「補助金の申請に SECURITY ACTION が必要と言われた」というご相談をよく受けます。SECURITY ACTION は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、IPA（情報処理推進機構）が運営しています。この記事では、一つ星と二つ星の違い、2026年に変わった申し込み方法、補助金との関係をまとめます。
SECURITY ACTION とは
自社の取り組みを「宣言」する制度です。審査を受けて「認定」されるものではありません。そのため IPA は、「一つ星の認定を受けました」「取得しました」ではなく、「一つ星を宣言しました」と書くよう求めています。会社案内やホームページに載せるときは、この言い方に気をつけてください。
宣言すると、ロゴマークを名刺やホームページなどに無料で使えます。
一つ星と二つ星の違い
★一つ星
IPAの「中小企業の情報セキュリティ対策ガイドライン」にある「情報セキュリティ6か条」に取り組むことを宣言します。6か条は、OS・ソフトウェアの更新、ウイルス対策ソフト、パスワードの強化、共有設定の見直し、バックアップ、脅威や手口を知ること、の6つです。
★★二つ星
ガイドライン付録の「5分でできる！情報セキュリティ自社診断」（25項目）で自社の状況を確認し、「情報セキュリティ基本方針」を定めて外部に公開したうえで宣言します。基本方針はガイドラインにサンプルがあり、それを自社向けに直して使えます。
すでに6か条と同じ程度の対策ができている場合は、最初から二つ星を宣言することもできます。
2026年4月から申し込み方法が変わった
2026年4月に「SECURITY ACTION管理システム」が始まり、申し込みには GビズID（プライムまたはメンバー）が必要になりました。注意したいのは次の点です。
- 2026年3月以前に申し込んだ自己宣言は、補助金の交付申請には使えません。補助金に使う場合は、管理システムから申し込み直す必要があります。
- 補助金の申請に使う GビズID と同じIDで申し込む必要があります。
以前に宣言したことがある会社ほど見落としやすいので、補助金を予定している場合は早めに確認しておきましょう。
補助金との関係
代表的なのは「デジタル化・AI導入補助金」（旧：IT導入補助金）です。申請には、SECURITY ACTION の一つ星か二つ星のどちらかを宣言していることが要件になっています。
このほかにも、申請の要件や採択審査での加点の対象にしている補助金・助成金があり、IPAのサイトに一覧が載っています。どの星が必要かは補助金ごとに違うので、公募要領とあわせて確認してください。
宣言して終わりにしない
SECURITY ACTION は宣言だけで済むため、補助金のために形だけ申し込むこともできてしまいます。ただ、取引先からセキュリティ対策を求められる場面は確実に増えています。2027年3月頃に運用が始まる予定の「SCS評価制度」では、二つ星の次の段階として★3・★4が位置づけられています。
二つ星の自社診断と基本方針づくりをきちんと行っておけば、その後のSCS評価制度への準備にもそのまま役立ちます。制度の詳細は「SCS評価制度とは？★3と★4の違いと、今から準備しておくこと」をご覧ください。
当事務所でお手伝いできること
自社診断の進め方、基本方針の作成、診断で見つかった問題への対策まで、二つ星の宣言に向けた準備をお手伝いしています。お気軽にご相談ください。