サービス比較の記事一覧

AIで顧客対応・サポート業務を自動化したい

サービス比較の記事一覧

AIで顧客対応・サポート業務を自動化したい

資産・データを安全に管理したい

ISMS・Pマーク認証取得支援
の関連情報

情報セキュリティ規程の作り方|文書体系・必要な規程一覧・章立てのひな形まで

情報セキュリティ規程の作り方のサムネイル画像

取引先からセキュリティ体制の提示を求められたり、ISMS(情報セキュリティマネジメントシステム)やプライバシーマークの取得を見据えたりして、自社の情報セキュリティ規程を一から整備することになった担当者は少なくありません。いざ着手しようとすると、「規程」と一口に言っても、どんな文書を・どんな章立てで作ればよいのかがつかみにくく、手が止まりがちです。

本記事では、情報セキュリティ規程が「基本方針・対策基準・実施手順」という三層の文書体系で成り立つことをまず押さえます。そのうえで、対策基準として用意する規程の範囲、規程1本の章立て・条項例、作成の手順、使える公的なひな形の入手先、形骸化させない運用のポイントまでを順に解説します。

公的機関が公開しているサンプルや規程の実物を引きながら、規程の全体像と中身を具体的に紹介します。自社の規模や事情に合わせて規程を書き始めるための土台としてご活用ください。

ISMS・Pマーク認証取得支援の関連サービス資料
PR
本セクションにはプロモーションが含まれており、表示順は当社独自の基準や提携状況に基づいています。

情報セキュリティ規程の全体像|基本方針・対策基準・実施手順の三層構造

情報セキュリティ規程とは、情報の取り扱いや守り方について社内で守るべきルールを文書として定めたものです。1枚の文書で完結するのではなく、抽象度の異なる文書を三層に重ねて体系化するのが一般的な考え方です。上位から順に「基本方針」「対策基準」「実施手順」と呼び、それぞれ書く内容・守る人・改訂のしやすさが異なります。

情報セキュリティ規程の三層構造を示した図解。上位から順に、全従業員・社外への表明で改訂が数年単位の基本方針、管理者・各担当者が守りアクセス管理や情報資産の管理・インシデント対応など分野別の具体的ルールを定め改訂が中程度の対策基準(規程)、現場の担当者が個別の業務やシステムで実施し改訂が頻繁な実施手順。基本方針と対策基準をあわせて情報セキュリティポリシーと呼び、その下に実施手順を置く。

この三層構造は、総務省が自治体向けに示したガイドラインでも整理されており、情報セキュリティポリシー(基本方針と対策基準)と、その下に置く個別の手順・マニュアル(実施手順)という形で広く使われています。まずは全体像を表で確認します。

← 横にスクロールできます →
情報セキュリティ規程の三層構造基本方針(ポリシー)対策基準(スタンダード)実施手順(プロシージャ)
書く内容情報セキュリティに取り組む目的・経営者の姿勢・全社で守る基本的な考え方を宣言する最上位の文書基本方針を実現するために、分野ごとに守るべき具体的なルール(アクセス管理・情報資産の管理・インシデント対応など)を定める文書対策基準で定めたルールを、個別の業務やシステムで実際に行うための具体的な作業手順・手続き
主な読み手・守る人全従業員・社外への表明管理者・各担当者現場の担当者
改訂のしやすさ低い(数年単位で見直す)中程度(ルールの変更に応じて見直す)高い(システムや運用の変更に合わせて頻繁に更新する)

※三層の整理は総務省のガイドラインや政府機関等の規程の考え方に基づく一般的なものです。呼び方や分け方は組織によって異なる場合があります。

出典・参考資料(1件)

この三層の分け方には実務上の利点があります。手順は現場の運用やシステムの入れ替えに合わせて頻繁に変わりますが、基本方針や対策基準まで毎回書き換える必要はありません。上位の文書を安定させたまま、下位の手順だけを差し替えられる構造にしておくことで、改訂の負担を抑えられます。

