セキュリティアクションでセキュリティ対策自己宣言してみた！「★一つ星」を宣言する方法

「セキュリティアクション（SECURITY ACTION）」とは、「中小企業や情報セキュリティの関係団体」が中心となり、中小企業の情報セキュリティ対策普及の加速化に向けた取り組みで、中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度として、安全・安心なIT社会を実現するために創設されました。
当記事では、セキュリティアクションの概要と、実際に「一つ星」を宣言するまでの流れを紹介いたします。

この記事の目次

1 セキュリティアクションの概要
2 セキュリティアクションの主なメリット
3 セキュリティアクションの段階とロゴマーク
4 実際に申請してみた（一つ星編）
5 一つ星の使用許可が届いた！
6 実際に貼ってみた！

セキュリティアクションの概要

前述した通り「セキュリティアクション（SECURITY ACTION）」とは、「中小企業や情報セキュリティの関係団体」が中心となり、中小企業の情報セキュリティ対策普及の加速化に向けた取り組みです。

その中小企業や情報セキュリティの関係団体とは、

一般社団法人中小企業診断協会
全国社会保険労務士会連合会
全国商工会連合会
全国中小企業団体中央会
特定非営利活動法人ITコーディネータ協会
特定非営利活動法人日本ネットワークセキュリティ協会
独立行政法人情報処理推進機構
独立行政法人中小企業基盤整備機構
日本商工会議所
日本税理士会連合会
（五十音順）メンバ

などの錚々たる団体が関わっているんですね。

日本における中小企業の数は約380.9万者^※1。全企業数に占める割合は99.7%^※1もあるんですね！

※1：
補足：中小企業の定義とその数について
「2016年版中小企業白書」によると日本における中小企業の数は約380.9万者。全企業数に占める割合は99.7%です。
→2016年版中小企業白書

その「中小企業」とは、何を持って「中小企業」というのかというと、しっかりと中小企業基本法にて企業数、従業者数で定義されています。

製造業その他卸売業小売業サービス業

資本金 3億円以下 1億円以下 5000万円以下 5000万円以下

従業員数 300人以下 100人以下 50人以下 100人以下

上記の数値を見ると、ほぼ中小企業だというのがよくわかりますね。
サイバーセキュリティ.com　を運営している弊社ももちろん中小企業です。

	製造業その他	卸売業	小売業	サービス業
資本金	3億円以下	1億円以下	5000万円以下	5000万円以下
従業員数	300人以下	100人以下	50人以下	100人以下

ですので、日本国内のほぼすべての企業が対象となるセキュリティへの取り組みがこの「セキュリティアクション（SECURITY ACTION）」なのです。

近年進むIT化の中では、企業経営においてもIT活用が必要です。
もちろんその活用にはビジネスの発展に寄与する「攻め」への活用も必要ですが、それと同時に、情報セキュリティの対策を行うことによる「守り」も必要不可欠です。身近なところから始める「情報セキュリティ対策」としてこの「セキュリティアクション」はぴったりなので、自社のセキュリティ意識が気になった方は、ぜひ取り組みを始めてみると良いでしょう。

セキュリティアクションの主なメリット

セキュリティアクションを実践すること。セキュリティ対策自己宣言をすることによるメリットには、大きく下記の２つがあります。

メリット(1)自社スタッフのセキュリティ意識を向上できる

セキュリティアクションを実践することにより、スタッフに情報セキュリティに関わる知識を一度は説明をすることになりますが、その結果、「自社がどこまでできているのか？」「できていないところはどこなのか？」を再確認することにより、スタッフが普段の業務活動の中で、セキュリティを意識するようになります。
それにより、会社全体のセキュリティ意識の向上が促進し、簡単なミス（メールの誤送信など）による情報漏洩など未然に防ぐことができるようになります。

メリット(2)自社の取り組みをアピールできる

セキュリティアクションで、セキュリティ対策自己宣言をすることにより、セキュリティアクションのロゴを利用できるようになります。
そのロゴを、自社のホームページや名刺やパンフレットなどに掲載することにより、セキュリティ意識の高い企業であること、しっかりとした取り組みをしている会社として外部にアピールすることができます。

セキュリティアクションの段階とロゴマーク

セキュリティアクションにはその取り組むレベルに応じて「一つ星」「二つ星」の２段階があり、その取組み段階に応じて2種類のロゴマークを提供しています。
ロゴマークを、自社のポスター、パンフレット、名刺、封筒、ホームページ等に掲載して、自社の取組みをアピールに利用しましょう。

一つ星とは

こちらはすでにできている企業も多いかと思いますが、中小企業の情報セキュリティ対策ガイドライン付録の「情報セキュリティ5か条」に取組むことを宣言することで利用が可能になるロゴマークです。
情報セキュリティ5か条とは、下記の５つになります。

OSやソフトウェアは常に最新の状態にしよう！
ウイルス対策ソフトを導入しよう！
パスワードを強化しよう！
共有設定を見直そう！
脅威や攻撃の手口を知ろう！

上記からもわかるように、多くの会社で、すぐに宣言できそうですね！
逆に、まだ対策をしていなかったので「すぐに宣言できない」という企業の方は、すぐにでも対策しないとまずいと言える項目ばかりです。

