解説

SECURITY ACTIONは独立行政法人情報処理推進機構（IPA）が運営する制度で、中小企業が自ら情報セキュリティ対策に取り組んでいることを自己宣言する制度です。IPA「中小企業の情報セキュリティ対策ガイドライン」に沿って自社の情報セキュリティ対策状況を評価し、第三者による審査なしに自己宣言できます。★一つ星（「情報セキュリティ5か条」に取り組む）と★★二つ星（「情報セキュリティ自社診断」を行い実施宣言する）の2段階があります。この制度の特徴は第三者認証ではなく「自己宣言」である点です。取引先や顧客に対してセキュリティへの取り組みを示すことができます。

なぜ他の選択肢は違うのか

選択肢 ア

ISMS適合性評価制度は、ISO/IEC 27001に基づく情報セキュリティマネジメントシステム（ISMS）の第三者認証制度です。自己宣言ではなく認証機関による審査と認証を受けるもので、SECURITY ACTIONとは異なります。

選択肢 イ

ITセキュリティ評価及び認証制度（JISEC）はIT製品・システムのセキュリティ機能をCC（ISO/IEC 15408）に基づいて評価・認証する制度です。組織の管理策ではなく製品の評価が対象で、自己宣言とは異なります。

選択肢 ウ

MyJVN（My Japan Vulnerability Notes）はIPAとJPCERT/CCが提供するJVN（Japan Vulnerability Notes）の情報を活用した脆弱性管理ツールです。ソフトウェアの脆弱性情報収集・管理に使われるツールで、自己宣言制度ではありません。

解くときのポイント

SECURITY ACTION＝IPAの中小企業向け情報セキュリティ自己宣言制度。★/★★の2段階。第三者審査不要が特徴。