TICS（技術情報管理認証制度）とは。何を認証し、どう取るか

こんにちは、株式会社TIMEWELLの濱本です。

取引先から「技術情報の管理について、第三者の認証はお持ちですか」と聞かれたことはあるでしょうか。あるいは、図面や研究データを預かる側として、「うちも何か認証を取ったほうがいいのか」と悩んだことはないでしょうか。そこで名前が挙がる選択肢のひとつが、TICS（Technology Information Control System、技術情報管理認証制度）です。

先に結論を書きます。TICSは、国が決めた基準に照らして、国の認定を受けた民間などの認証機関が、事業者の技術情報の管理を審査して認証する制度です。2018年の産業競争力強化法の改正で生まれ、2026年11月6日の時点でも運用が続いています。ただし認証機関の数は減ってきており、取得事業者の数も、確認できた最新の値で51事業者（掲載に同意した分）と、決して多くはありません。取れば営業秘密として自動的に守られる、といった法的な効力も、今回確認した資料には見当たりませんでした。強みは、取引先に対する説明の材料と、社内の管理を一度きちんと棚卸しする機会にあります。

この記事では、制度の枠組み、認証基準の中身、取り方と費用の目安、ISO/IEC 27001との違い、取得のメリットと限界、中小企業や大学が現実的に進める手順を、初心者の方にも追えるように順に説明します。政府の技術流出対策ガイダンス全般は別の記事で扱っているので、ここでは認証制度に絞ります。

先に押さえる言葉と、制度の全体像

最初に、この記事で繰り返し出てくる言葉を整理しておきます。法律や告示の言葉は硬いので、日常のものにたとえて書きました。たとえは理解の助けであって、制度の正確な定義ではありません。

言葉	意味	たとえ
TICS	技術情報管理認証制度の英語名の略称。Technology Information Control System	工場の「品質管理の認定」の、技術情報版
認証機関	国の認定を受けて、審査と認証を行う機関。民間団体や業界団体が担う	運転免許の試験場
基準告示	認証の物差しになる国の基準。複数の省庁の共同の告示	試験の採点表
管理対象情報	事業者が、基準の対象とすると決めた技術情報	金庫に入れると決めた書類
管理責任者	管理対象情報の管理に責任を持つ人	金庫の鍵の持ち主
義務項目	基準で必ず達成すべきとされる項目	合格に必須の科目
定期報告	認証後に毎年、管理の状況を報告すること	年に一度の点検
ISMS	情報セキュリティ全般の管理の仕組み。ISO/IEC 27001が代表的な規格	建物全体の防犯計画

たとえ話をひとつ足します。TICSは、建物全体の防犯計画を見る制度ではありません。「この金庫に入れた書類が、誰に開けられ、誰が持ち出し、どう捨てられるか」を見る制度です。金庫に何を入れるかは、事業者が自分で決めます。この点が、あとで比べるISO/IEC 27001との最大の違いになります。

法令上の位置づけも確認しておきます。産業競争力強化法は、第2条で「技術等情報漏えい防止措置」を、技術やその研究開発の成果、生産方法など事業活動に有用な情報の漏えいを防ぐために、事業者が実施する措置と定義しています。そのうえで「技術等情報漏えい防止措置認証業務」を、他の事業者の措置が、主務大臣の定める基準に適合している旨の認証を行うこと、と定めています。認証だけでなく、その業務に附帯して、必要な指導と助言を行うことも含まれています¹。条文に「TICS」という言葉は出てきません。制度名の技術情報管理認証制度は、この一連の仕組みの通称です。

制度が始まった経緯についても触れておきます。経済産業省の2024年6月の資料によれば、2018年（平成30年）の産業競争力強化法の改正によって、事業者の技術等の情報の管理が国の示した基準に即して守られているかを、主務省庁の認定を受けた第三者機関による認証で確かめられる制度が設置されました²。つまり、会社が自分で「うちは大丈夫です」と言うのではなく、第三者が国の基準で見る、という点が出発点です。

