IPA情報セキュリティ対策ガイドライン第4.0版とは何ですか
IPA情報セキュリティ対策ガイドライン第4.0版とは、IPA(独立行政法人情報処理推進機構)が2026年3月27日に公開した、中小企業向けの情報セキュリティ対策を示す実践ガイドです(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。従来の情報セキュリティ5か条が6か条に改訂されたことが、最も大きな変更点です。
改訂の背景として、ランサムウェアによる被害が情報漏えいにとどまらず企業の事業活動の停止にまで影響を広げていること、また国内外でサプライチェーンを介したサイバーセキュリティ被害が拡大していることが挙げられています(出典: 同プレスリリース)。この背景については、後の見出しで詳しく説明します。
ガイドライン本文はIPA公式サイトからPDFで無償公開されており、御社の対策状況を確認する際の一次資料として使えます。
第4.0版で具体的に何が変わりましたか
「バックアップを取ろう!」が追加されて6か条になったこと、サプライチェーン対策の強化、人材確保・育成ガイドブックの新設が主な変更点です(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。3つの変更点を整理すると、次のようになります。
| 変更点 | 内容 |
|---|---|
| 情報セキュリティ6か条 | 「バックアップを取ろう!」を追加し、5か条から6か条に |
| サプライチェーン対策 | セキュリティ対策評価制度(SCS評価制度)を踏まえた対応を明示 |
| 人材確保・育成ガイドブック | 付録として新設。確保方策・育成ステップ・取組事例を紹介 |
情報セキュリティ6か条への変更
従来の情報セキュリティ5か条に「バックアップを取ろう!」が新たに追加され、情報セキュリティ6か条となりました(出典: 同プレスリリース)。バックアップは、ランサムウェア被害を受けた際の復旧手段として位置づけられています。
サプライチェーン対策とSCS評価制度
サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)を踏まえた対応が示され、サプライチェーン全体に被害を及ぼすサイバー攻撃の脅威を踏まえてサイバーセキュリティ対策の記載が拡充されています(出典: 同プレスリリース)。この対策が重要になる理由は、後の見出しで詳しく説明します。
人材確保・育成の実践ガイドブック新設
付録として「中小企業のための人材確保・育成の実践ガイドブック」が新設され、セキュリティ人材の確保方策や育成のステップ、取組事例、外部リソースの活用が紹介されています(出典: 同プレスリリース)。人材不足に悩む御社にとって、外部リソースの活用方法を確認する入口になります。
なぜ今、改訂されたのですか
ランサムウェアによる被害が事業活動の停止まで拡大したことと、サプライチェーンを介したサイバーセキュリティ被害の拡大が背景にあります(出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』)。
これまでランサムウェアの被害は情報漏えいとして扱われることが多くありましたが、第4.0版の改訂では、被害が事業活動そのものの停止にまで及ぶケースが踏まえられています。生産や受注の停止は、情報漏えいよりも直接的に売上に影響します。
もう一つの背景が、サプライチェーンを介した被害の拡大です。取引先の1社がサイバー攻撃を受けると、そこから連鎖して他の取引先にも被害が及ぶことがあります。御社が小規模であっても、取引先の大企業のサプライチェーンに組み込まれている場合、対策の有無を問われる場面が増えています。この点については、次の見出しで詳しく説明します。
中小企業が実際に確認すべき項目は何ですか
まずは情報セキュリティ6か条に沿って、御社の現状を自己点検することから始めます。具体的な手順は次のとおりです。
- IPA公式サイトからガイドライン本文をダウンロードする
- 情報セキュリティ6か条それぞれについて、自社で実施済みか未実施かを洗い出す
- 新たに追加された「バックアップを取ろう!」の項目を優先的に確認する
新たに追加された「バックアップを取ろう!」以外の5項目は、従来のガイドラインから継続している基本的な対策です。それぞれの具体的な内容は、ガイドライン本文で確認できます。ここで大切なのは、6項目すべてを一度に完璧にする必要はなく、未実施の項目から着手する順番を決めることです。
