予算が限られた中小企業でも始められる｜セキュリティ対策に使える公的支援と無料の情報源

2026年10月、国内の金融機関や通信事業者など、幅広い業種の企業から、不正アクセスによる情報漏えいの公表が相次ぎました。こうした状況を受けて、IPA（独立行政法人情報処理推進機構）は10月9日に速やかに実施すべき対策等の注意喚起を公開し、10月16日には、被害を受けている、またはその可能性がある企業・組織向けに「不正アクセス特別相談窓口」を開設しています。

ニュースを見て「うちも何か対策をしなければ」と感じた経営者の方は多いと思います。一方で、「専任の担当者はいない」「セキュリティ会社に頼むほどの予算はない」「そもそも何から手を付ければよいのかわからない」という悩みを抱えている企業も少なくないはずです。セキュリティ対策というと、高額な機器や専門家との契約を思い浮かべる方も多いかもしれません。

ただ、「小さな会社だから狙われない」とは言えない状況です。IPAの「サイバーセキュリティお助け隊サービス」のサイトに掲載された経済産業省のコメントでは、警察庁の調査で、ランサムウェア被害の6割以上が中小企業で発生しているとされていることが紹介されています。同じコメントでは、こうした被害が自社にとどまらず、取引先を含めたサプライチェーン全体の事業活動に影響を及ぼすことが懸念されるとも述べられています。セキュリティ対策は、自社を守るためだけでなく、取引先との信頼関係を保つうえでも欠かせないものになりつつあります。

実は、国や公的機関は、中小企業がお金をかけずに、あるいは少ない負担で対策を始められるよう、さまざまな資料や制度を用意しています。IPAが無料で公開しているガイドラインや自己診断のチェックシート、取り組みを宣言する制度、監視や駆け付けをまとめた安価なサービス、その利用料を補助する制度、そして困ったときの相談窓口です。ただ、制度の名前が似ていたり、情報があちこちに分かれていたりするため、全体像がつかみにくいのも事実です。

この記事では、予算が限られた中小企業の経営者の方に向けて、セキュリティ対策に使える公的な支援と無料の情報源を、「何から始めればよいか」の順番に沿って整理します。各制度の内容は、2026年10月時点で公式サイトに掲載されている情報をもとにまとめ、出典のリンクを付けています。補助金のように内容が更新される制度は、申請の前に、最新の公募要領や公式サイトをご確認ください。関西でWeb制作の仕事をしている立場から、Webサイトの運用に関わる点にも触れていきます。

まず読みたい「中小企業の情報セキュリティ対策ガイドライン」

経営者向けと実践向けに分かれた、無料の手引き

最初に手に取っていただきたいのが、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」です。中小企業がセキュリティ対策に取り組む際に、経営者が認識して実施すべき指針と、社内で対策を実践するときの手順や手法をまとめたもので、個人事業主や小規模事業者も利用することを想定しています。誰でも無料でダウンロードできます。

ガイドラインは「経営者編」と「実践編」で構成されています。経営者編では、なぜ経営者自身がセキュリティに関わる必要があるのかが説明されています。実践編では、できるところから段階的に進める方法が示されています。いきなり全体を読もうとすると分量が多く感じるかもしれませんが、まずは経営者編に目を通し、実践編は担当の方と一緒に少しずつ読み進めるのがおすすめです。

2026年3月27日には、改訂版となる第4.0版が公開されました。主な変更点として、これまでの「情報セキュリティ5か条」に「バックアップを取ろう！」が加わり「情報セキュリティ6か条」になったことや、経済産業省などが検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の考え方を取り込んだことなどが挙げられています。

最初の一歩は「情報セキュリティ6か条」

ガイドラインの中で、規模に関わらず最初に取り組む対策としてまとめられているのが、次の6か条です。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！

どれも、特別な機器を買わなくても始められる内容です。たとえば「共有設定を見直そう！」は、クラウドのファイル共有や複合機の設定を誤って、無関係な人が情報を見られる状態になっていないかを確かめるものです。「バックアップを取ろう！」は、故障や誤操作、ランサムウェアなどでデータが消えたり暗号化されたりしたときに、事業を続けられるようにするためのものです。

