「セキュリティポリシーを作ろう」と調べると、基本方針、社内規程、ガイドライン、ハンドブックなど、似た名前の文書がいくつも出てきます。IPAの資料を見ても、WordやPDFが複数あり、どれを使えばよいのか迷うかもしれません。
中小企業が最初からすべての文書を作り込む必要はありません。まず決めたいのは、社外へ会社の姿勢を示したいのか、従業員の行動ルールを整えたいのか、SCS★3の準備まで進めたいのかという目的です。
目的が決まれば、使うひな形も見えてきます。この記事では、IPAの無料資料を使い、必要な文書を選んで自社向けに整える方法を解説します。
セキュリティポリシーは一つの文書ではない
セキュリティポリシーという言葉は、情報セキュリティに関する文書全体を指して使われることがあります。そのため、「セキュリティポリシーを作成済み」と聞いても、1ページの基本方針だけなのか、具体的な社内ルールまで決まっているのかは分かりません。
中小企業では、次の3種類に分けて考えると、必要な文書を選びやすくなります。
情報セキュリティ基本方針
情報セキュリティ基本方針は、会社として情報資産を守る姿勢を示す文書です。
経営者の責任、法令や契約の順守、従業員教育、事故への対応、継続的な改善など、会社が約束する大きな方針をまとめます。外部へ公開することを想定した文書なので、パスワードの長さや事故時の連絡先といった社内の詳細情報は記載しません。
SECURITY ACTION二つ星を目指す場合は、この基本方針を定め、外部へ公開します。
情報セキュリティ関連規程
関連規程は、基本方針を社内で実行するためのルールです。
例えば、情報の区分、端末やクラウドサービスの利用、アクセス権、委託先の管理、バックアップ、事故対応などについて、誰が何を判断し、どのように管理するかを定めます。
基本方針が「会社として何を大切にするか」を示す文書なら、関連規程は「その方針を社内でどう運用するか」を決める文書です。
従業員向けハンドブック・実施手順
規程があっても、従業員が日常業務で何をすればよいか分からなければ、対策は動きません。
従業員向けハンドブックや社内セキュリティガイドラインには、次のような行動を分かりやすく記載します。
- パスワードを使い回さず、多要素認証を利用する
- 不審なメールや添付ファイルを開かない
- 会社の許可なくUSBメモリやクラウドサービスを使わない
- PCやスマートフォンを紛失したら、すぐに担当者へ連絡する
- 顧客情報を社外へ送るときは、決められた方法を使う
- セキュリティ事故や異変に気づいたときの連絡先を確認する
規程をそのまま読ませるよりも、「日常業務で守ること」を短くまとめた文書があるほうが、従業員へ周知しやすくなります。
プライバシーポリシーや社内ガイドラインとの違い
似た名前の文書を整理すると、次のようになります。
| 文書 | 主な役割 | 主な対象・公開範囲 |
|---|---|---|
| プライバシーポリシー | 個人情報の利用目的や取り扱い方針を示す | 顧客・取引先など社外向けに公開 |
| 情報セキュリティ基本方針 | 個人情報を含む情報資産を守る会社の基本姿勢を示す | 社内外に示し、外部公開する |
| 社内セキュリティガイドライン | 従業員が日常業務で守る具体的な行動を示す | 社内向け |
| 情報セキュリティ関連規程 | 責任者、承認、例外、事故対応などの正式なルールを定める | 社内向け |
プライバシーポリシーの対象は、主に個人情報です。情報セキュリティ基本方針では、個人情報だけでなく、顧客との契約情報、営業資料、設計データ、端末、システム、クラウドサービスなども含めて守る姿勢を示します。
そのため、Webサイトにプライバシーポリシーを掲載していても、SECURITY ACTION二つ星で必要になる情報セキュリティ基本方針の代わりにはなりません。
IPAのひな形は目的に合わせて3種類から選ぶ
IPAは、中小企業が利用できる基本方針、ハンドブック、関連規程のサンプルを公開しています。ゼロから文章を考えるよりも、目的に合う資料を選び、自社の業務に合わせて編集するほうが進めやすいでしょう。
| IPAの資料 | 分量 | 向いている目的 | 外部公開 |
|---|---|---|---|
| 情報セキュリティ基本方針（サンプル） | 1ページ | 会社の基本姿勢を示す、SECURITY ACTION二つ星を始める | する |
| 情報セキュリティハンドブック（ひな形） | 17ページ | 従業員へ日常の行動ルールを伝える | しない |
