IPAの「5分でできる！情報セキュリティ自社診断」は、25項目への回答を通じて、基本的な対策状況を確認できる中小企業向けのツールです。短時間で始められますが、合否を判定したり、自社の安全性を証明したりするものではありません。
診断の目的は、未実施の対策や、社内で状況を把握できていない項目を見つけることです。点数だけを見るのではなく、回答に迷った項目も記録しておくと、その後の確認に役立ちます。
一人の推測だけで回答しない
診断を始める前に、端末とスマートフォンの管理、メールとクラウドの利用状況、更新担当者、バックアップ先、Webサイトの管理者、外部接続の方法を確認してください。
一人の推測だけで回答すると、実際の運用と診断結果がずれることがあります。総務、業務担当、IT担当で答えが異なる項目は、無理に決めず「不明」として残し、管理者や委託先へ確認してください。
診断後に確認したい3つの作業
- 未実施・不明な項目を「すぐに対応」「社内で確認」「外部へ相談」に分類
- 各項目を確認する担当者と期限の設定
- 対応内容の資産台帳や従業員向け手順への反映
未実施の項目が多い場合は、業務への影響や緊急性を基に優先順位を付けてください。すべてを同時に始めるよりも、担当者と期限を決め、対応状況を追えるようにする方が継続しやすくなります。
バックアップについては、対象データ、保存先、復旧手順まで確認してください。公開WebサイトやVPNについては、管理者と更新状況を記録してください。分からない項目を調べ、社内で説明できる状態にすることも診断の目的です。
担当変更やシステム改修後に再診断
2026年3月公開のガイドライン第4.0版では、バックアップ、不要な外部通信の遮断、Webサイトの安全な運用に関する項目が加わりました。
診断は一度行えば終わりではありません。クラウドサービスの導入、担当者の変更、Webサイトの改修など、管理状況が変わった際は再度確認してください。定期的に見直す場合は、前回の未実施項目がどこまで改善したかも確認すると、対策の進み具合が分かります。