情報セキュリティ規程は「基本方針→対策基準→実施手順」の三層構造で策定します。IPAのガイドラインをベースに自社の業務に合わせてカスタマイズし、策定後は年1回の定期見直しで実効性を維持しましょう。
セキュリティ規程が必要な理由
情報セキュリティ対策は技術的な対策だけでは不十分です。「人」と「組織」のルールを明文化した規程がなければ、従業員が何をすべきか（何をしてはいけないか）が曖昧になり、セキュリティインシデントの原因となります。
IPAの調査によると、情報セキュリティインシデントの原因の多くは「ルールの不備」や「従業員の不注意」であり、技術的な脆弱性よりも組織的な対策の欠如が深刻です。
規程の三層構造
| 階層 | 文書 | 内容 | 対象者 |
|---|---|---|---|
| 第1層 | 基本方針（ポリシー） | 経営層のセキュリティに対するコミットメント、基本的な方向性 | 全社 |
| 第2層 | 対策基準（スタンダード） | 具体的な管理策・ルール。何をすべきかを規定 | 管理者・情シス |
| 第3層 | 実施手順（プロシージャ） | 具体的な操作手順・設定手順。どうやるかを規定 | 担当者 |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →必要な規程一覧
| 規程名 | 概要 | 優先度 |
|---|---|---|
| 情報セキュリティ基本方針 | 経営層の方針宣言 | 必須 |
| 情報資産管理規程 | 情報資産の分類・取扱いルール | 必須 |
| アクセス管理規程 | 認証・権限管理・パスワードポリシー | 必須 |
| 物理セキュリティ規程 | 入退室管理、クリアデスク、持出し制限 | 必須 |
| インシデント対応規程 | セキュリティ事故発生時の対応手順 | 必須 |
| 外部委託管理規程 | 業務委託先のセキュリティ管理 | 高 |
| テレワークセキュリティ規程 | リモートワーク時のルール | 高 |
| 個人情報保護規程 | 個人情報の取扱いルール | 高 |
| 教育訓練規程 | セキュリティ教育の実施ルール | 中 |
| 事業継続計画（BCP） | 災害・重大インシデント時の事業継続 | 中 |
策定手順
- 推進体制の構築：情報セキュリティ責任者（CISO）の任命、策定チームの組成
- 現状把握：情報資産の洗い出し、既存ルールの確認、リスクの識別
- 基本方針の策定：経営層の承認を得て基本方針を確定
- 対策基準の策定：IPAの「中小企業の情報セキュリティ対策ガイドライン」をベースに作成
- 実施手順の作成：IT部門が具体的な設定手順、運用手順を文書化
- 従業員教育：全従業員への周知・教育の実施
- 承認・施行：経営層の承認を経て正式施行
規程の主要項目
アクセス管理規程の例
- パスワードポリシー：最低12文字以上、多要素認証の必須化
- アカウント管理：入社時の発行・退職時の即日無効化ルール
- 権限管理：最小権限の原則、定期的な権限棚卸し
- 特権アカウント管理：管理者アカウントの利用制限、操作ログの取得
インシデント対応規程の例
- 報告ルール：発見者→情シス→経営層への報告フロー
- 初動対応：ネットワーク切断、証拠保全、影響範囲の特定
- 外部連絡：個人情報保護委員会、警察、取引先への通知基準
- 再発防止：原因分析、対策の実施、規程の見直し
運用と見直し
- 年1回の定期見直し：法改正、組織変更、新たなリスクに対応
- インシデント発生時の臨時見直し：事故の教訓を規程に反映
- 内部監査：規程通りに運用されているかを定期的に確認
BTNコンサルティングの支援
情報セキュリティ規程の策定支援、テンプレート提供、従業員向けセキュリティ研修を提供しています。
よくある質問
セキュリティ規程の三層構造とは何ですか？
第1層の基本方針（経営層のコミットメントと基本的な方向性、対象は全社）、第2層の対策基準（具体的な管理策・ルール、対象は管理者・情シス）、第3層の実施手順（操作手順・設定手順、対象は担当者）という3階層です。「何をすべきか」と「どうやるか」を分けることで、手順の変更が方針に波及しない構造になります。
最低限どの規程を作ればよいですか？
情報セキュリティ基本方針、情報資産管理規程、アクセス管理規程、物理セキュリティ規程、インシデント対応規程、外部委託管理規程が必須クラスです。まずこの範囲を整備し、その後に細目を足していくのが現実的です。
アクセス管理規程には何を書きますか？
パスワードポリシー（最低12文字以上、多要素認証の必須化）、アカウント管理（入社時の発行と退職時の即日無効化ルール）、権限管理（最小権限の原則、定期的な権限棚卸し）が中核です。
規程はどのくらいの頻度で見直すべきですか？
年1回の定期見直しが基本で、法改正、組織変更、新たなリスクに対応します。あわせて、インシデントが発生した場合は臨時の見直しを行い、その教訓を規程に反映します。
規程を作っただけで運用されない状態を防ぐには？
内部監査で規程どおりに運用されているかを定期的に確認することが有効です。あわせて従業員向けのセキュリティ研修で内容を周知し、現場が実際に守れる粒度になっているかを点検します。
まとめ
情報セキュリティ規程は「基本方針→対策基準→実施手順」の三層構造で策定します。IPAのガイドラインをベースに自社の業務に合わせてカスタマイズし、策定後は年1回の定期見直しで実効性を維持しましょう。