企業が自社の情報や取引先などの情報を守るためには、「情報セキュリティポリシー」の策定が不可欠です。
情報セキュリティポリシーとはどのようなものであり、どのような内容を記すものなのでしょうか？
また、情報セキュリティポリシーは、どのような目的で作成するものなのでしょうか。
今回は、情報セキュリティポリシーの概要や作成目的、記載内容などについて弁護士がくわしく解説します。
目次
＜メディア関係者の方＞取材等に関するお問い合わせはこちら
情報セキュリティポリシーとは
情報セキュリティポリシーとは、自社における情報セキュリティに関する方針やガイドライン、行動指針などを定めたものです。
企業によって、取り扱う情報の量や種類などは異なり、組織の体制も同じではありません。
そのため、情報セキュリティについて具体的に講じるべき事項は、企業ごとに異なっていて当然です。
これを体現し、自社における情報セキュリティの方針や指針、具体的な行動などを定めたものを情報セキュリティポリシーといいます。
企業が情報セキュリティポリシーを策定すべき理由
情報セキュリティポリシーの策定は法律上の義務ではなく、策定しなかったからといって罰則の対象となるようなものではありません。
では、なぜ情報セキュリティポリシーの策定が必要なのでしょうか？
ここでは、企業が情報セキュリティポリシーを策定すべき主な理由を4つ解説します。
情報資産の保護ができるから
1つ目は、情報資産を保護するためです。
業務や開発ノウハウ、顧客や従業員の個人情報などの情報資産は、企業にとっての生命線といえるでしょう。
情報セキュリティポリシーを策定することで、大切な情報資産を守ることへとつながります。
なぜなら、情報セキュリティポリシーの策定の過程では情報資産の流出や毀損などに関するリスク分析を行うこととなり、これが情報資産を保護するためのスタートラインとなるためです。
また、情報セキュリティポリシーは、企業が具体的なセキュリティ対策を講じる際の土台ともなります。
有事の際にスムーズな対応がしやすくなるから
2つ目は、有事の際にスムーズな対応がしやすくなるためです。
情報セキュリティポリシーがなければ、ランサムウェアへの感染など具体的な情報セキュリティリスクが生じた際に右往左往する事態となりかねません。
その結果、ウイルスなどに感染した端末をネットワークから切り離すなどの対応が遅れ、社内や取引先などに被害を拡げてしまうおそれがあります。
情報セキュリティポリシーで有事の際の対応手順を定めておくことで、トラブル発生時に迅速かつ確実な対応ができ、被害を最小限に抑えることが可能となります。
従業員の情報セキュリティ意識の向上につながるから
3つ目は、従業員の情報セキュリティ意識の向上につながるためです。
情報セキュリティは、経営陣だけが注意すればよいものではありません。
強固な情報セキュリティを保持するには、すべての従業員が一丸となって取り組むことが必要です。
情報セキュリティポリシーを策定することで従業員のセキュリティ意識が向上するほか、「何をすべきか」「何をしてはならないのか」など、従業員が遵守すべき事項が明確となります。
企業の信頼性が向上するから
4つ目は、企業の信頼性が向上するからです。
情報セキュリティに対する意識は非常に高まっています。
中でも、顧客情報を多く保有する企業や機密情報を保有する企業にとって、情報セキュリティは最大の関心事の一つといえるでしょう。
そうであるにもかかわらず、情報セキュリティポリシーがないと、大手企業から取引を断られるおそれもあります。
情報セキュリティポリシーを策定し実際にこれが遵守されていることで、企業の信頼度が向上する効果が期待できます。
情報セキュリティポリシーに記載すべき3つの内容
情報セキュリティポリシーには、どのような内容を定めるべきなのでしょうか？
ここでは、情報セキュリティポリシーに定めるべき3つの内容を解説します。
- 基本方針
- 対策基準
- 実施手順
基本方針
情報セキュリティポリシーでは、はじめに基本方針を定めます。