制度の枠組みと現状。誰が何を決めているのか

制度は、役割の違う複数の層で成り立っています。まず法律の層です。産業競争力強化法の第67条は、主務大臣が「促進指針」を定めるとしています。促進指針には、技術等情報漏えい防止措置の実施を促す基本的な方向のほか、認証業務の実施の方法について、認証機関を認定する際の基準となるべき事項などを定めます。中小企業者の実施の促進に配慮すべき事項を定めることも、同じ条文に書かれています¹。

次に、認証機関の層です。第68条は、認証業務を行う者が、主務大臣の認定を受けることができる、と定めています。認定を受けた機関は、氏名や住所、業務の範囲などが公表されます。認定には期限があり、第69条によれば、三年を超えない範囲で政令の定める期間ごとに更新を受けなければ、効力を失います。認証機関の役員や職員には、業務で知った秘密を漏らしたり盗用したりしない義務があり（第72条）、国は改善命令（第73条）や認定の取消し（第75条）ができます。認定を受けていないのに、認定を受けた機関と誤認される表示をすると、10万円以下の過料の対象です（第79条、第162条）¹。

制度の周辺には、公的な支援機関も置かれています。独立行政法人情報処理推進機構（IPA）は、認証機関の依頼に応じて、サイバーセキュリティに関する情報提供などの協力を行う（第77条）。独立行政法人中小企業基盤整備機構も、中小企業者の実施の促進のため、認証機関の指導助言に関する情報提供などの協力をします（第78条）¹。

審査に使う基準は、法律ではなく告示に書かれています。2024年6月の経産省の資料は、関係する告示を3つ挙げています。基準そのものを定める「技術及びこれに関する研究開発の成果、生産方法その他の事業活動に有用な情報の漏えいを防止するために必要な措置に関する基準」（基準告示）、認証業務のやり方を定める「技術等情報漏えい防止措置認証業務の実施の方法」、そして「技術等情報漏えい防止措置の実施の促進に関する指針」です。3つとも、2018年に内閣府、総務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省の連名で出されました²。複数の省庁が名を連ねているのは、製造業だけでなく、農林水産や医療など、さまざまな分野の技術情報を想定しているからです。

では、制度は現在も運用されているのでしょうか。今回確認できた範囲では、運用中です。経産省は令和7年度に、三菱UFJリサーチ&コンサルティングへ委託して「技術情報管理認証制度に関する普及広報及び専門家派遣事業」を実施し、2025年8月19日に専門家派遣を希望する企業の募集を始めています³。基準告示は2024年に全面的に定め直されています（次の節で説明します）。

ただし、数字には動きがあります。経産省の2024年6月の資料では、2024年4月末時点で、認証機関として8組織を認定し、そこから計42社が認証を取得していました²。2025年6月の業界団体の事務局コラムは、経産省の一覧で51事業者（掲載に同意した分）としています。取得年度の内訳は2020年度が15、2021年度が12で、制度開始から2年度で過半数を占め、2024年度は10事業者と、3年ぶりに二桁に戻ったとされています⁴。認証機関の数は、2025年8月時点で7機関と民間の解説が⁵、2026年5月時点で6社と認証機関の案内ページが記しています⁶。経産省のページには、認定の有効期間の経過による失効が掲載されていることを、検索結果の要約で確認しましたが、どの機関かまでは確かめていません⁷。最新の取得事業者数は、経産省のページを直接読めなかったため、未確認です。

ここで、認証機関がどんな顔ぶれなのかも書いておきます。私は当初、国際的な機関が運営する制度かと予想していましたが、そうではありませんでした。認証機関には、一般社団法人や一般財団法人、公益財団法人、株式会社が含まれ、金型やプレス加工の業界団体も認定されています⁴⁵。業界団体も、認証業務の実施方法に沿った体制が整っていれば認証機関に認定される、と説明されています⁴。国の制度ではあっても、審査をするのは、国ではなく、認定を受けた民間側の機関です。どの機関に頼むかは事業者が選べるので、費用や得意な業種を比べて決めることになります。具体的な機関名は、経産省の認証機関一覧で最新のものを確かめてください。

