設計事務所 業務改善Navi
図面・資料管理

SECURITY ACTIONとは？設計事務所が宣言する手順

· 編集：KMC株式会社

IPAのSECURITY ACTION（セキュリティ対策自己宣言）の一つ星・二つ星の要件と宣言の手順を、設計事務所の業務に当てはめて解説します。6か条の読み替え表、自社診断の進め方、補助金との関係も整理します。

SECURITY ACTIONは中小企業が対策に取り組むことを自ら宣言する制度

SECURITY ACTIONは、IPA（独立行政法人情報処理推進機構）が運営する、中小企業が自ら情報セキュリティ対策に取り組むことを宣言する自己宣言制度です。取り組みの段階は二つあり、「★一つ星」は「情報セキュリティ6か条」に取り組むこと、「★★二つ星」は「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで「情報セキュリティ基本方針」を定めて外部に公開することが要件です。段階に応じたロゴマークは無料で使えます。

設計事務所にとっては、少人数でも最低限の対策を一つずつ確かめる手順書として使えること、発注者や取引先に取り組みを説明する材料になること、補助金の申請要件になっている場合があることの三つが利点です。本記事では、6か条を設計事務所の業務に読み替え、宣言までの手順をまとめます。

宣言の前に知っておくこと

項目IPAの説明
位置づけIPAによる認定や認証ではない。「認定を受けました」「取得しました」は誤解を招くため不適切で、「宣言しました」が適切な表現
一つ星の要件「中小企業の情報セキュリティ対策ガイドライン」の「情報セキュリティ6か条」に取り組む
二つ星の要件付録3の自社診断で状況を把握し、付録2のサンプルを参考に情報セキュリティ基本方針を定めて外部に公開する
始める段階すでに一つ星相当の対策ができていれば、二つ星から始めることもできる
ロゴマーク段階に応じたロゴを無料で使用できる
申込の仕組み2026年4月1日に申込方法が変わり、SECURITY ACTION管理システムからの申込にはGビズID（プライムまたはメンバー）のアカウントが必須になった

宣言はゴールではなく、対策を回し始める合図です。宣言した内容と実際の運用が食い違っていれば、かえって信用を損ないます。

6か条を設計事務所の業務に読み替える

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版では、従来の5か条に「バックアップを取ろう！」が加わり、6か条になりました。設計事務所での具体的な確認事項に読み替えると次のようになります。

6か条設計事務所で確認すること
1 OSやソフトウェアは常に最新の状態にしよう！CAD・BIMソフト、PDF閲覧ソフト、NASやVPN機器、複合機の更新が止まっていないか
2 ウイルス対策ソフトを導入しよう！作業用PC、持ち出しPCすべてに入り、定義ファイルが自動更新されているか。役割分担はEDRとUTMの違いを参照
3 パスワードを強化しよう！10文字以上で使い回しがないか、メールと図面の保管先に多要素認証があるか。パスワード管理を参照
4 共有設定を見直そう！案件フォルダ、NAS、複合機のスキャン保存先が必要な人だけに共有されているか。退職者や終了した外注先の設定が残っていないか
5 バックアップを取ろう！図面・BIM・申請図書を、別の場所から復元できるか。バックアップの手順を参照
6 脅威や攻撃の手口を知ろう！取引先を装うメールや偽のログイン画面の手口を、事務所内で共有しているか

6か条は、組織の規模に関わらず必ず実行すべき基本的な対策とされています。一つ星の宣言前に、この表の右列を一つずつ確かめて、できていないものから直します。

二つ星に進む：自社診断の進め方

「5分でできる！情報セキュリティ自社診断」は、25の診断項目に「実施している」「一部実施している」「実施していない」「わからない」で答え、点数をつける形式です。全項目を実施すると100点満点になります。第4.0版では「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」に関する項目が加わりました。

少人数の事務所では、代表者だけで答えると実態とずれることがあります。次の進め方をおすすめします。

  1. 代表者と、実務で図面や機器を扱う担当者の二人以上で別々に答える。
  2. 答えが分かれた項目を話し合い、「わからない」は事実を確認してから答え直す。
  3. 「実施していない」「一部実施している」の項目に、担当と期限を付けて改善表を作る。
  4. 半年後にもう一度診断し、点数と改善表の進み具合を記録する。