| 情報セキュリティ関連規程（サンプル） | 59ページ | 管理責任や社内ルールを体系的に整える | しない |
各資料は、IPA「中小企業の情報セキュリティ対策ガイドライン」から入手できます。
SECURITY ACTION二つ星なら基本方針から始める
取引先へセキュリティへの取り組みを示したい、SECURITY ACTION二つ星を宣言したいという場合は、1ページの情報セキュリティ基本方針から始めます。
サンプルには会社の基本姿勢がまとめられていますが、会社名と日付だけを変更して終わりにはしません。自社が守る情報、実際に行っている対策、経営者として約束できる内容かを確認してから公開します。
SECURITY ACTIONの申込みや二つ星宣言までの流れは、「SECURITY ACTION二つ星の始め方」で詳しく解説しています。
日常ルールを伝えるならハンドブックを使う
「従業員へ注意を呼びかけているが、守ることが人によって違う」という会社には、情報セキュリティハンドブックが向いています。
ハンドブックには、電子メール、インターネット、スマートフォン、パスワードなど、日常業務で起こりやすいテーマをまとめます。すべてを一度に盛り込むのではなく、自社で利用している端末やサービスに関係する項目から整えても構いません。
SCS★3を準備するなら関連規程も確認する
SCS★3では、基本方針を公開するだけでなく、情報資産、アカウント、バックアップ、委託先、インシデント対応などのルールと実施状況も確認します。
そのため、SCS★3を見据える場合は、関連規程のサンプルを使って自社のルールを整理します。59ページすべてをそのまま採用するのではなく、自社に関係する要求事項と照らし合わせながら、実際に運用できる内容へ絞ることが大切です。
中小企業のセキュリティポリシーの作り方
セキュリティポリシーは、文章を書くところから始めると止まりやすくなります。先に目的と現状を整理し、それからひな形を編集すると、必要のないルールを増やさずに済みます。
1．作る目的を決める
まず、今回どこまで整えるのかを決めます。
- SECURITY ACTION二つ星を宣言したい
- 取引先から基本方針の提出を求められた
- 従業員へ日常のルールを周知したい
- 社内に散らばっているルールをまとめたい
- SCS★3の準備を進めたい
外部へ姿勢を示すことが目的なら基本方針から、社内の行動を変えることが目的ならハンドブックや関連規程まで進めます。
2．守る情報と利用環境を確認する
次に、自社がどの情報を、どの端末やサービスで扱っているかを確認します。
顧客情報や従業員情報だけでなく、見積書、契約書、設計図、商品情報、会計データ、メール、Webサイトの管理情報なども対象になります。PC、スマートフォン、ファイルサーバー、クラウドサービス、委託先とのデータ共有も確認しましょう。
利用中の端末やサービスを一覧にできていない場合は、「中小企業向けIT資産管理台帳の作り方」から整理すると、ポリシーへ反映すべき範囲が見えやすくなります。
3．IPAのサンプルを自社向けに編集する
ひな形を開いたら、会社名を置き換えるだけではなく、書かれている内容を自社で実行できるか確認します。
例えば、「必要な教育を実施する」と定めるなら、誰が、いつ、どのように従業員へ伝えるかまで決めます。「事故へ迅速に対応する」と定めるなら、最初の連絡先と判断する責任者が必要です。
現状では実施できていない内容が見つかった場合は、文章だけを整えるのではなく、担当者と実施時期を決めて対策へつなげます。
4．経営者が内容を確認し、承認する
情報セキュリティ基本方針は、IT担当者だけの方針ではありません。取引、業務継続、法令や契約、事故時の対応など、経営判断に関わる内容です。
経営者が内容を確認し、制定日と代表者名を記載します。社内規程についても、誰が承認した文書なのか分かるようにしておきます。
5．従業員が参照できる状態にする
基本方針や規程は、作成しただけでは業務に反映されません。社内ポータル、共有フォルダ、紙のファイルなど、従業員が必要なときに確認できる場所へ置きます。
入社時の説明や定期的な研修でも取り上げ、「どこにあるか」「困ったときは誰に聞くか」まで伝えておくと、実際の行動につながりやすくなります。
6．実施記録と改定履歴を残す
研修を実施した日、規程を周知した記録、点検結果、改定内容などを残します。
古いルールが残らないように、文書には制定日、改定日、版数を記載します。変更したときは、対象となる従業員へ改定内容を知らせます。
