セキュリティの機器やサービスを契約する前に、IPAの「5分でできる！情報セキュリティ自社診断」の25問で、自社のどこが手薄かを数えます。点数の付け方、わからない問いの読み方、バックアップを戻せるかの確かめ方まで。
セキュリティの機器やサービスを契約する前に、IPA（独立行政法人 情報処理推進機構）の「5分でできる！情報セキュリティ自社診断」の25問に答えて、自社のどこが手薄かを先に数えてください。数えた結果を持って、何に・どの順でお金を使うかを決めます。買う前に数える、というお金を使う順番の話です。
対象は、パソコンやスマートフォンで仕事をしている会社です。機器の営業を受けていない会社にも役に立ちます。数えておけば、営業が来たときに、自社の状況で答えられます。毎年この自社診断をしている会社は、用紙を取り直してください。IPAは2026年3月の改訂（ガイドライン第4.0版）で、診断項目を新たに追加するなどした、と発表しています。
IPAの「中小企業の情報セキュリティ対策ガイドライン」のページから、「付録3：5分でできる！情報セキュリティ自社診断（全8ページ）」（PDF＝文書のファイル）か、「5分でできる！情報セキュリティ自社診断Excel版」を取ります。
25問すべてに答えが付き、合計点が出たら、今日の1手は済んでいます。「わからない」（-1点）が付いた問いが、次に確かめる場所です（ここは私の読みです）。確かめる相手は、その問いの仕事を受け持っている人です（機器やサービスなら用意した人〔社内の担当者や、導入した業者〕、契約書や社内の決まりならその担当の人）。返事を待つのは今日の分に入れません。
No.5（バックアップ＝データの控え）に「実施している」と答えた会社も、取ったデータを実際に1回戻してみてください。IPAの対策例には「バックアップしたデータを戻せるか定期的に確認する。」とあります。戻す先は、元の場所ではなく、新しく作った空のフォルダにして、ファイルを1つ戻し、開けるかを見ます（ここは私の手順です）。戻し方や、戻す先を変えられるかが分からなければ、バックアップを設定した人に聞きます。1回確かめたら、その後も時期を決めて続けます。
点数は、IPAの物差しで、自社の取り組み具合を数えたものです。点が高くても、被害に遭わないという意味ではありません。IPA自身も、事故や被害は「どれか一つの対策だけで防げるものではありません。」と書いています（IPA「情報セキュリティ6か条（解説編）」）。
また、機器やサービスが要らない、という話ではありません。IPAも、はじめに取り組んでほしい「情報セキュリティ6か条」の2つ目に「ウイルス対策ソフトを導入しよう！」を挙げています（IPA「情報セキュリティ6か条（解説編）」2026年9月）。今日の話は、買う前に数えるという順番です。
IPAはExcel版の説明の中で、この自社診断を次のように書いています。
「5分でできる！情報セキュリティ自社診断」は、情報セキュリティ対策のレベルを数値化し、問題点を見つけるためのツールです。
ここからは私の見立てです。お金を使う前に、どこが手薄かを数で持っておく。そうすると、届いた提案を「自社のどの問いを埋めるものか」で比べられます。25問の中には、機器を買っても埋まらない問いがあります。たとえば次の2つです。
一方で、No.2のように、ウイルス対策ソフトの導入そのものを問う問いもあります。0点や-1点がどの問いに付いたかで、先にお金を使うところと、先に社内の決め事を整えるところが分かれます。数えずに買うと、この区別がつかないまま支払いが始まりかねません。
IPAは2026年3月27日に、ガイドラインの第4.0版を公開しました。プレス発表は、改訂の主なポイントの1つ目として、こう書いています。
はじめに取り組んでほしい情報セキュリティ5か条に「バックアップを取ろう!」を新たに追加し、情報セキュリティ6か条としました。また「5分でできる！情報セキュリティ自社診断」の診断項目に、「外部から内部ネットワークへの不要な通信を遮断する」、「ウェブサイトを安全に運用する」を新たに追加する等しています。
「内部ネットワーク」は、社内のパソコンなどをつないでいる網のことです。2026年9月に公開された「情報セキュリティ6か条（解説編）」では、6か条は次のとおりです。
１の「OS」は、パソコンやスマートフォンを動かす土台のソフト（Windows など）のことです。
