【連載第5回】守るべきものを明確に！リスク分析と情報セキュリティ関連規程
前回、基本方針と管理体制の構築について解説しました。方針ができたら、次は「何を守るのか」を明確にするステップです。
第5回では、自社の情報資産を棚卸しし、リスクを評価する方法を解説します。限られたリソースで効果的な対策を講じるには、優先順位をつけることが不可欠です。
情報資産の棚卸し
守るべきものを把握するために、まず自社がどのような情報資産を持っているかを棚卸しします。
情報資産の分類
- 顧客情報: 顧客リスト、契約書、取引履歴、個人情報
- 技術情報: 設計図、製造ノウハウ、ソースコード
- 営業情報: 見積書、提案書、販売戦略
- 人事情報: 従業員の個人情報、給与データ、評価情報
- 財務情報: 決算書、資金計画、銀行口座情報
- IT資産: サーバー、PC、ネットワーク機器、SaaSアカウント
棚卸しは1日で終わらせる
完璧な台帳を作ろうとすると、この工程で止まります。 実際、リスク分析に着手した企業の多くが棚卸しの途中で力尽きます。最初は粗くて構いません。
業務から辿るのが最短です。 「ファイル一覧を作る」のではなく、「主要な業務を5つ挙げ、それぞれで扱う情報と保管場所を書く」やり方にしてください。
| 業務 | 扱う情報 | 保管場所 |
|---|---|---|
| 受注・請求 | 取引先情報、請求データ | 販売管理システム、共有フォルダ |
| 採用・人事 | 履歴書、給与データ | 人事システム、担当者PC |
| 顧客対応 | 顧客連絡先、問い合わせ履歴 | CRM、メール |
この形なら半日で埋まります。重要なのは網羅性ではなく、「どこに何があるか分からない」状態を脱することです。
台帳に入れる項目
- 情報の種類（顧客情報、設計データなど）
- 保管場所（システム名、サーバー、クラウド、紙）
- 管理責任者（部門ではなく人）
- 機密度（下記の3段階）
- 社外に出ているか（委託先に渡していないか）
機密度は3段階で十分です。
- 公開可 — Webサイトに載せている情報、公開済みの資料
- 社内限定 — 通常の業務データ。社外に出ると困るが、直ちに被害は出ない
- 限定共有 — 個人情報、財務情報、設計データ。漏えいすると報告義務や賠償が発生する
段階を増やすほど運用されなくなります。 5段階に分けても、現場は使い分けられません。
リスクの評価方法
すべての情報資産に同じレベルの対策を講じるのは非現実的です。リスクの大きさに応じて対策の優先順位をつけます。
リスクの大きさは「影響度 × 発生可能性」で評価できます。
- 影響度: その情報が漏洩・改ざん・紛失した場合の被害の大きさ
- 発生可能性: 実際にインシデントが起きる確率
高い影響度 × 高い発生可能性 = 最優先で対策が必要、という考え方です。
3段階で評価すれば足りる
点数を細かくつけても精度は上がりません。 影響度・発生可能性ともに「大・中・小」の3段階にし、両方が「大」のものから着手してください。
評価するときの目安です。
- 影響度が「大」 — 個人情報が含まれる、事業が止まる、報告義務が発生する、取引先に影響が及ぶ
- 発生可能性が「大」 — 過去に類似の事故があった、対策が何もない、外部から到達できる、人が手作業で運用している
発生可能性は過小評価されがちです。 「うちは狙われない」という判断は、無差別に脆弱性をスキャンする攻撃には通用しません。**外部から到達できる仕組み（VPN機器、公開サーバー、クラウドの管理画面）は、それだけで発生可能性が「大」**と考えてください。
対策は4つの選択肢から選ぶ
すべてのリスクに対策を打つ必要はありません。次の4つから選び、選んだ理由を記録します。
| 選択肢 | 内容 | 例 |
|---|---|---|
| 低減 | 対策を実施してリスクを下げる | MFA導入、暗号化、バックアップ |
| 回避 | リスクの原因をやめる | USBメモリの利用を廃止する |
| 移転 | 他者に引き受けてもらう | サイバー保険、クラウドへの移行 |
| 受容 | 対応せず受け入れる | 影響が小さく、対策費用のほうが高い場合 |
「受容」を選ぶこと自体は問題ありません。 記録が残っていれば、後から見直せます。危険なのは、判断されないまま放置されている状態です。
情報セキュリティ関連規程
リスク分析の結果をもとに、具体的なルールを「規程」として文書化します。
中小企業に必要な最小限の規程
- 情報管理規程: 情報の分類、管理方法、廃棄方法
- アクセス管理規程: アカウント管理、権限管理のルール
- 持ち出し・持ち込み規程: USBメモリ、PC持ち出しのルール
- 事故対応規程: インシデント発生時の連絡体制と対応手順
完璧な規程は不要です。「運用できるレベル」で策定し、運用しながら改善していくアプローチが中小企業には適しています。
テンプレートをそのまま使わない
公開されているテンプレートは出発点として有用ですが、そのまま採用すると実態と乖離します。 よくある失敗は次のとおりです。
- 自社に存在しない部署名や役職が残っている — 「情報システム部長が承認する」と書かれているが、その役職がない
- 守れないルールが書かれている — 「USBメモリの使用を禁止する」としながら、現場では日常的に使っている
- 点検の頻度が過剰 — 「毎月実施する」と書いて、実際は年1回も実施していない
規程に書いたことは、守れていなければ「違反」になります。 監査や事故の際、規程との不一致が問題として指摘されるため、できることだけを書くのが原則です。頻度は「年1回」から始め、回せるようになってから上げてください。
規程と就業規則をつなぐ
違反時の措置を規程に書いても、就業規則と接続していなければ人事上の対応はできません。 懲戒の根拠は就業規則側にあるため、規程を作る段階で総務・人事に確認してください。中小企業では、この確認が抜けたまま「違反した場合は処分する」とだけ書かれているケースが目立ちます。
見直しのきっかけ
- 新しいクラウドサービスを導入したとき
- 委託先が変わったとき
- 組織変更や大きな人員の増減があったとき
- 法令・ガイドラインが改正されたとき
- インシデントが発生したとき（自社・同業を問わず）
まとめ
- 棚卸しは業務から辿る。ファイル一覧を作ろうとすると途中で止まる
- 台帳は種類・保管場所・管理責任者・機密度・社外提供の有無があれば足りる
- 機密度は3段階。増やすほど現場は使い分けられなくなる
- 評価は影響度・発生可能性ともに3段階。点数を細かくしても精度は上がらない
- 発生可能性は過小評価されやすい。外部から到達できる仕組みは、それだけで「大」
- 対策は低減・回避・移転・受容の4択。「受容」も記録すれば正当な判断になる
- 危険なのは受容ではなく、判断されないまま放置されている状態
- テンプレートの流用は実態と乖離する。存在しない役職、守れないルール、過剰な頻度に注意
- **規程に書いて守れなければ「違反」**になる。できることだけを書き、頻度は年1回から
- 違反時の措置は就業規則と接続しないと人事上の対応ができない
「すべてを完璧に守る」のではなく「重要なものを重点的に守る」。この発想がリスク分析の本質です。
次回は、自社だけでなく取引先を含めた「サプライチェーン全体のセキュリティ」について解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。