自工会・部工会のサイバーセキュリティガイドラインとは？レベル1〜3の153項目・チェックシート（自己問診票）の出し方と中小企業がまずやる19項目【2026年版】
取引先から「自工会のチェックシートに答えて提出してください」と言われて、何のことか分からないまま止まっている——自動車部品を作っている中小企業から、いま最も多く届く相談のひとつです。
結論から申し上げます。これは「自工会/部工会・サイバーセキュリティガイドライン」の自己評価（チェックシート）で、全部で153項目あります。ただし全社が153項目すべてに答えるわけではなく、レベル1を目標にするなら50項目、レベル2なら124項目、レベル3なら153項目です。
提出は年1回、自工会へ1回出せば済み、罰則もありません。
そして2026年3月31日に、自工会・部工会から「中小企業向け セキュリティ対策レベルアップに向けた手引き」が公開され、153項目のうち「まず8つの対策・19項目」に絞り込まれました。
本記事はこの最新の公式資料を軸に、レベルの意味、チェックシートの書き方と出し方、他社の点数、そして「実際にどこが落ちているのか」までを、一次資料の実数で整理します。
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】
自工会・部工会の「サイバーセキュリティガイドライン」とは？
正式名称は「自工会/部工会・サイバーセキュリティガイドライン」です。一般社団法人 日本自動車工業会（自工会／JAMA）と一般社団法人 日本自動車部品工業会（部工会／JAPIA）が共同で作り、2020年3月31日に初版が出ました。
その後改訂を重ね、2026年8月時点の最新版はV2.3（2025年9月1日公開）です。
| 項目 | 内容 |
|---|---|
| 正式名称 | 自工会/部工会・サイバーセキュリティガイドライン |
| 作成 | 日本自動車工業会（JAMA）・日本自動車部品工業会（JAPIA）の共同 |
| 初版 | 2020年3月31日（第0.9版） |
| 最新版 | V2.3（2025年9月1日公開）／本体・解説書・チェックシートの3点セット |
| 対象領域 | エンタープライズ領域（業務基盤となるOA環境）＋工場領域版（2026年4月16日公開） |
| 構成 | 37項目の要求事項と153項目の達成条件 |
| レベル | レベル1・レベル2・レベル3の3段階 |
| やること | 付録のチェックシートで自己評価し、年1回、自工会へ提出 |
| 費用 | 無料（ガイドライン・解説書・チェックシートはすべて自工会サイトで公開） |
ベースになっているのは経済産業省の「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」で、これに加えてNIST Cybersecurity Framework v1.1、ISO 27001、AIAGの規格、そしてIPA「中小企業の情報セキュリティ対策ガイドライン」をベンチマークして作られたと本文に明記されています。
つまりゼロから作られた業界独自ルールではなく、既存の国際・国内基準を自動車産業向けに並べ替えたものです。
「自動車産業サプライチェーン全体のセキュリティの向上を優先課題ととらえており、中小企業を含めた全ての企業が本ガイドラインを活用できるよう、企業の規模によらず自動車産業全体が優先して実施すべき重要項目に加え、取り扱う情報によって標準的に目指す項目や最終到達点として目指すべき項目を追加策定し、第2版として発行した。」
（自工会/部工会・サイバーセキュリティガイドライン V2.3「3. ガイドラインの構成」より）
自工会や部工会の会員でなくても対象になるの？
結論は「対象になります」。この点は公式FAQにはっきり書かれています。
「はい、自工会や部工会の会員企業で有る無しに関わらず、自動車産業の仲間としてセキュリティ推進をサプライチェーンに関わる全ての皆様と一緒に進めていきたくご協力どうぞよろしくお願いいたします。」
（自工会 FAQ f036 より）
展開範囲は「自動車産業のサプライチェーンに関わっている会社」で、公式FAQは「企業規模や取り扱う製品に関係なく、必要な項目として作成しております。
広義で解釈いただき、積極的な活用をお願い致します」としています。
生産部品の取引がない会社でも、厳密な線引きは各社の判断に委ねられています。
よくある「うちは規模が小さいから」「サーバーもないから」という理由も、公式には通りません。
「当チェックシートは、企業規模や取り扱う製品に関係なく、必要な項目として作成しております。また、セキュリティリスクについても、企業規模等関係なく、存在しますので、自社の状況を把握するためにも、自己評価の実施をお願い致します。」
（自工会 FAQ f017「小規模会社でサーバーが無い会社様でも自己評価の必要はありますか？」への回答より）
回答の単位は「単体」の会社ごとです。グループ会社や子会社は個別に回答し、工場が複数拠点あっても拠点別ではなく会社として1つのチェックシートを出します。従業員数も「単体」の人数で記入します。
▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務と2026年改正・中小企業がやる7つのこと
レベル1・2・3は何が違う？何項目ずつあるの？
ここが最も誤解されている部分です。153項目は「全社が153問に答える」という意味ではありません。自社で目標レベルを決めると、答える項目数が変わります。
「レベルによって回答いただく項目が異なり、レベル1は50項目、レベル2〜1は124項目、レベル3〜1は153項目となります。※レベル3を目指す場合、レベル1および2も同様に達成いただく必要があるため「レベル3〜1」という表現にしています。」
（自工会 FAQ c003 より）
自工会・部工会が公開している「セキュリティ推進担当者向け解説資料」には、内訳がそのまま書かれています。
「ガイドラインは全体で153項目（Lv1: 50項目、Lv2: 74項目、Lv3: 29項目）で構成し、Lv1 を自動車業界として最低限実装すべき項目としています」。
当社でもV2.3のチェックシート（Excel）を実際に開いて1行ずつ数え、レベル1が50件・レベル2が74件・レベル3が29件・合計153件であることを確認しました。
| レベル | そのレベルの達成条件 | 答える項目数（累計） | 位置づけ |
|---|---|---|---|
| レベル1 | 50項目 | 50項目 | 企業の規模によらず自動車産業全体が優先して実施すべき重要項目（業界として最低限） |
| レベル2 | 74項目 | 124項目（レベル1＋2） | 取り扱う情報によって標準的に目指す項目 |
| レベル3 | 29項目 | 153項目（レベル1＋2＋3） | 最終到達点として目指すべき項目 |
