情報セキュリティポリシーの整備を進めるなかで、基本方針と対策基準までは形になったものの、一番下の層にあたる「実施手順（手順書）」で手が止まっていませんか。実施手順は、対策基準で決めたルールを現場が実際にどう運用するかまで落とし込む文書で、ここが具体的でないとルールは機能しません。
ただ、「実施手順とは対策基準を具体化したものです」という説明までは理解できても、いざ自社の手順書を書こうとすると「どんな項目で、何を、どのテーマごとに書けばよいのか」でつまずきがちです。
本記事では、実施手順書にそのまま使える必須項目の型、自社で作るべき手順書テーマの網羅一覧、パスワード管理や退職者のアカウント停止などの分野別の書き方、対策基準からの落とし込み手順、そして公的機関が配布するひな形の入手先と中身までを整理します。自社の実施手順書を書き始めるための材料としてご活用ください。
目次
情報セキュリティポリシーの実施手順とは（3階層での位置づけ）
情報セキュリティポリシーは、一般に基本方針・対策基準・実施手順の3階層で整理されます。実施手順は、その最下層にあたる文書です。
総務省のガイドラインは、この3階層の関係を次のように定義しています。基本方針と対策基準を総称して「情報セキュリティポリシー」と呼び、その対策基準を具体的なシステムや手順に展開して個別の実施事項を定めるものが実施手順である、という位置づけです。
各地方公共団体の情報セキュリティ対策における基本的な考え方を定めるものが、「基本方針」である。この基本方針に基づき、全ての情報システムに共通の情報セキュリティ対策の基準を定めるのが「対策基準」である。この「基本方針」と「対策基準」を総称して「情報セキュリティポリシー」という。この「対策基準」を、具体的なシステムや手順、手続に展開して個別の実施事項を定めるものが「実施手順」である。
出典：地方公共団体における情報セキュリティポリシーに関するガイドライン（令和5年3月版）｜総務省
同ガイドラインは、実施手順について「職員等関係者が、各々の扱うネットワーク及び情報システムや携わる業務において、どのような手順で情報セキュリティポリシーに記述された内容を実行していくかを定めるマニュアルに該当する」とも説明しています。
このように実施手順書は、対策基準で定めたルールを、現場の担当者が日々の業務でそのとおり動けるレベルまで具体化した「マニュアル」です。この3階層の呼び方は自治体向けの文書で定義されたものですが、企業の情報セキュリティポリシーでも標準的な構造です。
基本方針が全社の考え方を、対策基準が全社共通のルールを定めるのに対し、実施手順は誰が・いつ・どの手順で実行するかを書く層です。抽象的なルールを現場の作業に変換する役割を担うため、具体性が足りないと運用されず、ルールが形だけになってしまいます。
出典・参考資料（1件）
基本方針・対策基準まではこれから整える、あるいは三層構造や策定の進め方を一度おさらいしておきたい場合は、情報セキュリティポリシー全体を通して解説した次の記事もあわせてご覧ください。
実施手順書に書く必須項目・章立ての型（テンプレート）
実施手順書は、1つのテーマ（例：パスワード管理、バックアップ）ごとに作成します。どのテーマの手順書でも、まず共通して押さえておきたい項目の型があります。この型に沿って項目を並べると、現場が迷わず動ける手順書になります。
以下は、実在する自治体の実施手順書やIPA（情報処理推進機構）の規程サンプルに共通して見られる構成要素を、手順書1本分の骨格として整理したものです。そのまま自社の手順書の見出しとして使えます。
| 項目 | 目的 | 適用範囲 | 実施者・責任者 | 実施のタイミング | 手順 | 必要なもの・ツール | 例外・緊急時の扱い | 記録・保管 |
|---|---|---|---|---|---|---|---|---|
| この項目に書くこと | その手順書が何のために存在するか。どの対策基準を具体化したものかを示す | 対象となる組織・業務・情報システム・情報資産の範囲 | 誰が手順を実行し、誰が承認・管理するか。役割と責任の所在 | いつ・どの事象をきっかけに実施するか（入社時・退職時・定期・随時など） | 実際の作業手順を、現場がそのとおり動ける具体性で順を追って記述 | 手順の実行に使う申請書・システム・設定値などの前提 | 原則どおりにできない場合の特例申請や、インシデント発生時のエスカレーション先 | 実施した記録を何に・どれだけ残すか（監査や点検で確認される証跡） |