ここでは、情報セキュリティに関する企業の基本理念や基本方針を宣言します。
基本方針は、自社のホームページなどで公開し、第三者でも見られる状態とすることが少なくありません。
対策基準
次に、対策基準を定めます。
対策基準では項目ごとにガイドラインを策定し、基本方針を実践するために何をするのかを記載します。
必要となるガイドラインは企業の規模や組織体制、保護すべき情報の内容などによって異なります。
作成されることの多い主なガイドラインは次のとおりです。
- 入退室管理ガイドライン
- 社内ネットワーク利用ガイドライン
- サーバー運用ガイドライン
- セキュリティ教育ガイドライン
- アウトソーシング契約ガイドライン
ほかにも、企業の状況や情報管理方法などに応じて、必要なガイドラインを定めましょう。
実施手順
各ガイドラインの内容を実践するための、より具体的な手順（マニュアル）を策定します。
情報セキュリティを実現するための手順を、対象者や対象となる場面ごとに、明確かつ具体的に記載します。
あいまいな表現は避け、誰が見ても同様に実現できるよう定めることがポイントです。
情報セキュリティポリシーの策定で参考となるガイドライン
企業が情報セキュリティポリシーを策定するにあたっては、独立行政法人情報処理推進機構が公表している「中小企業の情報セキュリティ対策ガイドライン」が参考となります。※1
このガイドラインを確認することで、情報セキュリティポリシーの策定手順や策定にあたって実施すべき事項、たとえば「テレワークの情報セキュリティ」など状況ごとに注意すべき事項などが明確となります。
情報セキュリティポリシーを作成する手順
情報セキュリティポリシーは、どのような手順で策定すればよいのでしょうか？
ここでは、一般的な手順を紹介します。
策定手順についてお困りの際は、弁護士へご相談ください。
セキュリティマネジメントを行うための体制を整備する
はじめに、情報セキュリティマネジメントを行うための組織体制を整備します。
責任者を選定したうえで、策定や運用にかかわる人員を組織化しましょう。
必要に応じて、弁護士など情報セキュリティにくわしい外部の専門家のサポートを受けることをおすすめします。
情報セキュリティ方針を策定する
次に、情報セキュリティの基本方針を策定します。
この基本方針が、自社における情報セキュリティの土台となります。
また、先ほど解説したように、外部に向けて発信することも多いものです。
そのため、代表取締役など、企業のトップが宣言する形で策定するとよいでしょう。
情報資産を洗い出し、リスクを分析する
基本方針を策定したら、自社における情報資産を洗い出し、それぞれのリスクを分析します。
リスクを把握することで、そのリスクを避けるために講じるべき対策が明確となるためです。
また、まったく隙のない強固な情報セキュリティ対策を講じるには、莫大な費用が掛かることも少なくありません。
リスク分析をして対策の優先順位をつけることで、予算の配分なども検討しやすくなります。
文書化する
情報資産ごとにリスクを分析したら、それぞれの脅威について講じるべき対策を検討し、文書化します。
講じるべき対策は方針を定めるのみならず、できるだけ具体的に記載しましょう。
これが、先ほど解説した「対策基準」と「実施手順」に該当します。
従業員に周知する
情報セキュリティポリシーを策定したら、これを従業員に周知します。
情報セキュリティポリシーは策定しただけでは意味をなさず、従業員が重要性を認識して遵守することで、はじめて効果を発揮するものです。
そのため、研修を開催するなどして、情報セキュリティの重要性や具体的な遵守事項などを周知することが必須といえます。
違反時における懲戒規定を定める場合もあり、これも研修などで周知しておきましょう。
情報セキュリティポリシー策定のポイント
情報セキュリティポリシーは、どのような点に注意して策定する必要があるのでしょうか？
最後に、情報セキュリティポリシーを策定する主なポイントを5つ解説します。
保護対象とする情報資産を明確にする