公式の言い方は少し硬いので、実務の言葉に置き換えるとこうなります。レベル1は「自動車産業に関わるすべての会社が、規模を問わず最低限やっておくべき水準」、レベル2は「社外の機密情報（図面・仕様・受発注情報など）を預かる会社が標準的に目指す水準」、レベル3は「重要な情報を大量に扱う会社が最終到達点として目指す水準」です。
Tier1から図面をもらって加工している会社であれば、レベル2が自社の狙う水準になるという理解で概ね合います。
目標レベルは自社で決めますが、公式は「本ガイドラインを貴社へ展開した発注元の意向や、ガイドライン3項『ガイドラインの構成』を参考にして、目標とするレベルを貴社で決定ください」としています。
つまり、取引先から何も言われていなければ自社判断、Tier1から「レベル2でお願いします」と言われていればそれに合わせる、という運用です。
注意：「レベル1は50項目だけだから軽い」という理解は危険です。公式資料には「業界推奨として、このガイドラインに於けるレベル２を目指した取り組みをお願いしております」と明記されており、業界が求めている水準は124項目のほうです。レベル1は“最低ライン”であって“ゴール”ではありません。
いちばん項目が多いのはウイルス対策ではない？
153項目は5つの大分類に分かれています。当社でV2.3のチェックシートを1行ずつ集計した結果は次のとおりです。
| 大分類 | 合計 | レベル1 | レベル2 | レベル3 |
|---|---|---|---|---|
| 共通（方針・体制・教育など） | 40項目 | 19 | 16 | 5 |
| 守る対象を明確にし、リスクを特定する（特定） | 43項目 | 19 | 11 | 13 |
| 攻撃を防ぐ対策実施（防御） | 52項目 | 7 | 37 | 8 |
| 攻撃されたことを迅速に知るために（検知） | 12項目 | 2 | 7 | 3 |
| 検知被害の対応と修復（対応・復旧） | 6項目 | 3 | 3 | 0 |
さらに24の中分類（ラベル）に細分化されていて、項目数が多い順に並べると意外な結果になります。
| 中分類 | 項目数 | レベル1 | レベル2 | レベル3 |
|---|---|---|---|---|
| 16 物理セキュリティ | 19項目 | 2 | 15 | 2 |
| 7 日常の教育 | 13項目 | 5 | 6 | 2 |
| 17 通信制御 | 10項目 | 0 | 10 | 0 |
| 18 認証・認可 | 10項目 | 4 | 4 | 2 |
| 8 他社との情報セキュリティ要件 | 8項目 | 2 | 0 | 6 |
| 6 事故時の手順 | 7項目 | 2 | 2 | 3 |
| 11 情報資産の管理（機器） | 7項目 | 3 | 3 | 1 |
| 19 パッチやアップデート適用 | 6項目 | 1 | 2 | 3 |
| 22 マルウェア対策 | 6項目 | 2 | 3 | 1 |
| 24 バックアップ・復元（リストア） | 6項目 | 3 | 3 | 0 |
最も項目数が多いのは「物理セキュリティ」で19項目、しかもそのうち15項目がレベル2に集中しています。
一方で、多くの会社が「セキュリティ対策」と聞いて最初に思い浮かべる「マルウェア対策」は6項目しかありません。
ウイルス対策ソフトを入れれば点が伸びる、という構造にはなっていません。物理セキュリティ（サーバー室や書類の施錠、入退室の管理、持ち出しの記録など）と教育（13項目）で、合わせて全体の2割を占めます。ここは製品を買うより先に、社内のルールと記録を整える領域です。
▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】
業界が推奨しているのはどのレベル？期限や罰則はある？
推奨レベルはレベル2です。これは自工会・部工会の資料に明記されています。
「業界推奨として、このガイドラインに於けるレベル２を目指した取り組みをお願いしておりますが、企業規模によっては、サイバーリスクから身を守る為に最低限度となるレベル１(50項目)の取り組みに対しても対応する事は困難であり、優先度をつけて行いたいとのご相談がありました。」
（自工会/部工会「セキュリティ推進担当者向け解説資料」より）
一方で、「◯年◯月までにレベル2を達成しなければならない」という期限や、達成できなかった場合の罰則は、一次資料には書かれていません。
ここは解説記事によって書きぶりが分かれるところなので、公式の回答をそのまま引用します。
「現時点で何点以上取ってくださいというものではありません。ただし、近い将来において会社の規模等によらず、選択した目標レベルで全項目2点を取っていただくことを想定して作成しております。」（FAQ e001）
「強制ではありません。ただし、サプライチェーン全体のセキュリティ向上のため、各社ごとに改善努力をしていただく目的で作成しています。」（FAQ e002）
「業界全体として罰則を設けることはありません。」（FAQ e003）
さらに、自工会自身が「是正を要請する立場にない」と明言しています。
「本活動はあくまで自動車産業のサプライチェーンに関わる企業様の自主的なセキュリティ向上を目指したものになりますので、当会は結果に対して是正等を要請する立場にございません。」
（自工会 FAQ g007 より）
では何も起きないのか、というとそうではありません。効いてくるのは自工会ではなく取引先です。
「自工会にて受領した評価結果は、個社が特定できる形で他社へ公開することは致しません。ただし、本結果をご自身にて取引先に共有された場合には、取引の検討材料として扱われる場合があるかと考えます。」
（自工会 FAQ g003 より）
ここが実務上いちばん大事な点です。自工会に提出した結果は匿名化されて集計に使われるだけですが、取引先から「共有してください」と言われて共有した瞬間に、その点数は取引の判断材料になり得ます。期限も罰則もないのに多くの会社が急いで対応しているのは、このためです。
チェックシート（自己問診票）はどう書いて、どこに出す？
チェックシートは自工会のサイトから無料でダウンロードできるExcelファイルです。
提出は年1回で、公式FAQでは提出期限を「2025年12月末までに提出をお願いします」としています（2025年度分）。
年度ごとに案内が出るため、実際の期限は必ず最新の案内で確認してください。
| ステップ | やること | ポイント |
|---|---|---|
| 1 | 自工会HPから最新版チェックシートをダウンロードする | 必ず最新版（現行はV2.3）を使う |
| 2 | 会社情報・評価結果・自分のメールアドレス・共有先メールアドレスを入力する | 担当者メールアドレスは必須。複数書くと送信できないため1つだけ記入する |
| 3 | チェックシート提出用URLの申し込みサイトに必要事項を入力し、提出用URLを受け取る | 年度ごとに申し込みサイトが用意される |