認証基準の中身。何を見られるのか

TICSの認証基準は、2024年に大きく変わりました。経産省の資料によれば、認証を取る基準が必要以上に複雑だと、認証機関や業界団体から指摘されたため、有識者検討会で見直しが行われました。現行の基準告示を廃止して新しく定め、実施の方法と指針の告示も一部改正する、という形です。意見公募は2024年6月5日から7月4日まで行われました²⁸。改正の主な柱は四つあります。

ひとつ目は、わかりやすさです。必ず満たす「義務項目」と、それを達成するための手段（義務項目を達成するために適切と考えられる手段）を書き分け、似た項目をまとめ、言葉もやさしくしました。ふたつ目は、業界のニーズへの対応です。自動車工業会と部品工業会のサイバーセキュリティガイドラインのレベル1の項目を網羅しました。三つ目は、時代に合わせた見直しです。施設や装置についての数値の要件を削除し、サイバー対策の強化のために、ISO/IEC 27001:2022の附属書Aのうち、サイバーセキュリティの考え方でいう「検知」「対応」にあたる管理策を参照して加えました²。四つ目は、ほかの告示が基準告示を引用している箇所の修正です。

条文の読み方を、意見公募時の案をもとに説明します。案の本文は、五つのまとまりで構成されていました。確定した告示の本文は経産省のページから読めますが、今回は直接取得できなかったので、細部は確定版と違う可能性があります。構成の大づかみな理解としてお読みください。

まとまり	何を決めるか	義務項目の数（案）
Ⅰ 共通事項	方針、管理対象情報の特定、機密区分、体制、事故対応、教育、取引先、管理簿、廃棄	11
Ⅱ アクセス権の管理	誰に見せてよいか、権限の付与と見直し、誓約書、伝達と複製	4
Ⅲ 物としての情報	紙、試作品、製造装置の施錠と立入制限、運搬、不審者への備え	3
Ⅳ 電子情報	ログイン、サーバー室、ネットワーク、バックアップ、ログ、暗号化、可搬媒体、保守、パスワード	14
Ⅴ 外部に渡す場合	外部委託先の確認、秘密保持契約	2

案では、義務項目は合計で34でした。数は多く見えますが、各項目に、達成のための具体的な手段の例が並んでいる形で、中身は具体的です。いくつか拾ってみます。

共通事項の第2は、管理対象情報の特定です。管理対象情報を一覧にし、その態様、管理責任者の氏名、保管場所、保管期限、開示先を記録します。特定にあたっては、漏えいしたら競争力に重大な影響があるか、改ざんされたら、使えなくなったら、他者から預かった情報で漏えいすると信用に響くか、の四つの観点を考えます。そして、電子ファイルならファイル名や文書の透かしで、試作品なら保管容器の表示で、紙なら表紙の表示で、管理対象であることが他の情報と区別できるようにします⁸。冒頭の例えで言えば、「金庫に入れる書類を決めて、背表紙に印を付ける」作業です。

共通事項の第9は、取引先ごとに、やり取りする技術情報とその手段を把握し、取引先から預かった情報があれば、先方の意見を聞いて措置を決める、という内容です。預かる側の中小企業には、ここが重く響きます。第10は、持出し、複製、廃棄の状況を記録する管理簿をつくること、第11は、廃棄を復元できない方法で行うことです。紙ならシュレッダー、電子情報なら上書き消去、可搬媒体なら物理的な破壊が例に挙がっています⁸。

Ⅱのアクセス権の管理では、Need to Know（知る必要のある人にだけ伝える）の原則が出てきます。権限を与える前に、その人の退職の見込みや社内ルール違反の履歴まで考えたうえで、必要最小限にします。権限を持つ人の名簿をつくり、人事異動に合わせて見直し、守秘義務の誓約書を取ります⁸。ここは、後で述べる営業秘密の管理とも重なる部分です。

