情報セキュリティ自社診断とは？25項目の構成と中小企業の取り組み方

前回の記事（SCS評価制度とは？★3・★4の要件と受注側中小企業の準備）で、国の新しいセキュリティ評価制度の★1・★2に相当するのがIPAの「SECURITY ACTION」であることをお伝えしました。そのSECURITY ACTIONの中核にあるツールが、今回取り上げる「5分でできる！情報セキュリティ自社診断」です。

「セキュリティ対策を何から始めればいいか分からない」という中小企業の経営者にとって、最初の一歩として国が用意している道具がこれです。本記事では診断の中身と、キールが創業時に実際に使ってみて感じた「効果的な取り組み方」を整理します。

「5分でできる！情報セキュリティ自社診断」とは

IPA（独立行政法人情報処理推進機構）が中小企業向けに無料で提供しているセルフチェックです。名前のとおり短時間で取り組めるよう設計されており、構成は次のとおりです。

25項目・100点満点。各項目について「実施している」「一部実施している」「実施していない・わからない」から自社の状況を選び、合計点で現在地を把握します。項目は大きく、パソコンやソフトウェアの更新・ウイルス対策・パスワード管理といった基本的対策、電子メールの扱いや重要情報の持ち出しなど従業員としての対策、ルールづくりや事故対応の備えなど組織としての対策の3つの領域で構成されています。専門用語の知識がなくても答えられる言葉で書かれており、様式はIPAのサイトから誰でも入手できます。

重要なのは、これが「テスト」ではなく「健康診断」だということです。低い点が出ても誰かに叱られるものではなく、どこに手当てが必要かが見える化されること自体が成果です。むしろ最初から満点が出る会社のほうが珍しく、×が付いた項目こそがこの診断の本当の収穫です。

取り組み方のコツ——「答え合わせ」ではなく「設計図」として使う

コツ1：体制をつくる段階で「先に」読む

多くの解説記事は、この診断を「今の対策状況をチェックするもの」として紹介します。それは正しいのですが、もうひとつ強力な使い方があります。これから体制をつくる段階で、診断項目を設計図として先に読む使い方です。

キール自身がこの使い方をしました。2026年の創業時、業務システムやクラウドサービスを導入するにあたり、自社診断の項目を参考にしながら社内体制を構築したのです。ソフトウェアの更新をどう運用するか、パスワードとアクセス権をどう管理するか、重要情報の保管とバックアップをどうするか——診断の25項目は、そのまま「創業時に決めておくべきことのリスト」として機能しました。後日あらためて全項目を点検した際、すべて「実施している」を確認できたのは、後から頑張って埋めたのではなく、最初から診断項目に沿って組んだからです。

コツ2：経営者が自分の手でやる

この診断は、担当者に任せず経営者自身が手を動かすことに意味があります。理由は2つ。第一に、25項目の多くは「ルールを決めているか」「教育しているか」という経営判断そのものであり、答えられるのは経営者だからです。第二に、自分でやると「わからない」という回答の重みに気づけるからです。「うちはウイルス対策をしているか？——わからない」。この「わからない」こそが、経営者が把握すべき最大のリスク情報です。従業員のいない一人会社でも同じで、むしろ経営者の運用がすべてである分、診断がそのまま自社の実態になります。

コツ3：×と「わからない」を宿題リストに変える

診断が終わったら、×や「わからない」が付いた項目を宿題リストにします。ここで大事なのは、お金のかかる対策から始めないこと。25項目の多くは、設定の見直し・ルールの明文化・保管場所の整理といった、費用ゼロか小さな手間で改善できるものです。高額なセキュリティ製品の導入を検討するのは、無料でできる宿題を片付けた後で十分です。どうしても自社で判断がつかない項目は、IPAが公開している「中小企業向けサイバーセキュリティ対策支援者リスト」で専門家（情報処理安全確保支援士）を探すこともできます。

コツ4：年1回の定期点検として運用に組み込む

診断は一度やって終わりにせず、年1回以上の定期点検としてカレンダーに固定することをおすすめします。事業が成長すれば、使うサービスも扱う情報も変わり、去年の○が今年も○とは限りません。キールも、自社の情報セキュリティ基本方針【要確認：URL公開後に確定】の中で、この診断等を活用した年1回以上の自己点検を運用として定めています。宣言やロゴは、こうした運用が回っていて初めて意味を持ちます。

診断の先にある階段——SECURITY ACTIONとSCS評価制度

この診断は、それ自体が独立したツールであると同時に、国の制度の階段の一段目でもあります。

取引先からセキュリティ対応を求められる場面は、今後この階段に沿って整理されていきます（詳細は前回の記事をご覧ください）。まだ何もしていない会社の最初の一歩は、診断の実施と一つ星の宣言。診断を終えて基本方針を公開すれば二つ星。その先に★3の26要求事項が続きます。診断の25項目と★3の26要求事項は別物ですが、方向性は連続しており、診断で身につけた「自社を点検する習慣」がそのまま★3への助走になります。

ISO 31000の視点——診断は「リスクの特定」の最初の一歩

リスクマネジメントの国際規格ISO 31000では、リスクへの対応の前に「特定→分析→評価」というアセスメントの過程を置きます（ISO 31000の基礎）。自社診断はまさにこの「特定」を、中小企業が自力で始められる形にしたものです。自社にどんな情報資産があり、どこに弱点があるかを知らなければ、回避も低減も打ちようがありません。逆に言えば、診断で現在地を知ることは、リスクへの4つの対応のすべての出発点です。まず知る。それから減らす。順序はいつもここからです。

まとめ——25項目は「不安のリスト」ではなく「打ち手のリスト」

セキュリティ対策は、全体像が見えないから不安になります。自社診断の25項目は、その全体像を1枚に収めた地図です。×が付くことは失点ではなく、打ち手が見つかったということ。そして、これから会社や事業を立ち上げる方にとっては、最初から沿って組める設計図でもあります。5分で始められる一歩として、まず一度、経営者ご自身の手で取り組んでみてください。

よくあるご質問

出典（一次資料）

• IPA「5分でできる！情報セキュリティ自社診断」（診断シートはIPA「SECURITY ACTION」サイトから入手できます）
• IPA「SECURITY ACTION セキュリティ対策自己宣言」 https://www.ipa.go.jp/security/security-action/
• IPA「中小企業向けサイバーセキュリティ対策支援者リスト」 https://www.ipa.go.jp/security/sme/shien/list.html
• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月）