【詳細解説】中小企業情報セキュリティ対策ガイドライン第4.0版（2026年3月27日更新）の概要と改訂ポイント

2026.05.11

【詳細解説】中小企業情報セキュリティ対策ガイドライン第4.0版（2026年3月27日更新）の概要と改訂ポイント

2026年5月11日生成AIにより原案作成、東京都校正

独立行政法人情報処理推進機構（IPA）が2026年3月27日に公開し、同年4月21日に最新のツール類を更新した「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、日本経済の屋台骨である中小企業が直面するサイバー脅威のパラダイムシフトを反映した極めて重要な文書である 1。今回の改訂は、2023年に公開された第3.1版以降の急激な環境変化、特に生成AIの悪用、ランサムウェアによる事業停止の常態化、そしてグローバルなサプライチェーンを通じたサイバー攻撃の激化という現実に即して、中小企業が取るべき「実効性のある」防衛策を再定義している 3。本報告書では、第4.0版の全体像、経営者および実務者に求められる役割の変化、そして今回の改訂が日本の産業界にもたらす長期的な示唆について、詳細な分析を通じて詳説する。

2026年改訂の歴史的背景と社会的要請

日本の中小企業を取り巻くサイバーセキュリティの情勢は、従来の「情報漏えい対策」を主眼としたフェーズから、「事業継続（レジリエンス）」を最優先するフェーズへと移行した。第4.0版への改訂の背景には、大きく分けて三つの構造的変化が存在する 3。第一に、ランサムウェア被害の深刻化である。近年の攻撃は、単なるデータの窃取にとどまらず、暗号化によって企業の基幹システムを麻痺させ、工場の稼働停止や物流の混乱を招くなど、経済活動そのものを人質に取る手法が一般的となった 3。第二に、サプライチェーン攻撃の常態化である。大企業への直接的な侵入が困難になる中で、セキュリティの脆弱な中小企業が「踏み台」として利用され、取引先全体に被害が及ぶ事案が急増している 3。第三に、セキュリティ人材の慢性的かつ深刻な不足である。高度化する攻撃に対し、専門知識を持つ人材を確保できない中小企業が「孤立無援」の状態で防御を強いられている現状がある 1。

これらを踏まえ、IPAは今回の改訂において「自社を守る」という視点に加え、「サプライチェーン全体を守る責任を果たす」という視点を強力に導入した 2。特に、経済産業省が推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」との連動は、中小企業のセキュリティ対策を「単なるコスト」から「取引の前提条件（ライセンス・トゥ・オペレート）」へと変貌させる画期的な転換点となっている 1。

第4.0版の全体構成と改訂の骨子

本ガイドラインは、従来の構成を維持しつつ、記載内容を全面的に見直している。大きく分けて「第1部経営者編」、「第2部実践編」、および「付録」の3層構造で成り立っている 3。

構成要素	主な役割と対象読者	改訂の主要ポイント
第1部経営者編	経営層。意思決定、資源配分、法的責任の認識。	善管注意義務の明確化、サプライチェーン責任の強調。 3
第2部実践編	実務担当者。具体的対策の実施、PDCAサイクルの運用。	SCS評価制度との整合性、6か条への拡張、技術的対策の具体化。 4
付録（8種類）	全社員・担当者。規程サンプル、診断ツール、教育資材。	人材確保・育成ガイドの追加、Excel版自社診断ツールの刷新。 1

今回の改訂における具体的な変更ポイントは、以下の3点に集約される 1。

「情報セキュリティ6か条」への進化: 従来の5か条に「バックアップを取ろう！」を新たに追加し、復旧重視の姿勢を鮮明にした。
SCS評価制度の取り込み: 対策レベルを星数（★1〜★5）で評価する仕組みを導入し、SECURITY ACTION制度との連携を強化した。
人材確保・育成策の提示: 深刻な人材不足に対応するため、具体的な確保・育成プロセスを付録として追加した。

