小さな会社こそ、大手より現代的で楽に安全な会社になれる セキュリティ認証の取り方ことはじめ 極力個人情報はもたないでネ 2026年最新版
はじめに
さて、先ほどの記事で旧財閥系を散々にこき下ろしたので若干疲れました。
AIを利用したハッカーの協調同時攻撃に対して個人ができること（タイムズ、HIS漏洩）｜にがよもぎあんこ
そこで、前向きな記事を書いていきたいと思います。まあ弊社で実際にやる計画を元にした記事になります。規律上、弊社名は登記がおわるまで秘匿します（笑）11月初旬には終わっているかな。何故合同か？当然買収対策ですかね。公開しなければいいんだろうけど株式よりうちに都合がいい面が色々ありました。弊社が事業を進めるごとに戦略的な秘匿度があがっていき、大事なことをそのままでは、どんどん伝えられなくなっていくと思うので今のうちに（笑）
小さな会社は、やり方次第で、大手よりかなり安全なセキュリティ設計が可能です。鍵になるのは、認証を「取ること」ではなく、「思想として実際に制度的に使っていくこと」です。
ISOやプライバシーマークなどの旧来からあるセキュリティの認証には、「形骸化している」という声がよくあります。実際、認証を持っている会社でも、個人情報の漏洩は起きています。それでも、その制度にも使い道があります。法人との取引の入口になり、補助金の条件にもなり、社内の整理の型にもなります。
この記事では、創業したばかりの小さな会社が、どの制度をどの順番で使えばよいかをまとめます。そのうえで、認証の先にある、大手には真似しにくい守り方を紹介します。
プライバシーマークをはじめとした認証は何を保証してくれる？
認証が保証するのは「安全のための仕組みがあり、回っているように外部に見せやすくなる」です。「漏洩しにくくなること」ではありません。
※ここでいう「認証」は、ISMS（ISO/IEC 27001）やプライバシーマークのように、外部の審査機関の審査を受けて取るものを指します。SECURITY ACTIONは自己宣言なので、外部の審査はありません。
「形骸化」と言われるのは、認証を取得することが目的になって、審査の前後だけ書類や体制を整えてみせる会社があるからです。
それでも、こういった認証には小さな会社にとっての使い道が3つあります。
取引の入口：大きな会社や役所は、取引先を選ぶ条件として認証を求めることがあります。中身より、「持っていないと候補に入れない」関門として効きます
補助金の条件：国の補助金には、申請の条件にセキュリティの取り組みを求めるものがあります
社内の整理の型：何を決め、何を記録すればよいかの打ち型になります
主な制度と認証
創業期の会社が最初に手を付けるなら、無料の自己宣言「SECURITY ACTION」です。外部の審査がある認証は、取引先から求められてからで間に合います。
費用は、対象の範囲や従業員の数、コンサルを使うかで大きく変わります。取る段階で、審査機関に見積もりを取ってください。
セキュリティアクションにかかるお金
SECURITY ACTIONの申込みとロゴの使用: 無料です。ロゴが無料で使えることは、IPAのよくある質問にも書かれています。
GビズIDプライム（申込みに必要）: 発行自体は無料です。マイナンバーカードを使ってオンラインで申請すれば、費用はかかりません。郵送で申請する場合は、印鑑証明書の発行手数料（数百円）と郵送代がかかります。
対策そのもの: OSの更新、ウイルス対策、バックアップなど、すでにやっていることなら追加の費用はありません。新しくソフトや外付けのドライブを買う場合だけ、その代金がかかります。
一つ星と二つ星の違い
一つ星: 「情報セキュリティ6か条」に取り組むと宣言するだけです。対策を始める前でも申し込めます。
二つ星: 「情報セキュリティ自社診断」をやって、情報セキュリティ基本方針を外に公開してから申し込みます。診断の点数に下限はありません。
タイミングの注意
GビズIDは事業者ごとに発行されるので、申し込むなら、法人設立のあとになります。設立後にGビズIDプライムを取って、そのまま二つ星を宣言する流れがすっきりします。ちなみに、基本方針はIPAのサイトに行って原則の資料をもとにすれば、すぐ作れます。
IPA：SECURITY ACTION よくある質問
IPA：2026年4月からの申請方法の変更
創業から3年で取る順番は？
最初の1年は、無料のSECURITY ACTIONだけで十分です。外部の審査がある認証は、取引先に求められた段階で一つずつ足していきます。
上の図に入っていないものは、次のように扱います。
プライバシーマーク：従業員が2名以上になり、国内の消費者に個人情報の扱いを示したくなってから検討します