付録の「ひな形」を、そのまま使える

ガイドラインには、すぐに使える付録が多数用意されています。情報セキュリティ基本方針のサンプル、従業員向けハンドブックのひな形、社内規程のサンプル、資産管理台帳、クラウドサービスを安全に使うための手引き、セキュリティインシデント（事故）が起きたときの対応の手引きなどです。ゼロから文書を作る必要はなく、自社の実情に合わせて書き換えて使えます。

「5分でできる！情報セキュリティ自社診断」で弱みを知る

25の質問に答えるだけで、現状がわかる

6か条に取り組んだら、次に使いたいのが、ガイドラインの付録3にあたる「5分でできる！情報セキュリティ自社診断」です。25項目の質問に答えることで、自社のセキュリティ対策がどの程度できているかを把握できるチェックシートです。項目は、「基本的対策」が6項目、「従業員としての対策」が11項目、「組織としての対策」が8項目に分かれています。

それぞれの質問には、「実施している（4点）」「一部実施している（2点）」「実施していない（0点）」「わからない（-1点）」で答え、合計点で全体の状況を確かめます。紙で使うPDF版のほか、Excel版も用意されています。また、解説編では、項目ごとに、対策が必要な理由、対策をしないと何が起きるか、具体的な対策例が説明されています。

第4.0版では、診断項目に「ウェブサイトを安全に運用する」などが新たに加わりました。自社のWebサイトで公開すべきでない情報を公開していないか、利用している外部サービスを安全性や信頼性を把握したうえで選んでいるか、といった点も問われます。Webサイトの運用を制作会社に任せている場合でも、自社の問題として確認しておきたい項目です。

悪い使い方と、良い使い方

自社診断は手軽な分、使い方によって得られるものが大きく変わります。

現場でつまずきやすいのは、「わからない」を軽く見てしまうことです。ガイドラインでも、「わからない」と回答した項目を把握することが重視されています。「バックアップは取っているはず」「パスワードは各自で管理しているはず」といった「はず」が多いほど、実際には誰も確かめていない可能性があります。点数の高さよりも、自社の弱みと、確認できていない部分が見えることに価値があるツールです。

診断の結果をもとに、解説編を参考にして対策を決め、従業員に周知するところまで進めると、次に紹介する「SECURITY ACTION」の二つ星の宣言にもつながります。

「SECURITY ACTION」で取り組みを宣言する

一つ星と二つ星、2段階の自己宣言

「SECURITY ACTION」は、中小企業が自ら、情報セキュリティ対策に取り組むことを宣言する制度です。取り組みの段階に応じて、「一つ星」と「二つ星」の2つがあります。

• 一つ星: ガイドラインの「情報セキュリティ6か条」に取り組むことを宣言する
• 二つ星: 「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、「情報セキュリティ基本方針」を定め、外部に公開する

宣言すると、段階に応じたロゴマークを無料で使えます。名刺やWebサイトに掲載すれば、取引先や顧客に対して、セキュリティに取り組んでいる姿勢を示すきっかけになります。IPAは、どちらにすべきか迷う場合は、まず一つ星から始めることを勧めています。2026年4月1日からは、申し込みから管理までを行う「SECURITY ACTION管理システム」が新しく公開され、申込方法が変わっています（SECURITY ACTION 公式サイト）。

補助金の申請要件にもなっている

SECURITY ACTIONは、ロゴを使えるだけの制度ではありません。IPAの説明によると、デジタル化やサイバーセキュリティ対策などを支援する公的な制度で、申請の要件や審査の加点要件になっています。たとえば後述する「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠では、公募要領の申請要件として、一つ星または二つ星の宣言が求められています。また、自治体の補助金で、審査の加点対象になっている例もあります。補助金の申請を考えている場合は、早めに宣言しておくと準備がスムーズです。

