中小企業の情報セキュリティ対策ガイドライン第4.0版を公開
概要
独立行政法人情報処理推進機構（IPA）は2026年3月27日、中小企業向け「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開した。基本構成を維持しつつ、ランサムウェアによる事業活動停止、サプライチェーンを介した被害、人材不足などの環境変化を反映。「バックアップを取ろう!」の追加、SCS評価制度の基本的な考え方の取り込み、人材確保・育成に関する付録の追加など、記載内容を拡充した。IPAは、中小企業の信頼性向上と経済社会全体のサイバーリスク低減につながることを期待している。
要点
- IPAが「中小企業の情報セキュリティ対策ガイドライン」を第4.0版へ改訂
- ランサムウェアやサプライチェーン被害などの環境変化を反映
- SCS評価制度とセキュリティ人材の確保・育成に対応
- 情報セキュリティ5か条に1項目を追加し、6か条へ変更
概要
独立行政法人情報処理推進機構（IPA）は、中小企業の経営者や実務担当者が情報セキュリティ対策の必要性を理解し、情報を安全に管理するための具体的な手順などを示す「中小企業の情報セキュリティ対策ガイドライン」を改訂し、第4.0版を公開した。基本的な構成は維持している。
背景には、ランサムウェアによる被害が情報漏えいにとどまらず企業の事業活動の停止にまで拡大したこと、国内外でサプライチェーンを介したサイバーセキュリティ関連被害が拡大し、全体としての対策推進の必要性が高まったこと、中小企業などの内部で対策を推進する人材が著しく不足していることがある。
第4.0版は、こうした最新の環境変化を反映し、企業が適切な認識を持って実践的なサイバーセキュリティ対策を進められるよう、記載内容を見直したものである。
影響
IPAは、本ガイドラインを活用して中小企業が着実に情報セキュリティ対策を進めることで、中小企業自身の信頼性向上に寄与するとともに、経済社会全体のサイバーリスク低減につながることを期待している。
詳細
「はじめに取り組んでほしい情報セキュリティ5か条」に「バックアップを取ろう!」を新たに追加し、「情報セキュリティ6か条」とした。
「5分でできる！情報セキュリティ自社診断」には、「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」の2項目を新たに追加した。
経済産業省および内閣官房国家サイバー統括室が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の基本的な考え方に沿った内容とした。
2025年5月に公表された「中堅・中小企業が実施するセキュリティ対策に応じた人材確保・育成の実践的方策ガイドβ版」を踏まえ、セキュリティ人材の確保・育成を支援する方策と取組事例を付録として追加した。
第4.0版は、2023年4月公開の第3.1版以降に生じた変化を反映したもので、参考資料として、2024年度の中小企業における情報セキュリティ対策に関する実態調査、SCS評価制度に関する検討、サイバーセキュリティ人材の育成促進に向けた検討会が示されている。