第1部経営者編：リーダーシップと法的責任の再定義

経営者編において最も重要な変化は、情報セキュリティ対策が「ITの問題」ではなく「経営の根幹を揺るがす法的・社会的責任の問題」であることを、より峻烈なトーンで記述している点である 3。

経営者に問われる「善管注意義務」と賠償リスク

第4.0版では、セキュリティ対策の不備によって取引先に損害を与えた場合、経営者が「善管注意義務違反」を問われ、会社だけでなく役員個人が損害賠償責任を負う可能性を明確に示唆している 3。これは、近年の裁判例や社会的なコンプライアンス意識の高まりを反映したものであり、経営者にとってセキュリティ対策は「任意」ではなく「義務」であることを突きつけている 5。

経営者が認識すべき「3原則」と「重要7項目」

経営者が主導すべき行動指針として、以下の3原則が再定義されている 5。

原則1：経営者のリーダーシップで進める: 担当者に任せきりにせず、自ら「基本方針」を定め、必要な予算と人材を割り当てる。
原則2：委託先の対策まで考慮する: 自社が守られていても、委託先からの侵入でビジネスが停止すれば経営責任は免れない。
原則3：関係者と常にコミュニケーションをとる: 平時から取引先や業界団体と情報共有を行い、有事の際の連絡体制を構築する。

さらに、これらを具体化するための「経営者が実行すべき重要7項目の取組」が示されている 3。これには、組織全体の対応方針の策定、予算・人材の確保、対策の検討指示、見直しの指示、緊急時の体制整備、委託先管理、および点検・改善の指示が含まれる。特に、今回の改訂では「最新情報の収集と共有」の指示が重視されており、攻撃手法がAI等によって高速に変化する現代において、静的な防御だけでは不十分であることが強調されている 3。

第2部実践編：復旧（レジリエンス）を中核とした防御戦略

実務担当者向けの「実践編」は、2024年度に実施された中小企業実態調査の結果を踏まえ、より具体的かつステップアップしやすい構成に刷新された 2。

新たな「情報セキュリティ6か条」の戦略的意味

従来の「情報セキュリティ5か条」は、ウイルス対策やパスワード管理といった「侵入を防ぐ」ための基礎的なサイバー衛生を網羅していた。しかし、第4.0版で追加された第6の項目「バックアップを取ろう！」は、その性質が大きく異なる 1。

項目	具体的なアクション	改訂による深化・背景
1. 最新状態の維持	OSやソフトの即時更新。	脆弱性を突いた自動攻撃への対策。 5
2. ウイルス対策	ウイルス対策ソフトの導入と更新。	EDR等の高度な検知への発展も視野。 6
3. パスワード強化	「長く」「複雑に」「使い回さない」。	二要素認証の導入が強く推奨される。 6
4. 共有設定見直	不要なアクセス権限の削除。	クラウドやNASからの情報流出防止。 6
5. 脅威の理解	最新の攻撃手口（AI偽装等）を知る。	フィッシング詐欺等の巧妙化への対応。 5
6. バックアップ	定期的な取得と復元確認（新規）。	ランサムウェア被害からの事業復旧。 1

第6条の「バックアップ」は、侵入されることを前提とした「レジリエンス」の象徴である。単に外部HDDにデータをコピーするだけでなく、そのバックアップがネットワークから分離されているか（オフラインバックアップ）、実際にデータを「戻せる（リストアできる）」かを定期的に訓練することが求められている 10。

4つのSTEPによる段階的対策の推進

本ガイドラインは、中小企業の多様なリソース状況に配慮し、4つのステップを定めている 3。

STEP 1：できるところから始める: 「6か条」の徹底。まずはここをクリアすることが「SECURITY ACTION ★1」の要件となる 4。
STEP 2：組織的な取り組みを開始する: 「自社診断」を実施し、「情報セキュリティ基本方針」を定める。これは「SECURITY ACTION ★2」に相当する 4。
STEP 3：本格的に取り組む: リスク分析、情報セキュリティ規程の整備、そしてSCS評価制度への対応準備。ここからは取引先への「説明責任」が重要となる 4。
STEP 4：より高度な取組へ: 継続的な監視（SOCの活用）や、ISMS（ISO/IEC 27001）取得などの国際基準に準じた体制への発展 4。