「認定」ではなく「宣言」である点に注意

現場で誤解されやすいのが、SECURITY ACTIONの位置付けです。IPAは、この制度について、情報セキュリティ対策の状況をIPAが認定するものではないと説明しています。そのため、Webサイトなどで「一つ星の認定を受けました」「二つ星を取得しました」と書くのは不適切な表現とされ、「一つ星を宣言しました」と書くことが求められています。

この点は、制度の価値を下げるものではありません。むしろ、宣言したことを社内外に示すことで、取り組みを続ける理由が生まれます。宣言して終わりにせず、6か条や自社診断の内容を実際に続けていくことが大切です。制作会社にWebサイトの更新を頼む場合も、ロゴの掲載と一緒に、表現が適切かを確認しておくと安心です。

「サイバーセキュリティお助け隊サービス」と補助金を組み合わせる

監視・駆け付け・保険をまとめた、中小企業向けのサービス

自社でできる対策を進めても、「攻撃に気付けるか」「何かあったときに誰が来てくれるか」という不安は残ります。そこで検討したいのが、「サイバーセキュリティお助け隊サービス」です。中小企業のサイバー攻撃への対処に必要なサービスをワンパッケージにまとめたもので、民間の事業者が提供し、IPAが定めた基準を満たすことが確認されたサービスがリストとして公開されています。

IPAのサービス基準では、相談窓口、ネットワークや端末の24時間の異常監視、緊急時の駆け付け支援、インシデント対応時の費用を補償する簡易サイバー保険を、原則として一つの契約で提供することが求められています。価格にも上限があり、月額はネットワーク監視で1万円（税抜）以下、端末監視で1台あたり2,000円（税抜）以下とされ、端末1台から契約できることも条件です。サービスごとの料金は、IPAのサイトで価格一覧表として公開されています。経済産業省のコメントとして、これまで全国で1万社を超える企業に導入されていることも紹介されています。

利用料は「デジタル化・AI導入補助金」の対象になる

お助け隊サービスの利用料は、補助金の対象にもなっています。これまで「IT導入補助金」と呼ばれていた制度は、中小企業庁の発表によると、名称が「デジタル化・AI導入補助金（旧：IT導入補助金）」に変わりました。その中の「セキュリティ対策推進枠」では、お助け隊サービスリストに掲載され、IT導入支援事業者が提供し事務局に登録されたサービスの利用料（最大2年分）が補助されます。補助率は中小企業が2分の1以内、小規模事業者が3分の2以内、補助額は5万円から150万円です。

公募要領では、申請の要件として、GビズIDプライムの取得と、SECURITY ACTIONの一つ星または二つ星の宣言が挙げられています。2026年10月19日時点の事務局サイトでは、次の締切が10月30日（金）17時と案内されていますが、スケジュールや要件は公募の回ごとに見直されることがあります。申請を検討する際は、最新の公募要領を確認してください。

現場でつまずきやすい点

補助金は、自社だけで申請するものではありません。登録されたIT導入支援事業者と一緒に手続きを進める仕組みのため、サービス選びと事業者選びを同時に考える必要があります。また、GビズIDプライムの取得や、SECURITY ACTIONの宣言は申請前に済ませておく必要があるため、締切の直前に動き始めると間に合わないことがあります。補助金ありきでサービスを選ぶのではなく、自社に必要な監視の範囲（ネットワークか端末か）を先に決めておくと、判断がぶれにくくなります。

困ったときの相談窓口と、何から始めるかの順番

被害が疑われるときの相談先

対策を進めていても、事故を完全に防ぐことは難しいものです。いざというときに慌てないよう、相談先を事前に控えておきます。

• IPA「不正アクセス特別相談窓口」: 2026年10月16日に開設。不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織が対象で、電話（03-6759-5760、平日9時30分〜17時30分、12時〜13時を除く）とメールで相談できます。被害の可能性や応急処置について助言を受けられるほか、インシデント対応を行う専門業者の一覧や、ほかに必要な相談・報告先も紹介してもらえます（不正アクセス対策特設サイト）。
• IPA「企業組織向けサイバーセキュリティ相談窓口」: 不正アクセス以外のインシデントや、平時の予防的な対策など、一般的な相談をメールで受け付けています（相談・届出窓口一覧）。
• 警察の相談窓口: 警察庁は、サイバー事案に関する通報・相談・情報提供の全国統一のオンライン受付窓口を設けています。被害届は、所在地を管轄する警察署に相談します。