実際の文書に落とすと、基本方針は全社に示す短い宣言文、対策基準はアクセス管理規程・情報資産管理規程・インシデント対応規程といった分野別の社内ルール、実施手順はパスワード運用手順書・バックアップ手順書・インシデント報告の手順といった現場向けの手引き、というイメージになります。どの層にどの文書が当たるかを意識すると、作るべき文書の全体像が描きやすくなります。

「対策基準」「実施手順」という呼び方は、政府機関等の情報セキュリティ対策の考え方に沿った独立行政法人製品評価技術基盤機構(NITE)の規程でも、次のように定義されています。

  • 対策基準 機関等における情報及び情報システムの情報セキュリティを確保するための情報セキュリティ対策の基準をいう。
  • 実施手順 対策基準に定められた対策内容を個別の情報システムや業務において実施するため、あらかじめ定める必要のある具体的な手順や手続をいう。
出典:情報セキュリティ管理規程 第2条|独立行政法人製品評価技術基盤機構(NITE)

情報セキュリティマネジメントの国際規格であるISO/IEC 27001(JIS Q 27001)も、情報セキュリティ方針を定めて文書化することを組織に求めています。ただし規格本文は「基本方針・対策基準・実施手順」という三層の呼び方そのものを定めているわけではなく、三層構造は国内の実務で定着した整理の仕方である点は押さえておくとよいでしょう。

本記事で扱う規程(対策基準)に対して、その上位にある「基本方針」とそれを含む情報セキュリティポリシー全体の位置づけ・策定手順・ひな形を詳しく知りたい場合は、以下の記事で解説しています。

対策基準として用意する規程の範囲(最低限どこまで作るか)

三層のうち、実務で「規程」として作り込むことになるのが中間の対策基準です。守るべき分野を洗い出し、それぞれについてルールを定めます。一般には、次のような分野ごとに規程やルールを整えることが多くなります。

  • 組織・体制:情報セキュリティの責任者や推進体制、承認・報告のルール
  • 情報資産の管理:扱う情報や機器の台帳化、重要度に応じた格付けと取り扱いルール
  • アクセス制御・認証:アカウントや権限の付与・削除、パスワードや多要素認証の運用
  • インシデント対応・事業継続:事故が起きたときの連絡・初動・再発防止の手順
  • 人的対策・教育:従業員の守るべき義務、入退社時の扱い、定期的な教育
  • 物理的対策:執務室やサーバー室への入退室、書類や画面の管理(クリアデスク・クリアスクリーン)
  • 委託先の管理:外部に業務を委託する際の選定・契約・点検

これらを「それぞれ別の規程として何本も作る」必要は必ずしもありません。独立行政法人情報処理推進機構(IPA)が中小企業向けに公開している「情報セキュリティ関連規程(サンプル)」は、1本の関連規程を組織的対策・人的対策・物理的対策・技術的対策の4分野に分けて条文化する構成をとっています。先ほど挙げた分野も、IPAのサンプルではこの4つの対策区分の中に整理されています。各区分の内訳は次のとおりです。

  • 【組織的対策】1. 情報セキュリティのための組織/2. 情報セキュリティ取組みの監査・点検/3. 情報セキュリティに関する情報共有/4. 情報セキュリティ基本方針の制定・管理/5. 情報資産・IT資産の管理/6. アクセス制御及び認証/7. インターネットの利用/8. 委託管理/9. 情報セキュリティインシデント対応及び事業継続管理
  • 【人的対策】1. 雇用条件/2. 従業員の責務/3. 雇用の終了/4. 情報セキュリティ教育/5. 人材育成/6. テレワークにおける対策
  • 【物理的対策】1. 入室権限およびセキュリティ領域/2. 関連設備の管理/3. セキュリティ領域内注意事項/4. 搬入物の受け渡し/5. クリアデスク・クリアスクリーン
  • 【技術的対策】1. アクセス制御及び認証に関する標準設定等/2. IT機器利用/3. IT基盤運用管理/4. バックアップ/5. リストア手順/6. システム開発及び保守
出典:中小企業の情報セキュリティ対策ガイドライン 付録5「情報セキュリティ関連規程(サンプル)」|情報処理推進機構(IPA)