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）との連携

今回の改訂の最大の目玉であり、中小企業のビジネスモデルに直接的な影響を与えるのが、SCS評価制度との完全な連動である 1。経済産業省が主導するこの制度は、サプライチェーン全体の強靭化を目的に、企業のセキュリティレベルを客観的に証明するためのものである。

星評価（★）の定義とビジネス上の意義

SCS評価制度では、対策レベルに応じて5段階の評価がなされる。第4.0版は、この星の数を増やすためのロードマップとして機能する 4。

レベル	評価の性質	期待される役割
★1	自己宣言（SECURITY ACTION）	セキュリティ意識の表明。 4
★2	自己宣言＋規程整備	組織としての最低限のルール構築。 4
★3	基礎レベル（外部確認）	全企業が目指すべき基準。専門家による妥当性確認。 11
★4	標準レベル（第三者評価）	取引における信頼の証明。グローバル取引等の要件。 11
★5	高度レベル	業界リーダー、重要インフラ関連。 11

特に★3と★4への対応が、今後の製造業やITサービス業における受注の「必須条件」となる可能性が高い 4。第4.0版では、この評価制度の考え方を「第2部実践編」に全面的に反映させ、診断項目を再編することで、ガイドラインに従って対策を進めることがそのまま評価制度への準備になるよう設計されている 3。

技術的対策の深度化：ネットワーク・ウェブ・クラウドへの対応

2026年4月21日の更新により、特に技術的な診断項目が具体化された 1。テレワークの定着とDXの進展に伴い、攻撃の入り口となるポイントが変化したことが背景にある。

外部境界の防護とウェブサイトの安全運用

第4.0版の自社診断ツールには、以下の項目が新たに追加、あるいは強調されている 1。

外部から内部ネットワークへの不要な通信の遮断: VPN機器の脆弱性を突いた侵入がランサムウェア攻撃の主因となっていることを踏まえ、外部に公開するサービスを厳選し、ファイアウォールやACLによる厳格な通信制御を求めている 1。
ウェブサイトの安全な運用: 中小企業のウェブサイトが改ざんされ、偽情報の掲載やウイルス配布に悪用されるケースが増加している。CMS（WordPress等）の適切な管理や、開発委託先との責任分界点の明確化が盛り込まれた 1。

クラウドサービス利用の安全担保

多くの業務がクラウドに移行したことを受け、「付録7：クラウドサービス安全利用の手引き」の内容が第4.0版に合わせて精緻化された 1。ここでは、シャドーIT（許可されていないクラウド利用）の禁止だけでなく、利用しているクラウド事業者のセキュリティ認証状況（ISMAP等）の確認、およびデータの所有権・バックアップの責任範囲の特定が実務者に求められている。

人材確保・育成の実践ガイド：付録1の戦略的活用

「セキュリティ人材をどう確保するか」という中小企業の積年の課題に対し、今回の改訂で追加された「付録1：中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」は非常に現実的な解決策を提示している 1。

専門家ではない「調整役」の重要性

ガイドブックでは、必ずしも高度なハッキング技術を持つエンジニアを自社で育成する必要はないと説いている。中小企業に必要なのは、以下の役割を果たす人材（社内コーディネーター）である 3。

経営層と現場の橋渡し: セキュリティ投資の必要性を経営者に説明し、現場の負担を調整する。
外部ベンダーの管理: IT保守会社やセキュリティ事業者のサービス内容を理解し、自社に適した対策を選択・監督する。
従業員の啓発: 「6か条」をはじめとするルールの徹底を社内に促す。

このガイドブックは、既存の社員をどのように教育し、どのような外部研修（IPA提供のプログラム等）を活用すべきかを、他社の成功事例とともに提示している。これは、セキュリティを「外注任せ」にせず、自社内に「コントロール権」を維持するための重要な指針である 3。

