2026年3月27日、IPA（情報処理推進機構）が「中小企業の情報セキュリティ対策ガイドライン」の第4.0版を公開しました。2016年の初版から続く、中小企業向けの基本の資料です。
今回いちばん分かりやすい変化は、最初に取り組む項目が「5か条」から「6か条」になったことです。追加されたのは「バックアップを取ろう！」です。
情報セキュリティ6か条
ガイドラインでは、まずこの6つを守るところから始めるよう勧めています。
- OSやソフトウェアは常に最新の状態にしよう！
- ウイルス対策ソフトを導入しよう！
- パスワードを強化しよう！
- 共有設定を見直そう！
- バックアップを取ろう！（第4.0版で追加）
- 脅威や攻撃の手口を知ろう！
社内の資料や研修でまだ「5か条」と書いている場合は、差し替えておくとよいでしょう。
バックアップが加わった理由
背景には、ランサムウェアの被害が続いていることがあります。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、ランサム攻撃による被害は11年連続で1位でした。
ランサムウェアに感染すると、パソコンやサーバーのデータが暗号化されて使えなくなります。そこから業務を戻せるかどうかは、ほぼバックアップで決まります。
ただし、取っているだけでは足りないことがあります。社内のネットワークにつながったままのバックアップは、本体と一緒に暗号化されることがあるためです。実際にご相談を受けていても、次の2点が抜けているケースが目立ちます。
- ネットワークから切り離した場所や、書き換えできない形でも保管しているか
- バックアップから実際に戻せるか、一度試したことがあるか
自社診断は25項目のまま、中身が一部変わった
付録の「5分でできる！情報セキュリティ自社診断」は、25項目（基本的対策6、従業員としての対策11、組織としての対策8）のままです。項目の見直しで、次の2つが新しく入りました。
- 外部から内部ネットワークへの不要な通信を遮断する
- ウェブサイトを安全に運用する
どちらも、外から見える入口を狙った攻撃への備えです。VPN機器やリモートデスクトップの設定、会社のホームページの更新状況が、確認の対象になります。
SCS評価制度とのつながり
第4.0版は、経済産業省などが進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の考え方に合わせて改訂されています。ガイドラインでは、取り組みの段階が次のように整理されました。
- 6か条に取り組む（SECURITY ACTION 一つ星）
- 自社診断25項目で状況を把握し、基本方針を作る（SECURITY ACTION 二つ星）
- SCS評価制度の★3（26項目）
- SCS評価制度の★4（★3より多くの項目と、第三者による評価）
取引先から「SCSの★3を取ってほしい」と言われる前に、まず6か条と自社診断を済ませておけば、その後の準備がずっと楽になります。
まず何をすればよいか
ガイドラインと付録は、IPAのサイトから無料でダウンロードできます。最初は次の順番がおすすめです。
- 6か条を読み、できていない項目に印を付ける
- 自社診断の25問に答えて、問題のある項目を洗い出す
- バックアップの取り方と保管場所を確認する
当事務所では、自社診断の結果をもとにした対策の優先順位づけや、バックアップの設計・運用のお手伝いをしています。「何から手を付ければいいか分からない」という段階でも、お気軽にご相談ください。サービスの内容は事業内容（情報セキュリティ対策）に載せています。