Moshiru
会社情報セキュリティの手引き無料スキャン

情シス兼任のセキュリティ担当者が最初の1年で学ぶ順番｜1か月・3か月・半年・1年

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 情シスと兼任でセキュリティ担当になり、何から学べばいいか分からないとき
  • 上司に「1年で何をするのか」を聞かれ、計画を出したいとき
  • 資格を取るべきか、取るならどれからか迷っているとき

読み終えたあと、社内でこう言えます

「最初の1年の学習と実行の計画を、4段階で作りました」

結論：最初の1年は「知る→測る→備える→見直す」の4段階で進めます。1か月目は土台の10節を読み、報告先を決めます。3か月目は自社診断で今の状態を測り、基本方針を作ります。半年で事故の日の手順をそろえ、1年で点検して来年の計画にします。資格は、必要になったときに足せば十分です。

最初の1年の4段階
  1. 1か月目知る土台の10節、報告先
  2. 3か月目測る自社診断、基本方針
  3. 半年備える事故の日の手順
  4. 1年見直す点検と来年の計画

担当者のあなたにとって、何が楽になるか

兼任の担当者が困るのは、学ぶ範囲が広すぎることと、何をしたかを上司に説明しにくいことです。この順番に沿えば、段階ごとに「読む・やる・報告する」がそろいます。

困ることこの記事で
何から読めばいいか分からない段階ごとに、教科書の読む節を決めてある
調べるだけで時間が過ぎる社内でやることを、段階ごとに3〜4個に絞ってある
上司に何を報告すればいいか段階ごとの報告の一言を、そのまま使える
どこまでやれば十分か一人で決めるIPAのガイドラインの段階に沿って説明できる
やったことが評価に残らない4回の報告が、そのまま1年の実績になる

この順番は、IPAの「中小企業の情報セキュリティ対策ガイドライン」を下敷きにしています。第4.0版で、2026年3月27日に公開されました。付録1の人材の育成のガイドブックは、STEP1〜4で取り組みを段階的に示しています。

付録1の4つのSTEP
STEP1できるところから兼務でも1人を確保
STEP2組織的に始める基本方針を作り周知
STEP3本格的に取り組む規程にまとめて実行
STEP4より強固にする外部監査なども活用

1か月目：土台の10節を読み、報告先を決める

最初の1か月は、会社の守り方の土台を知る時期です。教科書の「はじめての担当者」の10節を読みます。1日1節で、2週間ほどで読み終わります。

区分中身
読む節1-1、1-3、1-4、2-2、2-5、3-6、7-1、7-2、7-3、9-2
社内でやる怪しいと思ったときの報告先を1つに決めて全員に伝える／IPAの「情報セキュリティ6か条」をできているか確かめる／退職者のアカウントが残っていないか見る
上司に報告「報告先を決めて全員に伝えました。6か条の状況も確かめました」

6か条は、OSの更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、攻撃の手口を知ることの6つです。取り組むと、IPAのSECURITY ACTIONの「一つ星」を宣言できます。

1か月目に終えること
  • 土台の10節を読む
  • 報告先を1つ決めて伝える
  • 6か条を確かめる
  • 退職者のアカウントを見る

報告先が決まると、社員から「これは大丈夫？」という相談が届き始めます。答えに迷ったら、教科書の該当する節を開いてから返します。

3か月目：自社診断で今を測り、基本方針を作る

2〜3か月目は、自社の今の状態を測る時期です。IPAの「5分でできる！情報セキュリティ自社診断」の25項目に答え、できていない所を書き出します。

区分中身
読む節5-1 情報資産台帳、6-1 セキュリティポリシー、6-7 SECURITY ACTION、7-5 パッチ適用、7-10 社員教育、8-6 チェックシート
社内でやる自社診断25項目に答える／情報セキュリティ基本方針を作る（ガイドライン付録2のサンプルを使う）／パソコンとクラウドサービスの一覧を作る／全員向けの研修を1回開く
上司に報告「自社診断で、できていない項目が○個ありました。直す順番と、基本方針の案をお持ちしました」

