セキュリティクリアランスとは、政府が指定する重要情報を扱う人の適格性を評価する仕組みです。企業としての対応を考える際は、個人の適性評価と、情報を扱う事業者の体制確認を分けて整理します。

取得準備の出発点は、自社の業務でどの情報を扱う必要があるかを確かめることです。重要経済安保情報を扱う適合事業者の認定は、企業が自由に申請する任意認証とは異なります。行政機関からの連絡や対象業務の条件を確認し、必要な管理体制を具体化してください。

情シスだけで進めず、経営層・法務・人事と担当を決めます。既存の規程や台帳を整理し、対象業務の条件と照合することで、追加で整備する範囲を見極めます。

セキュリティクリアランス制度とは｜日本での制度化の背景

セキュリティクリアランス制度は、国家の安全保障に関わる重要情報を取り扱う者の適格性を政府が評価する仕組みです。米英欧では数十年の運用実績があり、日本では経済安全保障の文脈で2024年に法制化されました。

中堅企業にとっても、政府調達・国際共同研究・先端技術開発への参画機会を確保する観点で、制度理解と早期準備が重要になります。

重要経済安保情報保護法の概要

2024年5月10日成立、同月17日公布、2025年5月16日施行の「重要経済安保情報の保護及び活用に関する法律」により、経済安全保障分野で「重要経済安保情報」を指定し、取扱者の適性評価を行う制度が整備されました。

対象情報は、安全保障に重大な影響を及ぼす経済関連情報のうち、特に秘匿性が高いものです。2025年1月31日に運用基準、同年5月2日にガイドライン・Q&Aが内閣府から公表されています。

既存の特定秘密保護法との関係

2014年施行の特定秘密保護法は、防衛・外交・スパイ防止・テロ防止の4分野を対象とします。重要経済安保情報法は、これに経済安全保障分野を加えた制度として位置づけられます。

両制度は対象情報の範囲が異なり、企業対応も別建てで設計されます。防衛関連事業者は両方の対応を求められるケースもあります。

国際的な制度との整合性

米国（Confidential/Secret/Top Secret）、英国（OFFICIAL/SECRET/TOP SECRET）、EU加盟国などとの情報共有・共同研究の前提として、各国互換のクリアランス制度が必要です。日本の制度化も、国際協調の観点が背景にあります。

中堅企業でも、海外パートナーとの共同開発・政府調達では、相手国制度との整合が要件になるケースが増えています。

参考：重要経済安保情報の保護及び活用に関する法律 - 内閣府

参考：特定秘密保護法 - 内閣官房

個人クリアランスと事業者クリアランスの2層構造

セキュリティクリアランス制度は、個人を対象とする「適性評価」と、事業者を対象とする「適合事業者認定」の2層で構成されます。両方を同時に整備することで、組織として情報を扱える体制になります。

個人の評価に関する対応と、事業者としての情報保護体制の整備を混同しないことが必要です。対象業務や行政機関から示される手順を確認し、それぞれを誰が担当するか整理します。自社だけで一律の取得順序を決めず、求められる対応と照合してください。

個人の適性評価

特定の重要情報を取り扱う個人に対し、政府が行う適性評価です。本人の同意のもと、海外渡航歴、犯罪歴、信用情報、家族・同居人の氏名・生年月日・国籍・住所などを調査します。

評価項目は法律で規定され、重要経済安保情報を提供する行政機関の長が実施し、調査は原則として内閣府が一元的に行います。評価結果は本人と所属事業者に通知されます。同一行政機関では変更がない限り特段の期限の定めなく有効とされています。

事業者の適合事業者認定

重要情報を取り扱う事業者として、組織体制・物理セキュリティ・情報管理体制が要求基準を満たしているか政府が確認する制度です。

事業者としての対応では、組織体制、物理的な保護、情報の管理方法を確認します。ISMSなどで整備した規程や記録を整理し、対象となる情報の取扱条件との差分を確認してください。既存認証の取得状況だけで、制度上の適合を判断することは避けます。

制度の開始条件

重要経済安保情報保護活用法における適合事業者認定は、企業が自由に申請できる任意認証ではありません。行政機関が重要経済安保情報を提供・保有させる必要があると判断したことが契機となります。

また、CONFIDENTIAL/SECRET/TOP SECRETのような国内認定区分の詳細は現時点で公表されていません。米英制度を参考にした準備は参考になりますが、段階別区分を前提とした申請計画は立てられない状況です。