Ⅲは物の扱いです。保管容器と立入制限区域の鍵の貸出しを管理簿に記録し、解錠の手段を、担当が変わったときなどに変えます。Ⅳは電子情報で、サーバーの設置エリアの施錠、アクセスログの保管と定期点検、外部へ送るときの暗号化とログの保管、可搬式記録媒体の管理簿などがあります。クラウドに保存するなら、事業者の信頼性を確認することも求められ、確認の例としてISO/IEC 27017の認証の取得状況が挙がっています⁸。Ⅴは、外部に渡すときです。渡す前に委託先の情報管理の体制を確認し、秘密保持契約か、それに準ずる法的拘束力のある取決めを結びます。再委託には、事前の承認を条件にします⁸。

読んでみて私が感じたのは、特別に難しい技術を要求する基準ではない、ということです。鍵、名簿、管理簿、契約、教育といった、基本の積み重ねです。難しいのは、技術の高さではなく、続けることのほうでしょう。そのため、次の節で見るように、毎年の定期報告が制度に組み込まれています。

認証の取り方。流れ、期間、費用、更新

認証の流れは、認証機関の案内に沿うと、次のようになります。申込み、セルフチェック、書類を中心にした審査、現地審査、改善、そして認証、の順です⁶。制度開始当初は、申請、予備審査、書類審査、現地審査、判定と認証書の発行という五つの段階に分かれていました。2022年7月の見直しで、手続きの重複や書類の重複を減らしたと、業界団体のページに書かれています⁹。

段階	事業者がやること	補足
0 準備	守る情報を決める。自己チェックリストで現状を確かめる	経産省の自己チェックリストは、基本の10項目と実務の9項目で構成される10
1 認証機関を選んで申込み	複数の機関に条件と見積りを聞く	事業者が認証機関を選べる
2 審査	書類と運用の確認。審査員のヒアリングと現地確認	対象部門を絞ることで負担を抑えられる場合がある6
3 改善	指摘された点を直す	改善点は具体的に指示される6
4 認証	認証書の発行	有効期間は3年9
5 年次の定期報告	毎年、管理の状況を報告する	運用は認証機関ごとに決まる9
6 更新審査	3年ごとに更新	更新を見据えて記録を残す

期間について、認証機関の案内は、申込みから認証まで1〜2か月が目安だとしています。ただし、事業者の規模や情報セキュリティの取組の状況、認証機関によって変わります⁶。実際には、申込みの前の準備に時間がかかります。守る情報を決め、管理簿をつくり、誓約書や契約を整えるのは、審査の前に済ませておく部分です。

費用は、公式が示す範囲に絞って書きます。経産省の制度ページは、事業者の規模や認証機関によって異なり、数十万円程度が必要だと説明している、と検索結果で確認しました（ページ本体は、アクセス制限のため直接読めていません）⁷。認証機関の個別の料金は、機関ごとに異なるため、ここには書きません。見積りを取って比べてください。審査費用のほかに、社内の整備にかかる人件費や、必要な設備の費用が別にかかります。

費用への公的な支援もあります。まず、専門家派遣事業です。令和7年度の事業では、認証を取る意欲や、取得済みの認証を更新する意欲がある企業、情報管理の高度化に取り組む企業に、知的財産管理や技術情報管理の実務家、情報セキュリティ監査人などの専門家が無償で派遣されました。これから取る企業には、管理対象の特定や、制度に沿った具体的な管理についての課題の指摘と改善の提案が、取得済みの企業には、管理が制度に沿って行われているかの監査や支援が行われます³。2026年度以降の実施の有無と条件は、今回確認できていません。申請を考える場合は、最新の募集要項を事務局に確かめてください。