現場でつまずきやすいのは、「被害が確定してから相談しよう」と考えて、初動が遅れてしまうことです。IPAの特別相談窓口は、被害の「可能性がある」段階から相談できます。管理画面に見覚えのないログインがある、取引先から「御社を名乗る不審なメールが届いた」と連絡があった、といった段階で、まず相談することを検討してください。相談の際に慌てないよう、Webサイトやメールのサーバーをどこと契約しているか、制作会社や保守会社の連絡先はどこか、といった情報も一緒に控えておくと、状況の説明がしやすくなります。

地域の窓口と専門家を探す

身近な地域の窓口もあります。関西では、近畿経済産業局などが事務局を務める「関西サイバーセキュリティ・ネットワーク」が、近畿2府5県の企業や個人事業主が相談できる窓口と地域コミュニティの一覧を公開しています。各府県のよろず支援拠点や、お助け隊サービスに関する窓口としての大阪商工会議所、各府県警の窓口などが掲載されています。また、IPAは、国家資格「情報処理安全確保支援士」の資格者のうち中小企業の支援ができる専門家を、地域や業界で絞り込める支援者リストとして試行公開しています。

何から始めるか：おすすめの順番

1. 6か条を読み、できていないものから取り組む
2. 自社診断で現状を把握し、「わからない」項目を洗い出す
3. SECURITY ACTIONの一つ星を宣言し、準備ができたら二つ星へ進む
4. 監視や駆け付けが必要なら、お助け隊サービスと補助金を検討する
5. 相談窓口の連絡先を、社内の誰でもわかる場所に控えておく

まとめ：公的な支援を「順番に」使えば、予算が少なくても始められる

セキュリティ対策は、大きな予算や専門の担当者がいなければ始められないものではありません。IPAのガイドラインと6か条、5分でできる自社診断は、いずれも無料で使えます。SECURITY ACTIONの宣言も無料で、補助金の申請要件にもなっています。監視や駆け付けまで備えたい場合は、お助け隊サービスとデジタル化・AI導入補助金のセキュリティ対策推進枠を組み合わせることで、費用の負担を抑えられる可能性があります。そして、万が一のときには、IPAや警察、地域の窓口に相談できます。

大切なのは、これらを思いつきで使うのではなく、順番に積み上げていくことです。まず基本の対策を整え、自社の弱みを知り、取り組みを宣言し、必要に応じて外部のサービスを取り入れる。この流れで進めれば、限られた予算を、本当に必要なところに振り向けやすくなります。

今後に向けた動きもあります。IPAは、サプライチェーンを構成する企業のセキュリティ対策の状況を共通の基準で評価・可視化する「SCS評価制度」について、2027年3月の制度開始に向けて準備を進めていると説明しています。取引先から対策の状況を問われる場面は、これから増えていく可能性があります。今のうちに6か条や自社診断に取り組み、SECURITY ACTIONを宣言しておくことは、こうした変化への備えにもなります。

Webサイトについても、同じ考え方が当てはまります。自社診断の「ウェブサイトを安全に運用する」の項目に自信を持って答えられない場合は、サイトの仕組みや更新の状況、管理画面のアカウントを誰が持っているかを確認するところから始めてみてください。WordPressのサイトであればWordPressのセキュリティ対策の記事、担当者の退職などでログイン情報がわからなくなっている場合は契約とログイン情報の控えについての記事も参考になると思います。

公的な支援は、知っている企業だけが使えるものです。この記事で紹介した制度や窓口の中から、まずは一つ、今週中に試せるものを選んでみてください。6か条に目を通すだけでも、自社の現状を見直すきっかけになるはずです。

「自社のWebサイトが安全に運用できているか確かめたい」「自社診断のWebサイトに関する項目を、制作者の目線で一緒に確認してほしい」とお考えの企業・店舗の方は、現状の確認と改善の進め方のご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。