「リスク管理体制の構築」が独立した項目として立っていません。
専任の担当者を置けない会社で体制図を先に描いても意味がない、という判断だと読めます。

7項目のほうは、経営者が自ら実行することも必要になる、と書かれています。
10項目が「指示する」で統一されているのとは違う点です。

第4.0版は、付録が本体だと思う

このガイドラインの価値は、本編よりも付録にあります。
付録は8つあり、いずれもサンプル、ひな形、診断表です。

• 付録1 中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック（全14ページ）

• 付録2 情報セキュリティ基本方針（サンプル）（全1ページ、Word）

• 付録3 5分でできる！情報セキュリティ自社診断（全8ページ）

• 付録4 情報セキュリティハンドブック（ひな形）（全17ページ）

• 付録5 情報セキュリティ関連規程（サンプル）（全59ページ、Word）

• 付録6 資産管理台帳（サンプル）（全9シート、Excel）

• 付録7 中小企業のためのクラウドサービス安全利用の手引き（全8ページ）

• 付録8 中小企業のためのセキュリティインシデント対応の手引き（全8ページ）

読むための文書ではなく、使うための道具が並んでいます。
付録5の規程サンプルは全59ページで、赤字と青字の部分を自社向けに直せば自社の規程になる、という作りです。

実践編は、STEP1「できるところから始める」、STEP2「組織的な取り組みを開始する」、STEP3「本格的に取り組む」、STEP4「より強固にするための方策」の4段階になっています。
どこまで進むかは会社の判断で、STEP1で止めても構いません。

なお、第4.0版で何が変わったかと、付録8のインシデント対応の手引きについては、別の記事で扱いました。
6か条に「バックアップを取ろう！」が加わった経緯も、そちらに書いています。

まず、25項目の自社診断をやる

5分でできる、という名前どおりの分量

付録3の「5分でできる！情報セキュリティ自社診断」は、25項目の設問に答えるだけの診断表です。
内訳は次のとおりです。

• Part1 基本的対策：6項目

• Part2 従業員としての対策：11項目

• Part3 組織としての対策：8項目

Part1の6項目は、情報セキュリティ6か条とそのまま対応しています。
OSとソフトウェアを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を絞る、バックアップを取る、脅威と手口を知る。

採点方法が決まっている

この診断表には配点があります。

• 実施している：4点

• 一部実施している：2点

• 実施していない：0点

• わからない：マイナス1点

25項目すべてを実施していれば100点です。
そして「わからない」がマイナス点になっている点が、この診断表の性格をよく表しています。
把握していないこと自体が減点だという設計です。

第4.0版では、この診断項目に「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」が新しく加わりました。

診断表は、Excel版も出ている

2026年4月21日に、この自社診断のExcel版が公開されました。
PDFを印刷して手で書き込む必要がなくなっています。

25項目という分量は、専任の担当者がいない会社でも1回は通せる規模だと思います。
そして、この診断表は次に扱う制度の要件にもなっています。

SECURITY ACTIONは、宣言する制度

一つ星と二つ星の要件

IPAは「SECURITY ACTION」という制度を運営しています。
中小企業自らが、情報セキュリティ対策に取り組むことを自己宣言する制度です。

段階は2つあります。

一つ星の要件は、「情報セキュリティ6か条」に取り組むことです。
二つ星の要件は、付録3の自社診断で自社の状況を把握したうえで、付録2の情報セキュリティ基本方針を定め、外部に公開することです。

つまり、ガイドラインの付録を順に使っていけば、そのまま二つ星まで到達できる作りになっています。
宣言すると、一つ星または二つ星のロゴマークを無料で使用できます。

ここで、意外に知られていない点を1つ挙げます。
IPAは一つ星について、こう書いています。

対策が終わってから宣言するのではありません。
これから取り組むことを宣言する、という制度です。

「認定」ではなく「宣言」である

実務上の注意が1つあります。
IPAは、次のように書いています。

自己宣言の制度である以上、第三者から認められたと受け取られる表現は正確ではない、という趣旨です。
自社のウェブサイトや会社案内に載せるときは、この表記に気をつけてください。