次に、補助金です。2022年度のGo-Tech事業では、認証の取得費用が補助対象経費にでき、補助率は原則3分の2以内でした⁹。また、一部の国の補助事業の審査で加点があると解説する民間の記事もあります⁵。ただし、補助金の条件は年度ごとに変わります。加点の有無は、必ずその年度の公募要領で確かめてください。

更新についても書いておきます。2022年の見直しで、認証の有効期間が3年であること、有効期間中に1年ごとの定期報告をすることが、告示に明記されました⁹。取って終わりではなく、毎年の報告と3年ごとの更新審査が続きます。この負担は、取得を考える前に、現実的に見積もっておくべきところです。

なお、認証を取らずに「自己確認」で済ませる道も、制度の周辺で検討されています。業界団体のページ（2023年8月時点の記述）によれば、自己確認は、企業が自分で基準への適合を確かめるもので、責任は企業自身が負い、認証マークは使えません。そのためのガイドラインとチェックリストが整備される予定とされていました⁹。自己確認の現在の運用は、今回は確認できていません。

ISO/IEC 27001（ISMS）との違い

ここで、情報セキュリティに詳しくない読者がいちばん迷う点を整理します。TICSと、ISO/IEC 27001（ISMS認証）は、どう違うのでしょうか。

先に、当社の事情を書いておきます。株式会社TIMEWELLは、ISO/IEC 27001の認証を取得しています（審査登録証番号 JP26/00000255。登録範囲は、AIテクノロジーを活用したSaaSプロダクトの企画・開発・提供）。一方、TICSは取得していません。この記事は、ISMSの認証を持つ立場から、TICSを外から読んで書いたものです。TICSの認証を持っているかのように読める書き方をしていないか、読み返してください。

比べる点	TICS	ISO/IEC 27001（ISMS）
位置づけ	日本の法律と告示にもとづく国の制度	国際規格
何を見るか	事業者が決めた管理対象情報を、どう守るか	組織の情報セキュリティの管理の仕組み全体
基準の形	国が定めた義務項目	リスクを自分で評価して、管理策を選ぶ
審査する機関	国の認定を受けた認証機関（現在6社程度）	認定を受けた多数の審査登録機関
取引先に通じる範囲	主に日本国内の製造業やサプライチェーン	世界中
向く場面	図面や技術資料を預かる、預ける取引	情報サービス、クラウド、海外取引

仕組みの違いを、ひとつ強調します。ISO/IEC 27001は、組織が自分でリスクを評価して、そのリスクに見合った管理策を選び、運用を続ける「マネジメントシステム」の認証です。基準が柔軟で、どの業種にも使えます。一方、TICSは、国が義務項目を最初から決めています。何をすればよいかが具体的な代わりに、選ぶ自由は小さい。また、TICSの審査の対象は、事業者が決めた「重要な技術情報」です。認証機関の案内も、対象は重要な技術情報のみ、と書いています⁶。

両者は無関係ではありません。先に述べたとおり、2024年の基準の見直しでは、ISO/IEC 27001:2022の附属書Aのうち、「検知」「対応」にあたる管理策が参照されました²。すでにISMSを運用している会社は、TICSの義務項目のうち、教育、事故対応、アクセス管理、ログ、委託先管理といった領域の下地が、もう整っている可能性があります。反対に、ISMSが組織全体の仕組みであるのに対して、TICSは、図面や試作品、製造装置といった物の管理を含む点が違います。基準の案には、保管容器の施錠、立入制限区域、運搬といった、物理的な管理が詳しく書かれていました⁸。

どちらを取るべきか。私の考えでは、答えは取引先にあります。取引先が、特定の認証や基準を求めているなら、それに合わせるのが最短です。国内の製造業が、顧客の図面を預かる関係なら、TICSの考え方は理解されやすいでしょう。海外の顧客や、クラウドサービスを提供する立場なら、ISO/IEC 27001のほうが通じます。なお、2027年3月ごろに運用開始が予定されている、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の制度構築方針は、顧客の重要な技術情報の提供を受ける場合に、TICSか、その制度の星4つ（★4）の取得を進める、という使い分けを例に挙げています。この関係は、サイバー攻撃と技術流出の記事で、取引先から求められたときの準備として整理しました。制度全体の話は、政府調達のセキュリティ認証の解説にあります。