| 4 | 受け取ったURLからファイルをアップロードする | 社内でDropboxが使えない場合は代理アップロードの窓口が案内されている |
| 5 | 共有先へ自動送付されるのを待つ | 入力不備がなければ概ね1週間程度で、提出者にTo・共有先にBccでメール送信される |
この仕組みの一番のメリットは、取引先が何社あっても提出は1回で済むことです。
複数のTier1から同じ依頼が来ても、共有先メールアドレス欄に全社分を書いて1回出せば、自工会経由で各社に自動送付されます（共有先は最大49件、それ以上は2回に分けて提出）。
「自工会/部工会へ提出する際、共有先入力シートに共有したい宛先のアドレスを入力いただければ、メールで提出したチェックシートを自動送付いたします。一度自工会/部工会へ提出いただければ、個別に送付する必要はありません。」
（自工会 FAQ f021「調査依頼が何社からも来るのですが何とか出来ないのでしょうか？」への回答より）
なお、取引先から共有の依頼がなければ、取引先への提出は不要です。公式FAQは「取引先から自己評価結果提出の依頼がない限り、不要です。自工会/部工会提出用URLへのみ、提出ください」としています。共有先に自社のメンバーを入れることはできません。
また、共有先へ送られるのは評価結果のシートだけで、共有先を並べたシートは削除されるため、他社に共有先のアドレスが伝わることもありません。
書き方に迷ったら？――解説書・用語集・無料の相談窓口
チェックシートは達成基準の文章が固く、「これは自社に当てはまるのか」で手が止まりがちです。実は自工会側にも、迷ったときの受け皿が用意されています。
- 付録の解説書：本体・チェックシートと一緒に公開されている「解説書」は、「用語や要求事項、達成基準などに対し、解釈に迷う部分を抽出し解説を行いました」という位置づけの文書です。チェックシートだけを見て悩む前に、まず解説書の該当項目を読むのが正解です
- 用語集：ガイドライン本体のPDFの最後に用語集が付いています（FAQ d003）。専門用語の一覧が欲しいときはここを見ます
- チャットボットの相談窓口：公式FAQは「2025年9月上旬に自工会HPでチャットボットによる相談窓口を公開しています」として、解釈に自信がない場合の利用を案内しています
- 規程のひな形：達成基準に「明文化して周知すること」と書かれている項目のテンプレートについて、公式FAQはIPAが公開している関連規定集のサンプルを案内しています（FAQ d004・d005）
「本ガイドラインは監査目的や第三者認証を求めるものではなく、あくまでもセルフチェックの形をとっております。自己評価結果に対する確認も行っておりませんので、解説書をご参照いただく等でご回答をお願いします。」
（自工会 FAQ d002「達成基準や達成条件に関して解釈に自信がないのですが、個別の問い合わせ等は可能でしょうか？」への回答より）
つまり個別の項目について自工会が「これは○です」と判定してくれることはありません。解説書と用語集を読んで自社で判断する、という前提です。
規程やルールの文書がまだ無い会社は、IPAの「中小企業の情報セキュリティ対策ガイドライン」付録の関連規程サンプル（無料）から始めると、複数の項目をまとめて埋められます。
▶ 関連記事：情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】
評価はどう付ける？「該当なし」でもいいの？
各項目の評価は4択で、点数に換算されます。
集計資料には「評価はそれぞれの達成条件に対し、『対策完了（2点）』、『該当なし（2点）』、『対策中（1点）』、『未実施（0点）』の4つからの選択式とした」と書かれています。
| 評価 | 点数 | 使う場面 |
|---|---|---|
| 対策完了 | 2点 | 達成基準に書かれている内容をすべて満たしている |
| 該当なし | 2点 | 自社の業務内容に照らして、その項目自体が当てはまらない |
| 対策中 | 1点 | 着手しているが、達成基準を満たしきれていない |
| 未実施 | 0点 | 手が付いていない |
「該当なし」も2点として扱われます。
IT化が進んでおらず答えようがない項目についても、公式は「該当なし」で回答できるようにしていると明言しています。
ただし、これを逃げ道として使うことは公式に推奨されていません。
「点数アップが目的ではございませんので、是非、まだリスクが残っていることを明確にしてください。その意味では、『出来ていない』と自己評価して頂く事を推奨します。各社でどのようなリスクが残っているのかを明確にして、計画的な対策実施いただく目的にお使いください。」
（自工会 FAQ e009「99％出来ているが1％出来ていないようなものはどう答えるか」への回答より）
また「達成基準をすべて満たさなければ達成条件を達成していない判断になりますか？」というFAQには「そのとおりです。
全件達成できている場合に、2点と回答ください」と明記されています。
1つの達成条件に対して達成基準が複数並んでいることも多いため、実際に読み込むと想像より厳しい判定になります。
点数を良く見せる意味はありません。自工会は自己評価結果の確認を行っておらず（監査でも第三者認証でもありません）、点数を高く付けて得をするのは提出した瞬間だけです。
取引先に共有した点数と実態が食い違っていると、事故が起きたときにその差がそのまま問題になります。
ISMSやPマークを取っていれば全項目クリアにしていい？
できません。これも公式FAQが明確に否定しています。
「本ガイドラインは特定のセキュリティ関連認証基準に則り策定したものではないため、お手数ですが個別の項目をご確認いただき、回答をお願いします。」
（自工会 FAQ e005「ISO27001・TISAX・ISMSなどを既に取得している場合は、個別の項目の確認をせずに全項目2点と回答して良いか」への回答より）
| 制度 | 位置づけ | 自工会の自己評価との関係 |
|---|---|---|
| 自工会/部工会ガイドライン | 業界共通の自己評価基準（第三者評価なし・無料） | 毎年チェックシートを提出。取引先から共有を求められる |
| ISMS（ISO/IEC 27001） | 第三者認証（審査・認証費用が発生） | 取得していても全項目2点にはできず、個別確認が必要 |
| SECURITY ACTION | IPAの自己宣言（無料） | 補助金の申請要件。ガイドライン対応の土台づくりにも使える |
逆に言えば、認証を持っていない会社でも不利にはなりません。
このガイドラインはあくまでセルフチェックで、審査も認証も伴いません。
費用をかけずに始められる代わりに、「自社で読んで、自社で判断して、自社で埋める」という手間が全部自社に来る、という性質です。
▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較【中小企業向け】
なお、経済産業省が準備しているSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とも別の制度です。
自工会は「既存制度と整合性を高め相互補完的に発展させる」方針を示していますが、現時点で「自工会ガイドラインを満たせばSCSの★がもらえる」といった対応関係は公表されていません。
▶ 関連記事：SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは？★3・★4の違いと26の要求事項・2027年度の運用開始に向けて中小企業がやるべきこと
他社はどこまでできている？――4,032社の集計結果
自工会は毎年、提出された自己評価を集計して公開しています。
最新は2026年3月31日に公表された2025年度の集計データで、対象は提出期限までに評価結果を出した約4,032社です（2024年度は3,134社、2023年度は3,240社で、回答社数は過去最高）。
| 目標レベル | 会社数 | レベル1項目の平均点 | レベル2項目の平均点 | レベル3項目の平均点 |
|---|---|---|---|---|
| レベル1 | 989社 | 63.32／100点（63.3％） | — | — |
| レベル2 | 1,704社 | 87.25／100点（87.3％） | 121.20／148点（81.9％） | — |
| レベル3 | 1,339社 | 92.52／100点（92.5％） | 132.43／148点（89.5％） | 41.24／58点（71.1％） |
| 全体 | 4,032社 | 83.13／100点（83.1％） | 126.14／148点（85.2％） | 41.24／58点（71.1％） |
満点は「達成条件の数×2点」なので、レベル1は50項目＝100点、レベル2は74項目＝148点、レベル3は29項目＝58点です。集計資料の満点表記と当社が数えた項目数はぴったり一致します。
この表でいちばん注目していただきたいのは、目標をレベル1に設定した989社の平均が63.3点しかないという点です。
50項目のうち、およそ3分の1が「対策中」か「未実施」のまま残っているという意味になります。
さらに達成率の分布を見ると、その内訳がはっきりします。
| 目標レベル | 達成率80％以上の会社 | 達成率50％未満の会社 |
|---|---|---|
| レベル1 | 38％ | 33％ |
| レベル2 | 71％ | 7％ |
| レベル3 | 80％ | 4％ |
目標を低く設定した会社ほど、その低い目標さえ埋まっていない——これが集計データが示している現実です。レベル1を目標にした会社の3分の1が達成率50％未満、つまり50項目の半分も埋められていません。逆にレベル3を目標にした会社は80％が達成率80％以上です。
「まずレベル1から」という判断そのものは正しいのですが、目標を下げただけで手を動かしていない会社が相当数ある、ということになります。
会社の規模別に見ると、傾向はさらに明確です。
| 従業員数 | レベル1目標（100点満点） | レベル2目標（248点満点） | レベル3目標（306点満点） |
|---|---|---|---|
| 10,000名超 | 97.3点（97.3％） | 238.0点（96.0％） | 293.4点（95.9％） |
| 3,001〜10,000名 | 99.2点（99.2％） | 240.3点（96.9％） | 288.6点（94.3％） |
| 501〜3,000名 | 89.1点（89.1％） | 230.2点（92.8％） | 283.3点（92.6％） |
| 301〜500名 | 73.6点（73.6％） | 217.1点（87.5％） | 270.8点（88.5％） |
| 101〜300名 | 69.0点（69.0％） | 210.3点（84.8％） | 257.8点（84.3％） |
| 100名以下 | 59.2点（59.2％） | 193.7点（78.1％） | 240.6点（78.6％） |
集計資料は「規模の大きい会社ほどセキュリティ対策が進んでいる傾向が確認された」と結論づけています。
レベル1を目標にした989社のうち671社（約7割）が従業員100名以下で、その平均は59.2点です。
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方【中小企業向け】
いま、どの項目が落ちているの？
集計資料には「未実施（0点）」と回答した会社数が多かった項目のTOP5が載っています。ここが本記事でいちばんお伝えしたい部分です。
レベル1を目標にした会社の「未実施」TOP5
| 順位 | 項番 | 達成条件 | 未実施と答えた会社数 |
|---|---|---|---|
| 1位 | No.66 | 情報資産において「機密性」「完全性」「可用性」の3要素が確保できなくなった場合のリスクを特定できている | 468社 |
| 2位 | No.69 | 業務影響への対策は策定された計画に沿って管理している | 458社 |
| 3位 | No.56 | 高い機密区分の情報資産（情報）を一覧化している | 439社 |
| 4位 | No.58 | 情報資産（情報）は機密区分に応じた管理ルールに沿って管理している | 430社 |
| 5位 | No.70 | 会社毎に取り交わす情報・手段（受発注の手段等、情報のやり取り）を一覧化している | 412社 |
TOP5がすべて「情報資産の棚卸」と「リスクの特定」です。ウイルス対策ソフトの話は1つも入っていません。
つまり多くの会社が落としているのは「守るものが何で、どこにあって、失ったら何が困るのかを一覧にする」という、製品を買う前の作業です。実際、レベル1で改善が必要と指摘された中分類も「10 情報資産の管理（情報）」「12 リスク対応」「13 取引内容・手段の把握」の3つでした。
レベル2・レベル3を目標にした会社では、落ちる項目が変わります。
| 目標レベル | 1位の未実施項目 | 未実施と答えた会社数 |
|---|---|---|
| レベル2 | No.133 内部不正対策として社外送付メールの監査を実施し、監査していることをメール利用者に周知している | 503社 |
| レベル2 | No.99 PCからのデータ書き出しを仕組みで制限している | 434社 |
| レベル3 | No.96 盗聴による情報漏えいへの対策を行っている | 657社 |
| レベル3 | No.81 内部情報漏洩対策として、複数ログを組み合わせて、異常行動を自動検知できる仕組みを導入している | 481社 |
レベル2では「社外へのメールの監査」「PCからのデータ書き出しの制限」、レベル3では「ログの相関分析による異常検知」が上位に来ます。
