中小企業のサイバーセキュリティ経営ガイドライン実践ガイド｜経産省・IPA推奨の「3原則・10の重要事項」を経営者が自社に落とし込む手順

「セキュリティはIT担当者に任せておけば大丈夫」——そう考えている中小企業の経営者は少なくありません。しかし今、サイバー攻撃は大企業だけの問題ではなく、従業員30名規模の中小企業でも被害に遭うケースが相次いでいます。情報漏えいや業務停止が起きた場合、対外的な信用を失うリスクは経営者が直接負うことになります。

このような状況に対応するため、経済産業省とIPA（情報処理推進機構）は「サイバーセキュリティ経営ガイドライン」を公開しています。経営者が自らリーダーシップを発揮して社内のセキュリティ体制を整えるための実践的な指針です。

この記事では、このガイドラインの核心である「3つの基本原則」と「10の重要事項」を中小企業の経営者向けにわかりやすく解説し、IT担当者がいない会社でも経営者が主導して自社に落とし込める5ステップを紹介します。セキュリティ対策に何から手をつければいいかわからない経営者の方に、具体的な方向性が見えてきます。

サイバーセキュリティ経営ガイドラインとは？

サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが共同で策定した、経営者向けのサイバーセキュリティ推進指針です。2015年に初版が公開され、その後改訂を重ね、最新のVer 3.0（2023年3月改訂）では、クラウド活用やサプライチェーン全体のセキュリティ管理、情報共有の重要性が強化されています（本記事は2026年11月時点の情報をもとにしています。最新情報はIPAの公式サイトでご確認ください）。

このガイドラインは本来、大企業のCISO（最高情報セキュリティ責任者）や経営幹部に向けた内容ですが、その考え方や枠組みは中小企業にも十分活用できます。むしろ「何をどの順番でやればいいかわからない」という中小企業の経営者にとって、全体像を把握するための良いロードマップになります。

項目	内容
発行	経済産業省・IPA（情報処理推進機構）
最新版	Ver 3.0（2023年3月改訂）
対象	企業の経営者・経営幹部（規模問わず参考にできる）
構成	3つの基本原則 ＋ 10の重要事項
費用	無料（IPAの公式サイトからPDFで入手可能）

中小企業の経営者がこのガイドラインを知るべき理由

「うちは大企業向けの話でしょ」と思う方もいるかもしれません。しかし、現実には中小企業こそこの枠組みが必要な状況になっています。

理由1: 取引先からセキュリティ対応を求められるようになった
大企業はサプライチェーン全体のセキュリティ管理を強化しており、下請け・取引先の中小企業にも情報セキュリティ方針の提示や対策の証明を求めるケースが増えています。このガイドラインに沿った体制づくりは、そうした要求への回答になります。

理由2: 補助金の審査でセキュリティ体制が参照される
IT導入補助金や事業再構築補助金など、DX関連の補助金申請ではセキュリティ対応の状況が審査に影響することがあります。ガイドラインを活用したセキュリティ体制は、審査での説得力を高めます。

理由3: 「担当者任せ」では経営責任が問われる時代になった
情報漏えいが起きた場合、その対応が不十分だと経営者個人への責任追及に発展するケースもあります。「担当者が対応していた」では通用しない場面も増えており、経営者自身が体制を把握・管理していることが求められています。

3つの基本原則をわかりやすく解説する

このガイドラインは「3つの基本原則」を柱にしています。難しい言葉が並んでいますが、中小企業の経営者向けに噛み砕いて説明します。

原則1: 経営者がリーダーシップを取る

セキュリティ対策は「IT担当者だけの仕事」ではなく、経営者が方針を示し、予算を確保し、組織全体に周知する責任があるという考え方です。

具体的には、「うちの会社はセキュリティ対策に年〇〇万円かける」「情報漏えいが起きたらこういう手順で対応する」といった意思決定を経営者が行い、社員に伝える仕組みを作ることを指します。

中小企業で最もよく起きる問題は「セキュリティ対策をしようとしても誰も旗振り役がいない」という状態です。この原則は、まず経営者が旗振り役になることを求めています。

原則2: 取引先・委託先も含めて守る

自社だけセキュリティ対策をしても、取引先や外注先のセキュリティが甘ければ、そこを経由して自社の情報が漏れる可能性があるという考え方です。

「サプライチェーン全体のセキュリティ管理」という表現で記されています。中小企業の立場では、フリーランスへの業務委託時にNDA（秘密保持契約）を締結すること、外注先に社内情報を渡す際のルールを決めることなどが、この原則に沿った実践です。

原則3: 関係者と情報を共有する

セキュリティインシデント（情報漏えい、サイバー攻撃の被害など）が起きた場合や、業界全体で攻撃が増えているといった情報を、取引先や業界団体、行政機関と適切に共有・開示していくという考え方です。