二つ星とは

こちらは一つ星よりも少々やるべきことが多いのですが、それほど大変なことでもないので、ぜひやって見ると良いでしょう。
やることは、下記の項目です。

中小企業の情報セキュリティ対策ガイドライン付録の「5分でできる！情報セキュリティ自社診断」で自社の状況を把握
情報セキュリティポリシー（基本方針）を定め、外部に公開したことを宣言

『「情報セキュリティポリシー（基本方針）を定める」という部分が大変そう』と思う方もいるかもしれませんが、セキュリティポリシーの雛形も公開されていて、それを元に作成ができるので、それほど大変ではないと思います。

詳細は、ぜひセキュリティアクションのページをご確認ください。
→SECURITY ACTIONとは

実際に申請してみた（一つ星編）

では、2017年4月28日にロゴマーク使用申込の受付が開始されたので、実際にどのような手順でセキュリティ対策自己宣言ができるのかを試してみました。

ホームページにアクセス

まずはIPAのサイト内にある、セキュリティアクションの特設サイトにアクセスしましょう。
https://www.ipa.go.jp/security/security-action/

上記にアクセスすると下記のような画面が開きます。

その中の内容をしっかり読んで把握しましょう！

「情報セキュリティ５か条」のチラシをダウンロード＆内容の確認

今回申請する予定の「一つ星」では、情報セキュリティ５か条に取り組むことを宣言する必要がありますので、
その内容の把握のために情報セキュリティ５か条のチラシをダウンロードします。

ダウンロードはこちらのページから可能です。
https://www.ipa.go.jp/security/security-action/mark/

上記のページの「情報セキュリティ５か条」の部分からダウンロードできます。
ダウンロードしたものをプリントアウトしてみました。

５か条の内容は、

1.OSやソフトウェアは常に最新の状態にしよう！

OSやソフトウェアのセキュリティ上の問題点を放置していると、それを悪用したウイルスに感染してしまう危険性があります。お使いのOSやソフトウェアに修正プログラムを適用する、もしくは最新版を利用しましょう。

対策例

● Windows Update(Windows OSの場合)/ソフトウェア・アップデート(Mac OSの場合)OSバージョンアップ(Android の場合)
● Adobe Flash Player/Adobe Reader/Java実行環境(JRE)など利用中のソフトウェアを最新版にする

2 ウイルス対策ソフトを導入しよう！

ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています。ウイルス対策ソフトを導入し、ウイルス定義ファイル(パターンファイル)は常に最新の状態になるようにしましょう。

対策例
● ウイルス定義ファイルが自動更新されるように設定する
● 統合型のセキュリティ対策ソフト(ファイアウォールや脆弱性対策など統合的なセキュリティ機能を搭載したソフト)
の導入を検討する

3 パスワードを強化しよう！

パスワードが推測や解析されたり、ウェブサービスから窃取したID・パスワードが流用されることで、不正にログインされる被害が増えています。パスワードは｢長く｣｢複雑に｣｢使い回さない｣ようにして強化しましょう。

対策例
● パスワードは英数字記号含めて10文字以上にする
● 名前、電話番号、誕生日、簡単な英単語などはパスワードに使わない
● 同じID・パスワードをいろいろなウェブサービスで使い回さない

4 共有設定を見直そう！

データ保管などのクラウドサービスやネットワーク接続の複合機の設定を間違ったため無関係な人に情報を覗き見られるトラブルが増えています。クラウドサービスや機器は必要な人にのみ共有されるよう設定しましょう。
対策例
● クラウドサービスの共有範囲を限定する
● ネットワーク接続の複合機やカメラ、ハードディスク(NAS)などの共有範囲を限定する
● 従業員の異動や退職時に設定の変更(削除)漏れがないように注意する

5 脅威や攻撃の手口を知ろう！

取引先や関係者と偽ってウイルス付のメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げて>ID・パスワードを盗もうとする巧妙な手口が増えています。脅威や攻撃の手口を知って対策をとりましょう。

対策例
● IPAなどのセキュリティ専門機関のウェブサイトやメールマガジンで最新の脅威や攻撃の手口を知る
● 利用中のインターネットバンキングやクラウドサービスなどが提供する注意喚起を確認する

もちろん弊社はしっかりと対応しておりますし、このサイトを運営しているからにはスタッフにもしっかりと対応してもらってました。
（最近はスタッフの方が意識が高いかも）

いつも最新バージョンですし、
セキュリティソフト入れてますし、
パスワードも数年前まで同じものを使いまわしていたので、パスワードリスト攻撃の危険性がありましたが、そんなことはもうやってません。
共有設定の見直しや、退職した社員などにもみられないように情報もしっかり管理！
セキュリティに関する情報を配信しているので、多くの脅威や手口を把握しております。

申込書をダウンロード・記入

そんな形でしっかりと５か条を確認・対応し、スタッフにも共有したら、早速「SECURITY ACTION ロゴマーク使用申込書（新規）」をダウンロードして申し込みしましょう。
ダウンロードはこちらのページから可能です。
https://www.ipa.go.jp/security/security-action/mark/

早速プリントアウトして記入しました。