自社診断に答え、基本方針を作って外部に公開すると、SECURITY ACTIONの「二つ星」を宣言できます。基本方針は、経営者の名前で出すものなので、上司に案を見せて決めてもらいます。

一つ星から二つ星へ
  1. 16か条に取り組む一つ星
  2. 2自社診断25項目できない所を書き出す
  3. 3基本方針を公開二つ星

研修は、30分で作る方法の台本を使えば、準備は半日ほどで済みます。受講記録の残し方は教育の記録の残し方と回答例にまとめています。

半年：事故の日に動ける手順をそろえる

4〜6か月目は、事故が起きた日に迷わないための準備をします。手順を1枚にまとめ、バックアップから実際に戻せるかを試します。

区分中身
読む節9-1 インシデントの流れ、9-8 相談先と届出、9-9 BCPとBIA、9-10 RTO・RPO、2-7 ビジネスメール詐欺、8-1 委託先の調査、7-6 ログ
社内でやるインシデント対応の手順と連絡網を1枚にする／バックアップから1回戻してみる／委託先とクラウドサービスの一覧を作る／標的型メール訓練を企画する
上司に報告「事故の日の手順と連絡網を作りました。バックアップから戻せることも確かめました」

手順は、最初から完璧を目指さなくてかまいません。「誰に知らせるか」「何を止めるか」「どこに相談するか」の3つが書いてあれば、最初の1枚として使えます。

手順の1枚に書く3つ
1誰に知らせるか社内の連絡網
2何を止めるか切り離す機器
3どこに相談するか外部の相談先

標的型メール訓練の進め方は自社でやる手順にあります。半年の時点では企画まで進めば十分です。

1年：点検して、来年の計画にする

1年目の終わりは、1年でやったことを点検し、残ったリスクを経営者に判断してもらう時期です。点検の結果が、そのまま来年の計画の材料になります。

区分中身
読む節5-3 リスクアセスメント、5-4 リスク対応、5-6 残留リスク、6-10 監査と自己点検、6-11 継続的改善
社内でやる年1回の社内点検をする／残ったリスクを一覧にして、経営者に「直す・受け入れる」を決めてもらう／来年の計画と予算の案を作る
上司に報告「1年でやったこと、残ったリスク、来年の計画をまとめました。判断をお願いしたい項目は○つです」

点検の手順は年1回の社内点検にまとめています。取引先からSCS評価制度の★3を求められそうなら、この時期に★3の要求事項と自社の状態を照らし合わせます。

1年目の報告で外さないこと

やらない

  • ×できたことだけ並べる
  • ×リスクを一人で受け入れる

やる

  • ○残ったリスクも書く
  • ○判断は経営者に頼む

4回の報告を1つのファイルにまとめておくと、1年分の実績になります。担当を引き継ぐときの資料にもなります。

スキルツリーと資格は「必要になったら」使う

教科書を順に読むのが基本です。どこまで読んだかを見える形にしたいときは、担当者向けのスキルツリーを使います。節がつながった図で、確認テストも受けられます。

社内で教える側になったら、立場別のツリーを渡します。教える相手に合わせて選びます。

相手渡すツリー使う場面
新入社員新入社員のツリー入社時の説明のあと
管理職管理職のツリー部下から報告を受ける役を頼むとき
経営者経営者のツリー基本方針やリスクの判断を頼む前

資格は必須ではありません。取引先や社内に知識を示す必要が出たとき、または学んだことを確かめたいときに受けます。順番は、SPREAD、情報セキュリティマネジメント試験（SG）、情報処理安全確保支援士の順が無理がありません。