「何か起きても隠す」のではなく、法令に従った報告や、業界内での情報共有を通じてサイバー被害の連鎖を防ぐことが求められています。

10の重要事項：中小企業の優先度でまとめる

3つの原則を実現するために、ガイドラインでは「指示1～指示10」として10の重要事項が示されています。ここでは中小企業が実践しやすい順に、4つのグループに分けて説明します。

グループ1：まず手をつけるべき「経営コミットメント」（指示1～3）

・指示1（対応方針の策定）: 「うちの会社のセキュリティ方針はこれだ」という基本方針を経営者が決め、文書化して社内に周知する
・指示2（体制の構築）: 誰がセキュリティ担当か、インシデント時に誰が動くかを決める（担当者がいなければ、社長自身が窓口でも構わない）
・指示3（予算・人材の確保）: セキュリティ対策のための予算を年間計画に組み込む

中小企業にとってまず最初に取り組むべき3つです。文書1枚でも「方針を決めた事実」が大切です。

グループ2：次に取り組む「リスク管理と対策の仕組み」（指示4～6）

・指示4（リスクの把握と計画）: 自社のどの情報が漏れたら困るか、どんな脅威があるかを洗い出して対応計画を立てる
・指示5（対策の仕組み化）: セキュリティ対策を「毎回考える」のではなく、ルール・手順として仕組み化する（IT利用規程の整備など）
・指示6（PDCAによる継続改善）: 年1回は対策を見直し、改善サイクルを回す

特に指示5は、IT利用規程の整備という具体的な作業につながります。「どんなツールを業務に使ってよいか」「USBメモリはどう扱うか」といったルールを文書化するだけでも、大きな前進です。

グループ3：緊急事態に備える「インシデント対応体制」（指示7～8）

・指示7（緊急対応体制の整備）: インシデントが起きた場合の初動対応手順を決めておく（誰に連絡する、何を止める、など）
・指示8（事業継続・復旧体制）: 被害を受けても事業を継続・復旧できる体制（バックアップ、代替手段）を整えておく

「いざというとき何もできない」という状況を防ぐための備えです。特に指示7は、インシデント対応の連絡先と初動手順を1枚の紙にまとめておくだけでも実践になります。

グループ4：外部との関係を整える「サプライチェーン・情報共有」（指示9～10）

・指示9（サプライチェーン全体のリスク管理）: 外注先・委託先のセキュリティ対応を確認し、契約時にセキュリティ要件を盛り込む
・指示10（情報収集・共有・開示の促進）: IPA等からの注意喚起情報を収集し、必要に応じて取引先や行政に適切に情報開示する

取引先との関係が密な業種（製造業の下請け、医療・介護など）では、指示9が特に重要です。

自社に落とし込む5ステップ

ガイドラインの全体像をつかんだところで、中小企業が実際に動く手順を5ステップで整理します。

ステップ1: ガイドラインをざっと読む（所要時間: 2時間）

まず経営者自身がガイドラインを読みます。IPAの公式サイトから無料でPDFをダウンロードできます。全部を精読する必要はなく、「はじめに」と「3原則」「10の重要事項の一覧ページ」だけでも2時間あれば把握できます。

「難しくて読めない」という場合は、IPAが公開している「サイバーセキュリティ対策の実践情報」など、中小企業向けに平易にまとめた副読本も活用してください。

ステップ2: 自社のリスクを棚卸しする（所要時間: 半日）

ガイドラインの指示4に対応するステップです。「自社にとって何が一番怖いか」を経営者と主要な担当者で話し合います。

チェックするポイントとしては以下が参考になります。
・どんな情報（顧客データ、設計図、財務データ等）を持っているか
・その情報はどこに保存されているか（クラウド、社内PC、紙など）
・万が一漏れた場合、誰にどんな影響が出るか
・現状、アクセスできる人を誰でも知っているか

この棚卸し作業については、情報セキュリティリスクアセスメント入門の記事も参考にしてください。

ステップ3: 対応方針を1枚の文書にまとめる（所要時間: 半日）

「うちの会社のセキュリティ方針」として、A4一枚程度の文書を作ります。以下の内容を書くだけで、指示1と指示2の基礎ができあがります。

・会社名と作成年月
・基本方針（例：「当社は顧客情報と業務情報の適切な管理を経営の重要課題とし、情報セキュリティの確保に取り組みます」）
・担当者の名前と連絡先
・インシデント発生時の連絡先（外部の相談窓口、取引先への連絡方法など）

この文書を社内の共有フォルダに保存し、全社員が参照できる状態にしておきます。

ステップ4: 優先施策に着手する（所要時間: 1～3か月）

リスク棚卸しの結果を踏まえ、リスクが高いものから対策を進めます。よくある優先施策の例として以下が挙げられます。

優先度	施策	対応する指示
高	全社員に情報セキュリティの基本ルールを周知（IT利用規程の整備）	指示1、指示5
高	重要データのバックアップ体制を確認・整備	指示8
高	インシデント発生時の連絡フローを1枚で作成・共有	指示7
中	外注先・委託先との秘密保持契約の整備	指示9
中	IPA等からの注意喚起メールを受信する仕組みを作る	指示10

