この記事でわかること
- 情報セキュリティポリシーの目的と3層構造
- 基本方針・対策基準・実施手順に記載すべき項目
- 中小企業がポリシーを策定する具体的な手順
- IPA・JIPDECの無料テンプレートの活用方法
- 策定後の周知・教育・見直しサイクル
情報セキュリティポリシーとは
情報セキュリティポリシーとは、企業が情報資産を守るために定めるルールの体系です。「何を守るか」「どう守るか」「誰が責任を持つか」を文書化し、全社員が共通認識を持つための基盤となります。
ISMS（ISO 27001）やPマークの取得にはポリシーの策定が必須ですが、認証を取得しない場合でも、ポリシーを策定しておくことには大きなメリットがあります。
- インシデント発生時の対応基準になる
- 取引先からの信頼につながる（大手企業との取引で求められることが増加）
- 社員の意識向上 — 明文化されたルールは行動の指針になる
- 法的リスクの軽減 — 個人情報保護法の「安全管理措置」の一環として位置づけ
ポリシーの3層構造
情報セキュリティポリシーは一般的に3層構造で策定します。
| 層 | 名称 | 内容 | 対象読者 |
|---|---|---|---|
| 第1層 | 基本方針 | 経営者の宣言。セキュリティに対する企業の姿勢 | 全社員・外部公開 |
| 第2層 | 対策基準 | 具体的なルール。「こうすべき」を定める | 全社員・管理者 |
| 第3層 | 実施手順 | 具体的な手順書・マニュアル | 担当者 |
第1層：基本方針の記載項目
基本方針は経営者名で発行する1〜2ページの文書です。Webサイトに公開する企業も多くあります。
- 目的 — 情報セキュリティに取り組む理由
- 適用範囲 — 対象となる組織・人・情報資産の範囲
- 経営者のコミットメント — 「経営者として情報セキュリティの確保に努める」旨の宣言
- 法令遵守 — 関連法規（個人情報保護法等）の遵守
- 体制 — 情報セキュリティ管理責任者の設置
- 教育 — 全従業員への教育・啓発の実施
- 継続的改善 — 定期的な見直しと改善
- 違反時の対応 — 就業規則に基づく処分
- 制定日・改定日・経営者署名
第2層：対策基準の記載項目
対策基準は具体的な「〜すべき」ルールを定めます。中小企業で最低限必要な項目は以下のとおりです。
人的セキュリティ
- 入社時のセキュリティ教育・機密保持契約の締結
- 退職時の情報資産返却・アカウント削除手順
- 年1回のセキュリティ研修の義務化
アクセス管理
- パスワードポリシー（12文字以上、多要素認証の必須化）
- 権限の最小化（必要な人にのみ必要な権限を付与）
- 退職者・異動者のアカウント即時無効化
- アクセス権限の四半期ごとの棚卸し
物理的セキュリティ
- オフィスの入退室管理
- サーバールーム・書庫の施錠管理
- クリアデスク・クリアスクリーンポリシー
技術的セキュリティ
- ウイルス対策ソフト（EDR）の導入義務
- OS・ソフトウェアのアップデートポリシー
- 暗号化（通信のHTTPS化、ディスク暗号化）
- バックアップの実施基準（頻度、保管場所、テスト）
インシデント対応
- インシデント報告の手順と連絡先
- 深刻度の分類基準
- 外部報告（個人情報保護委員会等）の判断基準
テレワーク
- テレワーク時の端末管理ルール
- 自宅Wi-Fi・公共Wi-Fiの利用ルール
- BYOD（個人端末利用）の可否と条件
第3層：実施手順（マニュアル）
対策基準で定めたルールを「具体的にどう実行するか」の手順書です。
- パスワード変更手順 — Google Workspace、Microsoft 365等のパスワード変更＋MFA設定方法
- インシデント報告手順 — 報告フォーム、連絡先一覧、エスカレーションフロー
- バックアップ手順 — 具体的なツール操作とスケジュール
- 退職時チェックリスト — アカウント無効化、端末回収、データ消去の手順
ポリシー策定のポイント
ポリシー策定で最も重要なのは「守れるルールを作る」ことです。理想的だが実行不可能なルールは、誰も守らず形骸化します。まず最低限のルール（MFA義務化、パスワード12文字以上、退職時アカウント削除）から始めて、運用が定着してから段階的に追加しましょう。IPAの「中小企業の情報セキュリティ対策ガイドライン」に付録されているひな形が参考になります。
策定から運用までの手順
- 現状把握（1〜2週間）— 現在のセキュリティ状況を確認。何ができていて何ができていないか
- リスクの洗い出し（1〜2週間）— 情報資産の一覧作成、リスクの特定
- ポリシー案の作成（2〜4週間）— IPAテンプレートをベースにカスタマイズ
- 経営者の承認（1週間）— 基本方針への署名
- 全社員への周知・教育（1〜2週間）— 説明会の実施、確認テスト
- 運用開始
- 年1回の見直し — 環境変化やインシデントを踏まえた改定
無料テンプレートの活用
- IPA「中小企業の情報セキュリティ対策ガイドライン」 — 付録にポリシーのひな形（Word形式）が付属。最も実用的
- JIPDEC「プライバシーマーク制度」 — Pマーク取得用のテンプレート
- 経済産業省「サイバーセキュリティ経営ガイドライン」 — 経営者向けの指針
まとめ