1つ目のポイントは、保護対象とする情報資産を明確にすることです。
保護対象が不明瞭であると、正しいリスク分析ができず情報セキュリティもあいまいとなりかねません。
保護対象となる情報を明確とすることで、有効な対策が講じやすくなります。
適用対象者の範囲を適切に定める
2つ目のポイントは、各対策基準（ガイドライン）の適用対象者の範囲を、適切に定めることです。
適用対象者を明確とすることで、各従業員が「自分が何をすべきか」「自分は何をしてはならないのか」が明確となります。
ただし、一部の従業員がすべてのガイドラインの対象から外れている状況は適切ではありません。
たとえば、「アウトソーシング契約ガイドライン」の場合、契約相手を選定したり交渉したりする可能性のある従業員だけを対象とすればよいでしょう。
一方で、「社内ネットワーク利用ガイドライン」などは社内ネットワークを通じてメールやデータを送受信するすべての従業員を対象とすべきであり、管理職など一部の従業員だけを対象とすることは適切とはいえません。
従業員が理解できるようわかりやすく記載する
3つ目のポイントは、自社の従業員が理解できるよう、わかりやすく記載することです。
用語や表現が難解であり、システムに関する知識を有した者しか理解できないような情報セキュリティポリシーは、適切ではありません。
情報セキュリティポリシーは策定自体が目的ではなく、各従業員が理解し、実際に遵守されてこそ真価を発揮するものであるためです。
そのため、自社の業種や従業員の特性などに合わせ、理解できる内容で記載しましょう。
実施手順には、必要に応じて図表や操作画面などを入れると、視覚的に理解しやすくなります。
社内に周知する
4つ目のポイントは、策定した情報セキュリティポリシーを社内に周知することです。
先ほども解説したように、情報セキュリティポリシーは経営陣など社内の一部の者が理解しているだけでは不十分です。
すべての従業員が重要性やその内容を理解していなければ、情報セキュリティを実現することはできません。
そのため、策定をしたら研修などを実施して、社内に周知してください。
研修講師は社内から選任する場合もありますが、弁護士など外部の専門家に依頼することも可能です。
外部の専門家に講師を依頼することで、最新の情報漏洩事例や情報漏洩による具体的なリスクなどを踏まえた研修をしてもらいやすくなるでしょう。
定期的に評価し改訂する
5つ目のポイントは、策定した情報セキュリティポリシー定期的に評価し、必要に応じて改訂することです。
情報セキュリティポリシーは、一度策定して完了するものではありません。
実際の運用状況や社内からの意見、運用後に発覚した脆弱性などを踏まえ、適宜改訂することが必要です。
また、企業の情報セキュリティを脅かすサイバー攻撃も日々進化しており、これに対応した改訂も必要となるでしょう。
策定した情報セキュリティポリシーを形骸化させることのないよう、定期的な見直しが必須といえます。
情報セキュリティポリシーを改訂したら、その都度研修などにより社内に周知してください。
まとめ
情報セキュリティポリシーの概要や内容、作成のポイントなどについて解説しました。
情報漏洩が非常に問題視されサイバー攻撃も横行している昨今、自社の身を守るため、情報セキュリティポリシーの策定は必須だといえます。
大切な情報資産を守り、サイバー攻撃などのトラブルが発生した際にも被害を最小限に抑えることができるよう、情報セキュリティポリシーを策定しておきましょう。
情報セキュリティポリシーを策定したら従業員に研修などで周知し、定期的に内容を見直すことも重要です。
Authense法律事務所では企業法務を専門とするチームを設けており、情報資産を保護するための体制構築や各種規程の策定などもサポートしています。
情報セキュリティポリシーの策定や見直し、研修などでお困りの際は、Authense法律事務所までお気軽にご相談ください。
情報セキュリティポリシーなど規程の策定から社内への周知、トラブル発生時の対応まで、総合的なサポートが可能です。
