IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版とは？士業事務所が確認したい4つの実務ポイント
「事務所で使っているクラウドサービスをすべて挙げてください」と聞かれたとき、担当者の記憶や過去のメールを探さなければ答えられないことがあります。バックアップは取っていても、最後に復元できるか試した日が分からない、事故時の連絡先や判断者が決まっていないという事務所もあるでしょう。
IPAは2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公開しました。対象には、業種を問わず、法人、個人事業主、各種団体を含む中小企業・小規模事業者が含まれます。ただし、行政書士や中小企業診断士などの士業が個別に指定されているわけではありません。
士業固有の法的義務や、個別の事故における届出の要否は、関係機関の公式情報や有資格者による確認が必要です。本記事では、こうした制度上の判断ではなく、第4.0版を資産管理、クラウド利用、バックアップ、事故対応へ落とし込む方法を扱います。
第4.0版では何が変わったのか
対象は中小企業・小規模事業者と情報管理を統括する人
IPAのガイドラインは、中小企業・小規模事業者が情報セキュリティ対策へ取り組む際の考え方や実践方法を示す資料です。法人だけでなく、個人事業主や各種団体も対象に含まれます。想定読者は、経営者と情報管理を統括する人です。一方、工場設備や制御システムなどの分野は対象外とされています。
行政書士事務所や中小企業診断士事務所も、法人や個人事業主などとして対象に該当する場合は、ガイドラインを利用できると考えられます。ただし、IPAが各士業を個別に対象として指定したという意味ではありません。
また、ガイドラインへの対応が法的義務であるとの記載は、今回確認した公式情報では見当たりません。士業固有の守秘義務や職業倫理、個人情報などに関する具体的な対応は、本ガイドラインだけで判断せず、関係機関の公式情報を確認し、必要に応じて専門家へ相談してください。
公式に確認できる主な改訂点は3つ
IPAが案内ページで示している第4.0版の主な改訂点は、次の3点です。
- 従来の「情報セキュリティ5か条」に「バックアップを取ろう！」を加え、「情報セキュリティ6か条」とした
- 経済産業省と内閣官房国家サイバー統括室が検討する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の基本的な考え方を取り込んだ
- 「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」を付録1として追加した
本編では、2024年度の中小企業実態調査、近年のサイバー攻撃、SCS評価制度を踏まえ、第2部「実践編」を全面的に改訂したと説明されています。付録3の自社診断、付録4のハンドブック、付録5の関連規程、付録6の資産管理台帳も見直されました。
第4.0版は公開後にも更新されています。IPAの更新履歴によると、2026年6月1日に本編、付録3、付録7、付録8などの文言が一部修正され、7月3日には本編や関連資料のIPAロゴが更新されました。実務で利用する際は、保存済みの古いファイルではなく、IPAの案内ページから現在公開されている資料を確認するのが確実です。
旧版との差分として断定できないこと
第3.1版と第4.0版の全項目を対応させた公式の新旧対照表は、今回確認した公式ページでは公開されていません。そのため、次の内容を「第4.0版で新設された」「以前とは異なる方法へ変更された」と断定することはできません。
- 付録6「資産管理台帳」の列、シート、記入例、評価式ごとの変更
- 付録7の15項目における追加、削除、変更の範囲
- 付録8の各手順が旧版から変更された範囲
- 2026年6月1日に修正された具体的な文言と修正理由
「全面的に新しくなったため、すべての対応をやり直す必要がある」と捉えるのではなく、まず現在の運用と最新版の資料を照らし合わせ、足りない箇所を見つける使い方が現実的です。
まず資産台帳で情報とIT環境を棚卸しする