逆に言えば、宣言しましたという表現で書ける程度のものだからこそ、費用も手間もかけずに始められる制度だとも言えます。

補助金の要件になっている

この宣言は、いくつかの補助金で申請要件または加点対象になっています。
IPAが一覧を公開しており、2026年9月時点では次のようなものが挙がっています。

• デジタル化・AI導入補助金（旧：IT導入補助金）

• 介護テクノロジー定着支援事業・介護テクノロジー導入支援事業

• DX認定制度（二つ星が、セキュリティ監査の要件の代替になる場合がある）

• 東京都中小企業振興公社 サイバーセキュリティ対策促進助成金

• 埼玉県 中小企業DX導入支援補助金 ほか

この一覧は入れ替わります。
すでに対象外になった補助金も同じページに並べてあるので、応募する制度の公募要領で必ず確認してください。

星の数が、そのまま先につながっている

もう1つ、押さえておく価値のある話があります。

経済産業省が検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」は、星の数で対策水準を示す制度です。
この制度の段階は、★3から始まります。

理由は、中間取りまとめにこう書かれています。

SECURITY ACTIONの一つ星と二つ星が、この制度の★1と★2にあたる、という整理です。
いま宣言しておくことが、そのまま次の制度の入口に立っていることになります。

この制度そのものは、別の記事で扱っています。

2026年9月時点の最新状況

資料の現在地を整理しておきます。

サイバーセキュリティ経営ガイドラインは、令和5年3月24日公開のVer3.0が最新です。
経済産業省のページの最終更新は2023年5月31日で、その後の改訂はありません。
関連するIPAのプラクティス集は第4版です。

中小企業の情報セキュリティ対策ガイドラインは、2026年3月27日公開の第4.0版が最新です。
ページの最終更新は2026年7月3日で、6月1日に文言の一部修正、7月3日にIPAのロゴ更新が入っています。
内容が変わる改訂ではありません。

自社診断のExcel版は2026年4月21日に公開されました。

SECURITY ACTIONについては、宣言事業者の確認方法が変わっています。
2026年3月以前に申し込まれた事業者は一覧ページに掲載されていますが、2026年4月以降の分は、SECURITY ACTION管理システムの宣言事業者検索で調べる形になりました。
取引先の宣言状況を確かめるときは、この2つを見分ける必要があります。

サプライチェーン強化に向けたセキュリティ対策評価制度は、2026年度末頃の制度開始が予定されています。
2026年8月28日にIPAが基本規程等を公開しており、事業者側の枠組みが固まってきた段階です。

明日から手をつける順番

ここまでの内容を、着手の順番に並べ直します。

1. 付録3の「5分でできる！情報セキュリティ自社診断」をやる。25項目です

2. できていない項目のうち、6か条に関わるものから手をつける

3. 付録2のサンプルをもとに、情報セキュリティ基本方針を作る。全1ページのWordです

4. SECURITY ACTIONを宣言する

5. 重要10項目、または重要7項目を点検表にして、指示が出ていない項目を洗い出す

6. 被害に気づいた人がまず何をするかを、1枚の紙にして社内に配る

1から4までは、費用がかかりません。
時間で言えば、数日から数週間の話です。
5と6は、その先にある継続的な作業です。

順番が大事なのは、最初に大きな計画を立てようとすると始まらないからです。
まず診断して、できていないところを1つ直す。
その循環に入ってしまえば、あとは続きます。

経営者にしか、できないこと

最後に、担当者に指示できないことを3つ挙げます。

1つ目、方針を出すこと。
セキュリティにどこまで手間と費用をかけるのか、経営として決めて、言葉にする。
これがないと、現場は毎回自分の判断で線を引くことになります。

2つ目、予算をつけること。
重要10項目の指示3、重要7項目の取組2です。
ここが空欄のままでは、他の項目はすべて絵に描いた餅になります。

3つ目、報告できる空気を作ること。
これがいちばん大事だと思います。

初動の質を決めるのは、気づいた人が黙らないかどうかです。
そして人が黙るのは、報告すると責められると分かっているときです。

まだ何も分かっていない段階の報告を、経営者が責めない。
おかしいと思ったことを言った人を、経営者が評価する。
これは制度でも予算でもなく、経営者の態度でしか作れません。

指示7と指示8、そして重要7項目の取組5を書面にするなら、書式があります。
初動72時間フローシートと事前準備チェックリストを含む6種です。

まとめ

• サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、CISO等に指示すべき重要10項目を示している。現行はVer3.0（令和5年3月24日公開、全53ページ）