取得のメリットと限界。営業秘密との関係

メリットから見ていきます。認証機関の案内や、経産省の事例を引いた民間の解説では、取引先からの情報管理の要望に応えられるようになった、認証マークを示すと顧客に安心感を与えられた、助言を受けて社内の管理が進んだ、といった声が紹介されています⁵。ここで注意が必要なのは、これらが取得した企業側の声である点と、一部は認証機関やセキュリティ製品の事業者の解説に含まれる点です。効果を示す統計ではありません。私が確かだと考えるメリットは、次の二つです。

ひとつは、取引先への説明が楽になることです。「うちの技術情報の管理は、国の基準に沿って、第三者が見ています」と言えることは、特に、図面を預かる中小の部品メーカーが、発注元の大企業に信頼を示すときに効きます。もうひとつは、社内で管理を一度棚卸しする機会になることです。どの情報を、誰が、どこで、どう扱っているかを書き出す作業は、認証を取るかどうかとは別に、価値があります。

では、限界は何でしょうか。三つあります。

一つ目は、営業秘密として守られることの保証にはならない点です。不正競争防止法は、営業秘密を、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報であって、公然と知られていないものと定義しています¹¹。つまり、秘密として管理されていること（秘密管理性）が要件のひとつです。TICSの基準が求める、管理対象の特定、表示、アクセス制限、誓約書などは、この秘密管理性の根拠として役立ちうる実務ではあります。しかし、TICSの認証を持っていることで、秘密管理性が認められる、と定めた規定は、今回確認した範囲では見つかりませんでした。裁判で秘密管理性が認められるかは、個々の事案の事情で判断されます。営業秘密の要件と実務は、不正競争防止法と営業秘密の記事で詳しく書いたので、そちらを参照してください。認証は、法的な保護を保証するものではなく、管理の質を上げるための道具、というのが私の理解です。

二つ目は、輸出管理の手続きの代わりにならない点です。技術を海外に提供したり、非居住者に提供したりするときの許可は、外為法の管理であり、TICSの認証とは別の制度です。TICSは「漏れないように守る」制度、輸出管理は「出す前に、許可がいるかを判定する」制度、と整理すると分かりやすいでしょう。両方が必要な会社もあります。

三つ目は、認証の範囲が限られる点です。管理対象情報として決めた範囲の管理を見るので、会社全体が安全だという意味ではありません。ここで、よくある誤解を表にまとめます。

よくある誤解	実際
TICSを取れば、会社全体のセキュリティが認められる	事業者が決めた管理対象情報の管理を見る制度。会社全体の保証ではない
取れば営業秘密として必ず守られる	認証の有無で秘密管理性が決まる旨の規定は、確認できなかった。個別の事案で判断される
取得すれば輸出管理の手続きが不要になる	別の制度。外為法の許可や判定は引き続き必要
国が審査してくれる	審査は、国の認定を受けた認証機関が行う
一度取れば終わり	有効期間は3年で、毎年の定期報告と更新審査がある
ISO/IEC 27001と同じもの	国の制度と国際規格。何を見るかも基準の形も違う

私の見立てを一つ付け加えます。TICSは、取引先から強く求められている会社と、管理の整備を進めたいが何から始めてよいか分からない会社には、役に立つと思います。逆に、「とりあえず取っておけば安心」という動機で取るのは、お勧めしません。毎年の報告と3年ごとの更新があり、負担は小さくないからです。それなら、自己チェックリストで現状を確かめて、必要な管理を先に整えるほうが、費用対効果は高いでしょう。

