IPA情報セキュリティ対策ガイドライン第4.0版とは何ですか
IPA情報セキュリティ対策ガイドライン第4.0版とは、IPA(独立行政法人情報処理推進機構)が2026年3月27日に公開した、中小企業向けの情報セキュリティ対策を示す実践ガイドです(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。従来の情報セキュリティ5か条が6か条に改訂されたことが、最も大きな変更点です。
改訂の背景として、ランサムウェアによる被害が情報漏えいにとどまらず企業の事業活動の停止にまで影響を広げていること、また国内外でサプライチェーンを介したサイバーセキュリティ被害が拡大していることが挙げられています(出典: 同プレスリリース)。この背景については、後の見出しで詳しく説明します。
ガイドライン本文はIPA公式サイトからPDFで無償公開されており、御社の対策状況を確認する際の一次資料として使えます。
第4.0版で具体的に何が変わりましたか
「バックアップを取ろう!」が追加されて6か条になったこと、サプライチェーン対策の強化、人材確保・育成ガイドブックの新設が主な変更点です(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。3つの変更点を整理すると、次のようになります。
| 変更点 | 内容 |
|---|---|
| 情報セキュリティ6か条 | 「バックアップを取ろう!」を追加し、5か条から6か条に |
| サプライチェーン対策 | セキュリティ対策評価制度(SCS評価制度)を踏まえた対応を明示 |
| 人材確保・育成ガイドブック | 付録として新設。確保方策・育成ステップ・取組事例を紹介 |
情報セキュリティ6か条への変更
従来の情報セキュリティ5か条に「バックアップを取ろう!」が新たに追加され、情報セキュリティ6か条となりました(出典: 同プレスリリース)。バックアップは、ランサムウェア被害を受けた際の復旧手段として位置づけられています。
サプライチェーン対策とSCS評価制度
サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)を踏まえた対応が示され、サプライチェーン全体に被害を及ぼすサイバー攻撃の脅威を踏まえてサイバーセキュリティ対策の記載が拡充されています(出典: 同プレスリリース)。この対策が重要になる理由は、後の見出しで詳しく説明します。
人材確保・育成の実践ガイドブック新設
付録として「中小企業のための人材確保・育成の実践ガイドブック」が新設され、セキュリティ人材の確保方策や育成のステップ、取組事例、外部リソースの活用が紹介されています(出典: 同プレスリリース)。人材不足に悩む御社にとって、外部リソースの活用方法を確認する入口になります。
なぜ今、改訂されたのですか
ランサムウェアによる被害が事業活動の停止まで拡大したことと、サプライチェーンを介したサイバーセキュリティ被害の拡大が背景にあります(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。
これまでランサムウェアの被害は情報漏えいとして扱われることが多くありましたが、第4.0版の改訂では、被害が事業活動そのものの停止にまで及ぶケースが踏まえられています。生産や受注の停止は、情報漏えいよりも直接的に売上に影響します。
もう一つの背景が、サプライチェーンを介した被害の拡大です。取引先の1社がサイバー攻撃を受けると、そこから連鎖して他の取引先にも被害が及ぶことがあります。御社が小規模であっても、取引先の大企業のサプライチェーンに組み込まれている場合、対策の有無を問われる場面が増えています。この点については、次の見出しで詳しく説明します。
中小企業が実際に確認すべき項目は何ですか
まずは情報セキュリティ6か条に沿って、御社の現状を自己点検することから始めます。具体的な手順は次のとおりです。
- IPA公式サイトからガイドライン本文をダウンロードする
- 情報セキュリティ6か条それぞれについて、自社で実施済みか未実施かを洗い出す
- 新たに追加された「バックアップを取ろう!」の項目を優先的に確認する
新たに追加された「バックアップを取ろう!」以外の5項目は、従来のガイドラインから継続している基本的な対策です。それぞれの具体的な内容は、ガイドライン本文で確認できます。ここで大切なのは、6項目すべてを一度に完璧にする必要はなく、未実施の項目から着手する順番を決めることです。
つまずきやすいのは、バックアップを取っていることと、復旧に使える状態で取っていることの違いです。バックアップデータが破損していたり、復旧手順が確認されていなかったりすると、実際の被害時に機能しません。取得だけでなく、復旧テストまで含めて確認することをお勧めします。