IPAガイドライン第4.0版で何が変わった？会社の対策表を見直すポイント

情報セキュリティ対策の指針となるIPA（独立行政法人情報処理推進機構）のガイドラインが、2026年9月30日に第4.0版へと改訂されました。経営者がまず取り組むべきことの一つとして、現在自社で運用している「情報セキュリティ対策表」や「自社診断結果」を、新しい「6か条」の基準に照らして見直すことが挙げられます。

特に、これまで見落とされがちだったバックアップの重要性が明文化されたため、データの保存状況を真っ先に確認してください。

新しいガイドラインで追加された重要項目は何ですか？

バックアップの重要性が「6か条」に格上げされました

今回の改訂における主な変更点は、これまで「情報セキュリティ5か条」として示されていた、最初に取り組むべき基本指針が「6か条」へと拡張されたことです。新しく追加された項目は「バックアップを取ろう！」という、非常にシンプルながらも極めて重要な内容です。

これは、ウイルス感染や機器の故障、あるいは操作ミスによって大切なデータが消えてしまった際、事業を継続するための生命線となる対策です。

例えば、お客様との契約書や日々の売上データが突然読み込めなくなった場合、バックアップがなければ復旧は困難を極めます。自社の対策表を確認する際は、「データのコピーをどこに、どのような頻度で保存しているか」という項目が、単なる作業手順ではなく、経営上の重要事項として位置づけられているかを再確認してください。

担当者には「もし明日、メインのパソコンが壊れたら、どのデータが、いつの時点のものまで戻せるのか」と具体的に問いかけてみることが有効です。

ネットワーク通信の遮断に関する診断が追加されました

「5分でできる！情報セキュリティ自社診断」の項目においても、新しいチェックポイントが追加されています。その一つが「外部から内部ネットワークへの不要な通信を遮断する」という内容です。これは、会社のネットワーク（社内のパソコン同士やインターネットがつながる仕組み）に対して、本来必要のない通信が入り込まないように壁を作る対策を指します。

外部からの不正な侵入を防ぐための、いわば「門番」の役割を果たす設定です。

具体的には、社内のネットワーク機器（ルーターなど）の設定が適切か、あるいは不要な接続経路が開いたままになっていないかを確認する必要があります。担当者に対しては、「社外から社内ネットワークへアクセスできる範囲は、業務上どうしても必要な範囲だけに絞り込まれているか」を確認するよう指示してください。

この設定が不十分だと、一度どこかの端末がウイルスに感染した際に、ネットワークを通じて他のパソコンへ被害が広がるリスクが高まります。

ウェブサイトの安全な運用が求められています

もう一つの新しい診断項目は「ウェブサイトを安全に運用する」です。自社でホームページを運営している場合、そのサイトが改ざんされたり、ウイルスを配布する道具として悪用されたりしないための対策が求められます。ウェブサイトは会社の「顔」であり、ここが攻撃を受けると、お客様に不信感を与えるだけでなく、自社のブランドイメージを大きく損なうことにつながります。

例えば、ホームページの管理画面のパスワードが使い回されていたり、システムの更新が放置されていたりすると、攻撃の隙を与えてしまいます。対策表を見直す際は、ホームページの管理を誰が行っているのか、システムの更新（アップデート）は定期的に実施されているか、という点を確認してください。

担当者へは「ホームページの管理権限を持っているのは誰か」「システムの脆弱性（セキュリティ上の弱点）に対する更新作業は、いつ、どのような手順で行っているか」を質問し、その実態を把握することが重要です。

対策表を更新する際に意識すべき外部環境の変化

サプライチェーン対策の考え方を取り入れます

今回の改訂では、経済産業省などが進めている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の考え方が取り入れられています。サプライチェーンとは、製品の原材料の調達から、製造、配送、販売に至るまでの一連の流れのことです。