ISO/IEC 27017：クラウドのサービスを提供するなら、ISMSと一緒に検討します
SOC 2、ISMAP：米国の大企業や官公庁にプロダクトを販売する段階で必要かな？後回しで構いません
認証の先へ：小さな会社が大手より徹底できる理由
認証は「最低限ここまではやっている」という土台です。御社が目指す天井ではありません。そして、その実績を積み上げていくことは、小さな会社のほうが遥かに有利です。
古い仕組みがない：大手の漏洩の多くは、何十年も前のシステムや、誰も全体を把握していないサーバーから起きています。小さな会社は、最初から現代的で安全な形で作れます
個人情報を持たないと決められる：大手は、集めたデータで稼ぐ仕組みになっていて、そこに縛られており今更情報を手放せません。情報を持っていないものは漏れません
関わる人が少ない：権限を持つ人を、最小限に絞れます
具体的には、次の5つを積み上げます。
このうち「情報を持たない」と「入らせない」は、お金も人手もほとんどかかりません。設計の段階で決めるだけです。
個人情報を持たずに運営する方法（ここ大事ネ）
「持たない」は、場面ごとに専門の信頼性の高い事業者に任せるか、そもそもエンドユーザーに聞かないことで実現できます。自社に残すのは、「個人情報確認済み」という事実の結果のみとします。ですが、何事にも100％安全はあり得ません。
カード情報については、もともと法律がこの方向を求めています。2018年6月施行の改正割賦販売法では、加盟店は原則としてカード情報を自社で持たないこと（非保持化）、持つなら国際基準のPCI DSSに準拠することが求められています（JCB）。
注意したいこと
消せないものもある：帳簿や請求書など、税法で一定期間の保存が義務づけられている書類は消せません。ただし、残すのは必要な項目だけにし、画像など余分なものまで一緒に残さないようにします
外部に個人情報管理を任せても責任は残る：個人データの扱いを外部に任せた場合、任せた側には委託先を監督する義務があります（個人情報保護法）。任せる先は、認証の有無や実績で選びます
他社のログインに頼りすぎない：「Googleでログイン」などは便利ですが、Googleの都合で使えなくなることもあります。パスキーなど、自社で用意できる方法も検討しておくと安心です
基本的に「個人情報を確認した」という事実だけで十分な運用にしてください。ただ、何のために確認するかという目的で若干扱いが変わります。
事実だけでいい場合
ログインのときや、「前と同じ人か」を確かめるだけなら、利用者証明用電子証明書という仕組みが使えます。これは「本人であること」だけを確かめるもので、氏名や住所は自社に渡りません。
スマホにマイナンバーカードの機能を入れた「スマホ用電子証明書」でも使えます。
この場合、自社に残すのは「確認済み・日付・確認に使った事業者」の記録だけで済みます。
上記の確認事実だけでは足りない場合
年齢などを確かめたいとき: 署名用電子証明書を使うと、氏名・住所・生年月日・性別の4つの情報が届きます。ただ、確認が済んだら「20歳以上」のような結果だけを残して、元とした情報は捨てる、という運用はできます。
法律で本人確認の記録が義務になっている業種: 銀行や暗号資産の取引所などは、犯罪収益移転防止法で、確認の記録を7年間保存しなければなりません。この場合は、確認事実だけでは足りません。
大事な注意
公的個人認証で使うのは電子証明書で、マイナンバー（12桁の個人番号）そのものは使いません。個人番号は、税や社会保障などの法律で決まった目的以外では、集めること自体が禁止されています。なので、「マイナンバーで認証した」より、「マイナンバーカードで認証した」と書くのが正確です。
小さな会社が自分で公的個人認証の仕組みを持つのは大変です。そのため、実際には、この仕組みを提供している外部の事業者を通して使う形になります。
各種認証をはじめとしたセキュリティの運用を始めるときの注意
最初から全部を完璧にしようとすると、事業の立ち上げが遅れます。徹底と速さを両立するには、順番が大事です。
設計で決まることは、最初から徹底する：「持たない」と「入らせない」。後から変えてしまうと、重大な手戻り、脆弱性が発生し得ます。
方針を文章にして、そのとおりに運用する：情報セキュリティの基本方針と、個人情報の保護方針です。後で認証を取るときに、書類を後付けで作らず、実態を書き起こすだけで済みます
認証は、求められてから取る：取引先から「お持ちですか」と聞かれるようになったら、認証の取りどきです
残りは、事業が育つのに合わせて足していく：侵入テストや公開ページは、利用者が増えてからでも間に合います
