経済産業省「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」「中小企業の情報セキュリティ対策ガイドライン第4.0版」(2026.03.27): まるちゃんの情報セキュリティ気まぐれ日記

July 2026
Sun	Mon	Tue	Wed	Thu	Fri	Sat
			1	2	3	4
5	6	7	8	9	10	11
12	13	14	15	16	17	18
19	20	21	22	23	24	25
26	27	28	29	30	31

2026.03.30

経済産業省「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」「中小企業の情報セキュリティ対策ガイドライン第4.0版」(2026.03.27)

こんにちは、丸山満彦です。

経済産業省が、中小企業のセキュリティ対策強化を目指して、「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」と「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公表していますね...

中小企業に対する政策を検討する場合に、中小企業の定義が不明確なまま議論が行われるのが問題なんですよね...EUと英国では中小企業の定義は明確になっていますよね（英国はBrexit後もEUの基準と同じような基準を利用しているので、実質同じ...）...例えば、欧州だと欧州委員会勧告2003/361/ECですよね...（従業員、売上高、総資産額で閾値を設定。従業員だと250名以上だと大企業）。で、現在Small mid-capの区分（従業員だと250名以上1000名未満）が検討されていますよね...

日本の場合と中小企業基本法に基づくものになるのだろうと思いますが、政策議論をする場合に明確にそのことを示して議論をしていないし、文書等にもそれが明示されていないんですよね...漠然と中小企業...今回のガイドラインも過去からそうで「中小企業基本法」と言う用語すら登場しないんですよね...中小企業基本法でいう中小企業ではないのであれば、たとえば「いわゆる一般的に中小企業といわれる企業」として一般用語であることを明示し、そして、この文書で想定している中小企業をある程度明確にしたほうがよいと思うんですよね...

ちなみに、中小企業基本法の定義...

(中小企業者の範囲及び用語の定義）

第二条　この法律に基づいて講ずる国の施策の対象とする中小企業者は、おおむね次の各号に掲げるものとし、その範囲は、これらの施策が次条の基本理念の実現を図るため効率的に実施されるように施策ごとに定めるものとする。

一　資本金の額又は出資の総額が三億円以下の会社並びに常時使用する従業員の数が三百人以下の会社及び個人であつて、製造業、建設業、運輸業その他の業種（次号から第四号までに掲げる業種を除く。）に属する事業を主たる事業として営むもの

二　資本金の額又は出資の総額が一億円以下の会社並びに常時使用する従業員の数が百人以下の会社及び個人であつて、卸売業に属する事業を主たる事業として営むもの

三　資本金の額又は出資の総額が五千万円以下の会社並びに常時使用する従業員の数が百人以下の会社及び個人であつて、サービス業に属する事業を主たる事業として営むもの

四　資本金の額又は出資の総額が五千万円以下の会社並びに常時使用する従業員の数が五十人以下の会社及び個人であつて、小売業に属する事業を主たる事業として営むもの

さて、今回の中小企業の情報セキュリティ対策ガイドラインは、中小企業基本法の「中小企業者」？...もし、そうではないなら、この文書の想定する中小企業とはどう言う事業者か最初に定義したほうがよいかもしれませんね...

● 経済産業省

・2026.03.27 サイバー攻撃を“自分事”に。そしてその先、“どう動く？”――中小企業のセキュリティ対策強化に向けて「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」と「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公表しました

実例集はともかく、ガイドラインについてですが...

4．中小企業の情報セキュリティ対策ガイドラインの改訂

改訂の概要は以下のとおりです。

（1） SCS評価制度の考え方の取り込み

SCS評価制度が、SA宣言の上位基準として位置付けられていることを踏まえ、本ガイドラインをSA宣言の取組に限らず、SCS評価制度にもつながる内容に見直しを行いました。

具体的には、ガイドラインの「第2部実践編」STEP3において、SCS評価制度で求められる要求事項（セキュリティポリシーの策定、アクセス制御やログ管理等）を踏まえ、対策を実施するにあたっての考え方を整理しました。付録として掲載されている規程類のサンプルやひな型についても、SCS評価制度に対応する形で拡充しました。

（2）SECURITY ACTION自己宣言制度の基準見直しの反映

SA宣言の基準を見直し、ガイドラインにも反映しています。主な見直しのポイントは以下のとおりです。

SA宣言一つ星の取組について、OSのアップデートやウイルス対策ソフトの導入など基本5項目であったのを、ランサムウェア被害の拡大を踏まえバックアップの取得を追加し6項目とした。
SA宣言二つ星の取組である情報セキュリティ基本方針の策定及び、自社のセキュリティ対策状況を自社診断する25項目（SA宣言一つ星の項目を含む）について、中小企業実態調査の結果を踏まえ以下のとおり見直し。
- ファイアウォールの導入が進んでいる実態があることを受けて、定着を図る観点から項目として追加。
- コンテンツ管理システム（CMS）などWebシステムの導入実態がある中で、Webサイトの管理に関するセキュリティ対策を追加。
- 類似する項目について重複感を避ける観点から、「事務所の立ち入り制限」といった物理的対策や、「情報セキュリティ教育」といった従業員のセキュリティ意識に関する項目について関連する項目を統合。
- 実施率が低い項目について、取組を実施する際に参考となる参照先を対策例に追加するなど、対策実施に向けた導線を強化。