中小企業・大学が取るときの現実的な進め方

最後の実務パートです。ここからの例は、実在の会社の話ではなく、読者の状況に合わせて考えた仮の例です。

仮に、従業員40人ほどの金属加工の会社を考えます。発注元の大手メーカーから、試作部品の図面を預かって加工しています。ある日、発注元の調達部門から、図面の管理体制について質問票が届きました。こうしたとき、いきなり認証を取ると決めるのは早い、と私は考えます。次の順で進めるのが現実的です。

1. 発注元に、何を求められているのかを聞く。認証そのものか、管理の状況の説明か。TICSの名前が出ているのか、別の基準かを確かめる。
2. 預かっている図面と、自社の技術資料を書き出す。誰が、どこに保管し、誰がアクセスできるか。基準の案が求める「管理対象情報の一覧」の作り方と同じ考え方です。
3. 経産省の自己チェックリストで、基本の10項目と実務の9項目を確かめる。足りない点が見えます。
4. 足りない管理を整える。鍵の管理、アクセス権の名簿、誓約書、管理簿、廃棄の手順、社内教育など。ここまでは、認証を取らなくても価値があります。
5. そのうえで、認証を取るかを判断する。取る場合は、複数の認証機関に見積りを取り、対象を絞れるかも相談する。専門家派遣事業の最新の募集も確認する。

この順番の理由は単純で、1から4が済んでいれば、認証の審査はその確認作業になるからです。逆に、1から4をやらずに審査から入ると、審査のたびに慌てて整備することになります。

次に、大学や研究機関の場合です。大学は、事業者を対象にしたTICSを取る立場なのか、そもそも疑問に思う方も多いでしょう。法律の定義は「事業者」の措置を対象にしており、研究機関の位置づけは、個別に確認が必要です。経産省と関係省庁の研究セキュリティの手順書は、TICSを「関連する取組」として脚注で紹介しているだけで、取得を必要とも望ましいとも書いていません。この点は、別の記事で一次情報にあたって整理しました（研究セキュリティの手順書の読み方）。大学にとって現実的なのは、認証を取るかどうかよりも先に、共同研究で受け取る資料や、研究データのうち、守る範囲を決めることです。その作業は、TICSの考え方と重なっています。

大学や研究機関で、外部との共同研究や留学生、外国人研究者の受入れを扱う場合は、人を介した技術の流出という視点も加わります。政府のガイダンスが、組織と人の両面からどう整理しているかは、技術流出対策ガイダンスの記事で扱っています。

まとめ。次の一歩

TICSは、国の基準で技術情報の管理を第三者に見てもらえる制度です。法律の根拠があり、2024年に基準が分かりやすく改められ、2025年度も専門家派遣が行われるなど、現在も運用が続いています。一方で、認証機関は減り、取得事業者の数も多くはありません。何かを保証する万能の認証ではなく、取引先への説明と社内の整備のための道具として見るのがよいでしょう。

月曜の朝にできる最初の一歩は、認証機関に電話をかけることではありません。自社が預かっている、あるいは預けている技術情報の一覧を、A4一枚に書き出してみることです。名前、場所、持っている人、渡している相手。これができれば、TICSを取る場合も、取らない場合も、次の判断が楽になります。

今回、経産省のTICSのページは、アクセス制限のため直接読めませんでした。認証機関の最新の一覧、取得事業者の最新の数、基準告示の確定版の本文は、公開されている経産省のページで確かめてください。私の側で未確認の点は、記事の中に、そのように書きました。

輸出管理と技術流出の対策を、一つの台帳でつなげて管理したいという方には、TRAFEEDのサービスページがご参考になります。個別のご相談はこちらから受け付けています。自社の状況を3分で確かめたい方は、輸出管理の診断ツールもお使いください。最終的な該非判定は、貴社の輸出管理責任者が行います。

