情報セキュリティポリシーの作り方｜中小企業向けテンプレートと記載項目

この記事でわかること

情報セキュリティポリシーの目的と3層構造
基本方針・対策基準・実施手順に記載すべき項目
中小企業がポリシーを策定する具体的な手順
IPA・JIPDECの無料テンプレートの活用方法
策定後の周知・教育・見直しサイクル

情報セキュリティポリシーとは

情報セキュリティポリシーとは、企業が情報資産を守るために定めるルールの体系です。「何を守るか」「どう守るか」「誰が責任を持つか」を文書化し、全社員が共通認識を持つための基盤となります。

ISMS（ISO 27001）やPマークの取得にはポリシーの策定が必須ですが、認証を取得しない場合でも、ポリシーを策定しておくことには大きなメリットがあります。

インシデント発生時の対応基準になる
取引先からの信頼につながる（大手企業との取引で求められることが増加）
社員の意識向上 — 明文化されたルールは行動の指針になる
法的リスクの軽減 — 個人情報保護法の「安全管理措置」の一環として位置づけ

ポリシーの3層構造

情報セキュリティポリシーは一般的に3層構造で策定します。

層	名称	内容	対象読者
第1層	基本方針	経営者の宣言。セキュリティに対する企業の姿勢	全社員・外部公開
第2層	対策基準	具体的なルール。「こうすべき」を定める	全社員・管理者
第3層	実施手順	具体的な手順書・マニュアル	担当者

第1層：基本方針の記載項目

基本方針は経営者名で発行する1〜2ページの文書です。Webサイトに公開する企業も多くあります。

目的 — 情報セキュリティに取り組む理由
適用範囲 — 対象となる組織・人・情報資産の範囲
経営者のコミットメント — 「経営者として情報セキュリティの確保に努める」旨の宣言
法令遵守 — 関連法規（個人情報保護法等）の遵守
体制 — 情報セキュリティ管理責任者の設置
教育 — 全従業員への教育・啓発の実施
継続的改善 — 定期的な見直しと改善
違反時の対応 — 就業規則に基づく処分
制定日・改定日・経営者署名

第2層：対策基準の記載項目

対策基準は具体的な「〜すべき」ルールを定めます。中小企業で最低限必要な項目は以下のとおりです。

人的セキュリティ

入社時のセキュリティ教育・機密保持契約の締結
退職時の情報資産返却・アカウント削除手順
年1回のセキュリティ研修の義務化

アクセス管理

パスワードポリシー（12文字以上、多要素認証の必須化）
権限の最小化（必要な人にのみ必要な権限を付与）
退職者・異動者のアカウント即時無効化
アクセス権限の四半期ごとの棚卸し

物理的セキュリティ

オフィスの入退室管理
サーバールーム・書庫の施錠管理
クリアデスク・クリアスクリーンポリシー

技術的セキュリティ

ウイルス対策ソフト（EDR）の導入義務
OS・ソフトウェアのアップデートポリシー
暗号化（通信のHTTPS化、ディスク暗号化）
バックアップの実施基準（頻度、保管場所、テスト）

インシデント対応

インシデント報告の手順と連絡先
深刻度の分類基準
外部報告（個人情報保護委員会等）の判断基準

テレワーク

テレワーク時の端末管理ルール
自宅Wi-Fi・公共Wi-Fiの利用ルール
BYOD（個人端末利用）の可否と条件

第3層：実施手順（マニュアル）

対策基準で定めたルールを「具体的にどう実行するか」の手順書です。

パスワード変更手順 — Google Workspace、Microsoft 365等のパスワード変更＋MFA設定方法
インシデント報告手順 — 報告フォーム、連絡先一覧、エスカレーションフロー
バックアップ手順 — 具体的なツール操作とスケジュール
退職時チェックリスト — アカウント無効化、端末回収、データ消去の手順

ポリシー策定のポイント

ポリシー策定で最も重要なのは「守れるルールを作る」ことです。理想的だが実行不可能なルールは、誰も守らず形骸化します。まず最低限のルール（MFA義務化、パスワード12文字以上、退職時アカウント削除）から始めて、運用が定着してから段階的に追加しましょう。IPAの「中小企業の情報セキュリティ対策ガイドライン」に付録されているひな形が参考になります。

策定から運用までの手順

現状把握（1〜2週間）— 現在のセキュリティ状況を確認。何ができていて何ができていないか
リスクの洗い出し（1〜2週間）— 情報資産の一覧作成、リスクの特定
ポリシー案の作成（2〜4週間）— IPAテンプレートをベースにカスタマイズ
経営者の承認（1週間）— 基本方針への署名
全社員への周知・教育（1〜2週間）— 説明会の実施、確認テスト
運用開始
年1回の見直し — 環境変化やインシデントを踏まえた改定

無料テンプレートの活用

IPA「中小企業の情報セキュリティ対策ガイドライン」 — 付録にポリシーのひな形（Word形式）が付属。最も実用的
JIPDEC「プライバシーマーク制度」 — Pマーク取得用のテンプレート
経済産業省「サイバーセキュリティ経営ガイドライン」 — 経営者向けの指針

まとめ

情報セキュリティポリシーは3層構造（基本方針・対策基準・実施手順）で策定
基本方針は経営者名で発行。外部公開してもよい
対策基準は「守れるルール」から始める。MFA・パスワード・退職時対応が最優先
IPAの無料テンプレートを活用。ゼロから作る必要はない
策定だけでなく周知・教育が重要。全社員に説明会を実施
年1回の見直しで環境変化に対応

情報セキュリティポリシーの策定やISMS取得のご相談は、お問い合わせからお気軽にどうぞ。FUNBREWでは、中小企業のセキュリティ体制づくりをサポートしています。

よくある質問

中小企業でもセキュリティ対策は必要ですか？

はい、必要です。サイバー攻撃は企業規模を問わず発生しており、中小企業はセキュリティ対策が手薄なため、むしろ標的になりやすい傾向があります。IPAの調査でも中小企業の被害報告は増加しています。

セキュリティ対策の優先順位は？

まずはパスワード管理の強化、OSやソフトウェアのアップデート、ウイルス対策ソフトの導入など基本的な対策から始めましょう。その上で、データのバックアップ体制、従業員への教育と進めていくのが効果的です。

セキュリティ対策にかかる費用の目安は？

基本的な対策（ウイルス対策・ファイアウォール等）は月額数千円〜数万円程度から始められます。ISMS認証取得の場合は初期費用50〜200万円、維持費用が年間30〜100万円程度が目安です。

セキュリティ対策のご相談

情報セキュリティの仕組みづくり、システムのセキュリティ強化について、お気軽にご相談ください。

無料で相談する

この記事をシェア

セキュリティ対策のシステム構築はFUNBREWへ

FUNBREWでは、セキュリティを考慮したシステム設計・開発を行っています。まずはお気軽にお問い合わせください。

お問い合わせはこちら