| 記載のイメージ | 本手順は、対策基準で定めた「アクセス制御」を実施するための具体的な手順を定める | 全部門の従業員、および業務で利用する全ての情報システムに適用する | 申請は利用者、承認・管理は各システムの管理者が行う | アカウントの削除は、退職・異動の発生後すみやかに行う | (1)管理者へ申請する (2)管理者が本人確認のうえ設定する (3)設定内容を記録する | アカウント申請フォーム、管理台帳、対象システムの管理者権限 | やむを得ず共有IDを使う場合は管理責任者を定め、情報セキュリティ管理者に申請する | 申請・承認の記録は管理台帳に残し、所定の期間保管する |
※上記は実施手順書1本に共通して盛り込む項目の型の一例です。テーマによって不要な項目や追加すべき項目があるため、自社の運用に合わせて調整してください。
この型は、公開されている実施手順書や公的機関の規程サンプルに共通して見られる要素を整理したものです。たとえば飯塚市の情報セキュリティ実施手順は、冒頭に「目的」「定義及び適用範囲」を置き（上表の「目的」「適用範囲」に対応）、以降は「ID の取扱い」「バックアップ」などのテーマごとに、申請・承認の実施者や具体的な手順、記録の残し方を定めています。
IPAの「中小企業の情報セキュリティ対策ガイドライン」付録の規程サンプルも、利用者アカウントの登録・特権アカウント・インシデント対応手順などを、担当・手順・例外の扱いを含めて定める構成です。実施者・タイミング・手順・記録・例外といった項目は、こうした公的サンプルに共通して含まれており、特定の著者の見解ではなく標準的な手順書の型として使えます。
飯塚市の実施手順でも、「定義及び適用範囲」の章で基本方針および対策基準に定めるものに準拠すると明記されており、実施手順が上位文書の下に位置づけられていることが実物で確認できます。
出典・参考資料（2件）
自社で作るべき手順書テーマ一覧（抜け漏れ自己チェック表）
実施手順書は、守るべき情報資産と業務のテーマごとに分けて作ります。パスワード管理の手順だけ整備してアカウントの退職時処理やインシデント対応が抜けている、といった不足は、審査や監査で指摘されやすいポイントです。
以下は、IPAの「中小企業の情報セキュリティ対策ガイドライン」付録の規程サンプルと、実在する自治体の実施手順書で扱われているテーマを整理し、企業向けに並べた一覧です。右列には、国際規格ISO/IEC 27001:2022（国内規格はJIS Q 27001:2023）の附属書Aが管理策を整理している4つのテーマ（組織的・人的・物理的・技術的）との対応を示しました。
自社でどのテーマの手順書が作れているか、抜けがないかの自己チェックにお使いください。
| 手順書のテーマ | アクセス制御・パスワード・認証 | アカウント管理（発行・退職者/異動者の停止） | 端末・社外持ち出し管理 | 電子メール・誤送信防止 | ウイルス対策・ソフトウェア更新 | バックアップ | テレワーク | 情報資産の分類・管理・廃棄 | 委託先管理 | インシデント対応・連絡 | 物理的セキュリティ | 従業員教育 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 主に定めること | ID発行の申請・承認、パスワードの設定ルール、多要素認証、特権IDの管理 | 入社・異動・退職に伴うアカウントの発行・権限変更・削除のタイミングと手順 | PC・スマートフォンの設定、離席時のロック、持ち出し時の取り扱い | 宛先確認、添付ファイルの取り扱い、誤送信時の対応 | 対策ソフトの導入・更新、OS・アプリの更新、感染時の初動 | 対象データ、取得の頻度・世代、保管場所、復旧の確認 | 社外からの接続方法、利用機器のルール、作業環境の注意点 | 情報資産の分類と台帳管理、運搬、紙・電子媒体の廃棄方法 | 委託先の評価、契約時のセキュリティ要件、再委託の扱い | 事故発生時の報告・連絡ルート、初動対応、記録 | 入退室管理、重要書類の保管、サーバー室の管理 | セキュリティ教育の実施、受講記録、対象者と頻度 |