- 情報セキュリティポリシーは3層構造（基本方針・対策基準・実施手順）で策定
- 基本方針は経営者名で発行。外部公開してもよい
- 対策基準は「守れるルール」から始める。MFA・パスワード・退職時対応が最優先
- IPAの無料テンプレートを活用。ゼロから作る必要はない
- 策定だけでなく周知・教育が重要。全社員に説明会を実施
- 年1回の見直しで環境変化に対応
情報セキュリティポリシーの策定やISMS取得のご相談は、お問い合わせからお気軽にどうぞ。FUNBREWでは、中小企業のセキュリティ体制づくりをサポートしています。
よくある質問
情報セキュリティポリシーとは何ですか？策定する義務はありますか？
情報セキュリティポリシーとは、組織が情報資産を守るための基本方針・ルールをまとめた文書です。法律上の策定義務はありませんが、個人情報保護法の安全管理措置の一環として中小企業でも整備が求められます。取引先や金融機関からの要請、セキュリティ認証（ISMS等）の取得を目指す場合も必須です。
情報セキュリティポリシーに記載すべき項目は何ですか？
基本方針・対策基準・実施手順の3層構造が標準的です。基本方針には経営者のコミットメントと適用範囲を、対策基準には情報資産の分類・アクセス制御・インシデント対応ルールを、実施手順には具体的な操作ガイドラインを記載します。IPAの「中小企業の情報セキュリティ対策ガイドライン」のひな形が参考になります。
中小企業がゼロから作成する場合、どこから手をつければ良いですか？
まずIPA（情報処理推進機構）が公開している「情報セキュリティポリシーサンプル」をダウンロードし、自社の事業内容・取り扱う情報・リスクに合わせてカスタマイズするのが最短ルートです。IT担当者が1名いれば、2〜4週間程度でドラフト作成が可能です。策定後は経営者の承認と全社への周知が必要です。
情報セキュリティポリシーの策定にかかる費用と期間の目安は？
自社で作成する場合は人件費のみで済みます（担当者の工数目安：20〜40時間）。外部コンサルタントや専門会社に依頼する場合は30〜150万円程度が相場です。ISMS認証取得を含む場合はさらに費用がかかります。中小企業診断士やIT支援機関のサポートを活用すると費用を抑えられます。
ポリシーを作ったあと、どうやって社内に浸透させますか？
策定だけで終わらず、全社員への周知・誓約書への署名・年1回以上の研修実施が重要です。入社時のオリエンテーションに組み込み、違反事例を交えた実例研修を行うと理解が深まります。社内イントラやチャットツールでのポリシー掲示、担当者への問い合わせ窓口設置も有効です。
情報セキュリティポリシーはどのくらいの頻度で見直すべきですか？
年1回以上の定期見直しが推奨されます。法改正（個人情報保護法改正など）・組織変更・新しいサービス導入・インシデント発生後は随時見直しが必要です。ISMS認証取得組織では内部監査と経営陣によるマネジメントレビューの実施が義務づけられています。
情報セキュリティポリシーとISMS（ISO 27001）認証の関係は？
ISMSはISO/IEC 27001に基づく情報セキュリティマネジメントシステムで、情報セキュリティポリシーはその中核文書の一つです。ISMS認証を取得するには、ポリシーの整備だけでなく、リスクアセスメント・内部監査・マネジメントレビューなどのPDCAサイクル全体の構築が必要です。ポリシー策定はISMS認証取得への第一歩といえます。
テレワーク・リモートワーク環境でのセキュリティポリシー上の注意点は？
自宅やカフェ等の社外環境では、VPN接続の義務化・私用端末（BYOD）の使用可否ルール・公衆Wi-Fi利用禁止・画面のぞき見防止などの規定が必要です。クラウドサービス利用ルール（承認されたサービス以外の使用禁止）や、端末紛失・盗難時の報告手順もポリシーに明記しましょう。
AIツール（ChatGPT等）の業務利用はセキュリティポリシーに含めるべきですか？
はい、含めることを強く推奨します。生成AIツールへの社内情報・顧客情報の入力はデータ漏えいリスクがあります。ポリシーには「承認済みAIツールのみ使用可」「個人情報・機密情報の入力禁止」「利用ログの保存義務」などを明記し、使用可否の判断フローを整備することが重要です。2024年以降、AIガバナンスを明文化する企業が急増しています。
外部委託先やクラウドベンダーへのセキュリティ要件はどう定めますか？
サプライチェーンリスク管理として、委託先に対する情報セキュリティ要件の提示・確認が必要です。具体的には、委託先との秘密保持契約（NDA）の締結、情報セキュリティチェックシートによる委託先評価、定期的な監査・確認の実施をポリシーに定めます。クラウドサービスについてはISMAP（政府情報システムのためのセキュリティ評価制度）登録サービスの優先利用なども判断基準になります。
情報セキュリティポリシーへの違反が発覚した場合、どう対応しますか？
ポリシーにはインシデント対応手順と懲戒規定を明記しておくことが重要です。違反発覚時は、まず事実確認と被害範囲の特定、次に経営者への報告、必要に応じて被害者・監督官庁への通知（個人情報漏えいの場合は個人情報保護委員会への報告義務あり）を行います。懲戒処分は就業規則と連動させ、軽微なものから重大なものまで段階を設けて整備しましょう。
この記事をシェア