参考：重要経済安保情報保護活用法 概要 - 内閣府

個人の評価と事業者の体制確認を分ける比較表

個人の適性評価と事業者の体制確認では、確認する対象が異なります。企業内で準備を進める際は、人に関する対応と、施設・規程・情報管理に関する対応を一つの一覧に混ぜず、担当部門を分けて整理してください。手続の具体的な内容は、対象業務に関する案内と照合します。

制度の説明を読んだ後は、自社の対象業務にどちらの対応が関わるかを確認します。一般的なセキュリティ強化と制度上の対応も区別し、確認前に施設投資や人員配置を固定しないようにしてください。

取得対象となる事業者の特徴

すべての企業がセキュリティクリアランス取得を目指す必要はありません。取得が経営的に意味を持つ事業者の特徴を整理します。

中堅企業では、自社の事業領域・取引先構造・成長戦略から、取得の必要性を慎重に判断します。

防衛関連事業者

装備品開発・製造、防衛システム保守、関連部品供給を担う事業者です。防衛省調達への参加、米英の防衛企業との共同開発、ファイブアイズ諸国との情報共有が業務上必要な場合、クリアランス保持が事実上の参加条件になります。

宇宙・原子力・先端技術分野

衛星開発、ロケット製造、原子力施設関連、量子コンピューティング、半導体製造装置、先端材料などの分野で、政府主導プロジェクトへの参加を目指す事業者です。

経済安全保障推進法で指定される特定重要技術の研究開発でも、関連情報の保護要件が発生する可能性があります。

サイバーセキュリティ分野

政府機関のサイバー防衛、重要インフラ事業者へのセキュリティサービス提供、脅威インテリジェンス共有プラットフォームへの参加などで、機密情報を扱う事業者です。

特に脅威情報の国際共有では、相手国のクリアランスに対応した体制が前提条件になります。

重要インフラ事業者

電力、ガス、通信、金融、交通、医療、水道などの重要インフラ事業者は、システムの安全性確保の観点で、政府からの脅威情報提供の対象になります。情報受領者として、保管・取扱の要件が発生する可能性があります。

参考：経済安全保障推進法 - 内閣府

適合事業者認定に備える5ステップ

適合事業者認定は企業が任意に申請できる制度ではなく、行政機関から打診・連絡を受けた場合に備える体制づくりが重要です。公式ガイドラインおよび米英制度を参考に、準備の標準フローを示します。

中堅企業では、認定対応には相当の準備期間が必要です。行政機関との接触が生じた際にスムーズに対応できるよう、体制整備は早期に着手することが望ましいです。

ステップ1：取得目的と事業価値の整理

なぜクリアランスを取得するのか、取得によりどの事業機会にアクセスできるのか、取得・維持コストに見合うリターンがあるかを経営判断します。

戦略的に取得する企業と、取引先要請で受動的に取得する企業では、組織体制・投資規模が大きく変わります。経営層のコミットメントが前提条件です。

ステップ2：現状の管理体制ギャップ分析

ISMS・Pマーク・SOC2など既存の管理体制と、クリアランス要求事項のギャップを分析します。物理セキュリティ、人的セキュリティ、情報管理プロセスの不足箇所を特定します。

特に物理セキュリティ（専用エリア、入退室管理、保管庫）と人的セキュリティ（従業員の身元確認、教育）は、既存制度より厳しい要件が想定されます。

ステップ3：体制構築・施設整備

特定情報の保管・取扱を行う物理施設を整備します。専用エリア、扉・施錠、監視カメラ、書類保管庫、ネットワーク隔離などの設備投資が発生します。

組織体制としては、情報保護管理者、教育担当、内部監査担当などの専任体制を整備します。中堅企業では既存組織の役割拡張で対応するケースが現実的です。

ステップ4：申請書類作成・審査対応

政府への申請書類を作成し、現地審査を含む審査プロセスに対応します。書類審査・現地調査・運用記録確認の3段階で実施される見込みです。

対応期間は、対象業務と必要な体制整備、行政機関から示される手続を確認して見積もります。社内の整備期間と行政機関による確認の期間を分け、未確定の予定を取得期限として扱わないようにしてください。

ステップ5：認定後の継続運用と更新

認定後は、定期的な運用記録提出、内部監査実施、重要事象（人員変動、組織変更、インシデント）の都度報告などが求められます。

認定の有効期間は法律上一律に定められていません。同一行政機関では変更がない限り有効とされますが、組織変更や担当業務の終了があれば都度見直しが必要です。継続的な体制維持コストを織り込んだ事業計画が必要です。