生成AIがもたらす新たな脅威とガイドラインの教訓

2026年時点において、生成AIはサイバー攻撃の効率を劇的に向上させた。第4.0版の解説文書や関連事例集では、AIによって高度化されたフィッシング詐欺への注意喚起がなされている 14。

巧妙化する人間への心理攻撃

従来のフィッシングメールは、日本語の不自然さから判断が可能であった。しかし、生成AIの活用により、自然な文脈、相手に合わせたトーン、さらには実在の人物を模倣した文面が容易に生成されるようになっている 14。ガイドラインは、このような「見た目では判断できない」攻撃に対し、以下の多層的な防御を推奨している 14。

プロセスによる防御: 重要な取引の指示やID・パスワードの変更は、メールだけでなく別のチャネル（電話等）で確認する。
技術による防御: AIによるフィルタリング機能を持つメールセキュリティの導入。
リテラシーの向上: AIが悪用される可能性を従業員が正しく認識し、常に疑う姿勢を持つ。

実務を支える「付録ツール群」の更新と活用法

第4.0版のもう一つの特徴は、2026年4月21日に公開されたExcel版自社診断ツールをはじめとする、即戦力ツールの充実である 1。

ツール名	更新のポイント	活用のメリット
情報セキュリティ自社診断（Excel版）	診断項目の追加、判定ロジックの改善。	自社の弱点をレーダーチャート等で可視化可能。 1
情報セキュリティ基本方針（サンプル）	サプライチェーン責任の文言追加。	短時間で経営層の意思表明文書を作成できる。 3
情報セキュリティ関連規程（サンプル）	テレワーク、バックアップ、AI利用の追加。	自社の実態に合わせた詳細な運用ルールのベース。 3
セキュリティインシデント対応の手引き	ランサムウェア、サプライチェーン攻撃対応。	発災時の初動（連絡、保全、復旧）の迷いを排除。 1

これらの付録は、単なるドキュメントのテンプレートではなく、中小企業が「何を目指すべきか」というゴールを標準化したものである。例えば、資産管理台帳（付録6）を整備することは、単にPCの台数を数えることではなく、万が一のインシデント発生時に「どのサーバーにどのデータが入っているか」を即座に把握し、被害範囲を特定するための必須作業である 3。

日本型サプライチェーン防衛の未来展望と中小企業の役割

第4.0版の公開は、日本全体のサイバーレジリエンス（回復力）を高めるための壮大なプロジェクトの第一歩である。2026年以降、SCS評価制度が広く普及することで、セキュリティ対策は企業間取引における「信用スコア」のような役割を果たすことになる 4。

中小企業にとって、これは二つの意味を持つ。一つは「負担の増加」である。しかし、もう一つは「透明性の確保」である。これまで、対策を行っている企業も行っていない企業も、取引先からは「同じ中小企業」として一括りにされ、リスクとして見なされてきた。SCS評価制度の星評価を取得し、本ガイドラインに基づいた体制を構築することは、自社の信頼性を定量的に証明し、優良な取引先としての地位を確立するチャンスである 4。

今後は、大手企業から中小企業への「対策の強要」ではなく、コスト負担や知見の共有を含めた「共同防衛」の姿勢が求められる。第4.0版が示す経営者同士のコミュニケーション（原則3）は、その相互理解の基盤となるものである 5。

結論

中小企業の情報セキュリティ対策ガイドライン第4.0版（2026年4月21日更新）は、単なる技術的なマニュアルではなく、中小企業がデジタル社会で生き残るための「生存戦略」である 2。経営者は、セキュリティをIT部門のコストセンターと見るのではなく、事業継続を支えるインフラ投資と位置づけるべきである。

今回の改訂で強調された「バックアップの徹底」によるレジリエンスの確保、SCS評価制度を通じた「信頼の可視化」、そして「人材の戦略的な確保・調整」という三つの柱を軸に、各企業がSTEP 1から段階的に、かつ着実に対策を進めることが期待される 1。IPAおよび政府による支援策も拡充されており、中小企業はこれらのリソースを最大限に活用し、個社のみならずサプライチェーン全体、ひいては日本経済全体の安全保障に貢献する主体としての役割を果たすことが求められている 2。