情報資産とIT資産を対応付ける
セキュリティ対策を始めようとしても、何を守るのかが分からなければ優先順位を決められません。そこで最初に確認したいのが、付録6の資産管理台帳です。
ガイドラインにおけるIT資産管理は、社内で利用するIT機器、ソフトウェア、ライセンス、クラウドサービスなどを正確に把握し、管理する取り組みです。機器やソフトウェアを誰がどこで使っているか、購入・廃棄・更新の履歴、契約期限、セキュリティ更新やパッチの適用状況などを記録します。
小規模な士業事務所であれば、編集部では次のような対象を一度に書き出す方法が考えられると見ています。
- 依頼者や支援先から受領した電子データ
- 申請資料、相談記録、報告書などの紙書類
- パソコン、スマートフォン、ルーターなどの機器
- 業務ソフト、ライセンス、クラウドストレージ
- メール、オンライン会議、電子契約などのクラウドサービス
- ウェブサイト、ドメイン、サーバーと各管理アカウント
これらはIPAが士業向けの記入例として個別に示したものではなく、ガイドラインを士業事務所へ当てはめた編集部の例です。最初から細部まで埋めようとせず、資産名、利用目的、管理者、利用者、保存場所、契約期限を確認できる範囲から記録すると着手しやすくなります。
たとえば、ウェブサイトを「事務所サイト」とだけ記録するのでは不十分です。ドメインの契約先、サーバーの契約先、WordPressなどの管理画面、更新担当者、管理者アカウント、バックアップの保存先まで対応付けると、担当者の退職や委託先の変更時にも確認しやすくなります。
機密性・完全性・可用性から優先順位を付ける
付録6を用いた資産ベースのリスク分析では、電子データや書類を洗い出し、情報資産ごとに機密性・完全性・可用性を評価します。
- 機密性：許可されていない人へ情報が漏れた場合の影響
- 完全性：情報が誤って変更されたり、正確さを失ったりした場合の影響
- 可用性：必要なときに情報やシステムを利用できない場合の影響
ガイドラインでは、原則として3つの評価値のうち最大の値を、その情報資産の重要度とします。個人情報を含む場合や、事故が事業の存続を左右しかねない場合などは、算定結果にかかわらず重要度を最高値の3とする考え方も示されています。さらに重要度と被害発生可能性を用いてリスク値を算定し、優先して対策する情報資産を把握します。
この評価は、すべてを同時に改善できない小規模事務所にとって、着手順序を決める材料になります。たとえば、公開済みの事務所案内画像と、依頼者の個人情報を含む申請資料では、漏えいや消失が起きた場合の影響が異なります。評価方法の詳細は付録6と本編を確認し、個別の法的義務に関する判断は関係機関や専門家へ確認してください。
台帳を更新する契機も決める
台帳は作成した時点の記録にすぎません。更新されなければ、実際の利用状況とずれていきます。次の出来事を更新の契機として、担当者と確認日を決めておくと運用しやすくなります。
- 端末を購入、交換、廃棄したとき
- 職員が入所、退職、異動したとき
- クラウドサービスの契約を開始または終了したとき
- 管理者や利用権限を変更したとき
- ソフトウェアやライセンスを更新したとき
- ウェブサイトの制作・保守会社を変更したとき
変更がなくても、四半期ごとなど一定の間隔で確認日を設定する方法が考えられます。台帳には機器構成、契約情報、管理者、保存先などの重要情報が集まるため、台帳自体の閲覧権限や保存場所も併せて決めてください。
クラウド利用とバックアップをセットで点検する
付録7の15項目を判断しやすい単位へ分ける
付録7には、15項目からなる「クラウドサービス安全利用チェックシート」が掲載されています。項目を上から確認するだけでなく、次の4つのグループに分けると、事務所内で担当を割り振りやすくなります。
- 利用目的と影響：利用する業務、取り扱う情報、漏えい・改ざん・消失・停止時の影響
- 利用者と認証：管理担当者、利用できる職員、認証設定、付帯するセキュリティ対策
- サービスと契約：事業者の信頼性、稼働率、障害発生頻度、回復目標時間、適用法令、契約条件