Footnotes

1. 産業競争力強化法（平成25年法律第98号）（e-Gov法令検索）。第2条第26項・第27項（技術等情報漏えい防止措置、同認証業務）、第67条（促進指針）、第68条〜第75条（認証機関の認定、更新、秘密保持、改善命令、取消し）、第77条・第78条（IPA、中小機構の協力業務）、第79条・第162条（表示の制限、過料）。e-Gov法令APIで条文を確認、2026年11月6日 ↩ ↩² ↩³ ↩⁴

2. 技術情報管理認証制度に係る告示の制定・改正概要（経済産業省、令和6年6月）。意見公募に添付された資料。2018年の法改正による制度創設、2024年4月末の認証機関8組織・認証取得42社、基準改定の4つの柱（ISO/IEC 27001:2022附属書Aの検知・対応の参照を含む）。2026年11月6日確認 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. 令和7年度「技術情報管理認証制度」専門家派遣を希望する企業の募集開始（三菱UFJリサーチ&コンサルティング、2025年8月19日）。全文はPDF。経済産業省から「令和7年度重要技術総合管理事業」を受託、専門家の無償派遣。2026年11月6日確認 ↩ ↩²

4. 事務局コラム 2025.06 技術情報管理認証制度の動向（APPTraS）。経産省の一覧で51事業者（掲載同意分）、取得年度の内訳、認証機関の認定状況、2024年の基準改定と2025年5月の自己チェックリスト改定。2026年11月6日確認 ↩ ↩² ↩³

5. 技術情報管理認証制度（TICS）とは？取引先から選ばれるための認証制度と取得のポイント（DataClasys、2025年8月15日公開、2026年7月13日更新）。セキュリティ製品の事業者による解説記事で、自社製品の宣伝を含む。認証機関の一覧（2025年8月15日時点で7機関）、補助事業の加点、取得企業の声（経産省の事例集の紹介）を、民間の解説として引用した。2026年11月6日確認 ↩ ↩² ↩³ ↩⁴

6. 技術情報管理認証制度の認証審査（ライド株式会社）。認証機関自身の案内ページ。審査の流れ、申込みから1〜2か月の目安、対象は重要な技術情報のみ、有効期間3年、認証機関は令和8年5月現在6社との記載を、制度の運用の参考として引用した。同社の料金や特定の機関の優劣については扱わない。2026年11月6日確認 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

7. 技術情報管理認証制度（経済産業省）。経産省のサイトは、今回の確認作業で閲覧制限（HTTP 403）となり、本文を直接読めなかった。認証機関の認定の失効、費用の目安（数十万円程度）、認証機関一覧と取得事業者一覧の存在は、検索結果に表示された要約で確認した。最新の数値は同ページで確認が必要である。2026年11月6日 ↩ ↩²

8. 技術及びこれに関する研究開発の成果、生産方法その他の事業活動に有用な情報の漏えいを防止するために必要な措置に関する基準（案）（e-Gov意見募集、令和6年6月5日〜7月4日）。意見公募時の案であり、確定した告示の本文は経済産業省のページで確認する必要がある（今回は同ページが閲覧制限で取得できなかった）。意見公募要領はこちら。2026年11月6日確認 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

9. 技術情報管理認証制度について（日本金型工業会）。2022年7月の見直し、有効期間3年・毎年の定期報告、2022年度のGo-Tech事業での取得費用の扱い、自己確認の構想など。記述は2023年8月時点の内容を含む。認証機関としての同会の立場から書かれたページである。2026年11月6日確認 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

10. 技術情報管理認証制度セルフチェック用チェックリスト 経産省公開（ScanNetSecurity、2023年4月4日）。経済産業省が2023年3月29日に公開した「技術情報管理 自己チェックリスト」（基本10項目、実務9項目）の報道。2025年5月に改定された旨は事務局コラムに記載。2026年11月6日確認 ↩

11. 不正競争防止法（平成5年法律第47号）第2条第6項（e-Gov法令検索）。営業秘密の定義。e-Gov法令APIで確認、2026年11月6日 ↩