立場別ガイド
誰が、何をやるべきか
同じ制度でも、発注する側と受注する側ではやることがまったく違います。自分の立場に近いものから読んでください。
調達／購買／ベンダーマネジメント
発注元・調達部門
制度は「委託元が委託先に適切な★を提示し、対策を促して実施状況を確認する」ことを想定しています。提示する側の設計が先です。
- 委託先の一覧と、各社に預けている情報・業務の重要度を棚卸しする
- 重要度に応じて、提示する★（★3 か ★4 か）の基準を決める
- 契約書・発注仕様への反映と、★取得に伴う価格交渉の扱いを法務・調達と握る
受注側の事業部門・品質保証・情報システム部門
受注側（元請・中堅以上）
制度が対策の実施主体として想定しているのは受注者側です。同時に、自社の再委託先に対しては提示する側にもなります。
- 主要顧客から来ているセキュリティ要求（質問票・契約条項）を1か所に集める
- 評価を受ける適用範囲（全社／事業部／グループ）を決める
- 自社が再委託している先を洗い出す
経営者、総務・情報システム兼任担当
中小企業・小規模事業者
IPA は、リソースが限られる中小企業こそ制度の活用効果が大きいとしています。支援策も中小企業向けに用意されます。
- 取引先から★の提示が来ているかを営業・購買経由で確認する
- IPA「SECURITY ACTION」から着手する（制度開始を待つ必要はありません）
- 「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録5（規程サンプル）を入手する
情報システム部門、CSIRT、セキュリティ推進
情報システム部門・セキュリティ担当
要求事項・評価基準は Excel で公開済みです。まずギャップ分析ができます。証跡が出せるかが勝負どころです。
- IPA公開の「★3・★4 要求事項・評価基準」Excel を入手する
- 既存のISMS等の管理策と突き合わせ、★3の26件・★4の43件のギャップを出す
- 評価を受ける適用範囲（全社／事業部／グループ）の候補を出す
経営者、役員、事業責任者
経営層
★3 の申請には経営層による自己適合宣誓が必要です。これは実務担当者に委ねきれない手続きです。
- この制度が自社の売上のどこに影響するか（対象取引の規模）を把握する
- 目標とする★（★3 / ★4）と適用範囲を決める
- 2026年10月頃に出る申請方法・取得ガイドの公表に合わせて意思決定の時期を置く
どれを読むべきか迷う場合は、かんたん判定が読むべきガイドを提示します。