補助金の申請で初めて知る人が多い制度
「補助金の申請に、SECURITY ACTIONの自己宣言IDが必要と言われた。これは何？」
デジタル化・AI導入補助金（旧IT導入補助金）の相談を受けると、ほぼ毎回この質問が出ます。SECURITY ACTION（セキュリティアクション）は、IPA（独立行政法人情報処理推進機構）が運営する、中小企業向けのセキュリティ対策の自己宣言制度です。
結論から言うと、
- 宣言は無料、オンラインで完結します
- 必要なのはGビズIDプライム（法人・個人事業主の場合）
- 一つ星なら、対策がまだ不十分でも「これから取り組む」宣言として申し込めます
- 補助金の申請要件になっていることが多く、最近はSCS評価制度（★3・★4）の前段階としても注目されています
この記事では、IPAの公式情報をもとに、一つ星・二つ星の違いと宣言の手順、補助金との関係を整理します。内容は2026年11月時点のものです。
---
SECURITY ACTIONとは
SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取り組むことを宣言する制度です。宣言した内容に応じて「一つ星」「二つ星」のロゴマークを使うことができます。
ここで誤解されやすいのが、IPAが審査したり認定したりする制度ではないという点です。あくまで自己宣言なので、IPAも「認定を受けました」「取得しました」という表現は不適切で、「一つ星（二つ星）を宣言しました」と表現するよう案内しています。
それでも宣言する意味は小さくありません。IPAの調査では、宣言のきっかけは補助金の申請要件が多い一方で、宣言した事業者の約4割が「社内の意識が高まった」と回答しています。セキュリティ対策の「最初の一歩」として作られた制度です。
---
一つ星と二つ星の違い
| 項目 | 一つ星 | 二つ星 | |---|---|---| | 宣言の内容 | 「情報セキュリティ6か条」に取り組む | 自社診断を実施し、情報セキュリティ基本方針を定めて公開する | | 事前に必要なこと | 特になし（これから取り組む宣言でよい） | 「5分でできる！情報セキュリティ自社診断」の実施、基本方針の外部公開 | | 申込時の入力 | 事業者情報・取組内容 | 上記に加え、基本方針を公開しているページのURL | | 向いている会社 | セキュリティ対策をこれから始める会社 | すでに一定の対策をしている会社、ISMSなどの認証がある会社 | | 費用 | 無料 | 無料 |
※2026年11月時点、IPA公式サイトの記載に基づく。
一つ星と二つ星を同時に申し込むことはできず、ロゴマークもどちらか一方しか使えません。一つ星で宣言したあとに対策を進め、管理システムのマイページから二つ星へステップアップする流れが一般的です。
一つ星：情報セキュリティ6か条
一つ星で取り組むのは、IPAの「中小企業の情報セキュリティ対策ガイドライン」に載っている基本対策です。2026年3月公開の第4.0版で、従来の5か条に「バックアップを取ろう！」が加わり、6か条になりました。ネット上の古い記事は「5か条」のままのことがあるので注意してください。
バックアップが独立した項目になったのは、ランサムウェアの被害が深刻になっていることが背景にあります。取るだけでなく、ネットワークから切り離して保管する、実際に戻せるかを試す、までやっておくと安心です。
二つ星：自社診断と基本方針
二つ星は「組織として対策を始めている」ことの宣言です。条件は2つあります。
- 「5分でできる！情報セキュリティ自社診断」を実施する：IPAが公開している診断シートで、パスワード管理や社外への持ち出し、委託先との取り決めなどを自己チェックします。点数の基準はなく、実施して自社の弱いところを把握することが目的です
- 情報セキュリティ基本方針を定め、外部に公開する：「当社は情報資産を適切に管理し、法令を遵守します」といった会社としての方針を、自社サイトなどで公開します。IPAのガイドラインにひな形があります
基本方針の公開先として一番多いのは自社のホームページです。サイトの「会社概要」やフッターから辿れる場所に、1ページ用意しておけば十分です。
---
宣言の手順
IPAの公式サイトでは、申し込みは次の流れで案内されています。
1. 取組目標を決める
一つ星にするか二つ星にするかを決めます。二つ星を選ぶ場合は、自社診断と基本方針の公開を先に済ませておきます。
2. GビズIDを取得する
SECURITY ACTIONの管理システムへのログインには、デジタル庁のGビズIDが必要です。
- 法人・個人事業主：GビズIDプライム
- 介護施設：施設ごとのGビズIDメンバー
GビズIDプライムは補助金の電子申請にも使うので、どちらにしても取得しておく必要があります。マイナンバーカードを使ったオンライン申請なら早ければ即日で発行されますが、書類を郵送する方法だと時間がかかります。補助金の締切が近い場合は、ここが一番のボトルネックになりやすいところです。
3. 申込フォームに入力する
管理システムにログインし、利用規約に同意したうえで、事業者情報と取組内容（一つ星／二つ星）を入力します。二つ星の場合は、基本方針を公開しているページのURLも入力します。