つまずきやすいのは、バックアップを取っていることと、復旧に使える状態で取っていることの違いです。バックアップデータが破損していたり、復旧手順が確認されていなかったりすると、実際の被害時に機能しません。取得だけでなく、復旧テストまで含めて確認することをお勧めします。
サプライチェーンのセキュリティ対策はなぜ重要ですか
中小企業がサイバー攻撃を受けた場合、自社だけでなく取引先にも影響が及ぶことがあるためです。経済産業省の公表によると、中小企業がサイバー攻撃を受けた場合に取引先へも影響が及ぶ割合は約70%に上ります(出典: 経済産業省プレスリリース「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」2025年2月19日)。
つまり、御社の対策が不十分だと、被害が自社の事業停止にとどまらず、取引先の事業にも波及するリスクがあります。前の見出しで触れたサプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)は、こうした連鎖被害を防ぐ観点から、第4.0版で対応が明示された項目です。
大企業を主要取引先とする御社であれば、今後の契約や取引継続の条件として、セキュリティ対策の状況を確認される場面が増えることも想定されます。自社の対策状況を、取引先に説明できる形で整理しておくことが、サプライチェーン対策の第一歩になります。
自社での対応が難しい場合はどうすればよいですか
ホームページやシステムの制作段階からセキュリティ対策を組み込むことが、後からの対応より確実です。
情報システムの専任担当者がいない中小企業では、ガイドラインを読んでも、どこから対応すればよいか判断が難しい場合があります。特に、ホームページやシステムを制作会社に外部委託している場合、委託先がどこまでセキュリティ対策を担うのかが曖昧なまま進んでしまうことがあります。
当社では、実装者としてホームページやシステムの設計に直接携わる立場から、制作段階でのセキュリティ対策の組み込みをご提案しています。代表はUC BerkeleyでのAI研究背景を持つAIエンジニアであり(出典: 当社「代表・チームの専門背景」)、外部のコンサルとしてではなく、実際に手を動かす立場から対応をご相談いただけます。
御社のホームページやシステムのセキュリティ対策にお悩みがあれば、無料診断(/diagnostic)からご相談ください。ガイドラインへの対応そのものを代行するものではありませんが、制作段階での対策の組み込み方について、実装の視点でお手伝いできます。
よくあるご質問
この記事に関して多い質問と回答をまとめます。
IPA情報セキュリティ対策ガイドライン第4.0版はいつ公開されましたか
2026年3月27日に、IPA(独立行政法人情報処理推進機構)が公開しました。
第3.1版から第4.0版で何が一番変わりましたか
最も大きな変更は、情報セキュリティ5か条に「バックアップを取ろう!」が追加され、6か条になったことです。あわせて、サプライチェーン対策の強化と、人材確保・育成ガイドブックの新設も行われています。
情報セキュリティ6か条とは何ですか
中小企業が最低限取り組むべき基本的なセキュリティ対策を6項目にまとめたものです。第4.0版では、バックアップの取得が新たに項目として加わりました。個々の項目の具体的な内容は、ガイドライン本文で確認できます。
中小企業がサプライチェーン対策を重視すべき理由は何ですか
中小企業がサイバー攻撃を受けた場合、取引先にも影響が及ぶ割合は約70%に上るためです(出典: 経済産業省プレスリリース「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」2025年2月19日)。自社の被害が取引先の事業にも波及するリスクがあります。
ガイドラインへの対応は法的な義務ですか
このガイドライン自体は、法律で対応を義務づけるものではありません。ただし、取引先や契約条件によって、対策状況の説明を求められる場面が増えている点には留意が必要です。
出典: IPA プレスリリース『中小企業の情報セキュリティ対策ガイドライン第4.0版を公開』(2026年3月)、経済産業省プレスリリース「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」(2025年2月19日)