この組織的・人的・物理的・技術的という4区分は、ISMS認証の国際規格であるISO/IEC 27001:2022(日本語版はJIS Q 27001:2023)の附属書Aと同じ枠組みです。附属書Aは管理策を組織的管理策・人的管理策・物理的管理策・技術的管理策の4つのテーマ(全93項目)に整理しており、IPAサンプルの4区分はこれに対応します。

将来ISMS認証の取得を見据える場合も、この4区分で規程を整理しておくと、規格の管理策との突き合わせがしやすくなります。

最初からすべての分野を完璧に作り込もうとすると、着手のハードルが高くなり、かえって完成しないまま止まってしまいます。IPAのガイドラインは、企業の方針やリソースに合わせて段階的に対策を広げていくステップアップ方式を示しています。

最低限の出発点としては、まず組織・体制(責任者と推進体制の明確化)、情報資産の管理、アクセス制御・認証、インシデント対応の4領域を押さえると、多くの企業で土台になります。人的対策・物理的対策・委託先の管理は、運用を始めてから対象を広げていくとよいでしょう。そのうえで、自社にとってリスクの大きい分野を優先して規程化していくのが現実的な進め方です。

規程1本の章立て・条項例(総則から改廃まで)

では、規程1本は実際にどのような章立てで書かれているのでしょうか。公的機関が公開している規程の実物を見ると、全体の骨格がつかみやすくなります。ここでは、NITEが公開している「情報セキュリティ管理規程」を例に、章の並びを確認します。この規程は全12章41条で構成されており、章の並びは次のようになっています。

  • 第1章 総則(目的・定義)
  • 第2章 組織と体制の整備(責任者・委員会・承認の仕組み)
  • 第3章 資産管理(情報システム台帳の整備)
  • 第4章 情報セキュリティ関連規程の整備(リスク評価・対策基準・運用規程および実施手順の策定)
  • 第5章 情報の取扱いの原則(情報の格付および取扱制限)
  • 第6章 情報セキュリティ関係規程の運用(運用・違反に対する措置・例外措置)
  • 第7章 情報セキュリティインシデントへの対応(体制整備・事前準備・発生時対応・再発防止)
  • 第8章 教育(実施計画・教育の実施)
  • 第9章 評価及び見直し(自己点検・評価改善)
  • 第10章 情報セキュリティ監査(監査計画・実施・結果への対処)
  • 第11章 情報セキュリティ対策の見直し
  • 第12章 雑則(管理部署)/附則(施行期日)

冒頭の第1条は、規程全体の目的を次のように宣言しています。引用文中の「……」には規程を定める組織の名称が入り、自社で作る際はここを自社名に置き換えます。まず「何のための規程か」を総則で定めるところから始めます。

(目的)第1条 この規程は、……における情報セキュリティの適正な管理を行うために必要な事項を定め、もって……保有する情報に係る安全性及び信頼性の向上に資することを目的とする。

出典:情報セキュリティ管理規程 第1条|独立行政法人製品評価技術基盤機構(NITE)

章立てを整理すると、「総則(目的・定義)→ 体制と責任 → 情報資産や各分野の対策 → 運用・インシデント対応 → 教育 → 評価・監査・見直し → 改廃(附則)」という流れになっています。NITEは独立行政法人のため責任者の階層が多段で、中小企業にはやや重厚ですが、条の並びの骨格は自社規程を組み立てる際の参考になります。

中小企業がこの構成から取り込むなら、まず第1章(総則)・第2章(組織と体制)・第3章(資産管理)・第5章(情報の取扱いの原則)・第7章(インシデント対応)・第9章(評価及び見直し)を軸にすると、規程として外せない骨格を押さえられます。第10章(情報セキュリティ監査)のように運用負荷の大きい章は、体制が固まってから段階的に加えるとよいでしょう。

