SECURITY ACTIONとは｜空調工事会社の宣言手順

結論: まず一つ星を宣言し、6か条を自社の現場に当てはめる

SECURITY ACTION（セキュリティアクション）は、中小企業が自ら情報セキュリティ対策に取り組むことを自己宣言する、IPA（情報処理推進機構）の制度です。一つ星は「情報セキュリティ6か条」に取り組むことを宣言するもので、対策を始める前でも申し込めます。二つ星は「5分でできる！情報セキュリティ自社診断」で現状を確かめ、「情報セキュリティ基本方針」を作って外部に公開したうえで宣言します。

宣言すると、取り組み段階に応じたロゴマークを使えます。デジタル化・AI導入補助金（旧：IT導入補助金）の申請では宣言が必須要件になっています。空調工事会社にとっては、補助金の要件を満たすことに加え、元請やビルの管理会社から対策状況を聞かれたときの「最初の一言」になります。

一つ星と二つ星の違い

項目	一つ星	二つ星
宣言の内容	「情報セキュリティ6か条」に取り組むことを宣言	自社診断を実施し、基本方針を策定・外部公開して、対策に取り組むことを宣言
事前にやること	なし（対策実施前でも申込可）	「5分でできる！情報セキュリティ自社診断」（25項目）の実施、「情報セキュリティ基本方針」の策定と公開
基本方針の公開方法	不要	自社ウェブサイトへの掲載、会社案内やパンフレットへの掲載、その他の方法から選ぶ
ロゴマーク	一つ星のロゴ	二つ星のロゴ

IPAは、SECURITY ACTIONは対策状況をIPAが認定するものではないと明記しています。ホームページや会社案内に書くときは、「一つ星の認定を受けました」「取得しました」ではなく、「一つ星を宣言しました」と書きます。

情報セキュリティ6か条を空調工事会社に当てはめる

IPAの「中小企業の情報セキュリティ対策ガイドライン」は第4.0版で「バックアップを取ろう！」を加え、はじめに取り組む対策を「情報セキュリティ6か条」としました。一つ星はこの6か条に取り組む宣言です。空調工事会社の事務所と現場に当てはめると、次のようになります。

No	6か条	空調工事会社での具体例	詳しい記事
1	OSやソフトウェアは常に最新の状態にしよう！	事務所のパソコン、サービスマンのスマホ・タブレット、VPN機器・ルーターの更新担当を決める	ランサムウェア対策
2	ウイルス対策ソフトを導入しよう！	保守で顧客の設備に持ち込むノートパソコンにも必ず入れる	EDR・UTMとの違い
3	パスワードを強化しよう！	部品発注サイトや遠隔監視の管理画面の共用IDを一覧にし、使い回しをやめる	パスワード管理
4	共有設定を見直そう！	点検写真や施工図を置いたクラウドの共有リンクが「誰でも見られる」設定になっていないか確認する	情報漏洩の原因と対策
5	バックアップを取ろう！	保守契約の台帳、点検記録、施工図を、事務所のNASとは別の場所にも保管する	バックアップの方法
6	脅威や攻撃の手口を知ろう！	取引先を装った請求書メールや、振込先の変更連絡に注意する	メール事故の対策

6か条は、ガイドラインで「企業の規模に関わらず、必ず実行すべき重要な対策」と位置づけられています。どれも費用より「担当と手順を決めること」が中心です。

申し込みの流れ

IPAは2026年4月1日に、申込から管理までを行う「SECURITY ACTION管理システム」を公開し、申込方法を変えました。利用にはGビズID（行政手続きに共通で使える法人・個人事業主向けのアカウントのこと）のプライムまたはメンバーのアカウントが必要です。

1. 一つ星か二つ星か、取り組み目標を決める
2. GビズIDを用意する（まだない場合は取得する）
3. 二つ星の場合は、自社診断と基本方針の策定・公開を済ませる
4. SECURITY ACTION管理システムから申し込む
5. 申込完了後、ロゴマークをダウンロードし、使用ガイドラインに従って使う

IPAの案内では、GビズIDの取得からロゴマークの使用までは最短1日で実施できるとされていますが、システムのメンテナンスなどで使えない期間もあるため、補助金の申請期限がある場合は余裕を持って進めます。

すでに2026年3月以前に宣言していた会社も注意が必要です。IPAは、2026年3月以前に申し込んだ自己宣言は補助金の交付申請には使えないこと、デジタル化・AI導入補助金の第2次公募（2026年5月12日17時以降）からは先頭が「4」で始まる11桁の旧い自己宣言IDは使えないことを案内しています。補助金を使う予定があれば、GビズIDでSECURITY ACTION管理システムから申し込み直します。IPAのガイドラインは、ロゴマークを無料で使用できると説明しています。

二つ星に進むときのポイント

二つ星の自社診断は25項目で、パソコンやスマホの更新、パスワード、持ち出し時の紛失対策、取引先との秘密保持などを問います。空調工事会社で答えに詰まりやすいのは、次のような項目です。

• 重要情報が記載された書類や電子媒体を持ち出すときの盗難・紛失対策（サービスマンのタブレットやUSBメモリ。MDMの記事参照）
• 重要情報の授受を伴う取引先との契約書に秘密保持条項があるか（協力会社や保守の再委託先との契約）

情報セキュリティ基本方針は、理念・指針・原則・目標などを表した方針書や宣言書のことです。IPAは、ガイドラインの付録2「情報セキュリティ基本方針」を参考に策定するか、独自に策定するよう案内しています。自社のホームページに掲載すれば、元請や管理会社にもURLで示せます。

宣言を取引で生かす

サプライチェーン攻撃の記事で触れたように、ビルの空調・中央監視を保守する会社は、顧客の設備への入口にされる可能性があります。IPAのガイドラインも、取引先からセキュリティ対策の実施を求められることが少なくないとしています。

• 会社案内、保守契約の提案書、ホームページの会社概要に「一つ星（二つ星）を宣言しました」と書く
• 引き渡し時・保守訪問時のセキュリティの確認項目を、提案書の付録にする
• 毎年、6か条の取り組み状況を社内で点検し、二つ星への移行を検討する

サイバー保険の中には、SECURITY ACTIONの宣言などで保険料が割引になるものがあるとIPAのガイドラインは説明しています。補償の考え方はサイバー保険の記事で解説しています。

まとめ

• SECURITY ACTIONはIPAの自己宣言制度で、認定ではありません。「宣言しました」と表記します
• 一つ星は情報セキュリティ6か条への取り組みを宣言するもので、対策前でも申し込めます
• 二つ星は自社診断（25項目）と基本方針の策定・公開が条件です
• 2026年4月から、GビズIDでSECURITY ACTION管理システムから申し込む方法に変わりました

出典・参考

• IPA「SECURITY ACTION セキュリティ対策自己宣言」
• IPA「一つ星」を宣言する
• IPA「二つ星」を宣言する
• IPA「SECURITY ACTION 自己宣言の申込方法」
• IPA「SECURITY ACTION」デジタル化・AI導入補助金（旧：IT導入補助金）
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（情報セキュリティ6か条、5分でできる！情報セキュリティ自社診断、情報セキュリティに関連した保険商品）

補助金の要件は公募回ごとに変わることがあります。申請前に公募要領を確認してください（最終確認：2026-10-14）。

関連リンク

• サプライチェーン攻撃とは
• 業務用エアコン・空調設備の省エネ補助金の探し方
• パスワード管理の社内ルール
• 中小空調工事会社のDXロードマップ