資格を足す順番
  1. 1SPREAD一般の利用者を支える基礎
  2. 2SG利用部門のリーダー向け
  3. 3支援士専門家の国家資格

必要になったときに1つずつ

資格どんな人向けか受け方（2026年10月16日確認）
SPREAD情報セキュリティサポーター能力検定一般ユーザーへの基本的なサポートを行える程度の知識やスキルを問う（主催の説明）オンライン。検定料3,300円（税込）。正答率70%以上で合格。2026年度第2回の受験は10月21日〜27日（申込は終了）
情報セキュリティマネジメント試験（SG）情報システムの利用部門で、情報セキュリティリーダーとして対策を進める人（IPAの対象者像）CBT方式で随時実施
情報処理安全確保支援士試験専門的な知識で、組織の対策の企画・運用や助言を行う人2026年度はCBT方式で前期・後期に実施。2027年度から新しい試験制度に移る予定

IPAのガイドブック（付録1）も、段階に応じた資格を例に挙げています。STEP1は入門的な資格で、例はITパスポート試験です。STEP2は情報セキュリティマネジメント試験、STEP4は支援士です。この記事では、セキュリティに絞った入口としてSPREADを先に置いています。

いま資格を受けるか
知識を示す必要が出た？
出た段階に合う資格を1つ受ける
まだ教科書と社内の実行を先に

勉強の時間は、1年の4段階の作業を先に確保してから取ります。社内で実行したことが、そのまま試験の理解にもつながります。

よくある質問

1年で全部終わらなかったら、どうすればいいですか？
遅れてもかまいません。大事なのは順番を守ることと、何が残っているかを上司に伝えることです。残った作業は、1年目の報告で「来年に回す項目」として書けば、計画として扱えます。
資格を取らないと、担当者として認められませんか？
そんなことはありません。社内で必要なのは、報告先・基本方針・手順・記録がそろっていることです。資格は、取引先や社内に知識を示す必要が出たときに足せば十分です。
一人で判断するのが不安です。どこに相談できますか？
IPAのガイドブック（付録1）は、付き合いのあるITベンダーや、商工会・商工会議所などへの相談を挙げています。IPAの企業組織向けサイバーセキュリティ相談窓口も使えます。判断に迷う項目は、上司と相談先の両方に早めに出しておくと、一人で背負わずに済みます。

この記事のまとめ

次に読む

  1. 次の場面：取引先に聞かれたセキュリティ教育の記録の残し方と回答例取引先に社員教育の実施を聞かれたとき。回答例3通りと受講記録の表
  2. 同じ場面・SaaS・クラウドスタートアップでも起きるセキュリティインシデント鍵の公開や公開設定ミスなど起きやすい7つの形と、それぞれの最初の一手。
  3. スキルツリー情シス兼任の担当者のスキルツリー範囲を教科書の節で読み、確認テストで確かめる

学ぶ順番を決めたら、取引先の質問は任せて手を空ける

Moshiruは、打合せなしでテキストだけでお受けします。担当者向けのスキルツリーは無料で使えます。1年目の途中で取引先のチェックシートが届いたら、回答の下書きはお任せください。担当者は内容の確認と提出だけで済み、学ぶ時間と社内の実行の時間を守れます。

担当者のスキルツリー読む順番と確認テストチェックシート回答代行回答の下書きを任せる

参考にした資料

  1. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）
  2. IPA 同ガイドライン 付録1「中小企業のためのセキュリティ人材の確保・育成の実践ガイドブック」（2026年3月）
  3. IPA SECURITY ACTION「一つ星」を宣言する（2026年10月16日確認）
  4. IPA SECURITY ACTION「二つ星」を宣言する（2026年10月16日確認）
  5. IPA「情報セキュリティマネジメント試験」（2026年10月16日確認）
  6. IPA「情報処理安全確保支援士試験」（最終更新2026年7月6日、2026年10月16日確認）
  7. Grafsec「SPREAD情報セキュリティサポーター能力検定」受験案内（2026年10月16日確認）
  8. Grafsec「検定スケジュール」（2026年10月16日確認）
  9. Grafsec「よくある質問」（2026年10月16日確認）