自社向けには、使わない役職や体制の条文を削り、必要な分野に絞って簡素化するところから始めるとよいでしょう。中小企業であれば、たとえば次のくらいの章立てに絞っても、規程として必要な要素は押さえられます。

  • 第1章 総則(目的・用語の定義・適用範囲)
  • 第2章 管理体制(責任者・役割分担)
  • 第3章 情報資産の管理(台帳・重要度の格付けと取扱い)
  • 第4章 アクセス制御・認証(権限管理・パスワード運用)
  • 第5章 インシデント対応(連絡・初動・再発防止)
  • 第6章 教育・点検・見直し
  • 附則(施行日・改廃)

各章の中身は、たとえば情報資産の管理であれば「扱う情報を台帳に登録し、重要度に応じて格付けして取扱いのルールを定める」、アクセス制御であれば「業務上必要な人だけに権限を与え、退職・異動時にすみやかに削除する」、インシデント対応であれば「事故を発見したら誰に・いつまでに報告し、どう初動するかを決める」といった形で書いていきます。

これを実際の条文に落とすとどう書くかは、IPAの無償サンプルの該当条文が参考になります。たとえば情報資産の管理(特定と台帳への記載)とアクセス制御(権限の最小化)について、IPAサンプルは次のように定めています。

  • 自社の保有する情報及び個人情報(以下「情報資産」という)を特定し、「情報資産管理台帳」に記載する。情報資産の機密性は、以下の基準に従って評価する。
  • 「情報資産管理台帳」の利用者範囲に基づき、利用者の業務・職務に応じた必要最低限のアクセス権を付与する。
出典:中小企業の情報セキュリティ対策ガイドライン 付録5「情報セキュリティ関連規程(サンプル)」|情報処理推進機構(IPA)

このように、分野ごとに「何を・どの台帳に・どの基準で」まで具体的に書き下すのが条文の粒度です。いずれも自社の実態に沿って定めることが大切です。条文の表現に迷うときは、後述する公的な無償ひな形の該当箇所を下敷きにすると進めやすくなります。

情報セキュリティ規程の作成手順

全体像と章立てがつかめたら、実際の作成に入ります。IPAの「中小企業の情報セキュリティ対策ガイドライン」が示す流れを踏まえると、作成は次の順序で進めるのが基本です。

手順はおおむね、情報資産の棚卸し → リスク評価 → 文書化 → 承認 → 周知・運用という流れです。はじめに、自社が扱う情報資産やIT機器を棚卸しして、どの情報が重要かを把握するところから始めます。続いて、その資産にどんなリスクがあるかを分析し、リスクの大きいものから優先して対策を決めていきます。

情報セキュリティ規程の作成手順を5ステップで示した図解。STEP1 情報資産の棚卸し(扱う情報やIT機器を洗い出し重要度を把握)、STEP2 リスク評価(リスクを分析し大きいものから優先して対策を決める)、STEP3 文書化(決めた対策を規程に落とし、公的なひな形を自社向けに修正)、STEP4 承認(経営層のレビューと承認を経て制定)、STEP5 周知・運用(全従業員へ周知・教育し運用を開始)。

対策が固まったら、文書に落とし込んで規程にします。文書化についてIPAは次のように説明しています。

決定した対策を一から文書化するのは経験がないと難しいため、「情報セキュリティ関連規程(サンプル)」(付録5)を参考に、自社に適した規程にするために修正を加えます。

出典:中小企業の情報セキュリティ対策ガイドライン 第4.0版|情報処理推進機構(IPA)

起草した規程は、経営層のレビューと承認を経て正式なルールとして制定します。制定後は、全従業員への周知と教育を行い、内容を理解してもらったうえで運用を開始します。情報セキュリティ規程は作って終わりではなく、運用しながら定期的に見直して改善していく循環の中に置くものだという点を、最初から前提にしておくことが大切です。