一度にすべてやろうとすると頓挫します。まず「高」の3つを3か月以内に終わらせることを目標にしましょう。

ステップ5: 年1回のレビューでPDCAを回す（所要時間: 半日～1日）

セキュリティ対策は「やりっぱなし」では効果が薄れます。指示6が求めているのは、少なくとも年1回、対策の内容と体制を経営者自身が見直すことです。

年次レビューで確認する主なポイントは、セキュリティ年次点検ガイドの記事でチェックリスト形式にまとめています。あわせて参考にしてください。

よくあるつまずきと対処法

ガイドラインを活用しようとしたときに起きがちな問題と、その対処法を整理します。

つまずき1：「ガイドラインが難しくて理解できない」

ガイドラインの原文は、ある程度セキュリティの知識があることを前提に書かれています。全文を読み込もうとすると挫折しがちです。

対処法としては、IPAが別途公開している「中小企業の情報セキュリティ対策ガイドライン」や「5分でできる！情報セキュリティ自社診断」など、中小企業向けのツールから入るのが効果的です。こうした補助ツールでまず自社の現状を把握してから、経営ガイドラインの対応する箇所を読む流れがスムーズです。

つまずき2：「社員が協力してくれない」

「社長がセキュリティをやれと言い出した」という状況では、社員が面倒に感じて協力が得られないことがあります。

対処法は、まず「なぜやるか」を社員に説明することです。「取引先からセキュリティ対応を求められた」「情報漏えいがあると会社がどうなるか」を具体的に伝えることで、協力が得やすくなります。また、最初から完璧なルールを作るより、「まずこれだけやる」という小さなスタートが定着を助けます。

つまずき3：「担当者がいないので具体策がわからない」

IT専任者がいない中小企業では、「方針は決めたけど具体的に何をしたらいいかわからない」という壁にぶつかります。

対処法として、IPAの「サイバーセキュリティお助け隊サービス制度」を活用することが選択肢の一つです。中小企業向けに安価なセキュリティ支援サービスをまとめた制度で、IT補助金の活用対象にもなっています。また、よろず支援拠点や商工会議所のIT相談窓口でも、無料相談を受け付けています。

つまずき4：「どこまでやれば十分かわからない」

ガイドラインは「ここまでやれば合格」という基準を明示していません。これは各社のリスクや事業規模によって「十分な対策」が異なるためです。

中小企業の現実的な目標として、「指示1～3を実践した状態（方針・体制・予算の確保）」と「指示7～8の初動対応体制の整備」が最低限と考えるとよいでしょう。これができていれば、取引先や補助金審査でも「セキュリティへの取り組みをしている会社」として説明できます。

ガイドラインと関連する認定・制度

このガイドラインを活用する文脈で、あわせて知っておくと役立つ制度があります。

SECURITY ACTION（セキュリティアクション）: IPAが運営する情報セキュリティの自己宣言制度です。「★一つ星」と「★★二つ星」の2段階があり、二つ星ではガイドラインに沿ったセキュリティポリシーの策定が要件の一つになっています。IT導入補助金の申請に必要な要件にもなっており、ガイドラインの実践とセットで取り組むと効率的です。

ISMS認証（ISO 27001）: 情報セキュリティマネジメントシステムの国際規格です。ガイドラインより詳細な要求事項があり、第三者認証が必要です。取引先から求められる場合に取得を検討しますが、ガイドラインの実践はISMS認証の前段階として位置づけることができます。

セキュリティ対策に取り組む際の全体像と体制づくりについては、セキュリティガバナンス体制の作り方も参考にしてください。

また、技術的なサイバー攻撃対策（マルウェア対策、ネットワーク防御など）の詳細については、姉妹サイトセキュリティマスターズ.TOKYOで詳しく解説しています。

本記事のまとめ

サイバーセキュリティ経営ガイドラインについて、以下の点を解説しました。

・ガイドラインとは: 経済産業省・IPAが策定した経営者向けのセキュリティ推進指針。Ver 3.0（2023年3月改訂）が最新版
・3つの基本原則: ①経営者がリーダーシップを取る　②取引先・委託先も含めて守る　③関係者と情報を共有する
・10の重要事項: 方針策定・体制構築・予算確保・リスク管理・継続改善・インシデント対応・BCP・サプライチェーン・情報共有という柱で構成される
・中小企業が最初にやること: 方針文書の作成（指示1）→担当者の明確化（指示2）→予算の確保（指示3）→バックアップと初動対応体制（指示7・8）

「セキュリティは難しい」という印象があるかもしれませんが、ガイドラインが示しているのは技術の話ではなく、「経営者として何を決め、どう組織を動かすか」という経営の話です。まずA4一枚の方針文書を作ることから始めてみてください。