4. 完了メールを受け取る
入力が終わると、自己宣言IDとロゴマークの使い方が書かれたメールが届きます。補助金の申請で入力するのはこの自己宣言IDです。
5. ロゴマークをダウンロードする（任意）
ロゴマークは管理システムからダウンロードできます。名刺、会社案内、ホームページなどに表示できます。
宣言すると公開される情報
宣言した事業者の情報は、IPAのホームページで公開されます。法人の場合は事業者名、都道府県、市区町村、業種、取組段階（一つ星か二つ星か）です。取引先から「宣言していますか」と聞かれたときに、第三者が確認できる状態になるということでもあります。
---
補助金の申請要件としてのSECURITY ACTION
SECURITY ACTIONの宣言は、国や自治体の補助金の申請要件として広く採用されています。IPAのサイトには、要件として採用している補助金・助成金の一覧も掲載されています。
中小企業にとって一番関係が深いのは、デジタル化・AI導入補助金（2025年度までのIT導入補助金）です。2026年度の公募でも、申請にあたってSECURITY ACTIONの「一つ星」または「二つ星」の宣言が必要とされています。
| 補助金の準備 | SECURITY ACTIONとの関係 | |---|---| | GビズIDプライムの取得 | SECURITY ACTIONの宣言にも同じIDを使う | | SECURITY ACTIONの宣言 | 申請時に自己宣言IDを入力する | | ITツール・支援事業者の選定 | 宣言とは別に並行して進められる | | 交付申請 | 宣言が済んでいないと申請を進められない |
締切直前に「宣言がまだだった」と気づくケースは少なくありません。宣言自体は短時間で終わりますが、GビズIDプライムがないと始められないため、補助金を検討し始めた時点で両方を済ませておくのがおすすめです。補助金の枠や締切は「デジタル化・AI導入補助金2026の解説」、ホームページ制作で使える補助金は「ホームページ制作に使える補助金」にまとめています。
---
SCS評価制度との関係
2026年に入って、SECURITY ACTIONは補助金以外の文脈でも話題になっています。経済産業省などが構築を進めるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。
SCS評価制度は、取引先を含むサプライチェーン全体のセキュリティ対策を★3・★4・★5の段階で評価する制度で、★3・★4は2026年度末頃に申請受付が始まる予定です（2026年11月時点）。この★3以上は、SECURITY ACTIONの★1（一つ星）・★2（二つ星）に続く段階として設計されています。
| 段階 | 制度 | 方式 | |---|---|---| | ★1 一つ星 | SECURITY ACTION | 自己宣言 | | ★2 二つ星 | SECURITY ACTION | 自己宣言（自社診断・基本方針公開） | | ★3 | SCS評価制度 | 専門家の確認を受けた自己評価 | | ★4 | SCS評価制度 | 第三者評価 | | ★5 | SCS評価制度 | 今後具体化 |
取引先から将来★3を求められる可能性があるなら、まず二つ星まで進めておくと、そのまま次の準備につながります。制度の詳細は「SCS評価制度とは」で解説しています。取引先経由で攻撃されるサプライチェーン攻撃が増えていることが、こうした制度ができた背景です。
---
宣言したあとにやるべきこと
宣言はゴールではなくスタートです。宣言しただけで対策が進んでいなければ、実際の被害は防げません。宣言後は次の順で進めるのが現実的です。
最近は、社員が個人アカウントの生成AIに業務データを入力してしまう、といった新しいリスクも増えています。6か条の「脅威や攻撃の手口を知ろう」には、こうしたAI時代のリスクも含めて考えるとよいでしょう。中小企業全体の対策の進め方は「中小企業のセキュリティ対策ガイド」を参照してください。
---
まとめ
- SECURITY ACTIONはIPAの自己宣言制度。審査・認定ではないため「宣言しました」と表現する
- 一つ星は情報セキュリティ6か条（2026年3月から6か条）への取り組み、二つ星は自社診断と基本方針の公開
- 宣言は無料・オンラインで、GビズIDプライムが必要
- デジタル化・AI導入補助金の申請には一つ星または二つ星の宣言が必要
- SCS評価制度の★3・★4へ進むための土台にもなる
---
宣言の先の対策もご相談ください
Swaaabでは、AIセキュリティ対策支援として、中小企業の情報セキュリティ基本方針や社内ルール（生成AIの利用ルールを含む）の作成、社員向けの研修、AIツールを安全に使うための設定づくりをお手伝いしています。脆弱性診断などの専門的な検査が必要な場合は、提携先の専門事業者をご紹介します。
「二つ星の基本方針をどう書けばいいか分からない」「補助金と合わせて対策を進めたい」といったご相談も、お問い合わせからお気軽にどうぞ。
Written by
Swaaab編集部
広島を拠点に、AI開発・DX支援・Web制作を手がける株式会社Swaaabの編集チーム。現場で得た知見をもとに、実践的な情報を発信しています。