使える公的なひな形(無償サンプル)の入手先と使い方

規程を一から白紙で書く必要はありません。公的機関が無償のひな形(サンプル)を公開しており、これを土台にすると着手が大きく楽になります。中でも、中小企業が使いやすく内容も充実しているのがIPAの「中小企業の情報セキュリティ対策ガイドライン」に付属する各種サンプルです。主なものは次のとおりです。

← 横にスクロールできます →
IPAが公開する情報セキュリティ関連の無償ひな形情報セキュリティ基本方針(付録2)情報セキュリティハンドブック(付録4)情報セキュリティ関連規程(付録5)情報資産管理台帳(付録6)
形式WordPowerPointWordExcel
用途三層の最上位=基本方針のサンプル。経営者が承認する宣言文の雛形従業員への周知・教育に使える解説資料の雛形対策基準にあたる規程本体のサンプル(4分野で章立て)情報資産の棚卸し・格付けに使う台帳の雛形

※いずれもIPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録。2026年10月時点で公式サイトから無償でダウンロードできます。

ここで注意したいのは、ひな形はそのままコピーして使えるものではないという点です。IPAのサンプルも、自社の事情に合わせて書き換えることを前提に作られています。

中小企業向けの情報セキュリティ関連規程のサンプルです。必要な対策を選択し、編集することで自社の情報セキュリティ関連規程を作成することができます。※赤字箇所は、自社の事情に応じた内容(役職名、担当者名など)に書き換えてください。※青字箇所は、自社の事情に応じた文言を選択してください。

出典:中小企業の情報セキュリティ対策ガイドライン 付録5|情報処理推進機構(IPA)

ひな形は「出発点」であって「完成品」ではありません。役職名や担当部署を自社の実態に合わせ、自社にない対策の条文は削り、逆に必要な対策があれば追記する、という編集作業が必ず伴います。この編集を省くと、実態と合わない規程ができあがり、後述する形骸化の原因になります。

これらの付録のうち情報資産管理台帳(付録6)は、記載項目の選び方や情報の重要度(機密性・完全性・可用性)の付け方で手が止まりやすい資料です。規程づくりの前提になる情報資産の棚卸しとあわせて、台帳の具体的な作り方を記入例から確認したい場合は、以下の記事が参考になります。

このほか、規程モデルと作成の手引をまとめた資料として、日本システム監査人協会の「情報セキュリティ管理規程」作成の手引も公開されています。章立てを検討する際の参考になります。

出典・参考資料(3件)

規程を形骸化させない運用・見直しの勘所

情報セキュリティ規程は、作って終わりにすると「文書は立派だが誰も守っていない」状態に陥りがちです。ここでは、作った規程を機能させ続けるための運用のポイントと、陥りやすい落とし穴を整理します。

定期的な見直し・内部監査・教育の回し方

運用の基本は、「決めたことが守られているかを定期的に点検し、実態に合わせて規程を更新する」という循環を回すことです。一般には年1回程度を目安に見直しの機会を設け、組織変更や重大なインシデントが起きたときには臨時でも見直します。点検は、自己点検や内部監査の形で、規程どおりに運用されているかを確認します。

あわせて、従業員への教育を定期的に行います。規程は読まれて初めて意味を持つため、入社時だけでなく、定期的に内容を伝え直す機会をつくります。見直し・点検・教育をあらかじめ年間の予定に組み込んでおくと、運用が属人的にならず続けやすくなります。

形骸化を招く5つの落とし穴と回避策

規程が形だけになってしまうパターンには、共通する傾向があります。次の5点は特に起こりやすいため、作成・運用の段階で意識しておくと防ぎやすくなります。

  • 抽象的すぎて現場が判断できない:「適切に管理する」といった曖昧な表現が多いと、現場は具体的に何をすればよいか分かりません。実施手順まで落とし込んで、行動が決まる粒度で書きます。
  • 規格やひな形の丸写し:ひな形をそのまま貼り付けると、自社にない業務や体制の条文が残り、実態と合わなくなります。自社に合わせて取捨選択・修正します。
  • 教育・周知が形だけ:配っただけ・掲示しただけでは守られません。要点を伝え、理解を確認する機会をつくります。
  • 例外運用が増えて機能しなくなる:「今回だけ」の例外が積み重なると規程が守られなくなります。例外は申請・承認・記録のルールを決めて管理します。
  • 改訂が止まって陳腐化する:システムや組織が変わっても規程が更新されないと、現実と乖離します。見直しの時期と担当をあらかじめ決めておきます。

