何が変わったか
IPA（独立行政法人情報処理推進機構）は、「中小企業の情報セキュリティ対策ガイドライン」を改訂しました。2026年3月27日に第4.0版が公開されています。本ガイドラインは、(1)経営者が認識し実施すべき指針と、(2)社内で対策を実践する際の手順や手法をまとめたものです。経営者編と実践編から成ります。個人事業主や小規模事業者を含む中小企業等の利用を想定しています。IPAは、基本的な構成は維持したと説明しています。
情報セキュリティ6か条への改訂
はじめに取り組む「情報セキュリティ5か条」に「バックアップを取ろう!」が加わりました。名称も「情報セキュリティ6か条」になっています。「5分でできる!情報セキュリティ自社診断」にも、次のような診断項目が加わりました。
- 外部から内部ネットワークへの不要な通信を遮断する
- ウェブサイトを安全に運用する
バックアップを取ろう
SCS評価制度の考え方の取り込み
経済産業省と内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の検討を進めています。第4.0版は、その基本的な考え方に沿った内容とされています。
人材の確保・育成の付録
2025年5月に公表された経済産業省の検討会の資料を踏まえ、セキュリティ人材の確保・育成の実践ガイドブックが付録1として加わりました。
会社が備えること
経営者編の位置づけの確認
経済産業省は、経営者編を、経営者が自らの責任で対応しなければならない事項として紹介しています。内容は「サイバーセキュリティ経営ガイドライン」を中小企業向けに編集したものです。同ガイドライン Ver3.0は、経営者が認識する必要のある「3原則」と、担当幹部（CISO等）に指示すべき「重要10項目」をまとめています。
自社診断と付録の様式
第4.0版には、次のような付録があります。
- 付録2：情報セキュリティ基本方針（サンプル）
- 付録3：5分でできる!情報セキュリティ自社診断
- 付録5：情報セキュリティ関連規程（サンプル）
- 付録6：資産管理台帳（サンプル）
- 付録8：中小企業のためのセキュリティインシデント対応の手引き
2026年4月21日には、自社診断のExcel版も公開されました。端末の紛失など情報漏えいの初動は、顧客情報が入ったパソコンを社員が紛失しました。何をすればよいですかでも扱っています。
SECURITY ACTIONの宣言
SECURITY ACTIONは、中小企業自らが、本ガイドラインに示した対策に取り組むことを自己宣言する制度です。取引先から対策の状況を尋ねられたときに示せるよう、自社診断の結果、宣言の有無、整えた規程を社内でまとめておきます。
自社診断の結果
注意点
旧版の資料との違い
社内で「情報セキュリティ5か条」など旧版の資料を使っている場合は、第4.0版との違いを確かめます。IPAの英語版ページで入手できる資料は第3.1版です。
経営ガイドラインの対象
サイバーセキュリティ経営ガイドラインは、大企業と中小企業（小規模事業者を除く）のうち、ITに関するシステムやサービス等を供給する企業と、経営戦略上ITの利活用が不可欠である企業の経営者を対象としています。
引用するときの条件
IPAは、資料を引用する際に、出典の明記と、可能な限り原文のまま掲載することを求めています。一部を改変する場合は、原文のままでないことを明記するよう求めています。社内規程や研修資料に取り込むときは、この条件を確かめます。