案件の提案書に、情報セキュリティへの取り組みを一言添えたいと考えました。調べてみると、IPAの「SECURITY ACTION」という制度が見つかりました。一つ星と二つ星の違いも、個人事業主として申し込めるのかも、その場では分かりませんでした。SECURITY ACTIONは、認定ではなく自己宣言です。

1. SECURITY ACTIONは、情報セキュリティ対策に取組むことを自己宣言する制度です

IPAが案内する、自己宣言の制度です

情報処理推進機構（IPA）が案内しているSECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度です¹。

宣言には、一つ星と二つ星の2つの段階があります⁴。一つ星はこれから取組む段階の宣言で、二つ星は自社診断と基本方針の公開を済ませてから申し込む宣言です¹⁴。

段階の中身を見る前に、宣言にひもづく2つの点を見ます。ロゴマークと、補助金・助成金とのつながりです。

ロゴマークは無料で使えます

取組みの段階に応じて、一つ星か二つ星のロゴマークを無料で使えます⁴。

IPAの案内には、SECURITY ACTIONの自己宣言を申請要件等としている補助金・助成金の一覧も掲げられています⁵。

項目	内容
制度の性格	中小企業が情報セキュリティ対策に取組むことを自己宣言する仕組みです
段階	一つ星と二つ星の2つです
ロゴマーク	宣言した段階に応じて無料で使用できます
補助金・助成金との関わり	自己宣言を申請要件等としているものが一覧に掲げられています

次は、一つ星の中身です。

2. 一つ星は、情報セキュリティ6か条に取組む宣言です

一つ星は、6か条に取組むことを宣言します

一つ星は、「中小企業の情報セキュリティ対策ガイドライン」に記載されている「情報セキュリティ6か条」に取組むことを宣言する段階です²。

6か条の項目そのものは、このガイドラインの中で示されています²。

一つ星は、これから6か条に取組む段階の宣言なので、対策を実施する前でも申し込めます¹⁴。

二つ星とは、申し込める時期が違います

二つ星は、情報セキュリティ自社診断の実施と、情報セキュリティ基本方針の外部公開が済んでからの申し込みになります¹⁴。2つの段階の違いを、図1に整理します。

出典：SECURITY ACTIONとは？²、よくある質問¹⁴（情報処理推進機構）をもとに作成

二つ星で求められる中身は、次の節で見ます。

3. 二つ星は、自社診断と基本方針の公開を済ませてから宣言します

自社診断で、いまの状況をつかみます

二つ星を宣言するには、まずガイドラインの付録3「5分でできる！情報セキュリティ自社診断」で、自社の状況を把握します³。

基本方針を定めて、外部に公開してから宣言します

次に、付録2「情報セキュリティ基本方針（サンプル）」を定め、外部に公開します³。

二つ星の宣言には、自社診断の実施と基本方針の外部公開を事前に行っていることが条件です¹⁰。

次は、どちらにするか迷ったときです。

4. 迷ったら一つ星から始め、両方を同時には申し込めません

迷ったら、一つ星から始めます

自社の状況が一つ星と二つ星のどちらのケースにも当てはまらない、あるいは判断に迷う場合もあります。そうしたときは、まず一つ星の宣言から始めます⁶。

一つ星は、対策の実施前でも申し込めます¹⁴。

一つ星と二つ星は、同時には申し込めません

一つ星と二つ星を同時に申し込むこと、また双方のロゴマークを同時に使用することはできません¹³。使えるのは、どちらか一方です。

ここまでの一つ星と二つ星の違いを、表2に整理します。

項目	一つ星	二つ星
取組むこと	情報セキュリティ6か条に取組む宣言	自社診断と基本方針の外部公開
申し込める時期	対策の実施前でも申し込めます	診断と公開を済ませてから申し込みます
使えるロゴマーク	一つ星のロゴマーク（無料）	二つ星のロゴマーク（無料）
同時の申し込み	できません（ロゴマークもどちらか一方）

次は、個人事業主としての申し込み方です。

5. 個人事業主も、GビズIDプライムを取得して申し込みます

GビズIDプライムのアカウントを取得して申し込みます

SECURITY ACTIONは2026年4月1日に申込方法が変わり、自己宣言の申込にはGビズIDプライムまたはメンバーのアカウントが必須になりました⁹。

SECURITY ACTIONは、中小企業、個人事業者および中小企業と同等規模の団体等を中心に普及していく制度で、企業規模の制限はなく、広く申し込めます¹⁷。

法人、個人事業主共に、GビズIDプライムのアカウントを取得して申し込みます¹¹。

GビズIDの取得からロゴマークの使用まで、最短1日で進められます⁸。ただしシステムメンテナンス等でGビズIDの手続きができない期間もあるため、余裕を持って進めます⁸。

ここまでの流れを、図2に整理します。

出典：SECURITY ACTION 自己宣言の申込方法（情報処理推進機構）をもとに作成⁸

次は、2026年3月以前にすでに宣言していた場合です。

2026年3月以前に宣言した人

SECURITY ACTIONの管理システムがリリースされる前に自己宣言していた場合、以前の自己宣言IDは確認できません。改めて管理システムで自己宣言を申し込むと、新しい自己宣言IDが発行されます¹⁹。

一方、デジタル化・AI導入補助金（旧：IT導入補助金）以外でSECURITY ACTIONの自己宣言を申請要件等としている補助金・助成金は、2026年3月以前の宣言でも申請できます¹⁸。ただし今後、管理システムでの自己宣言を必要とするよう変更される可能性もあるため、申請前に募集要領等を確かめます¹⁸。