| 対応する管理策テーマ | 技術的 | 技術的・人的 | 技術的・物理的 | 技術的・人的 | 技術的 | 技術的 | 組織的・技術的 | 組織的・物理的 | 組織的 | 組織的 | 物理的 | 人的 |
※管理策テーマの対応は、ISO/IEC 27001:2022附属書Aが管理策を「組織的・人的・物理的・技術的」の4つに整理していることを踏まえた目安です。自社の業務や扱う情報資産に応じて、必要なテーマを取捨選択してください。
ISO/IEC 27001は、2022年の改訂で附属書Aの管理策を「組織的」「人的」「物理的」「技術的」の4つのテーマに再整理しました。手順書のテーマをこの4分類と照らし合わせると、どの領域の手順が手薄かを把握しやすくなります。
出典・参考資料（3件）
分野別のサンプル・記載例
ここからは、代表的なテーマについて、実施手順書の手順部分をどの程度の具体性で書けばよいかを記載例で示します。いずれも、公開されている自治体の実施手順書の構成を参考にした企業向けの例です。
文中の数値（文字数・世代数・日数など）は、書き方のイメージを掴みやすくするために添えた一例で、実際には自社の運用に合わせて決めてください。前の章の項目の型（目的・適用範囲・実施者など）と組み合わせれば、手順書1本の骨格になります。
アカウント発行・退職者の停止
アカウントの発行・変更・削除を、各システムの管理者への申請を起点に管理する手順の記載例です。退職・異動時の停止漏れを防ぐことが要点になります。
- 利用者は、アカウントの新規発行・権限変更・削除が必要になったら、所定の申請フォームで各システムの管理者へ申請する。
- 管理者は本人確認のうえ、原則として利用者ごとに専用のIDを発行し、管理台帳に登録する。やむを得ず共有IDを使う場合は、管理責任者と利用範囲を台帳に記録する。
- 退職・異動が発生したら、発生後すみやかに（例：当日から翌営業日までに）該当するIDとアクセス権を停止・削除する。
- 定期的に（例：年1回、または人事異動の後）IDの棚卸しを行い、不要なアカウントや過剰な権限が残っていないか点検する。
- 管理者権限などの特権IDは付与対象を必要最小限に絞り、付与・削除の記録を残す。
パスワード・端末の管理
パスワードの設定ルールと、端末の取り扱いを定める手順の記載例です。
- パスワードは、推測されにくい一定の長さ以上とする（例：英大文字・小文字・数字・記号を組み合わせた12文字以上）。
- 同じパスワードの使い回しを禁止し、重要なシステムには多要素認証を併用する。
- 離席する際は画面をロックする（例：一定時間以上離れる場合はパスワード付きの画面ロックを設定する）。
- 端末を社外へ持ち出す場合は、持ち出す情報を必要最低限にし、紛失・盗難時の連絡先と対応をあらかじめ定めておく。
電子メール・誤送信防止
メールの送信前確認と、誤送信時の対応を定める手順の記載例です。「どの情報をメールで送ってよいか」を、対策基準で定めた情報資産の分類と対応づけておくと、現場が迷いません。
- 送信前に、宛先と、ToとCc・Bccの使い分け、添付ファイルの中身を確認する。
- 機密情報を送る場合は、暗号化やパスワードの別送など、対策基準で定めた方法に従う。
- 誤送信に気づいたら、ただちに情報セキュリティ管理者へ連絡し、受信者に削除を依頼したうえで、経緯を記録する。
バックアップ
障害やインシデントからデータを復旧できるようにするための手順の記載例です。サーバーの冗長化とは別に、確実に戻せる手段を用意しておくことが要点です。
- バックアップの対象データ（例：ファイルサーバー、業務システムのデータベース）を特定する。
- 取得の頻度と残す世代数を定める（例：日次で取得し、3世代分を保管する）。どこまで遡って復旧できる必要があるかから逆算して決める。
- バックアップは、本番環境とは別の媒体・場所に保管する。
- 定期的に復旧テストを行い、実際にデータを戻せることを確認する。
情報資産の廃棄
紙・電子媒体を安全に廃棄し、証跡を残す手順の記載例です。
- 紙の文書は、シュレッダーなどで判読できない状態にして廃棄する。
- 電子媒体は、物理的な破壊またはデータ消去ソフトで、復元できないよう確実に消去する。
- 廃棄を外部業者に委託する場合は、廃棄証明書を受け取って保管し、「確かに廃棄した」ことを示せるようにする。
