IPA（独立行政法人情報処理推進機構）は2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン」を第4.0版に改訂して公開しました。
本ガイドラインは、中小企業の経営者や実務担当者が情報セキュリティ対策の必要性を理解し、具体的な手順を段階的に実施するための指針です。今回の改訂では、ランサムウェア被害の拡大やサプライチェーン攻撃の増加といった環境変化を踏まえ、経済産業省が制度開始を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の基本的な考え方が反映されています。
参考：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版公開（2026年3月27日）
改訂の背景
前版（第3.1版）が公開された2023年4月以降、中小企業を取り巻くサイバーセキュリティ環境には以下のような変化が生じています。
ランサムウェア被害の影響範囲の拡大
企業におけるサイバーセキュリティに関する被害は情報漏えいにとどまらず、ランサムウェア攻撃によって事業活動そのものが停止に追い込まれるケースが増加しています。被害を受けた企業だけでなく、その取引先の業務にまで影響が及ぶ事例が相次いでいます。
サプライチェーン攻撃の深刻化
国内外でサプライチェーンを介したサイバーセキュリティ関連被害が拡大しており、サプライチェーン全体としての対策推進の必要性が高まっています。IPAが2024年度に実施した中小企業実態調査では、サイバー攻撃の被害に遭った中小企業の約7割が「取引先にまで影響が及んだ」と回答しています。
セキュリティ人材の不足
中小企業においては、内部でセキュリティ対策を推進する人材が著しく不足している状況が続いています。限られたリソースの中で、何をどの順番で進めるべきかを明確に示すガイドラインの重要性がさらに高まっています。
第3.1版から第4.0版への主な変更点
第4.0版への改訂では、基本的な構成を維持しつつ、最新の環境変化を反映し、企業が実践的な対策を進められるよう記載内容が見直されました。主な変更点は以下の3つです。
変更点①：情報セキュリティ5か条→6か条への拡充
中小企業がはじめに取り組むべき基本事項として掲げられていた「情報セキュリティ5か条」に、「バックアップを取ろう!」が新たに追加され、「情報セキュリティ6か条」となりました。
ランサムウェア攻撃ではデータの暗号化によって事業活動が停止するケースが多発しており、バックアップの実施は被害を最小化するための最も基本的かつ重要な対策の1つです。これが基本事項に明示的に組み込まれたことは、昨今の脅威動向を強く反映しています。
また、「5分でできる！情報セキュリティ自社診断」の診断項目にも以下が新たに追加されています。
- 外部から内部ネットワークへの不要な通信を遮断する
- ウェブサイトを安全に運用する
変更点②：SCS評価制度の基本的な考え方を反映
ガイドラインの「第2部 実践編」STEP3において、SCS評価制度で求められる要求事項を踏まえた対策の考え方が新たに整理されました。
SCS評価制度では★3（Basic）で25項目、★4（Standard）で44項目の要求事項が定められていますが、ガイドラインのSTEP3ではこれらの要求事項に対応するための実践的な考え方が示されています。中小企業がガイドラインに沿って対策を進めることで、SCS評価制度の★取得に向けた準備を段階的に行える構成になっています。
また、付録として掲載されている規程類のサンプルやひな型についても、SCS評価制度に対応する形で拡充されています。セキュリティポリシーや運用規程をゼロから作成する負担が軽減されるため、人材やリソースの限られた中小企業にとって実用性の高い改善です。
変更点③：「中小企業のための人材確保・育成の実践ガイドブック」を付録追加
2025年5月に経済産業省の「サイバーセキュリティ人材の育成促進に向けた検討会」で提示された「中堅・中小企業が実施するセキュリティ対策に応じた人材確保・育成の実践的方策ガイドβ版」を踏まえ、中小企業のセキュリティ人材の確保・育成を支援する方策および取組事例が付録として追加されました。
