【連載第4回】組織として取り組む！基本方針の策定と管理体制の構築
前回は今すぐ実践できる「情報セキュリティ5か条」を紹介しました。個人レベルの対策はこれで十分ですが、組織としてセキュリティに取り組むには「方針」と「体制」が必要です。
第4回では、情報セキュリティ基本方針の策定方法と、中小企業の規模に適した管理体制の構築手順を解説します。
なぜ基本方針が必要なのか
基本方針がない組織では、セキュリティ対策が「担当者の個人的な判断」に依存します。担当者が変わると対策のレベルも変わり、一貫性のない対応になりがちです。
基本方針を策定することで、組織全体で「何を守り、どのように守るか」の共通認識が生まれます。
基本方針に盛り込む項目
IPAガイドラインに基づく基本方針の必須項目は以下の通りです。
- 経営者の方針表明: 情報セキュリティを経営課題として認識し、組織的に取り組むことの宣言
- 目的: 何のためにセキュリティ対策を行うのか
- 適用範囲: 対象となる組織、人員、情報資産、設備の範囲
- 管理体制: 責任者と各部門の役割
- 従業員の義務: 遵守すべきルール
- 違反時の対応: ルール違反があった場合の措置
- 定期的な見直し: 方針の改訂サイクル
大企業のような数十ページのポリシーは不要です。A4で2〜3ページ程度で十分です。
「方針」と「規程」を混ぜない
文書が長くなる原因は、方針の中に細かいルールを書き込んでしまうことです。文書は3層に分けて考えてください。
| 層 | 内容 | 変更頻度 | 例 |
|---|---|---|---|
| 基本方針 | 経営者の宣言。何を守り、なぜ守るか | ほとんど変わらない | A4で2〜3ページ |
| 対策基準（規程） | 守るべきルール | 年1回程度 | アクセス管理規程、持ち出し規程 |
| 実施手順 | 具体的な操作方法 | 随時 | アカウント作成手順、バックアップ手順 |
基本方針に「パスワードは12文字以上」と書かないでください。 基準が変わるたびに、経営者の承認を取り直すことになります。細かい数値は下の層に置きます。
基本方針は社外にも見られる文書
基本方針は、Webサイトで公開するのが一般的です。取引先のチェックシートで「情報セキュリティ基本方針を策定しているか」「公開しているか」を問われることがあり、URLを示せると回答が早く済みます。
一方、規程や手順書は社内文書です。設定内容や体制の詳細が含まれるため、公開しません。公開するのは基本方針だけ、と切り分けてください。
管理体制の構築
中小企業の場合、専任のセキュリティ担当者を置くことが難しいケースがほとんどです。以下のような兼任体制でも問題ありません。
最小構成の管理体制
- 情報セキュリティ責任者: 経営者または役員（最終的な意思決定権限を持つ人）
- 情報セキュリティ担当者: IT担当者または総務担当者（日常的な管理を担当）
- 各部門の担当者: 各部門で1名（自部門のルール遵守を確認）
重要なのは、「誰が責任者で、誰が何を担当するのか」を明確にすることです。
責任者を経営者にする理由
形式的に見えるかもしれませんが、実務上の理由があります。 セキュリティ対策では、次のようなIT担当者では決められない判断が必ず発生します。
- 感染拡大を止めるために、業務システムを止めてよいか
- 対策に何百万円かけるか、かけずにリスクを受け入れるか
- インシデントを外部に公表するか、いつ公表するか
- 身代金を支払うか
これらをIT担当者に背負わせると、判断が遅れるか、誰も判断しないまま時間が過ぎます。 責任者を経営者にするのは、有事に判断できる人を最初から決めておくためです。
兼任体制で決めておくこと
- 不在時の代理 — 責任者・担当者それぞれについて決めます。「決裁者が出張中で動けない」は実際に起きます
- 連絡経路 — 休日・夜間を含めてつながる手段。個人の携帯番号を共有してよいかは、事前に本人の同意を取ります
- 委託先の位置づけ — 保守ベンダーや当社のような外部委託先が体制のどこに入るかを明記します
方針策定のステップ
- 現状把握: 自社診断25項目で現在のレベルを確認
- ドラフト作成: IPAのテンプレートをベースに自社に合わせてカスタマイズ
- 経営者レビュー: 経営者が内容を確認し承認
- 全社周知: 全従業員に方針を周知
- 運用開始: 実際の運用を開始し、課題があれば修正
承認と周知は「記録が残る形」で行う
策定日と承認者が分からない文書は、審査でも取引先の確認でも通用しません。 次を必ず残してください。
- 制定日・改訂日・承認者を文書自体に記載する
- 改訂履歴の表を付ける（いつ、どこを、なぜ変えたか）
- 周知の記録 — 全社メールの送信履歴、朝礼での説明日、研修の受講記録など
周知は「メールを送った」で終わらせないでください。 読まれた保証がありません。入社時の説明に組み込むと、対象者の漏れがなくなります。既存社員には、年1回の教育の場で再確認するのが現実的です。
テンプレートの流用でよくある失敗
- 自社にない部署名や役職名が残っている（「情報システム部長」がいない）
- 守れないルールが書かれている（実際は使っているUSBメモリを「禁止」と記載）
- 点検の頻度が過剰（「毎月」と書いて年1回も実施していない）
書いたことは、守れていなければ「違反」として扱われます。 現実に回せる内容だけを書き、頻度は年1回から始めてください。
まとめ
- 文書は基本方針・対策基準（規程）・実施手順の3層に分ける
- 基本方針に具体的な数値を書かない。変更のたびに経営者の承認が必要になる
- 公開するのは基本方針だけ。規程や手順書は社内文書として扱う
- 基本方針の公開は、取引先のチェックシート回答でURLを示せるという実利がある
- 責任者を経営者にするのは、業務停止・費用・公表・身代金の判断が発生するため
- IT担当者に判断を背負わせると、判断が遅れるか誰も決めないまま時間が過ぎる
- 不在時の代理と、休日・夜間の連絡経路を決めておく
- 制定日・承認者・改訂履歴・周知記録を残す。日付のない文書は審査で通用しない
- 周知は入社時の説明に組み込む。メール送信だけでは読まれた保証がない
- テンプレートの流用は、存在しない役職・守れないルール・過剰な頻度を残しやすい
基本方針は完璧を目指す必要はありません。まずはシンプルなものを策定し、運用しながら改善していくことが大切です。
次回は、守るべき情報資産を明確にする「リスク分析」と、具体的なルールを定める「情報セキュリティ関連規程」について解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。