「SECURITY ACTION二つ星」を頼まれたら、申請の流れとかかる時間

「SECURITY ACTIONの二つ星を宣言してください」。取引先からそう言われて、このページに来た方もいると思います。

実際のところ、特別難しい手続きではありません。ただ、順番を間違えると二度手間になる仕組みになっています。今日は、IPA（情報処理推進機構）の公式ページに書かれている内容だけをもとに、申請の流れと、つまずきやすい点を整理します。

そもそも、SECURITY ACTIONの「二つ星」とは

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを、IPAに向けて自己宣言する制度です。「一つ星」と「二つ星」の2段階があり、どちらを宣言するかは自社で選びます。

ここで大事なのは、二つ星には宣言する前に済ませておく条件があるという点です。IPAの公式ページには、次の2つを事前に行っていることが条件だと書かれています。

• 「5分でできる！情報セキュリティ自社診断」を実施していること
• 情報セキュリティ基本方針を、外部に公開していること

つまり、二つ星は「申し込めば終わり」ではなく、「すでに最低限の取り組みをしている会社が、それを宣言する」という仕組みです。取引先から急に「二つ星を」と言われた場合、まずこの2つが済んでいるかどうかの確認から始まります。

なお、一つ星と二つ星は同時に申し込むことができません。両方のロゴマークを同時に使うこともできないので、どちらを宣言するかは先に決めておく必要があります。

申請の流れ（5ステップ）

IPAの公式ページに沿うと、手順は次の5つです。

1. 取組目標を決める：一つ星か二つ星か。二つ星なら、前段の2条件が済んでいることを確認します。
2. GビズIDを取得する：法人・個人事業主とも「GビズIDプライム」のアカウントが必要です。介護施設は施設ごとに「メンバー」アカウントを作成します。
3. 申込フォームに入力する：個人情報の取扱いへの同意、ロゴマーク使用規約への同意、事業者情報の入力、取組内容の選択、という順に進みます。
4. 申込完了メールを確認する：自己宣言IDと、ロゴマークの使い方を知らせるメールが届きます。
5. ロゴマークをダウンロードする（任意）：管理システムのマイページから、取組段階に応じたロゴマークを取得します。

このうち、いちばん見落とされやすいのがステップ2です。2026年4月1日から申込方法が変わり、自己宣言の申込にはGビズIDプライム（またはメンバー）のアカウントが必須になりました。 GビズIDを持っていない会社は、先にこちらの取得から始める必要があります。GビズIDの発行にも多少の日数がかかるので、「取引先に言われたから今日中に」という進め方は難しいと考えておいた方がいいと思います。

申込自体が完了すれば、利用可能になるまでは最短1日です。ただしシステムメンテナンスなどで利用できない期間もあるため、公式ページでも余裕を持って進めるよう案内されています。

完了メールが届かない場合は、まず迷惑メールフォルダや受信拒否設定を確認してください。それでも見当たらなければ、管理システムにGビズIDでログインし、マイページに自己宣言IDが表示されているかで、申込が完了しているかを確認できます。

「認定」ではなく「宣言」という、意外と大事な言葉の違い

もう一つ、知っておいた方がいい点があります。SECURITY ACTIONは、IPAが対策状況を審査して認定する制度ではありません。あくまで自己宣言の制度です。そのため、公式ページでも「認定を受けた」「取得した」という言い方ではなく、「宣言しました」という表現を使うよう案内されています。

取引先に報告するときや、自社のホームページに書くときも、この言葉づかいはそのまま使った方が無難です。「二つ星を取得済みです」と書くより、「二つ星を宣言しています」と書く方が、制度の実態に合っています。

ちなみに、IPAのサイトでは宣言した事業者名・都道府県・市区町村・業種・取組段階などが公開されます（個人事業主は代表者名や屋号、介護施設は施設名も対象です）。公開される情報も合わせて確認しておくと安心です。

今日できることと、2026年3月以前に宣言していた会社への注意

今日からできることを、順番に整理するとこうなります。

1. 自社診断（5分でできる！情報セキュリティ自社診断）をまだやっていないなら、まずそこから
2. 情報セキュリティ基本方針を作り、外部公開する（ホームページに載せる、など）
3. GビズIDプライムのアカウントを持っているか確認する。無ければ先に取得する
4. 上記が揃ったら、IPAの申込フォームから自己宣言する

なお、2026年3月以前にすでに自己宣言をしていた会社は、今回の変更の影響を受けず、従来どおり配布ファイルからロゴマークをダウンロードできます。ただし解凍パスワードの再送は行われていないため、忘れてしまった場合は、改めて自己宣言をやり直す必要がある点だけ注意してください。

急いで今日中に終わらせる必要がある制度ではありません。ただ、GビズIDの取得から始めると数日はかかるので、取引先に「いつまでに」と聞かれている場合は、早めに2番のステップから手をつけておくのがおすすめです。手順の読み方やGビズIDの準備で分からないところがあれば、気軽にご相談ください。取引先から求められる評価の仕組みについては、SCS評価制度についての記事でも別の角度から書いています。

もう少し整理した状態で進めたい場合は、サービス一覧から、ご相談いただくこともできます。