次は、宣言したあとに何が公開されるかです。

6. 宣言すると、代表者名や屋号がIPAのホームページで公開されます

公開される6つの項目と、宣言の有効期間

宣言をすると、事業者としての情報がIPAのホームページで公開されます。個人事業主の場合に公開されるのは、代表者名、屋号、都道府県、市区町村、業種、取組段階（一つ星か二つ星か）です¹²。

公開される6つの項目を、図3に整理します。

出典：SECURITY ACTION 自己宣言の申込方法（情報処理推進機構）をもとに作成¹²

自己宣言そのものには、有効期間がありません¹⁵。宣言した段階に応じたロゴマークも、無料で使えます⁴。

宣言したあとに求められること

自己宣言は、自社が情報セキュリティ対策に取組むと外部に向けて宣言する仕組みです。宣言後の実施報告などは求められません²¹。

「中小企業の情報セキュリティ対策ガイドライン」が改訂されて一つ星・二つ星の実施基準が変わっても、宣言のやり直しは不要です。改訂後は、すでに自己宣言を済ませた事業者も、改訂版の内容を踏まえて取組を進めることを宣言しているものとして扱われます²⁰。

最後に、提案書やサイトに書く前に確かめる3つの点です。

7. 提案書やサイトに書く前に、3つを確かめます

書き方は「宣言しました」を使います

SECURITY ACTIONは、情報セキュリティ対策の状況などをIPAが認定するものではありません⁷。提案書やウェブサイトに書くときは、「認定」「取得」ではなく「宣言しました」と書きます⁷。

一つ星も二つ星も、自ら宣言する仕組みだからです。

公開される情報と、GビズIDの期限を確かめます

宣言をすると、代表者名や屋号などがIPAのホームページで公開されます¹²。公開される範囲は、宣言の前に確かめます。

3つ目は、GビズIDの有効期間です。GビズIDには2年3ヶ月間の有効期間が設定されており、継続する場合は更新の手続きが必要です¹⁶。宣言そのものには有効期間がありません¹⁵が、GビズIDの期限は別にあります。

ここまでの3つを、表3に整理します。

確かめること	内容
書き方	「認定」「取得」ではなく「宣言しました」と書きます
公開される情報	代表者名、屋号、都道府県、市区町村、業種、取組段階が公開されます
GビズIDの期限	2年3ヶ月間の有効期間があり、継続するときは更新の手続きが必要です

3つを確かめる順番を、図4に整理します。

出典：SECURITY ACTIONとは？⁷、SECURITY ACTION 自己宣言の申込方法¹²、よくある質問¹⁶（情報処理推進機構）をもとに作成

SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度で¹、IPAが対策状況を認定する制度ではありません⁷。個人事業主も、GビズIDプライムを取得すれば同じように申し込めます¹¹。

SECURITY ACTIONは、認定ではなく自己宣言です。書くときは「宣言しました」と書き、GビズIDの有効期間も確かめます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 情報処理推進機構「SECURITY ACTIONとは？」制度の概要（2026年・2026年9月確認）
＊2 情報処理推進機構「SECURITY ACTIONとは？」一つ星の宣言（2026年・2026年9月確認）
＊3 情報処理推進機構「SECURITY ACTIONとは？」二つ星の宣言（2026年・2026年9月確認）
＊4 情報処理推進機構「SECURITY ACTIONとは？」ロゴマーク（2026年・2026年9月確認）
＊5 情報処理推進機構「SECURITY ACTIONとは？」補助金・助成金の一覧（2026年・2026年9月確認）
＊6 情報処理推進機構「SECURITY ACTIONとは？」どちらを宣言するか（2026年・2026年9月確認）
＊7 情報処理推進機構「SECURITY ACTIONとは？」注意事項（2026年・2026年9月確認）
＊8 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」お申し込みの流れ（2026年4月1日・2026年9月確認）
＊9 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」申込方法の変更（2026年4月1日・2026年9月確認）
＊10 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」二つ星の条件（2026年4月1日・2026年9月確認）
＊11 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」GビズIDの取得（2026年4月1日・2026年9月確認）
＊12 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」公開される情報（2026年4月1日・2026年9月確認）
＊13 情報処理推進機構「SECURITY ACTION 自己宣言の申込方法」申込フォームの注意（2026年4月1日・2026年9月確認）
＊14 情報処理推進機構「よくある質問」よくある質問（自己宣言の申込）（2026年・2026年9月確認）
＊15 情報処理推進機構「よくある質問」よくある質問（自己宣言の申込）（2026年・2026年9月確認）
＊16 情報処理推進機構「よくある質問」よくある質問（GビズID）（2026年・2026年9月確認）
＊17 情報処理推進機構「よくある質問」Q. 自己宣言の対象者（2026年・2026年9月確認）
＊18 情報処理推進機構「よくある質問」Q. 2026年3月以前の自己宣言で補助金を申請できるか（2026年・2026年9月確認）
＊19 情報処理推進機構「よくある質問」2026年3月以前の自己宣言について（2026年・2026年9月確認）
＊20 情報処理推進機構「よくある質問」Q. ガイドラインの改訂と宣言のやり直し（2026年・2026年9月確認）
＊21 情報処理推進機構「よくある質問」Q. 自己宣言後にすること（2026年・2026年9月確認）