ここから先は仕組み（製品）が必要になる領域で、レベル1の「一覧を作る」段階とは性質が変わります。
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】
中小企業はまず何から？――公式が絞り込んだ8つの対策・19項目
2026年3月31日、自工会・部工会から「中小企業向け セキュリティ対策レベルアップに向けた手引き」が公開されました。この手引きの最大の価値は、153項目を思い切って絞り込んでくれたことです。
「『自動車産業サイバーセキュリティガイドライン』には153項目ありますが、中小企業の負担軽減と実効性向上を重視し、『優先8項目とその達成条件19件』に絞り込みました。この優先項目から着実に実行することで、最小限の工数で最大のセキュリティレベルアップを目指します。」
（自工会/部工会「中小企業向け セキュリティ対策レベルアップに向けた手引き」より）
その19項目の中身は次のとおりです。すべてレベル1の項目です。
| 分類 | 優先する対策 | 該当する達成条件（項番） | 項目数 |
|---|---|---|---|
| 1. セキュリティ事故発生時の構え | ① 緊急時の対応手順や連絡体制の再確認 | No.18・19・20・24・26 | 5 |
| 1. セキュリティ事故発生時の構え | ② ネットワーク外でのバックアップ、データ保管 | No.148・149 | 2 |
| 1. セキュリティ事故発生時の構え | ③ サーバーダウン時の生産継続方法の検討 | No.150 | 1 |
| 2. 侵入・拡散させない対策 | ① 脅威や攻撃手口の情報収集 | No.16 | 1 |
| 2. 侵入・拡散させない対策 | ② OS・ソフトウェアの最新版へのアップデート | No.124 | 1 |
| 2. 侵入・拡散させない対策 | ③ ウイルス対策ソフトの導入 | No.136・137 | 2 |
| 2. 侵入・拡散させない対策 | ④ パスワードの強化 | No.115 | 1 |
| 2. 侵入・拡散させない対策 | ⑤ 共有設定の見直し（アクセス権・外部システムの一覧化） | No.49・51・52・76・77・78 | 6 |
153項目のうち19項目、つまり全体の約8分の1です。
しかもこの19項目には、いわゆる高度な仕組みは1つも入っていません。
連絡先リストを作る、バックアップをネットワークの外に置く、OSを更新する、ウイルス対策ソフトを入れる、パスワードのルールを決める、共有フォルダとクラウドの権限を見直す——これだけです。
ただし公式は「19項目だけでよい」とは言っていません。解説資料には「※但し、この『8+11項目だけ』対策すれば良いと言う事ではなく優先度をつけた上でレベル２を目指した活動を行ってください」と明記されています。19項目はゴールではなく、レベル2（124項目）へ向かうための最初の一歩です。
手引きは全体を3ステップ＋準備段階で整理しています。中小企業の担当者が実際に動ける単位に落とされているのが特徴です。
| ステップ | やること | 手引きが示しているゴール |
|---|---|---|
| Step0 推進のための準備と承認 | 経営層の理解促進と承認／予算の確保と推進体制の構築／脅威情報の収集 | 承認を待たずに費用ゼロで始められることから着手する |
| Step1 守るべき「資産」を見える化する | 情報資産リストの作成／リスクの優先順位付け | 何を守るべきかを明確にし、リスクの高い場所を特定する |
| Step2 基本的な「入口」を確実に固める | パスワード強化／アクセス権設定／ソフト更新／ウイルス対策 | 最も狙われやすい基本的な防御を全従業員を巻き込んで実行する |
| Step3 「もしも」の事態に備える | バックアップ／緊急連絡体制／簡易BCPの作成 | 侵入を許した場合の被害を最小化する備えを構築する |
手引きは「IT専門家でなくても、リソースが限られていても」進められることを明確な狙いにしており、「総務部門の推進力で実行可能なアクションに絞り」と書かれています。
情シス担当が不在の会社でも、総務が旗を振れば進む設計になっている、という点は覚えておく価値があります。
さらに巻末には、実際に対策を進めた中小企業4社（従業員約150名〜250名）へのインタビューが載っています。とくに参考になるのは次の2点です。
- 予算の通し方：「予算取りは大きな数字を出さずに小出しにする。PCの必須ソフトとして最初から一緒に予算取りするなど工夫して確保」「セキュリティベンダーからの提案を基に、松・竹・梅の3段階の案を提示し、経営層に選択してもらった」
- ガイドラインの使い方：「Tier1から提示されたチェックリストに基づき、優先付けしてベンダーと調整してセキュリティ対応を推進。動向調査よりも、チェックリストが最低ラインと理解して対応することが非常に有効」
▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと【中小企業向け】
2026年度は何をすればいい？
2026年7月31日付で、自工会・部工会から「自己評価の実施・展開及び経営層および担当者向け説明会へのご参加のお願い」が出ています。依頼されているのは3つです。
- 自動車産業サイバーセキュリティガイドライン自己評価の実施及び自工会へのご提出
- 自社のお取引先様への自己評価の実施及び自工会への提出のご依頼（案内の展開）
- 自己評価取り組みについての経営層＋担当者説明会へのご参加
2つ目の「取引先への展開」が、いま多くの中小企業にチェックシートが届いている理由です。商流に沿って上から下へ広がる仕組みになっています。
ただし公式FAQは「あくまで『お願い』になるため、必須や強制ではありません」としており、Tier2・Tier3への展開も努力目標という位置づけです。
3つ目の説明会は無料のオンライン開催で、2026年度は次の日程が案内されています。
| 回 | 日時 | 備考 |
|---|---|---|
| 第1回 | 2026年9月16日（水）14:00〜15:15 | リモート（オンライン）開催・無料 |
| 第2回 | 2026年10月2日（金）10:00〜11:15 | 第1回と同一内容 |
| 見逃し配信 | 2026年10月2日（金）13:00以後 | 自工会ウェブサイトで視聴可能 |
| 申込期限 | 各回の実施1週間前まで | 参加者数に上限はなし。1社で複数人の視聴も可 |
プログラムには「被害事例を基にしたサイバー脅威の経営に与える影響説明」「経営層に求められるリーダーシップと心構えの紹介」「26年度自己評価の提出方法説明」が並び、参加者限定で『サイバー攻撃被害の当事者となって経営層が直面した現実と教訓』というスペシャルコンテンツが用意されています。