参考：適合事業者編ガイドライン - 内閣府

情シス・法務・人事が共有する準備記録

体制整備では、現在ある規程や台帳と、追加確認が必要な事項を対応させます。次の表は社内で準備を進めるための整理例であり、法令上の申請様式や必要書類の一覧ではありません。対象業務で指定された手続や提出資料を確認したうえで活用してください。

情報資産の整理には、IT資産台帳の作り方の項目設計が参考になります。台帳の形式を作るだけで終えず、実際の利用状況と一致しているかを点検してください。

利用者の見直しは、アクセス権限の棚卸しと組み合わせて進めます。不要な権限が見つかった場合は是正の担当を決め、確認から完了までを追える状態にします。

運用記録を整える際は、SaaSの監査ログ管理で扱う取得・保管の観点も確認してください。これらの日常管理の記録が、制度上求められる資料にそのまま相当するかは別途照合が必要です。

既存の認証制度との関係｜ISMS・Pマーク・ISMAPとの差異

セキュリティクリアランス制度は、既存の情報セキュリティ認証と要求水準が異なります。組織として複数制度を統合的に運用する設計が必要です。

中堅企業では、ISMSをベースに段階的に水準を引き上げる戦略が現実的です。既存認証を取得していない状態でクリアランスに挑戦するのは、ハードルが高すぎます。

ISMS（ISO/IEC 27001）との関係

ISMSは情報セキュリティの一般的なマネジメントシステムで、自社判断でリスクと管理策を選択できる枠組みです。クリアランス制度は政府が要求する管理策が固定的で、選択の自由度が低い特徴があります。

ISMS取得済み事業者は、クリアランス要件への対応が比較的進めやすい立場です。ギャップ分析の出発点としてISMS文書を活用できます。

Pマーク（プライバシーマーク）との関係

Pマークは個人情報保護に特化した認証で、JIS Q 15001:2023に基づきます。クリアランスとは保護対象（個人情報vs重要経済安保情報）が異なるため、別建てで対応する必要があります。

両方を取得する事業者では、情報資産分類で「個人情報」と「重要経済安保情報」を区別管理する設計が必要です。

ISMAPとの関係

ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府クラウドサービス調達の前提となる評価制度です。クラウド事業者向けの認証で、クリアランスとは対象が異なりますが、政府調達という共通点があります。

クラウドサービスを政府機関に提供する事業者は、ISMAP登録に加えて、扱う情報の機密度に応じてクリアランスが必要になる可能性があります。

参考：ISMAP概要 - ISMAPポータル

参考：ISMS認証制度 - JIPDEC

用語集｜セキュリティクリアランス関連の10語

制度理解で頻出する用語を整理します。法律用語と業界用語が混在するため、組織内で共通理解を持つことが重要です。

経営層・法務・情シス・人事の関係部門で用語を揃え、社内議論で混乱を避けます。

• セキュリティクリアランス：政府が指定する重要情報を取り扱う者の適性評価制度
• 適性評価：個人を対象に、信頼性・誠実性・脆弱性を評価する政府調査
• 適合事業者認定：事業者を対象に、組織体制・物理・情報管理が要求水準を満たすか確認する制度
• 重要経済安保情報：経済安全保障の観点で秘匿性が必要と政府が指定する情報
• 特定秘密：特定秘密保護法で防衛・外交・スパイ防止・テロ防止4分野で指定される秘密情報
• ISMS：ISO/IEC 27001に基づく情報セキュリティマネジメントシステム
• ISMAP：政府クラウドサービス調達のための評価制度
• ファイブアイズ：米英加豪NZの5カ国による情報共有枠組み
• サプライチェーンリスク：取引先・委託先経由で発生する情報漏洩・改ざんリスク
• 経済安全保障推進法：2022年成立、特定重要技術・特定重要物資・基幹インフラの保護を定める法律

Josysでクリアランス対応の基盤を整備する

IT資産・SaaS・ID・アクセス権の可視化は、既存の管理体制を点検するための材料になります。JosysはAI駆動のアイデンティティセキュリティ基盤として、SaaSの利用把握やアカウント管理を支援します。ツールが扱う管理記録と、行政機関が確認する認定要件は分けて整理してください。