改善表の記入例：診断項目「重要情報の受け渡しは安全な手段で行っているか」。現状は一部実施（施主へのPDF送付をメール添付とパスワードの同送で行っている）。対策は共有リンクの相手指定へ切り替え。担当A、期限は来月末。

診断で迷いやすい設計事務所ならではの論点として、施主から預かる住宅の図面や写真が「重要情報」に当たるか、という点があります。自社診断の注記は、重要情報を営業秘密など事業に必要な情報や、顧客や従業員の個人情報など流出すると損害賠償責任を問われるなど管理責任を伴う情報と説明しています。施主の氏名や住所と結びついた図面や写真は、重要情報として扱う前提で答えます。

情報セキュリティ基本方針の作り方

二つ星では、基本方針を定めて外部に公開します。IPAのガイドライン付録2にサンプルがあります。サンプルの言葉をそのまま使うのではなく、事務所の実態に合わせて直します。

方針に入れる要素設計事務所での書き方の観点
守る対象施主・発注者から預かる図面、計画情報、個人情報
法令や契約の順守個人情報の保護に関する法律や、発注者との契約での取り決め
社内の取り組み教育、アカウント管理、外注先の管理
事故への対応事故が起きたときの連絡と再発防止
見直し定期的に見直すこと

公開する場所は事務所のウェブサイトが一般的です。公開した方針は約束になるため、実行できない内容は書きません。

補助金や保険との関係

IPAは、「デジタル化・AI導入補助金（旧：IT導入補助金）」の申請には、SECURITY ACTIONの「★一つ星」または「★★二つ星」のいずれかを宣言していることが要件になっていると案内しています。また、同補助金2026の第2次公募（2026年5月12日17時以降）からは、SECURITY ACTION管理システムで申し込んだ自己宣言IDでなければ補助金申請ができず、先頭が「4」で始まる11桁の自己宣言IDは利用できないとしています。2026年3月以前に申し込んだ宣言は補助金の交付申請に使えないため、補助金を検討する事務所はGビズIDを用意して改めて申し込みます。補助金の公募要領は回ごとに変わるため、申請前に最新の要領を確認してください。

IPAのガイドラインは、サイバー保険の団体制度などでSECURITY ACTIONの宣言やプライバシーマーク・ISMSの認証があると保険料が割引になる場合があることにも触れています。保険の選び方はサイバー保険の記事で扱います。

宣言後に続けること

時期やること
毎月アカウントと共有設定の点検、更新が止まっていないかの確認
半年ごと自社診断のやり直しと改善表の更新
年に一度基本方針の見直し、事故時の連絡先の更新
取引先から確認を求められたとき宣言の段階と、実際の取り組み内容を正確に答える

取引先からの確認への備え方は、サプライチェーン攻撃の記事にまとめています。

よくある質問

一つ星と二つ星のどちらから始めればよいですか

6か条がまだ固まっていなければ、一つ星から始めます。6か条の対策がすでにできている場合は、二つ星から始めることもできるとIPAは説明しています。

宣言したことを名刺やウェブサイトに書けますか

段階に応じたロゴマークを無料で使えます。表現は「宣言しました」とし、「認定」「取得」とは書きません。

宣言には費用がかかりますか

IPAはロゴマークの使用を無料としています。申込にはGビズIDのアカウントが必要です。手順はIPAの申込方法のページで最新の案内を確認してください。

出典・参考

6か条の読み替え表と診断の進め方は、上記の資料をもとに設計事務所向けに整理した例です。制度や補助金の要件は変わることがあるため、申込や申請の前にIPAと補助金事務局の最新情報を確認してください。

関連記事

この業務でAIを試すには

業務の条件と確認方法を整えたら、関連するAI活用の手順を確認できます。

設計事務所でAIに図面や顧客資料を渡す前に確認すること →

あわせて読みたいガイド