中小企業診断士 第1次試験 システム開発・プロジェクト管理・情報セキュリティ 練習問題 第14問: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版が紹介する「SECURITY ACTION」の制度に関する記述として、最も適切なものはどれか。

「一つ星は情報セキュリティ6か条に取り組むことを自ら宣言するもの」が適切です。ガイドラインは、SECURITY ACTIONを、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度と説明し、取り組みの段階に応じて一つ星と二つ星のロゴマークを無料で使えるとしています。

一つ星は、STEP1にあたる「情報セキュリティ6か条」（OSやソフトウェアを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を見直す、バックアップを取る、脅威や手口を知る）に取り組むことの宣言です。「第三者の審査に合格した企業に認める認証制度」は誤りで、審査ではなく自己宣言です。

「5分でできる！情報セキュリティ自社診断」で状況を把握するのは、組織的な取り組みを始めるSTEP2にあたる二つ星の要素で、一つ星と入れ替わっています。ロゴマークは無料で使えるので、「使用料を支払う」も誤りです。

二つ星では、自社診断で状況を把握したうえで、情報セキュリティ基本方針を定めて外部に公開することが挙げられているため、「外部に公開することまでは求められない」も誤りです。自己宣言で無料、一つ星は6か条への取り組み（STEP1）、自社診断と基本方針の公開は二つ星（STEP2）と覚えます。