説明会の対象に経営層が入っている理由も、FAQに書かれています。
「自動車サプライヤーから『予算やリソースが十分では無く、対策が進められない』との意見が多く寄せられております。よって、経営層にセキュリティの重要性やリスクなど説明し、その結果担当者がセキュリティ対策を進めやすい環境になればと考えた為です。」
（自工会 2026年度説明会FAQ より）
予算が通らなくて止まっている会社は、社長と一緒に説明会を見るのがいちばん早い道になり得ます。無料で、オンラインで、1社何人でも視聴できて、しかも「経営層を動かす」ことを目的に設計された資料です。
自社の担当者が社内で説明するより、業界団体の説明会をそのまま見せたほうが話が早いという場面は少なくありません。
2026年4月にできた「工場領域版」って何？うちも対象？
2026年4月16日、「自工会・部工会サイバーセキュリティガイドライン工場領域版（1.0版）」が新しく公開されました。
従来のガイドラインが対象にしていたのはOA環境（エンタープライズ領域）だけで、工場の製造設備やそれを動かすシステム——いわゆるOT（Operational Technology）環境は範囲外でした。
当社で工場領域版のチェックシート（Excel）を集計したところ、要求事項23項目・達成条件62項目で、18の中分類に分かれていました。エンタープライズ版との違いをまとめます。
| 項目 | エンタープライズ領域版 | 工場領域版 |
|---|---|---|
| 版・公開日 | V2.3（2025年9月1日） | v1.0（2026年4月16日） |
| 対象 | 会社全体のベースとなるOA環境 | 工場内の製造設備・システムとそのネットワーク（OT環境） |
| 構成 | 要求事項37項目／達成条件153項目 | 要求事項23項目／達成条件62項目 |
| レベル区分 | レベル1・2・3の3段階 | レベル区分なし |
| 評価の付け方 | 対策完了／該当なし／対策中／未実施の4択（0〜2点） | 〇実施済み／□実施見送り・実施中／△検討中／×未検討／−対象なし の5択 |
| 評価の単位 | 会社単位で1つ | 工場単位もしくはライン単位 |
| 自工会への提出 | 毎年提出（集計・公表される） | 現時点で自工会として集計する予定はない |
工場領域版のチェックシートには「エンタープライズ版のNo.」を参照する列があり、62項目すべてに対応するエンタープライズ版の項番が振られています。
つまり工場領域版は、エンタープライズ版の考え方を工場の現場語に翻訳し直したものと読むのが正確です。
たとえば「情報/OTセキュリティ部門責任者を含む、平時の体制と責任と役割を部や課レベルまで明確化している」のように、体制の粒度が工場の組織単位に落とされています。
提出義務がないからといって無関係とは言えません。チェックシートに「自工会として評価結果を集計する予定は現時点ではございません」と明記されている一方で、公式FAQには「今後、工場領域、販売領域、コネクティッド領域等、対象範囲を広げ、更なるレベルアップをお願いするガイドラインを今後検討予定です」とあります。
提出は不要でも、取引先から「工場領域版も出してほしい」と個別に求められる可能性は残ります。
▶ 関連記事：製造業のサイバーセキュリティ｜工場停止を招くランサムウェア対策とOT/ITネットワーク分離の実務
高性能AIについての緊急メッセージは何を求めている？
2026年7月27日、自工会・部工会は自動車産業のサプライチェーン向けに「重要：AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い」という緊急メッセージを出しました。
ソフトウェアの脆弱性発見に高い能力を持つ高性能AI（フロンティアAI）の登場を踏まえたものです。
「攻撃者に悪用されることにより、サイバー攻撃がより高速かつ大規模に行われる恐れがあり、悪用リスクを前提とした対策強化を早急に進めていくことが必要です。経営層のリーダーシップの下、高性能AIの悪用リスクに備えたサイバーセキュリティ対策の実施や、より高速かつ大量に脆弱性が発見・修正されることを前提とした対策強化をお願いいたします。」
（自工会/部工会「AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い」2026年7月27日 より）
お願いされているのは2点だけです。
| お願い | 具体的に何をするか |
|---|---|
| 1. 発見された脆弱性に早期に対応してください | 脆弱性関連情報を積極的に収集し、重要度と重大度に応じて速やかに対応する。脆弱性情報通知サービス・脆弱性管理ツール・診断サービスの導入や対応プロセスの整備。とくに攻撃者から狙われやすい外部公開システム（VPN装置、リモートアクセス装置、Webサーバなど）には最優先で修正プログラムを適用する |
| 2. 組織のトップが主導して取り組んでください | サイバーセキュリティリスクは経営リスクとの認識を持ち、ツール・サービス導入の費用や人手といったリソースを経営判断で確保する。外部公開システムへの緊急パッチ適用に際したシステムの一時停止という高度な判断や、侵入された場合の代替手段を含む事業継続計画（BCP）の事前立案も経営層の役割 |
注目していただきたいのは、「システムを一時停止してでもパッチを当てる」という判断を、担当者ではなく経営層の仕事だと明記している点です。
現場の担当者は「業務を止められない」という理由でパッチ適用を後回しにしがちですが、その判断を現場に押し付けないでほしい、という趣旨と読めます。
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断（Webアプリ・ペネトレ）とマネージド脆弱性管理の違いを中小企業向けに解説
▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性
19項目を埋めるには、何を使えばいい？
優先19項目のうち、「連絡体制のリスト化」「情報資産の一覧化」「パスワードのルールを決める」「共有設定を見直す」は、費用をかけずに今日から着手できます。
逆に「OSとソフトの更新状況を全台で追う」「ウイルス対策ソフトを全台に入れて最新化を保つ」「バックアップをネットワークの外に置く」「アクセス権の棚卸を定期的に回す」は、人手だけで続けようとすると必ず抜けが出ます。
当社アーデントで扱っている製品のうち、この19項目に直接効くものを並べます。
| 項目 | LANSCOPE エンドポイントマネージャー | ISM CloudOne | SentinelOne データお守り隊 | クラウドバックアップ powered by Acronis | セキュリオ |
|---|---|---|---|---|---|
