情報セキュリティの基礎「セキュリティアクション」メリットと導入方法

中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度で、安全・安心なIT社会を実現するために創設されました。組織の取組目標に応じて一つ星と二つ星があります。

セキュリティアクションは、企業規模の制限は設けておらず、個人事業主、中小企業、団体等も取り組むことが可能です。

自己宣言をする際には費用はかかりません。ただし、ウイルス対策ソフトを導入する等、条件を達成するための投資は必要となる場合があります。

一つ星は、これから「情報セキュリティ6か条」に取り組むことを宣言するものです。情報セキュリティの対策を全くしていない、セキュリティについて何も知らないといった方向けです。

二つ星は、「5分でできる！情報セキュリティ自社診断」と「情報セキュリティ基本方針」を策定し外部公開した上で、情報セキュリティ対策に取り組むことを宣言するものです。「多少なりとも情報セキュリティに取り組んできたけど、何となく取り組んできただけ・・・」という方にお奨めです。

「情報セキュリティ基本方針」とは、理念、指針、原則、目標等を表した「方針書」「宣言書」等のことです。IPA公式サイトのサンプルを使用するか、独自に策定して外部へ公開してください。また、既にISMSで要求されている基本方針を公開されている場合は、そちらが「情報セキュリティ基本方針」に該当するため、新たに作成する必要はありません。

問題ありません。取得希望組織のレベルに応じて選択することが可能です。

一つ星、二つ星どちらを宣言するか決めた上で申込を実施します。基本的には対策実施前でも申し込むことができますが、二つ星は、外部へ公開が必要な方針等がありますので、申込後であってもそれらの策定と公開は必要です。

有効期限はありません。

引き継ぐことはできません。変更となる場合は、新しい社名で自己宣言をやり直す必要があります。

あくまで自社が情報セキュリティ対策に取り組むことを、外部に向けて宣言する制度のため特にはありません。但し、申込後は年に1回程度、自社診断を活用し、定期的に自社の情報セキュリティ対策状況を把握し、向上する計画を立て実施することが望ましいです。

IPAホームページ「SECURITY ACTION 自己宣言の申込方法」からお申し込みいただくことが可能です。取得希望企業が必要情報を入力し、申込手続き完了のメールを受信後にロゴマークが使用できます。なお、一つ星と二つ星のロゴマークを同時に使用することはできません。

SCS評価制度とは、★3、★4、★5に組み分けされている、サプライチェーンにおける企業の位置づけや想定リスク等を踏まえて求められるセキュリティ対策の水準を定め、企業の対応状況を可視化する制度です。既にセキュリティアクションの二つ星以上の対策ができている組織は取得を検討してもよいかもしれません。