- データの管理：バックアップ、利用終了時のデータ確保、データが保存される国・地域
不明な項目を推測で埋める必要はありません。管理画面、利用規約、契約書、サービス仕様、障害情報のページを確認し、それでも分からなければクラウド事業者や販売事業者へ問い合わせます。「確認済み」「未確認」「事業者へ照会中」のように状態を記録すると、未対応項目が埋もれにくくなります。
利用者側に残る役割と責任を確認する
クラウドサービスでは、事業者が設備やシステムのセキュリティ対策を担っていても、利用者側の作業がなくなるわけではありません。ガイドラインは、事業者側の対策と、利用者である自社の役割・責任を把握し、自社でしか実施できない対策を行うよう求めています。
具体的には、退職者のアカウントを停止する、管理者権限を必要な人だけに限定する、認証設定を見直す、保存したデータを必要時に取り出せるようにするといった作業です。
確認する画面はサービスによって異なりますが、まず管理画面の「ユーザー」「メンバー」「権限」「セキュリティ」「ログイン」「契約・請求」などの項目を探します。そこで、管理者が誰か、利用していないアカウントが残っていないか、認証方式はどうなっているか、契約更新日はいつかを確認してください。
顧客とウェブ制作会社、サーバー事業者、クラウド事業者の責任範囲も、契約ごとに異なります。誰が一律に責任を負うかを本記事だけで判断せず、契約書や仕様書を確認し、不明点は契約先へ照会する必要があります。
バックアップは復元確認まで運用に含める
第4.0版では、初期段階の対策に「バックアップを取ろう！」が追加されました。対策例には、重要情報を定期的にバックアップすること、バックアップ媒体を必要なときだけ接続すること、安全な場所へ保管すること、復元できるか定期的に確認することが含まれます。
バックアップ管理表には、少なくとも次の項目を記録するとよいでしょう。
- 対象となるデータ
- 取得頻度
- 保存先
- 実施担当者
- 媒体を接続する時間と保管場所
- 最終取得日
- 最終復元確認日
- 復元手順の保管先
「クラウド上に保存しているからバックアップ済み」とは限りません。同期によって端末側の削除や変更がクラウド側へ反映されることも考えられます。管理画面や契約資料で、データの保持期間、削除後の復元可否、復元方法、サービス終了時のデータ取得方法を確認してください。
復元確認では、業務に影響しないテスト用データを使い、別の保存先へ戻せるかを試します。確認日、担当者、所要時間、エラーの有無を記録すれば、「バックアップが存在する」状態と「必要時に利用できる」状態を分けて管理できます。
インシデント対応を3段階で準備する
検知・初動対応
ガイドラインは、セキュリティインシデントへの対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階に分けています。
初動では、異常を見つけた人から情報セキュリティ責任者へ報告し、責任者から経営者へ報告する流れが示されています。経営者は顧客や事業への影響を踏まえて対応体制を立ち上げ、対応方針を指示します。
被害拡大を防ぐ選択肢として、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止などが挙げられています。ただし、不用意に機器の電源を切ると、原因調査に必要な記録を失う可能性があります。事故が起きてから判断するのではなく、機器やサービスごとに最初の連絡先と初動手順を決めておくことが重要です。
具体的な遮断や停止の判断は、事故の内容やシステム構成によって異なります。保守事業者やセキュリティの専門家などの相談先を事前に登録し、連絡が取れない場合の代替先も用意してください。
報告・公表
報告・公表の段階では、本人への報告、ウェブサイトやメディアによる公表、問い合わせ窓口の開設などが示されています。個人情報やマイナンバーの漏えい、業法上の報告対象、犯罪、不正アクセスなどについては、事案に応じて個人情報保護委員会、所管省庁、警察、IPAなどへの届出が挙げられています。