| 提供元 | エムオーテックス（MOTEX） | クオリティソフト | SentinelOne（SOC付き） | Acronis | LRM |
| 主にできること | IT資産台帳・Windows更新管理・USB制御・操作ログ・MDM | IT資産管理・自動脆弱性診断・外部デバイス制御・SaaS管理（シャドーIT検知） | 次世代ウイルス対策＋EDR＋24時間365日のSOC監視 | PC・サーバー・NASをクラウドへ自動バックアップ | eラーニング・標的型攻撃メール訓練・アウェアネス配信 |
| 埋まる優先項目 | No.124（OS・ソフト更新）／No.49・51・52（アクセス権）／No.56・58（資産の一覧化） | No.124（更新）／No.76・77・78（外部システムの一覧化）／No.66（リスク特定） | No.136・137（ウイルス対策と最新化）／No.16（脅威情報） | No.148・149・150（バックアップ・復元・代替手段） | No.28〜40（日常の教育／レベル1の教育13項目） |
| 初期費用（税別） | 30,000円／契約 | 30,000円 | 0円 | 0円 | 100,000円 |
| 月額の目安（税別） | プランⅢ ベーシック 500円／台（ライトA 300円・ライトB 400円） | 基本機能 PC 1台 600円（100台〜500円・1,000台〜360円） | 1ユーザー 1,000円（＋Control 1,100円／＋Complete 1,660円） | 100GBプラン 3,000円（年36,200円） | 50ユーザー以下 18,000円／月（50ユーザー超は1人360円） |
| 無料トライアル | 60日体験あり | あり（要問い合わせ） | 要問い合わせ | 30日間の評価版 | 2週間 |
| 対応OS・範囲 | Windows／macOS／iOS／Android | Windows／macOS／iOS／Android | PC（1アカウントでPC1台） | 20を超えるOS・端末数は容量内で無制限 | 全従業員（人が対象） |
| 補助金 | 対象 | 対象 | 対象 | 対象 | 対象 |
| 向いている会社 | 台帳と更新状況をまとめて可視化したい会社 | 脆弱性診断とシャドーIT検知まで1本で済ませたい会社 | 情シスがおらず、検知後の対応を任せたい会社 | 社内NASしかバックアップ先がない会社 | 教育の実施記録を残す必要がある会社 |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
組み合わせ方の考え方はシンプルです。
「棚卸と更新管理」でIT資産管理ツールを1本、「ウイルス対策と検知後の対応」でEDR＋SOCを1本、「バックアップ」でクラウドバックアップを1本——この3本で優先19項目のうち仕組みが必要な部分がほぼ埋まります。
教育の記録が必要ならセキュリオを足します。
なお、バックアップについては「社内NASに取っているから大丈夫」という会社が多いのですが、ランサムウェアは同じLAN内のNASまで暗号化します。
優先項目が「ネットワーク外でのバックアップ、データ保管」という言い方をしているのは、まさにここを指しています。
▶ 関連記事：バックアップの基本「3-2-1ルール」とは
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】
費用はどれくらいかかる？補助金は使える？
従業員30名・PC30台の会社が、優先19項目のうち仕組みが必要な部分を揃える場合の目安を出します（すべて税別）。
| 内訳 | 金額の目安 |
|---|---|
| LANSCOPE プランⅢ ベーシック（初期費用） | 30,000円 |
| LANSCOPE プランⅢ ベーシック 500円 × 30台 × 12か月 | 180,000円／年 |
| SentinelOne データお守り隊 1,000円 × 30台 × 12か月 | 360,000円／年 |
| クラウドバックアップ powered by Acronis 100GBプラン（年額） | 36,200円／年 |
| ここまでの初年度合計 | 約606,200円（月あたり約50,500円） |
| 2年目以降 | 約576,200円（月あたり約48,000円） |
| （教育も揃える場合）セキュリオ ARライト 初期100,000円＋月18,000円 | ＋316,000円／初年度 |
| 情報資産の一覧化・連絡体制・パスワードのルール・共有設定の見直し | 0円（社内の作業のみ） |
月5万円前後、という水準です。ここで比べていただきたいのが、事故が起きたあとにかかる費用です。
当社のマルウェア感染調査サービスは300台まで298,000円（税別）で、詳細レポートが必要な場合は別途500,000円かかります。
合わせて798,000円——予防に1年強かけられる金額が、1回の「感染したかどうかを調べる」だけで出ていきます。
しかも調査費用を払って分かるのは「何が起きたか」であって、止まった生産や失った信用が戻るわけではありません。自工会の緊急メッセージが「侵入された場合の代替手段など、事前に且つ確実な事業継続計画（BCP）の立案」を経営層の役割として挙げているのは、この順番を間違えないでほしいという趣旨です。
そして、これらの費用は補助金で下げられます。
| 枠 | 補助上限・補助率 | ポイント |
|---|---|---|
| 通常枠 | 最大450万円・補助率は原則1/2（小規模事業者は要件により最大4/5） | IT資産管理ツール・EDR・バックアップ・教育ツールなど幅広く対象になり得る |
| セキュリティ対策推進枠 | 5万円〜150万円・小規模2/3・中小1/2 | IPA「サイバーセキュリティお助け隊サービスリスト」掲載サービスに限定。サービス利用料を最大2年分まとめて補助対象にできる |
| 共通の要件 | SECURITY ACTIONの自己宣言IDとGビズIDが必要 | 交付申請までに宣言を済ませておく必要がある |
| 注意点 | 交付決定前の発注は対象外 | 先に発注してしまうと補助を受けられない |
補助率・上限額・対象経費は申請枠と年度の公募要領で変わります。また交付決定前に発注してしまうと対象外になるため、「取引先から急かされているので先に買ってしまう」という進め方は損になりがちです。最新の公募要領を確認のうえ、支援事業者にご相談ください。
お助け隊サービスリストの掲載サービスは登録状況によって入れ替わるため、検討時点で最新のリストをご確認ください。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】
よくある質問
Q. 取引先からチェックシートが送られてきました。まず何をすればいいですか？