インシデント発生時の連絡
情報漏えいやウイルス感染などが起きたときに、現場が最初に何をするか・誰に連絡するかを定める手順の記載例です。連絡ルートは図や箇条書きで一目でわかる形にしておくと、緊急時に機能します。
- 発見者は、異常に気づいたら、まず情報セキュリティ管理者（例：情報システム担当）へ第一報を入れる。
- 感染や不正アクセスの疑いがある端末は、被害の拡大を防ぐためネットワークから切り離す。
- 管理者は被害範囲を確認し、必要に応じて経営層・関係部門、監督官庁や取引先などの外部へ報告する。
- 対応の経緯と結果を記録し、再発防止に反映する。
これらの記載例はいずれも、前章の項目の型のうち「手順」にあたる部分です。実際の手順書では、この手順の前に目的・適用範囲・実施者を、後ろに必要なもの・例外時の扱い・記録の残し方を添えると、1本の手順書として完成します。公開されている実物では、飯塚市の情報セキュリティ実施手順が、ID の取扱い・バックアップ・廃棄・インシデントなどを章ごとに同じ粒度で定めており、自社で書く際の見本になります。
出典・参考資料（1件）
- 参考資料：飯塚市情報セキュリティ実施手順｜飯塚市
実施手順書の書き方のポイント
作るべきテーマと項目の型が決まったら、実際に書き起こすときに押さえたいポイントがあります。実施手順書は現場が迷わず動けることが目的なので、読み手に合わせた具体性が何より重要です。
- 現場が実行できる具体性で書く：「適切に管理する」ではなく「誰が・いつ・何を使って・どうするか」まで落とし込みます。抽象的な表現は、読み手によって解釈が分かれ、結局守られません。
- 現場のスキルに合わせた平易な表現にする：専門用語を並べるのではなく、担当者が読んですぐ動ける言葉で書きます。必要に応じて画面のキャプチャや図を添えると、誤解が減ります。
- 例外と緊急時の対応を明文化する：原則どおりにできない場合の特例申請の手順や、インシデント発生時のエスカレーション先をあらかじめ決めておきます。例外の扱いが書かれていないと、現場が勝手な判断で運用し始めます。
- 実態と乖離させない：理想を詰め込みすぎて現場の実務と合わない手順は、守られずに形骸化します。今の業務で実行できる内容から始め、運用しながら引き上げます。
IPAの「中小企業の情報セキュリティ対策ガイドライン」も、規程サンプルを自社の事情に応じて書き換えて使うことを前提にしており、自社の実態に合わせて具体化することの重要性がうかがえます。
出典・参考資料（1件）
対策基準から実施手順への落とし込み手順
基本方針と対策基準まで整備できている場合、実施手順はその対策基準を現場のマニュアルに展開する作業になります。総務省のガイドラインは、情報セキュリティポリシーの策定プロセスを次の順序で示しています。
- 推進体制を構築する
- 基本方針を策定する
- リスク分析を実施する
- 対策基準を策定する
- 情報セキュリティポリシーを正式に決定する
- 実施手順を策定する
- ポリシー・実施手順を周知する
すでに対策基準まで決まっているなら、着手するのは6番目の「実施手順の策定」からです。対策基準に書かれたルールを1つずつ取り出し、「それを現場が実行するには、誰が・いつ・どの手順で動けばよいか」をテーマごとの手順書に書き起こしていきます。
たとえば対策基準に「退職者のアカウントはすみやかに停止する」というルールがあるとします。これだけでは現場は「いつ・誰が・どうやって」が分からず動けません。実施手順では、これを「人事部が退職の確定を情報システム担当へ連絡する→情報システム担当が対象者のアカウントとアクセス権を停止する→停止した内容を管理台帳に記録する」というように、担当・順序・記録まで具体化します。
対策基準の一文を、この章の冒頭で示した項目の型（目的・適用範囲・実施者・タイミング・手順・記録など）に当てはめて書き下すのが、落とし込みの実際の作業です。
同ガイドラインは、実施手順について「個別の目的のために作成し、見直し等を柔軟に行っていくため、業務担当課において情報システムや情報資産を管理する者等が策定することが適当である」とも述べています。
実施手順は上位の基本方針・対策基準ほど厳格な承認を要さず、現場に近い部門が主体となって作り、運用しながら柔軟に見直していく文書だと位置づけられています。書き起こした手順書は、現場に周知して初めて機能するため、最後の周知・教育まで含めて進めます。