届出や公表の要否、期限、方法は、事故の内容と個別事情によって異なります。読者自身で関係機関の公式情報を確認するか、有資格者へ相談してください。本記事では要否そのものを判断せず、確認の遅れを防ぐためにサイトと業務体制側で何を用意するかを扱います。
事前準備として、顧客への連絡担当、問い合わせ窓口、ウェブサイトの更新担当、届出の要否を確認する担当を決めます。サイト管理画面へ入れる人が一人しかいない場合は、その人が対応できないときの代替手段も必要です。公表文を先に完成させる必要はありませんが、「事実確認中」「影響範囲」「利用者にお願いする対応」「次回更新予定」を整理するひな形があれば、情報が錯綜する場面でも確認項目をそろえやすくなります。
復旧・再発防止
復旧時には、発生日時、確認した事象、被害、影響範囲、対応経過、想定される原因を記録します。そのうえで、修正プログラムの適用、設定変更、機器交換、バックアップからのデータ復元などを行います。
訴訟対応が見込まれる場合には、証拠の保全やフォレンジック調査が必要になることもあります。フォレンジック調査とは、端末やシステムに残る記録を保全・解析し、事故の原因や経路を調べる作業です。必要性や方法は個別の事案によるため、専門家へ相談してください。
対応後は、技術的な対策だけでなく、ルール、教育、担当体制、日常運用も見直します。パスワードを変更して終わるのではなく、不要な権限が残った理由、異常の発見が遅れた理由、連絡先を探すのに時間がかかった理由まで振り返ることで、次の改善対象が明確になります。
小規模な事務所では、次の項目をA4用紙1枚程度にまとめ、紙とアクセス制限された共有先の両方に置く方法が考えられます。
- 最初に報告する責任者
- 経営判断を行う人
- 外部ベンダーや専門家の連絡先
- 顧客対応と問い合わせ窓口の担当
- ウェブサイトを更新する担当
- 届出や公表の要否を確認する担当
- 証拠保全や調査の相談先
- 復旧後の原因分析と再発防止を管理する人
ここで決めるのは、個別事故への結論ではなく、誰が情報を集め、誰に確認し、誰が最終判断するかという経路です。
まとめ｜自社診断から段階的に着手する
第4.0版は、情報セキュリティ対策を担当者任せの技術作業ではなく、資産管理、クラウド契約、業務継続、顧客対応を含む経営上の取り組みとして整理する材料になります。一方、チェックシートへ記入するだけで安全性が保証されるものではなく、対応が法的義務であるとも確認されていません。
最初からすべての資料を読み込み、全項目を整備しようとすると、小規模事務所では日常業務と両立しにくくなります。まず、次の順序で着手してください。
- IPAの案内ページから最新版の「5分でできる！情報セキュリティ自社診断」を開き、未対応項目を確認する
- 付録6を参照し、重要情報、端末、ソフトウェア、クラウドサービス、ウェブサイトの管理情報を棚卸しする
- 付録7を開き、各クラウドサービスの管理画面と契約資料を見ながら、利用者、認証、責任分界、データ確保の方法を確認する
- バックアップの対象、取得頻度、保存先、担当者を決め、テスト用データで復元できた日を記録する
- 付録8を参照し、事故時の責任者、外部連絡先、顧客対応、サイト更新、判断経路を1枚にまとめる
- 四半期ごとの確認日と、端末購入、職員の入退職、契約変更などがあった場合の台帳更新ルールを決める
今日取りかかるなら、まず事務所で利用している端末とクラウドサービスを一つの表へ書き出し、それぞれの管理者が分かるかを確認します。管理者が不明な項目や、復元方法を説明できない項目が見つかれば、そこが次に調べる対象です。
出典一覧
- IPA「中小企業の情報セキュリティ対策ガイドライン」案内ページ（2026-03-27）
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」本編（2026-03-27）
- IPA「付録7 中小企業のためのクラウドサービス安全利用の手引き」（2026-03-27）
- IPA「付録8 中小企業のためのセキュリティインシデント対応の手引き」（2026-03-27）
この記事はAIが生成し、編集長のチェックを受けて公開しています。