現代のビジネスでは、自社が対策を行っていても、取引先（サプライヤー）のセキュリティ状況によっては、そこを足がかりに自社へ被害が及ぶ可能性があります。

そのため、自社の対策表を更新する際は、自社内の対策だけでなく「取引先との情報のやり取りをどう守るか」という視点を持つことが大切です。例えば、取引先から送られてくるファイルを受け取る際のルールや、自社の情報を取引先に共有する際の制限などが含まれます。

担当者には「取引先との間で、どのような機密情報のやり取りがあり、その際にどのようなセキュリティルールを適用しているか」を整理させ、それを対策表に反映させるよう求めてください。

人材の確保と育成に関する指針が強化されました

セキュリティ対策は、ツールやシステムを導入するだけでは完結しません。それらを扱う「人」の知識と意識が欠かせません。ガイドラインの付録には、新たに「中小企業のための人材確保・育成の実践ガイドブック」が追加されました。

これは、専門的な知識を持つ人材をどう確保し、また既存の社員にどのようにセキュリティの知識を身につけてもらうかという、具体的な方法をまとめたものです。

中小企業において、専任のセキュリティ担当者を置くことは容易ではありません。そのため、特定の誰かに任せきりにするのではなく、社員全員が「自分たちの業務にセキュリティがどう関わっているか」を理解する仕組み作りが求められます。

対策表の見直し時には、「社員向けの教育をいつ、どのような内容で行っているか」という項目を設けることを検討してください。担当者には「最新のガイドラインに基づいた、社員向けのセキュリティ研修の計画案を作成できるか」と相談してみるのが良いでしょう。

経営者の役割と実践編の連携を再確認します

ガイドラインは「経営者編」と「実践編」の二段構えで構成されています。経営者編は、経営者が何を認識し、どのような方針を示すべきかをまとめたものであり、実践編は、現場で具体的にどのような手順で対策を進めるかをまとめたものです。今回の改訂でも、この二つの連携がより重要視されています。

経営者が「セキュリティは重要だ」と口にするだけでなく、具体的な予算配分や、対策の優先順位を決定するプロセスに、実践編の内容を反映させることが求められます。対策表を更新する際は、単なるチェックリストとしてではなく、「経営方針に基づいた、自社のリスク管理計画」として機能しているかを自問してください。

担当者に対しては、「経営層が決定したセキュリティ方針が、現場の具体的な作業手順（マニュアル）にまで正しく落とし込まれているか」を確認するよう指示してください。

具体的な対策の見直し手順と準備するもの

現在の対策表と新ガイドラインの差分を洗い出す

見直しの第一歩は、現在使用している対策表（または自社診断の結果）と、新しいガイドラインの差分を明確にすることです。まずは、IPAが公開している「情報セキュリティ6か条」の解説編や、新しい「自社診断」の項目を手元に用意してください。

これらを比較し、現在の対策表に「バックアップ」「ネットワーク遮断」「ウェブサイト運用」といった要素が不足していないかを一つずつ確認していきます。

例えば、現在の対策表に「データの保存」という項目があったとしても、それが「バックアップの頻度」や「保管場所の安全性」まで踏み込めていなければ、新しい基準には達していません。担当者には「新しいガイドラインの項目と、現在の自社ルールを比較して、足りない部分をリストアップしてください」と指示を出してください。

この際、無理に新しい項目をすべて詰め込もうとするのではなく、まずは不足している「要素」を特定することに集中するのが、失敗しないためのコツです。

必要な資料を集めて現状の体制を可視化する

差分が見えてきたら、次は「本当にその対策ができているか」を裏付けるための資料を集めます。対策表を書き換える前に、現状の事実を確認しなければ、形だけの対策表になってしまいます。具体的には、バックアップの実施記録、ネットワーク機器の設定書、ホームページの管理権限一覧、社員への教育実施記録などが対象となります。

例えば、バックアップについて確認する場合、「バックアップを取っています」という言葉だけでなく、「いつ、どのデータを、どの媒体に、どのくらいの容量で保存したか」が記録されたログや管理表があるかを確認します。担当者には「現在の対策が正しく行われていることを証明できる資料（エビデンス）を、項目ごとに整理してください」と依頼してください。