IPAひな形で自社向けに決める項目
ひな形を編集するときは、きれいな文章を作ることよりも、次の項目へ具体的に答えられることを優先します。
責任者と担当部署
情報セキュリティの最終責任者、日常的な管理を行う担当者、事故時の連絡先を決めます。
専任のセキュリティ担当者がいない会社でも、責任を曖昧にしないことが重要です。経営者、総務担当者、システム会社などの役割を分け、誰が判断し、誰が作業するのかを明らかにします。
守る情報と機密区分
すべての情報を同じ方法で管理すると、重要な情報へ対策を集中できません。
外部へ公開できる情報、社内だけで利用する情報、限られた担当者だけが扱う機密情報などに分け、保存場所や共有方法を決めます。
利用する端末・クラウド・委託先
会社支給PCだけでなく、スマートフォン、在宅勤務用端末、クラウドストレージ、チャット、会計サービスなども確認します。
運用を委託している場合は、「委託先が対応しているはず」で終わらせず、契約範囲、障害時の連絡先、自社側で行う設定や確認を整理します。
入退社・アカウント・守秘義務
入社時にアカウントを発行する手順、アクセス権を承認する人、異動時の変更、退職時の停止期限を決めます。
また、役員、従業員、派遣社員などが守る秘密保持のルールを定め、受入時に説明します。認証ルールを整えるときは、「SCS評価制度の多要素認証対応」も確認してください。
バックアップ・事故対応・連絡先
バックアップは、対象、頻度、保存先、保存期間、復元方法を決めます。事故対応では、異変を見つけた人が最初に誰へ連絡し、誰が取引先や関係機関への報告を判断するのかを整理します。
詳細な対応手順は、「中小企業のインシデント対応手順」で確認できます。
SECURITY ACTION二つ星に必要な基本方針
SECURITY ACTION二つ星では、情報セキュリティ自社診断を行い、情報セキュリティ基本方針を定めて外部へ公開したうえで、対策に取り組むことを自己宣言します。
自社診断と外部公開が必要
基本方針を掲載するだけで二つ星の準備が完了するわけではありません。自社診断で現状を確認し、基本方針を定め、外部へ公開してから自己宣言の手続きを進めます。
基本方針は、取引先が読んでも理解できる内容にします。社内のサーバー構成やパスワードルールなど、公開する必要のない情報は含めません。
プライバシーポリシーとは別の文書
プライバシーポリシーは、個人情報の利用目的や第三者提供などを顧客へ説明する文書です。情報セキュリティ基本方針は、個人情報を含む情報資産全体をどのように守るか、会社の姿勢を示します。
すでにプライバシーポリシーがあっても、二つ星を宣言する場合は情報セキュリティ基本方針を別に用意します。
作成した基本方針はどこに掲載するか
Webサイトがある場合は、情報セキュリティ基本方針の独立ページを作り、フッターからリンクする方法が分かりやすいでしょう。「企業情報」や「各種方針」のページから案内しても構いません。
プライバシーポリシーのように、申込フォーム付近で同意を得るための文書ではありません。取引先や顧客が必要なときに確認できる場所へ置きます。
Webサイトで公開するのは、会社の姿勢を示す基本方針です。パスワード、アクセス権、システム構成、事故時の連絡網などを含む社内規程、ガイドライン、手順書は掲載しません。
Webサイトがなければ会社案内などで公開する
自社Webサイトがない場合は、会社案内やパンフレットなどで外部へ示す方法もあります。
Webサイトがある会社なら、独立ページを作ってフッターからリンクしておくと、取引先へURLを伝えやすく、内容を改定したときも差し替えやすくなります。
SCS★3では基本方針だけでは足りない
SCS★3の準備では、情報セキュリティ基本方針の有無だけを確認するのではありません。IPAが公開している★3の要求事項は26項目あり、文書の整備と実際の運用が複数の領域で求められます。
セキュリティ対応方針を参照できるようにする
★3では、セキュリティ対応方針を定め、役員や従業員がいつでも参照できる状態にし、改正した場合は内容を知らせます。
一度公開した基本方針を放置するのではなく、現在使っている版がどれか分かるように管理します。
責任者・担当部署・連絡先を決める
セキュリティ対策を行う責任者と担当部署を決め、社内外の連絡先を整理します。また、★3では情報セキュリティに関する組織体制を年1回以上点検します。