• 10項目はすべて「指示1」「指示2」という形で書かれている。経営者が手を動かす項目ではなく、指示を出す項目の一覧

• 点検表を自作する必要はない。付録Aがそのままチェックシートになっている

• ただしこのガイドラインの対象は、大企業と、中小企業のうち小規模事業者を除く企業

• 中小企業の情報セキュリティ対策ガイドライン（第4.0版、2026年3月27日公開、全70ページ）は、個人事業主と小規模事業者を含む中小企業が対象で、重要10項目にあたるものが7項目になっている

• 7項目は10項目の一部を統合したもので、指示2のリスク管理体制の構築だけが独立した項目になっていない

• 第4.0版の付録は8つ。基本方針のサンプル、規程のサンプル（全59ページ）、資産管理台帳、自社診断など、そのまま使える道具が並ぶ

• 5分でできる！情報セキュリティ自社診断は25項目。基本的対策6、従業員としての対策11、組織としての対策8

• 配点は、実施している4点、一部実施2点、実施していない0点、わからないはマイナス1点。25項目すべてで100点

• 2026年4月21日に自社診断のExcel版が公開された

• SECURITY ACTIONは自己宣言の制度。一つ星は6か条に取り組むこと、二つ星は自社診断のうえで基本方針を定めて外部に公開すること

• 一つ星は、対策を実施する前でも申し込める

• 「認定を受けました」「取得しました」ではなく「宣言しました」と書く

• SECURITY ACTIONの一つ星・二つ星があるため、サプライチェーンの評価制度は★3から始まる

セキュリティ対策は、予算と権限を必要とするため、現場の努力だけでは完結しません。
経営者が決めなければ始まらない、というのはそういう意味です。

そして、決めることそのものには、費用がかかりません。
自社診断も、基本方針のサンプルも、SECURITY ACTIONの宣言も、無料です。

皆さんの会社では、25項目の自社診断を、いくつ「はい」と答えられるでしょうか。

参考・引用元

経済産業省

• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（令和5年3月24日公開、全53ページ） https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf

• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を公表しました（2025年4月14日） https://www.meti.go.jp/press/2025/04/20250414002/20250414002.html

IPA

• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月27日公開。ページ最終更新2026年7月3日） https://www.ipa.go.jp/security/guide/sme/about.html

• 同 本編（全70ページ） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf

• 同 付録3「5分でできる！情報セキュリティ自社診断」（全8ページ） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_3.pdf

• 同 説明資料（全34ページ） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_setsumeisiryou.pdf

• IPA「SECURITY ACTION セキュリティ対策自己宣言」 https://www.ipa.go.jp/security/security-action/sa/

• IPA「一つ星を宣言する」 https://www.ipa.go.jp/security/security-action/onestar/

• IPA「SECURITY ACTIONを申請・加点要件としている補助金・助成金等の一覧」 https://www.ipa.go.jp/security/security-action/requirement/requirement.html

• IPA「2026年3月以前に申込された宣言事業者一覧」 https://www.ipa.go.jp/security/security-action/activity/

• IPA「サイバーセキュリティ経営可視化ツール」 https://www.ipa.go.jp/security/economics/checktool/index.html

• IPA「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」 https://www.ipa.go.jp/security/economics/csm-practice.html

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40

関連する記事

星の数で対策水準を示す制度そのものは、別の記事で扱っています。
★3と★4の違いと、7分類ごとにやることをまとめています。
https://note.com/yunta_fukurou/n/n5d7f3ef6199f

ガイドライン第4.0版で何が変わったかと、付録8のインシデント対応の手引きは、こちらで扱っています。
被害に気づいた直後の10分と、相談先・届出先もあわせてまとめています。
https://note.com/yunta_fukurou/n/ndb7fdddb2cf5

方針を先に決めておくことの意味は、別の記事で扱っています。
公的機関が身代金を支払わないよう求める理由と、払わないと決めた会社が実際にやることをまとめています。
https://note.com/yunta_fukurou/n/nde158fba40a4

6か条に加わったバックアップの側は、こちらで扱っています。
3-2-1ルールの出どころと、戻せるかを年1回で確かめる方法をまとめています。
https://note.com/yunta_fukurou/n/nacbfdb5577fd

事故が起きたときに国へ報告する義務そのものは、別の記事で扱っています。
速報と確報の期限、委員会に出す9項目と本人に伝える5項目をまとめています。
https://note.com/yunta_fukurou/n/nfcbb88c4a3af

予算の話を保険の側から見ると、こうなります。
保険料を決める3つと、見積もりで聞かれることをまとめています。
https://note.com/yunta_fukurou/n/n7d055d350f79