情報セキュリティ規程の整備を支えるサービス

ここまで見てきたように、情報セキュリティ規程の整備は、文書体系の理解から規程の起草、運用・見直しまで一定の作業量を伴います。専任のセキュリティ担当者を置きにくい企業や、ISMS・プライバシーマークの取得まで見据える企業では、こうした工程をガイドに沿って進められるクラウドサービスを活用する選択肢もあります。ここでは、規程整備を支えるサービスを1つ紹介します。

SecureNavi(SecureNavi株式会社)

SecureNavi公式サイトのトップページ。ISMS・Pマークの取得と運用をクラウドで一元管理するサービスであることを紹介している。

SecureNaviは、ISMS認証(ISO/IEC 27001)とプライバシーマークの取得・運用を一元管理するクラウド型のサービスです。ExcelやWordで分散しがちな規程類・情報資産台帳・リスクアセスメント・内部監査記録をSaaS上に集約し、認証取得に必要な取り組みをステップ化したガイドに沿って入力・選択していくことで、規程類や記録類を整えられる点が特徴です。

取得フェーズだけでなく、更新審査・内部監査・規格改訂への対応といった運用フェーズにも対応します。専任のセキュリティ担当者を置きにくい企業が、外部コンサルタントに全面依存せず社内主導で認証取得・運用を進められる設計で、情報セキュリティ規程を一から整備したい企業の土台づくりを支えます。

料金は公式サイトで非公開のため要問い合わせです(SecureNaviの情報は2026年9月時点の公開情報にもとづきます。最新の対応範囲・料金は公式サイトでご確認ください)。

SecureNaviを含め、ISMS・プライバシーマークの取得支援サービスは、書類作成まで代行するタイプから社内主導で進める伴走型まで分かれ、費用や取得期間、対応できる認証の幅も異なります。自社に合う進め方を全体から比較したい場合は、以下の記事で主要な支援サービスを選び方とあわせて解説しています。

まとめ

情報セキュリティ規程は、基本方針・対策基準・実施手順の三層で文書体系を組み立てるのが基本です。対策基準では、組織・情報資産・アクセス制御・インシデント対応・教育・物理・委託といった分野ごとにルールを定め、最初から完璧を目指さず、リスクの大きい分野から段階的に整えていきます。

規程1本の章立ては、総則から体制・各対策・運用・評価・改廃までの流れで組み立て、IPAなどの公的な無償ひな形を自社向けに編集して作ると効率的です。作ったあとは定期的な見直し・点検・教育で形骸化を防ぎます。

自社だけで進めるのが難しい場合や、ISMS・プライバシーマークの取得まで見据える場合は、規程整備をガイドに沿って進められるサービスの活用も検討してみてください。

よくある質問(FAQ)

Q. 情報セキュリティ規程とは何ですか?

A. 情報セキュリティ規程とは、情報の取り扱いや守り方について社内で守るべきルールを文書として定めたものです。一般には「基本方針・対策基準・実施手順」という三層の文書体系で構成され、このうち分野ごとの具体的なルール(アクセス管理・情報資産の管理・インシデント対応など)を定める「対策基準」にあたる文書を指して規程と呼ぶことが多くなっています。

Q. 情報セキュリティ規程と情報セキュリティポリシーは何が違いますか?

A. 情報セキュリティポリシーは、規程を含むより上位の枠組みを指す言葉で、一般には「基本方針」と「対策基準」をあわせたものを指します。総務省のガイドラインでも、情報セキュリティポリシー(基本方針+対策基準)の下に個別の規定・手順(実施手順)を置く整理が示されています。

