情報セキュリティポリシーとは ― 3階層の構成

パスワードの決め方や情報の持ち出しのように、職員がふだん守るルールの元になる文書が、情報セキュリティポリシーです。組織が持つ情報資産をどう守るかを決めた文書のまとまりを指します。

多くの資料は、ポリシーを基本方針・対策基準・実施手順の3つの階層に分けて説明します。上の層ほど考え方を、下の層ほど具体的な手順を書きます。

守る対象は、顧客の名簿のようなデータだけではありません。情報システムや紙の文書も、情報資産に含まれます。総務省のガイドラインは、ポリシーを情報セキュリティ対策の頂点に位置するものとしています。組織の長と全ての職員、委託事業者には、ポリシーを守る義務があります。

3つの階層の定義は、資料によって少しずつ違います。ここでは、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」令和7年3月版の定義を使います。

基本方針は、組織の情報セキュリティ対策の基本的な考え方を定める文書です。対策基準は、基本方針に基づいて、全ての情報システムに共通する対策の基準を定める文書です。実施手順は、対策基準を具体的なシステムや手続に当てはめ、個別に何をするかを定める文書です。

下の層は、すぐ上の層を具体化したものです。ガイドラインの説明では、実施手順は、職員がポリシーの内容をどう実行するかを定めたマニュアルに当たります。

基本方針は考え方を書く文書なので、システムを入れ替えても書き直すことはあまりありません。一方、実施手順はシステムごとの操作を書くので、システムが変わるたびに直します。ガイドラインも、実施手順は柔軟に見直せるように、情報システムを管理する業務担当の課が作るのが適当としています。

総務省のガイドラインは、基本方針と対策基準の2つを合わせて情報セキュリティポリシーと呼びます。実施手順はポリシーに含めず、ガイドラインの対象からも外しています。

呼び方は資料によって違います。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、対策基準・実施手順という語を使っていません。基本方針と、具体的な対策を書いた情報セキュリティ関連規程の2つで、サンプルを示しています。

公開する範囲も、層によって違います。総務省のガイドラインの例文と解説は、3つの層を次のように扱っています。

基本方針は、組織の取り組みを外に示す文書です。IPAのガイドラインも、基本方針を従業員だけでなく顧客などの関係者に周知するよう勧めています。一方、下の層ほど設定や手続が具体的になり、攻撃者に知られると困る情報が増えます。

パスワードと持ち出しの2つのテーマで、3つの層に書く文を並べます。対策基準の欄は、総務省の対策基準の例文とIPAの関連規程のサンプルを元にしています。実施手順の欄は、この記事で作った例です。

基本方針の文には、パスワードという語が出てきません。対策基準で、全員が守る事項が決まります。実施手順で、どのシステムの画面で何をするかまで決まります。

「12文字」のような具体的な値をどの層の文書に書くかは、組織によって違います。IPAの関連規程のサンプルは、パスワードの文字数やロックアウトの回数を、規程の中の表で定めています。サンプルは全体を、自社の事情に合わせて書き換えて使うものです。

次の図で文を選ぶと、3つの層のどれに入るかと、その理由が出ます。

見分ける目安は、その文が特定のシステムや手続を名指ししているかです。名指ししていれば実施手順で、全員に共通の決まりなら対策基準です。目的や姿勢を述べる文は、基本方針に入ります。ただし、どの文をどの層に書くかの線引きは、組織の文書によって違います。

総務省のガイドラインは、ポリシーを作って導入する流れを、次の7つの段階で示しています。

1. 組織体制の確立：幹部と各部署の長などで、策定のための委員会を作ります。
2. 基本方針の策定：対策の目的や体系を書きます。
3. リスク分析の実施：情報資産を調べ、リスクの大きさを求めます。
4. 対策基準の策定：リスク分析で決めた水準を満たす決まりを書きます。
5. 情報セキュリティポリシーの決定：組織の長の決裁で、正式に決めます。
6. 実施手順の策定：業務の担当の課が、具体的な手順を書きます。
7. ポリシー・実施手順の周知：説明会や配布で、職員に伝えます。

対策基準の前にリスク分析を置くのは、守る水準をリスクの大きさから決めるためです。リスクを特定・分析・評価する手順は、リスクアセスメントの記事で順に説明しています。

作ったポリシーは、一度で終わりにしません。ガイドラインは、監査や自己点検の結果からポリシーを見直し、PDCAサイクルを繰り返すとしています。この繰り返しは、ISMSのPDCAサイクルと同じ形です。

組織は、ポリシーのほかにも、目的ごとの規程を作ります。代表的なものは次のとおりです。

• 情報セキュリティインシデント対応規程：マルウェアに感染したときなどに、誰がどう対応するかを決めます。対応を受け持つ組織がCSIRTです。
• 情報セキュリティ教育の規程：職員が受ける教育の内容と時期を決めます。教育で伝える手口の例はソーシャルエンジニアリングの記事にあります。
• プライバシーポリシー：個人情報の扱い方を、利用者に向けて示します。守るべき義務は個人情報保護法が定めています。
• ソーシャルメディアガイドライン：職員がSNSで発信するときの決まりを示します。

• 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン（令和7年3月版）」（3階層の定義、ポリシーの範囲、策定の流れ、公開の扱い、対策基準の例文）
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（基本方針の作成と周知、情報セキュリティ関連規程のサンプル）