中堅企業の情シスでは、限られた人員で複数水準のセキュリティ要件に対応する必要があり、継続運用では自動化が有効です。

情報資産の継続的可視化

Josysは350以上のSaaSと連携し、組織内で利用されているサービス・ライセンス・ユーザを継続的に可視化します。連携対象のSaaSについては、情報資産台帳の更新に使う利用情報を継続的に集められます。

シャドーITの早期発見、未使用ライセンスの特定、契約状況の可視化まで、ダッシュボードベースで運用できます。重要情報を扱う部門のSaaS利用統制にも活用できます。

IDライフサイクルとアクセス制御

クリアランス保持者の識別、アクセス権の最小化、アクセスレビューの仕組み化など、ID管理の高度化が実装できます。退職者アカウント残存、過剰権限放置といった、認証審査での頻出指摘の発生源を断てます。

特権アカウントの利用状況、多要素認証の有効化状況、ログイン履歴も継続的に追跡できます。なお、物理区画・保管容器・非接続端末・取扱簿など、SaaSツールのみでは対応できない要件は別途整備が必要です。

監査証跡と運用記録の自動取得

運用記録や内部監査で求められる内容は、対象業務に関する行政機関の案内で確認します。Josysは連携対象のSaaSについてアカウントやアクセス権の変更履歴を集約でき、記録を集める手間を減らせます。

実際の導入企業では、IT工数を最大50%、ITコストを最大75%削減した事例があります。高度な認証要件に挑戦する事業者にとって、運用基盤の自動化は必須条件です。

Josysは国内外1,000社以上に導入され、SaaS管理・IDガバナンス・IT資産管理を統合的に担うプラットフォームとして、中堅企業の高水準セキュリティ要件への対応を支えています。

Josysを5分で理解する資料ダウンロード

無料デモで自社環境への導入効果を確認する

参考：ジョーシス SaaS連携一覧

よくある質問｜セキュリティクリアランスの実務疑問

制度対応を検討する経営層・情シス・法務担当者からよく挙がる質問を整理します。制度の具体的運用は施行規則で確定するため、最新情報を確認しながら判断することが重要です。

Q1：当社はクリアランス取得が必要ですか

防衛・宇宙・先端技術・サイバーセキュリティ・重要インフラ分野で、政府調達・国際共同研究への参画を目指す事業者は検討対象です。経営戦略として明確な目的がない限り、無理に取得する必要はありません。

Q2：取得にどれくらいのコストがかかりますか

必要な費用は、対象業務の取扱条件と自社の既存体制との差分から見積もります。施設、情報管理、教育、運用維持に分け、既存の設備や規程を活用できる範囲を確認してください。根拠のない一律の金額を予算の前提に置かないことが大切です。

Q3：従業員のプライバシーへの影響は

個人の適性評価は本人の同意が前提です。海外渡航歴・犯罪歴・信用情報・家族および同居人の氏名・生年月日・国籍・住所などが調査対象となり、本人の同意取得プロセスが必須です。

Q4：既にISMSを取得している場合の追加対応は

ISMS取得済み事業者は出発点としては有利ですが、物理セキュリティ・人的セキュリティ・情報管理プロセスで追加要件があります。ギャップ分析を経て、不足部分の体制整備が必要です。

Q5：認定の取得後、継続コストはどう発生しますか

継続運用では、記録の整理、教育、内部監査、施設の維持などの作業を洗い出します。対象業務で求められる対応を確認し、担当者の工数と外部に依頼する費用を分けて計画してください。認定時の整備費だけでなく、運用後の見直しも予算に含めます。

まとめ｜段階的な体制構築で対応する

セキュリティクリアランスへの対応は、対象業務と情報の確認から始めます。自社の既存体制を整理し、行政機関から示される要件と照合して、追加の整備と継続運用を計画してください。

既存のISMSなどで整備した規程と記録を活用しながら、不足する対応を具体化します。SaaSやIDの管理ツールは、利用状況や権限を確認する手段の一つとして位置付け、導入そのものを認定取得の条件と混同しないようにしてください。

Josysのような統合プラットフォームを活用することで、情報資産の可視化やID管理の作業を効率化できます。事例によってはIT工数を最大50%削減したケースがあります。効果は企業ごとの状況により異なります。

まずは対象となる事業と行政機関との連絡窓口を整理し、既存の規程・台帳・運用記録を法務や人事と共有してください。必要な手続と体制は、対象業務に関する行政機関の案内と照合して決めます。