セキュリティ対策を継続的に運用するためには、対策を推進・維持できる人材の確保が不可欠です。この付録により、どのような人材をどのように確保・育成すべきかの具体的な指針が得られるようになっています。
SCS評価制度との関係
本ガイドラインの第4.0版は、SCS評価制度との連携を意識して改訂されています。中小企業がガイドラインに沿って段階的に対策を進めることで、SCS評価制度の★取得に向けた準備が自然と進む構造です。
| 段階 | ガイドラインの対応 | SCS評価制度との関係 |
|---|---|---|
| STEP1 | 情報セキュリティ6か条への取り組み | SECURITY ACTION★1に相当 |
| STEP2 | 自社診断の実施と基本方針の策定 | SECURITY ACTION★2に相当 |
| STEP3 | SCS評価制度の要求事項を踏まえた本格的な対策 | SCS評価制度★3・★4の取得準備 |
なお、SCS評価制度の★3取得を目指す中小企業で、自社だけでの対策実施が難しい場合は、「サイバーセキュリティお助け隊サービス（新類型）」の活用も選択肢となります。新類型では、SCS評価制度の要件項目のうち未達成の項目をサービス導入でカバーする支援が受けられます。
中小企業が活用する際のポイント
まずは「情報セキュリティ6か条」から
ガイドライン第4.0版に取り組む際は、まず「情報セキュリティ6か条」への対応から始めることが推奨されています。OS・ソフトウェアの更新、ウイルス対策ソフトの導入、パスワードの強化、共有設定の見直し、脅威・攻撃の手口を知ること、そしてバックアップの実施。これらは今日から実行できる基本的な対策です。
「5分でできる！情報セキュリティ自社診断」で現状を可視化
自社のセキュリティ対策状況を手軽に把握するために、自社診断ツールの活用が有効です。第4.0版で追加された診断項目を含め、自社の現状を可視化することで、優先的に取り組むべき領域が明確になります。
STEP3の規程サンプル・ひな型を活用
SCS評価制度の要求事項に対応するためには、セキュリティポリシーや運用規程の整備が不可欠です。第4.0版ではSCS評価制度に対応したサンプルやひな型が拡充されているため、これらを活用することでゼロからの作成コストを大幅に削減できます。
人材ガイドブックで育成計画を検討
付録の「中小企業のための人材確保・育成の実践ガイドブック」を活用し、自社のセキュリティ推進体制の強化に向けた計画を検討することも重要です。外部専門家（登録セキスペ等）の活用方法や、既存社員のスキルアップのための方策が具体的に示されています。
よくある質問（FAQ）
- Q. 第3.1版からの移行は必要ですか？
- 第4.0版は第3.1版の基本構成を維持しつつ改訂されているため、第3.1版に沿って対策を進めていた企業はその延長線上で第4.0版に移行できます。新たに追加された「バックアップを取ろう!」や自社診断の新項目への対応、STEP3のSCS評価制度関連の記載を確認することを推奨します。
- Q. ガイドラインに従えばSCS評価制度の★は取得できますか？
- ガイドラインはSCS評価制度の基本的な考え方を反映して改訂されていますが、★取得のためには制度固有の要求事項・評価基準への対応と、所定の評価プロセス（★3は自己評価＋専門家確認、★4は第三者評価）を経る必要があります。ガイドラインは準備のための指針として活用できます。
- Q. ガイドラインは無料で利用できますか？
- IPAのウェブサイトから無料でダウンロードできます。付録の規程類サンプルやひな型も無料で利用可能です。
まとめ
「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、ランサムウェアやサプライチェーン攻撃の脅威が増す中、SCS評価制度の基本的な考え方を取り込んだ実践的な改訂となっています。情報セキュリティ6か条、SCS評価制度対応の規程サンプル、人材育成ガイドブックの追加により、中小企業が段階的にセキュリティ対策を強化するための具体的な道筋が示されました。
SCS評価制度の全体像については「SCS評価制度とは？概要・要件・中小企業向け支援策を解説」を、自社だけでの対策が難しい場合の支援策については「サイバーセキュリティお助け隊サービス（新類型）とは」をあわせてご覧ください。