出典・参考資料（1件）
使えるひな形・テンプレの入手先と中身
実施手順書をゼロから書く負担を減らすには、公的機関が無償で配布しているひな形を土台にするのが近道です。代表的な2つの配布元と、その中身を紹介します。
IPA「中小企業の情報セキュリティ対策ガイドライン」付録
IPA（情報処理推進機構）が公開する「中小企業の情報セキュリティ対策ガイドライン」には、すぐに使える付録が揃っています。基本方針のサンプル（Word）、情報セキュリティハンドブックのひな形、情報セキュリティ関連規程のサンプル（Word）、資産管理台帳のサンプル（Excel）などです。
なかでも付録の「情報セキュリティ関連規程（サンプル）」は、組織体制、情報資産の管理、アクセス制御・認証、委託管理、インシデント対応・事業継続など、本記事で挙げた手順書テーマの多くを網羅しています。サンプルの冒頭には、使い方として次のように書かれています。
中小企業向けの情報セキュリティ関連規程のサンプルです。必要な対策を選択し、編集することで自社の情報セキュリティ関連規程を作成することができます。
出典：中小企業の情報セキュリティ対策ガイドライン 付録5 情報セキュリティ関連規程（サンプル）｜情報処理推進機構（IPA）
必要な対策を選び、自社の事情に合わせて書き換えて使う前提で作られているため、まずこのサンプルから自社に関係するテーマを選び、実施手順のレベルまで具体化していくのが効率的です。
付録の土台になっているガイドライン本体の構成や、最新の第4.0版で押さえておきたい変更点を先に把握しておくと、どの付録を使えばよいか判断しやすくなります。
JNSA「情報セキュリティポリシーサンプル」
JNSA（日本ネットワークセキュリティ協会）は「情報セキュリティポリシーサンプル改版」を公開しています。こちらは、情報セキュリティ基本方針に加え、人的管理・外部委託管理・資産管理・リスク管理・インシデント報告対応・システム利用など、テーマごとに細かく分かれた規程のセットが収録されています。
IPAのサンプルが1本にまとまった関連規程であるのに対し、JNSAのサンプルはテーマごとに規程が分かれているのが特徴です。自社の文書体系がすでにテーマ別に分かれている場合は、JNSAのほうが対応づけやすいこともあります。両方を見比べて、自社の構成に近いほうを土台にするとよいでしょう。
ここで注意したいのは、IPA・JNSAが配布しているのは「規程（対策基準にあたる層）」のサンプルで、その下の実施手順書そのもののひな形は公開配布が多くない点です。
すでに対策基準まで整えている場合は、これらの規程サンプルをそのまま使うのではなく、該当するテーマを選び、前の章で示した項目の型と分野別の記載例を使って実施手順のレベルまで具体化していくのが実際の進め方になります。実施手順書そのものの実物を見たいときは、前述の飯塚市の情報セキュリティ実施手順が、テーマごとの手順書の書き方の見本になります。
出典・参考資料（2件）
作ったあとの運用・見直し・周知
実施手順書は、作って終わりではなく、運用し続けることで意味を持ちます。書き上げたら全従業員に周知・教育し、現場で実際に運用します。そのうえで、定期的に内容を点検し、業務の変化や新しい脅威、組織変更に合わせて見直していきます。見直しのタイミングと担当は、手順書を作る段階であらかじめ決めておくと形骸化を防げます。
ISMS（ISO/IEC 27001）やPマーク（プライバシーマーク）は、規程や手順書を整えるだけでなく、それを実際に運用し続けるマネジメントの仕組みです。認証取得を目指す場合や取引先からセキュリティ監査を受ける場合には、手順書が存在するかだけでなく、それが実際に運用され、記録が残っているか・定期的に見直されているかも前提になります。
手順書を作る段階から、実施記録を残す仕組みや見直しのタイミングまで設計しておくと、認証審査や取引先監査にそのまま備えられます。
出典・参考資料（1件）
手順書の整備に手が回らないときは
ここまで、実施手順書の項目の型・作るべきテーマ・書き方・ひな形を見てきました。もっとも、専任のセキュリティ担当者を置けない企業では、テーマごとに規程や手順書を書き起こし、改訂のたびに版を管理し、実施記録を残していく作業を自力で回すのは負担が大きいのも実情です。