このガイドラインが現場で活用され、セキュリティが「当たり前のビジネス習慣」として定着することこそが、サイバー脅威という嵐の中を日本の産業界が安定して航行するための唯一の道である。

引用文献

中小企業の情報セキュリティ対策ガイドライン | 情報セキュリティ | IPA 独立行政法人情報処理推進機構, 5月 11, 2026にアクセス、 https://www.ipa.go.jp/security/guide/sme/about.html
プレス発表「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開 - IPA, 5月 11, 2026にアクセス、 https://www.ipa.go.jp/pressrelease/2025/press20260327.html
中小企業の情報セキュリティ対策ガイドライン第4.0版 - IPA, 5月 11, 2026にアクセス、 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）を踏まえて「中小企業の情報セキュリティ対策ガイドライン」を改訂経産省/IPA - ニュートン・コンサルティング, 5月 11, 2026にアクセス、 https://www.newton-consulting.co.jp/itilnavi/flash/id=9124
IPA「中小企業の情報セキュリティ対策ガイドライン」改定｜第4.0版公開で企業に求められる対応とは【2026年】 | サイバー保険ガイド, 5月 11, 2026にアクセス、 https://cyber-insurance.jp/column/3278/
中小企業の情報セキュリティ対策ガイドライン第4.0版 - IPA, 5月 11, 2026にアクセス、 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_setsumeisiryou.pdf
中小企業こそ情報セキュリティ対策が重要！IPAガイドラインや取り組むべき対策方法を紹介！, 5月 11, 2026にアクセス、 https://www.ntt.com/business/services/xmanaged/lp/column/security-guideline-sme.html
中小企業の情報セキュリティ対策ガイドライン - JNSA, 5月 11, 2026にアクセス、 https://www.jnsa.org/seminar/2017/cross02/data/PM3.pdf
中小企業の情報セキュリティ対策ガイドラインについて分かりやすく解説, 5月 11, 2026にアクセス、 https://www.hitachi-solutions-create.co.jp/column/security/security-guidelines.html
「中小企業の情報セキュリティ対策ガイドライン」第4.0版をやさしく解説｜まず見直したい3つのポイント - ITワークラボ, 5月 11, 2026にアクセス、 https://www.it-worklab.com/post/security-guideline-v4-sme-ipa
「セキュリティ対策評価制度」とは？取得の条件と企業が今やるべき準備, 5月 11, 2026にアクセス、 https://www.lrm.jp/security_magazine/scs-evaluation-system/
サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針 - 経済産業省, 5月 11, 2026にアクセス、 https://www.meti.go.jp/press/2025/03/20260327001/20260327001-br.pdf
経産省「SCS評価制度」開始に向け、企業の早期準備を支援エムオーテックス、『サポートアカデミー』に星3対応に特化したコースを新設 - PR TIMES, 5月 11, 2026にアクセス、 https://prtimes.jp/main/html/rd/p/000000241.000010736.html
生成AIパスポート対策第4章（前編）情報リテラシー・AI事業者ガイドライン・AI新法 - note, 5月 11, 2026にアクセス、 https://note.com/vast_cosmos500/n/n18123aba930e
生成AIガイドラインとは？作り方・運用ポイントからリスク対策まで解説 - イー・コミュニケーションズ, 5月 11, 2026にアクセス、 https://www.e-coms.co.jp/column/ai_guidelines
「中小企業の情報セキュリティ対策ガイドライン」改訂版が公開（第4.0版）, 5月 11, 2026にアクセス、 https://www.emission.jp/blog/20260330135703-8343
【2026年3月改訂】中小企業の情報セキュリティ対策ガイドライン第4.0版を解説！第3.1版からの変更点と対策ステップ | セキュマガ | LRM株式会社が発信する情報セキュリティの専門マガジン, 5月 11, 2026にアクセス、 https://www.lrm.jp/security_magazine/smb-security-guidelines/