つまり規程(対策基準)はポリシーの一部であり、ポリシーのほうが広い概念です。ただし呼び方は組織によって異なり、両者をほぼ同じ意味で使う場合もあります。

Q. 情報セキュリティ規程は最低限どこから作ればよいですか?

A. 情報セキュリティ規程は、自社にとってリスクの大きい分野から段階的に作り始めるのが現実的です。最初からすべての分野を完璧に作り込もうとすると着手のハードルが上がり、かえって完成しないまま止まってしまいます。

IPAのガイドラインも、企業の方針やリソースに合わせて対策を広げるステップアップ方式を示しています。まず情報資産を棚卸ししてリスクを評価し、リスクの大きいものから優先して規程化していくとよいでしょう。

出典・参考資料(1件)

Q. 情報セキュリティ規程のひな形はそのまま使ってよいですか?

A. 情報セキュリティ規程のひな形は、そのままでは使えず、自社の事情に合わせた編集が必須です。IPAが公開する関連規程のサンプルも、役職名や担当者名などの赤字箇所を自社向けに書き換え、青字箇所は自社に合う文言を選択したうえで、不要な対策の条文は削り、必要な対策があれば追記することを前提に作られています。この編集を省くと実態と合わない規程ができあがり、形骸化の原因になります。

出典・参考資料(1件)

Q. 情報セキュリティ規程はどのくらいの頻度で見直すべきですか?

A. 情報セキュリティ規程は、一般には年1回程度を目安に定期的に見直し、組織変更や重大なインシデントが起きたときには臨時でも見直すのが基本です。見直しの時期と担当をあらかじめ年間の予定に組み込んでおくと、改訂が止まって規程が実態と乖離するのを防げます。あわせて自己点検や内部監査で、規程どおりに運用されているかを定期的に確認します。

Q. 情報セキュリティ規程は何をもって完成といえますか?

A. 情報セキュリティ規程は、文書を書き終えた時点が完成ではなく、運用しながら見直して改善し続ける状態にして初めて機能しているといえます。起草した規程は経営層の承認を経て制定し、全従業員への周知・教育を行って初めて運用が始まります。その後も点検・見直し・教育の循環の中に置くことが前提で、「作って終わり」にすると誰も守らない形だけの文書になりがちです。

Q. 情報セキュリティ規程の整備はISMSやプライバシーマークの取得とどう関係しますか?

A. 情報セキュリティ規程の整備は、ISMS(ISO/IEC 27001)やプライバシーマークを取得するための土台になります。これらの認証では、情報セキュリティ方針や規程を文書化し、情報資産台帳・リスクアセスメント・内部監査の記録とあわせて運用していることが求められます。

規程を一から整える負担が大きい場合や、取得まで見据える場合は、規程類や記録の整備をガイドに沿って進められるクラウドサービスを活用する方法もあります。

法人向けサービスを課題別に探すならMCB FinTechカタログ

MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。ISMS・Pマーク認証取得支援のほかの課題も、あわせてご確認ください。

MCB FinTechカタログに掲載しませんか?

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。

監修者

マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト

松嶋真倫

都市銀行にて金融実務を経験後、暗号資産関連スタートアップの創業期に参画し、市場分析・業界調査に従事。2018年にマネックスグループ入社。以降、ビットコインをはじめとするデジタルアセットからマクロ経済環境まで、金融市場を横断した調査・分析および情報発信を担う。FinTech・次世代金融領域のリサーチ統括、各種レポートや書籍の執筆、日本経済新聞など国内主要メディアへのコメント・寄稿、イベント登壇などを行う。2021年3月より現職。
記事内でご紹介している製品・サービスは監修者が選定したものではなく、編集部が独自に選定したものです。
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。

関連記事

新着記事

ISMS・Pマーク認証取得支援
おすすめの診断サービス