自社診断のほうは、プレス発表が挙げた2つの言葉が、付録3のNo.18とNo.19の解説の見出しになっています。問いはNo.1からNo.25までの25問です（言葉が2つ追加されたから問いが27問になった、ということではありません）。2026年10月2日時点でIPAのページから取れる付録3は、最後のページに「2026.6 Version 6.0」とあります。
なお、IPAには「情報セキュリティ対策ベンチマーク」という別の診断もあり、こちらも25問です。この記事で扱っているのは「5分でできる！情報セキュリティ自社診断」のほうです。
点数は、「実施している」4点・「一部実施している」2点・「実施していない」0点・「わからない」-1点です。「わからない」は、「実施していない」より低く数えられます。私はこれを、対策をしているかどうかと一緒に、「答えられる人が社内にいるか」も数えている、と読んでいます（IPAがそう書いているわけではありません）。
付録3の25問の下には、「診断の後は次ページ以降を読んで対策を検討してください。」とあります。次のページからは、No.ごとに対策例が並んでいます。0点や-1点が付いた問いの番号から読んでいけば、手を付ける順番の材料になります。
用紙の2ページ目（Excel版では「診断結果」シート）には、合計点に応じて、次に何を読んで何をするかを示したIPAの案内があります。100点満点だった場合について、IPAは「入門レベルのセキュリティ対策は達成です。ステップアップを検討しましょう。」と書き、その先は「中小企業の情報セキュリティ対策ガイドライン」を参照して対策を強化するよう案内しています。満点でも、そこが入り口という位置づけです。この点の区切りはIPAによる次の一歩の案内であり、私が点数で御社を判定するものではありません。
毎年続けている会社は、Excel版の「診断結果」シートには、ほかの診断結果（前回の点など）を手で入れて比べる欄（比較スコア1・比較スコア2の列）もあります。第4.0版で診断項目が追加されるなどしているので、前の版の点との差は、取り組みの差だけとは限りません（ここは私の見立てです）。
付録3のNo.5の対策例は、次の5つです。
オンラインバックアップは、インターネットの向こう側に控えを取っておくサービスのことです。対策例には、装置や媒体、オンラインバックアップのように、用意やサービスの契約が要るものも並んでいます。そのうえで、最後の1つが「戻せるか」です。控えを取る仕組みを持っている会社でも、戻したことがなければ、この1つはまだ済んでいません。
「情報セキュリティ6か条（解説編）」も、最後にこう書いています。
ウイルスによってファイルやシステム環境が破壊されると、ウイルス対策ソフトだけでは元に戻すことはできません。そのため、バックアップによる復旧対策も必要となります。
数えた結果のうち、0点と-1点が付いた問いの番号を手元に置いて、話を聞きます。そのうえで「この製品やサービスは、この中のどの問いに当たりますか」と聞きます。当たる問いがはっきりすれば、その問いを先に埋めるかどうかを、ほかの問いと並べて決められます。提案する側にとっても、御社の状況が伝わりやすくなります。
私は、自社診断の結果を情報セキュリティの専門家として評価したり、どの機器やサービスが御社に合うかを判断したりする立場ではありません（ガイドラインや支援ツールの案内は、IPAの「サイバーセキュリティ相談窓口」が受け付けています。個別の対策は、情報セキュリティの専門家の領域です）。また、点数をもとに御社の安全を請け合う立場でもありません。
私の役目は、集客や採用をはじめ、御社が何に・どの順でお金を使うかの交通整理を、数字と現場の両方で行う、その部分です。ここは有償のご支援になります。無料でお受けしているのは、次にご案内する初回面談（90分程度）までです。
今日の1手を試してみて、気になる点が残った方は、無料相談はこちらのお問い合わせフォームからお知らせください。初回面談（90分程度）で伺うのは、現状とお困りごとです。そのうえで、新たな投資が不要と判断すれば、その旨を誠実にお伝えします。実際に手を動かす部分をご依頼いただく場合は、有償のご支援としてお引き受けします。
※2026年10月2日時点のIPAの公開資料（ガイドライン第4.0版、付録3「2026.6 Version 6.0」、Excel版、情報セキュリティ6か条（解説編）2026年9月）に基づきます。最新はIPAの公式ページでご確認ください。
マークレスト