これらの資料を揃えることで、対策表の更新内容が、実態に基づいた信頼できるものになります。

対策の優先順位を決め、実行計画を立てる

すべての不足項目を一度に解決しようとすると、コストや工数が膨らみ、計画の遂行が困難になる場合があります。新しいガイドラインの内容を踏まえ、自社のビジネスへの影響度（リスク）に基づいて、対策の優先順位を決定してください。例えば、バックアップがない場合は早めに保存と復元の計画を立てます。

ただし、すでに悪用が疑われる接続や緊急の脆弱性対応があれば、そちらの封じ込めを待たせず、担当者と並行作業や優先順を判断してください。

優先順位を決める際は、「もしその対策ができなかった場合、事業にどれほどの影響が出るか」という視点を持ってください。計画を立てる際は、「いつまでに」「誰が」「何を」「いくらで」行うのかを明確にします。

担当者には「特定した不足項目の中から、低コストですぐに取り組めるものと、予算や専門家の助けが必要なものを分けて、実行スケジュール案を作成してください」と指示してください。これにより、経営判断がスムーズになります。

対策の判断基準と専門家への相談タイミング

対策の範囲をどこまで広げるべきか判断する

セキュリティ対策には、どこまでもコストと手間がかかる側面があります。そのため、「どこまでやるか」という境界線を引く判断が経営者には求められます。すべてのリスクを完全に排除することは困難であり、現実的ではありません。判断の基準は、「自社の事業継続において、これだけは失ってはいけない情報（顧客情報、設計図、会計データなど）は何か」という点に置くべきです。

例えば、小規模な事務所であれば、高価な専用機器を導入するよりも、まずは同期とは別に過去の状態へ戻せるかを検証したバックアップや、適切なパスワード管理から始める方が現実的です。担当者に対しては、「すべての対策を網羅しようとするのではなく、自社の重要資産を守るために、どのような対策が適切か」という視点で意見を求めてください。

自社の規模や予算、扱う情報の重要度に合わせて、対策の「深さ」を調整することが、持続可能なセキュリティ対策の鍵となります。

外部の専門家に相談すべき具体的なサイン

自社内での判断に迷ったときや、対策の実施が困難なときは、早めに専門家へ相談することが重要です。具体的には、「ネットワークの構成が複雑で、通信遮断の設定が業務に支障をきたさないか判断できない場合」や、「ウェブサイトの改ざん対策など、高度な技術的知識が必要な場合」などが相談のタイミングです。

また、「新しいガイドラインに沿った対策表を作ったが、これが自社のリスクに対して本当に適切なのか確信が持てない」という場合も、専門家の客観的な視点が必要です。担当者には「自社で解決できない技術的な疑問や、判断に迷うポイントをリストアップしておいてください」と伝えておくと、専門家との打ち合わせがスムーズに進みます。

専門家には「現在の体制と、新ガイドラインの基準を比較して、不足している具体的な対策を教えてほしい」と依頼するのが効果的です。

対策後の効果検証と継続的な見直しのルールを作る

対策を実施して終わりにするのではなく、それが正しく機能しているかを定期的に確認する仕組みを作ることが大切です。対策表を更新して対策を講じた後は、「実際にバックアップからデータが復元できるか」を試してみる（復元テスト）などの検証が必要です。

これを行わないと、いざという時に「バックアップは取っていたが、データが壊れていて使えなかった」という事態になりかねません。

また、技術の進歩やビジネス環境の変化に合わせて、ガイドラインも更新されます。対策表を「一度作ったら完成するもの」ではなく、「定期的に見直すもの」として運用ルールに組み込んでください。担当者には「半年に一度、あるいは年に一度、対策表の有効性を確認するためのチェック日を決めておいてください」と指示してください。

自社の状況を定期的に整理し、必要に応じて診断や相談のステップへ進む習慣をつけることが、長期的な信頼につながります。