こうした規程・手順書の作成と運用を支えるクラウドサービスもあります。特にISMSやPマークの認証取得・運用を見据える場合は、ガイドに沿って入力するだけで規程類・記録類が整い、改訂時の版管理や実施記録の作成まで一元化できるツールが、手順書整備の負担を軽くします。
| 比較項目 | SecureNavi | セキュリオ（Seculio） | イソナビ（ISOナビ） |
|---|---|---|---|
| 提供形態 | クラウド型（SaaS） | クラウド型（SaaS） | クラウド型（SaaS） |
| 対応するマネジメントシステム | ISMS・Pマーク | ISMS・Pマーク | ISO 27001（ISMS）ほか各ISO規格 |
| 規程・手順書の作成・版管理 | ●改訂時の版管理・自動通知に対応 | ●ルールブックで作成・承認フロー | ●版数の自動管理・階層表示に強み |
| リスクアセスメントの実施 | ●資産登録からリスク・対策を自動提案 | ●リスク値の算出・対応管理に対応 | ×実施機能はなく記録の保存が中心 |
| 内部監査の実施支援 | ●計画・チェックリスト・報告書を一元化 | ●テンプレートで監査を実施・記録 | △報告書など記録の保存が中心 |
| 無料トライアル | 要問い合わせ | 7日間（ARスタンダードプラン） | 3ヶ月間 |
| 初期費用 | 要問い合わせ | 要問い合わせ | 120,000円（税別・全プラン共通） |
| 月額・年額費用 | 要問い合わせ | 要問い合わせ | 年額120,000円〜（ライトプラン） |
| 詳細情報 | オンライン相談を予約 | 公式サイト | 公式サイト |
※2026年10月時点の各社公式サイト・公開情報にもとづきます。料金・仕様・提供内容は変更される場合があるため、最新情報は各社の公式サイトでご確認ください。
上の比較表には、規程・手順書の作成と版管理を中心に支えるタイプから、リスクアセスメントや内部監査の実施まで含めて運用を支えるタイプまでを並べました。自社がどこまで支援してほしいか（文書の整備が中心か、運用のプロセスまで含めるか）で選ぶのが目安になります。このうちSecureNaviについて、以下で紹介します。
SecureNavi（SecureNavi株式会社）
SecureNaviは、ISMS（ISO/IEC 27001）およびPマークの取得・運用を一元管理するクラウド型のツールです。ExcelやWordで分散しがちだった規程類・情報資産台帳・リスクアセスメント・内部監査記録などをクラウド上に集約し、認証取得に必要な工程をステップ化して提示します。
ガイドに沿って入力・選択していくことで規程類・記録類が整備される設計で、情報セキュリティ担当者を専任で置けない企業でも進めやすいのが特徴です。
規程・手順書の版管理（改訂時の自動通知）、承認ワークフローと監査証跡の自動生成、情報資産台帳の管理、内部監査の一元化など、実施手順書を「作ったあと運用し続ける」工程を支える機能を備えています。別プランでは、既存の情報セキュリティ規程・ポリシーをアップロードすると、準拠率を可視化し、不足している文言を自動で提案する機能も提供しています。
基幹サービスの料金は公式サイト上で具体的な金額を公開しておらず、要問い合わせとなっています。導入を検討する際は、ミーティング予約から自社の状況に合わせた情報を確認するとよいでしょう。
まとめ
情報セキュリティポリシーの実施手順は、基本方針・対策基準の下に位置する最下層の文書で、対策基準のルールを現場が実行できるマニュアルに落とし込むものです。実施手順書は、目的・適用範囲・実施者・タイミング・手順・例外時の扱い・記録といった項目の型に沿ってテーマごとに作成し、パスワード管理から退職者のアカウント停止、インシデント対応まで、自社に必要なテーマを抜け漏れなくそろえることが重要です。
ゼロから書く場合も、IPAやJNSAが配布するひな形を土台にすれば効率的に進められます。作成後は周知・運用・定期的な見直しまで含めて設計しておくと、ISMS・Pマークの認証審査や取引先の監査にもそのまま備えられます。手順書の整備と運用の負担が大きい場合は、規程・記録の管理を支えるクラウドサービスの活用も検討してみてください。