担当者名だけを規程に書くのではなく、事故が起きたとき、サービスが止まったとき、取引先から確認を求められたときに誰が動くのかを決めておきます。
守秘義務ルールを定め、受入時に説明する
役員、従業員、派遣社員、受入出向者を対象に守秘義務のルールを定め、入社・受入時に説明します。
説明したことが分かるように、研修記録や受講記録も残しておくと、後から実施状況を確認しやすくなります。
資産管理や認証などの社内ルールも必要になる
基本方針はSCS★3の入口ですが、それだけで対応が終わるわけではありません。情報資産の管理、認証、バックアップ、委託先管理、インシデント対応なども確認します。
文書以外を含む準備状況は、IPA「SCS評価制度の要求事項・評価基準」と「SCS★3の要求事項と準備項目」で確認できます。
文書を作った後に残すもの
セキュリティポリシーを運用すると、承認、周知、教育、点検、改定といった記録が生まれます。後から確認できるように、次の記録を残します。
承認記録と版数
誰が承認した文書か、いつ制定・改定したか、現在の版はどれかを記録します。ファイル名だけで管理せず、文書内にも制定日、改定日、版数を記載すると混乱を防げます。
従業員への周知記録
メールの送信履歴、社内ポータルへの掲載、説明会の参加記録など、従業員へ知らせたことが分かる記録を残します。
入社・受入時の説明記録
新入社員、派遣社員、受入出向者などへ、守秘義務や情報の取り扱いを説明した記録を残します。人によって説明内容が変わらないように、使用する資料も決めておきます。
ルールごとの点検・実施記録
アカウントの棚卸し、バックアップ結果、委託先の確認、事故対応訓練など、規程で実施すると定めた対策の記録を残します。
規程に多くの対策を書きすぎると、実施も記録も追いつかなくなります。自社で継続できるルールから始め、必要に応じて範囲を広げるほうが運用しやすいでしょう。
セキュリティポリシーについてよくある質問
IPAのひな形はそのまま使えますか？
会社名だけを変更して公開するのではなく、自社で実行できる内容か確認して編集します。特に、責任者、守る情報、利用環境、教育、事故対応については、自社の体制と合っているか確認してください。
基本方針だけ作ればSCS★3に対応できますか？
基本方針だけでは足りません。SCS★3では、情報資産、アカウント、バックアップ、委託先、インシデント対応などを含む26の要求事項を確認します。
SECURITY ACTION二つ星ではWeb公開が必須ですか？
必要なのは情報セキュリティ基本方針の外部公開です。自社Webサイトのほか、会社案内やパンフレットなどで公開する方法もあります。Webサイトがある場合は、独立ページにしてフッターから案内すると確認してもらいやすくなります。
社内セキュリティガイドラインもWebサイトで公開しますか？
公開しません。外部へ示すのは情報セキュリティ基本方針です。具体的なパスワードルール、アクセス権、システム構成、連絡網などを含む社内ガイドラインや手順書は、従業員が参照できる社内の場所で管理します。
プライバシーポリシーと兼用できますか？
兼用せず、情報セキュリティ基本方針を別に作成します。プライバシーポリシーは個人情報の取り扱いを示す文書であり、SECURITY ACTION二つ星で求められる情報セキュリティ基本方針とは役割が異なります。
従業員が少なくても責任者を決める必要がありますか？
必要です。専任担当者を置くという意味ではありません。経営者が責任者を兼ねる場合でも、日常の確認、事故時の連絡、外部事業者への依頼を誰が行うか決めておきます。
セキュリティポリシーは毎年改定する必要がありますか？
毎年必ず文章を変更する必要はありません。ただし、利用するクラウドサービス、組織体制、取引先からの要求、法令などが変われば、現在の業務に合っているか確認します。変更が必要な場合は改定し、従業員へ知らせます。
まとめ｜まず目的に合うIPA資料を選ぶ
中小企業のセキュリティポリシーは、分厚い規程を一度に完成させることから始める必要はありません。
外部へ会社の姿勢を示したいなら、情報セキュリティ基本方針を作成して公開します。従業員の具体的な行動をそろえたいなら、ハンドブックや社内ガイドラインを整えます。SCS★3まで見据えるなら、関連規程を使って、資産管理、認証、バックアップ、委託先管理、事故対応などの運用へ広げます。
最初に自社の目的を決め、IPAの3種類の資料から必要なものを選んでください。ひな形を完成させることよりも、書いたルールを実行し、従業員が迷ったときに確認できる状態にすることが大切です。
コメント