A. 最初にやることは3つです。①自工会のサイトから最新版（V2.3）のチェックシートと解説書をダウンロードする ②目標レベルを決める（取引先から指定があればそれに従う。なければレベル1から） ③情報資産の一覧を作る。
取引先から送られてきたファイルが古い版のこともあるので、必ず自工会のサイトで最新版かどうかを確認してください。提出先は自工会で、取引先から共有の依頼がなければ取引先へ直接出す必要はありません。
Q. 従業員10名ですが、それでも153項目に答えるのですか？
A. いいえ。レベル1を目標にするなら50項目です。さらに2026年3月に公開された中小企業向け手引きは、そのなかから「まず19項目」に絞り込んでいます。
公式FAQも「小規模会社でサーバーが無い会社様でも自己評価の必要はありますか？」という質問に「実施をお願い致します」と答えていますが、答える量は目標レベル次第です。
Q. 目標レベルは自分で決めていいのですか？
A. はい。公式は「本ガイドラインを貴社へ展開した発注元の意向や、ガイドライン3項『ガイドラインの構成』を参考にして、目標とするレベルを貴社で決定ください」としています。
ただし業界推奨はレベル2（124項目）です。取引先から特に指定がなければレベル1から始めて、翌年レベル2に上げるという進め方が現実的です。
Q. 提出しないとどうなりますか？
A. 自工会からの罰則はありません。公式FAQは「業界全体として罰則を設けることはありません」「当会は結果に対して是正等を要請する立場にございません」と明言しています。
ただし取引先から共有を依頼されている場合は話が別で、「提出していない」という回答そのものが取引の判断材料になり得ます。
Q. 分からない項目は空欄にしてもいいですか？
A. 空欄は避けてください。入力必須項目が埋まっていないと無効回答として扱われます。
自社の業務に当てはまらない項目は「該当なし」（2点）で回答できます。ただし「よく分からないから該当なし」にするのは公式が推奨する使い方ではなく、迷ったときは「未実施」または「対策中」を選んで、来年の宿題として残すほうが本来の趣旨に合います。
Q. 点数を良く書いてもバレませんか？
A. 自工会は自己評価結果の確認を行っていないため、その場でバレることはありません。
ただし取引先に共有した点数と実際の対策状況が食い違っていると、事故が起きたときにその差がそのまま問題になります。公式も「99％出来ているが1％出来ていない」項目については「『出来ていない』と自己評価して頂く事を推奨します」としています。
Q. ISMSを取っていれば免除されますか？
A. されません。公式FAQは「本ガイドラインは特定のセキュリティ関連認証基準に則り策定したものではないため、お手数ですが個別の項目をご確認いただき、回答をお願いします」としています。
ISMSの文書があれば回答は速く進みますが、全項目を自動的に2点にすることはできません。
Q. 工場領域版も提出しないといけませんか？
A. 2026年8月時点では、工場領域版のチェックシートについて「自工会として評価結果を集計する予定は現時点ではございません」と明記されています。提出義務はありません。
ただし工場のOT環境を狙った攻撃で生産が止まる事例は増えており、取引先から個別に求められる可能性も残ります。自己診断用として一度目を通しておく価値はあります。
Q. 情シス担当がいなくても対応できますか？
A. できます。中小企業向け手引きは「総務部門の推進力で実行可能なアクションに絞り」と明記しており、IT専門家がいない会社を前提に作られています。
ただし「OSとソフトの更新状況を全台で追う」「アクセス権の棚卸を毎年回す」といった作業を人手だけで続けるのは現実的ではないため、ここは仕組みに任せるほうが確実です。検知後の対応まで任せたい場合はSOC付きの製品を選びます。
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方【中小企業向け】
Q. まず何から相談すればいいですか？
A. 「取引先から送られてきたチェックシート（またはその依頼メール）」と「PCの台数」の2つがあれば、目標レベルの決め方、19項目のうち自社で埋まっている部分、仕組みが必要な部分と概算費用、補助金が使えるかどうかまで整理できます。
まとめ
自工会/部工会・サイバーセキュリティガイドラインは、日本自動車工業会と日本自動車部品工業会が共同で作った業界共通の自己評価基準です。
最新版はV2.3（2025年9月1日公開）で、37項目の要求事項と153項目の達成条件から成ります。
答える項目数は目標レベルで変わり、レベル1なら50項目、レベル2なら124項目、レベル3なら153項目です。
業界推奨はレベル2ですが、期限も罰則もなく、自工会は是正を要請する立場にないと明言しています。
実際に効いてくるのは取引先で、共有した点数は取引の検討材料として扱われる場合があると公式FAQに書かれています。
153項目のうち最も項目数が多いのは物理セキュリティ（19項目）で、マルウェア対策はわずか6項目です。
2025年度の集計（4,032社）では、目標をレベル1にした989社の平均が63.3点、うち3分の1が達成率50％未満でした。
「未実施」が最も多かった項目はすべて情報資産の棚卸とリスク特定で、製品を買う前の作業が落ちていることが分かります。
2026年3月31日に公開された中小企業向け手引きは、153項目のうち「まず8つの対策・19項目」に絞り込んでくれました。
この19項目のうち、連絡体制のリスト化・資産の一覧化・パスワードのルール・共有設定の見直しは費用ゼロで着手できます。
一方でOSの更新管理・ウイルス対策の最新化・ネットワーク外のバックアップは、人手だけで続けると必ず抜けが出ます。
PC30台なら月5万円前後で仕組みを揃えられ、デジタル化・AI導入補助金の対象にもなります。
事故後のマルウェア感染調査は300台まで298,000円、詳細レポートを含めると798,000円で、しかも失った時間と信用は戻りません。
2026年度は9月16日と10月2日に無料のオンライン説明会が開かれ、経営層と担当者の両方が対象です。
予算が通らなくて止まっている会社は、社長と一緒にこの説明会を見るところから始めるのが最短の道になり得ます。
アーデントでは、チェックシートの読み解きから、19項目を埋めるための製品選定、デジタル化・AI導入補助金の申請支援までをまとめてお手伝いしています。
「取引先から急に言われて何から手をつければいいか分からない」という段階でも構いません。お気軽にご相談ください。
▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】
▶ 関連記事：法人向けパスワード管理ツールの比較｜1Password Business等おすすめ製品の選び方・料金相場【中小企業向け】
▶ 関連記事：ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】