よくある質問（FAQ）
Q. 情報セキュリティポリシーの実施手順とは何ですか？
A. 実施手順とは、情報セキュリティポリシーの基本方針・対策基準の下に置かれる最下層の文書で、対策基準で定めたルールを現場が実際にどう実行するかまで落とし込んだマニュアルです。
総務省のガイドラインでも、対策基準を具体的なシステムや手順に展開して個別の実施事項を定めるものと位置づけられています。パスワード管理やバックアップなど、守るべきテーマごとに1本ずつ作成するのが基本です。
出典・参考資料（1件）
Q. 実施手順と対策基準は何が違うのですか？
A. 実施手順と対策基準の違いは、対策基準が「全社共通のルール（何を守るか）」を定める層であるのに対し、実施手順は「誰が・いつ・どの手順で実行するか」を現場の作業レベルまで具体化した層である点です。
たとえば対策基準の「アクセスを適切に制御する」というルールを、実施手順では「申請は利用者が行い、承認と設定は各システムの管理者が行う。退職・異動が発生したらすみやかにIDを停止する」といった具体的な作業に変換します。この具体化が足りないと、ルールは守られず形だけになってしまいます。
Q. 実施手順書は社外に公開すべきですか？
A. 情報セキュリティポリシーのうち社外に公開するのは最上位の基本方針までが一般的で、対策基準と実施手順は社外秘として管理します。
実施手順書には、アカウントの停止手順やインシデント発生時の連絡ルートなど、攻撃者に知られると悪用されかねない具体的な運用情報が含まれるためです。取引先やISMS審査で提示を求められた場合も、一般公開ではなく、秘密保持を前提に限定的に開示するのが通例です。
Q. 公開されているひな形をそのまま自社の実施手順書に使ってよいですか？
A. ひな形は出発点として有効ですが、そのまま流用するのではなく、自社の業務・組織・利用システムに合わせて書き換える必要があります。
IPAの規程サンプルも「必要な対策を選択し、編集することで自社の規程を作成できる」という編集前提で配布されています。ひな形の項目を土台にしつつ、自社では誰が・どのシステムで・どう実行するかを具体化して初めて、現場が迷わず動ける実施手順書になります。
出典・参考資料（1件）
Q. 実施手順書は誰が作るべきですか？
A. 実施手順書は、情報システムや情報資産を実際に管理する業務担当部門が主体となって作成するのが適当とされています。
総務省のガイドラインは、実施手順を「個別の目的のために作成し、見直し等を柔軟に行っていくため、業務担当課において情報システムや情報資産を管理する者等が策定することが適当である」と説明しています。基本方針や対策基準ほど厳格な承認を要さず、現場に近い部門が作って運用しながら柔軟に見直していく文書だと位置づけられています。
出典・参考資料（1件）
Q. 実施手順書はどのくらいの頻度で見直せばよいですか？
A. 実施手順書は、定期的な点検に加えて、組織変更・業務の変化・新しい脅威・重大なインシデントが起きたタイミングで見直します。
手順書に例外運用が増えてきた、現場が手順どおりに動けていない、といった兆候は、手順が実態と合わなくなったサインです。作成した段階で、見直しのタイミングと担当をあらかじめ決めておくと、手順書が形骸化するのを防げます。
Q. ISMSやPマークの審査で実施手順書はどう見られますか？
A. ISMS（ISO/IEC 27001）やPマーク（プライバシーマーク）の審査では、手順書が存在するかどうかだけでなく、それが実際に運用され、記録が残っているか・定期的に見直されているかまで確認されます。
ISMSでは管理策を対策基準や実施手順に落とし込むことが求められ、審査では文書の整備状況と運用状況の両方が見られます。そのため、実施手順書を作る段階から、実施記録を残す仕組みと見直しのタイミングまで設計しておくと、認証審査や取引先のセキュリティ監査にそのまま備えられます。
法人向けサービスを課題別に探すならMCB FinTechカタログ
MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。ISMS・Pマーク認証取得支援のほかの課題も、あわせてご確認ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
