情報セキュリティポリシーを自社で作ろうとすると、多くの担当者が「対策基準」で手が止まります。基本方針は理念なので書けても、その下に置く対策基準に何を・どこまで書けばよいのかが分かりにくく、実施手順との線引きにも迷いがちです。
対策基準は、情報セキュリティポリシーの中で実務を動かす中心の文書です。ここに載せる項目を押さえれば、自社の規模に合わせた文書を無理なく組み立てられます。
本記事では、対策基準の位置づけと、書くべき項目を組織的・人的・物理的・技術的の4つに整理して解説します。対策基準と実施手順の書き分け、そのまま参考にできる公的なひな形の入手先、形骸化させない運用のポイントまで、作成の判断材料としてご活用ください。
目次
情報セキュリティポリシーの対策基準とは
対策基準とは、基本方針で示した考え方を受けて、全社に共通する情報セキュリティ対策の基準を具体的に定めた文書です。情報セキュリティポリシーは「基本方針」を頂点に、「対策基準」、それを具体化する「実施手順」へと展開する階層構造をなしており、対策基準はその中間に位置します。
この三層構造は、民間企業の情報セキュリティポリシーでも標準的な整理として使われています。総務省のガイドラインは、この階層構造と対策基準の位置づけを次のように整理しています（自治体向けの記述ですが、考え方は民間でも共通です）。
情報セキュリティポリシーの体系は、図表2に示す階層構造となっている。各地方公共団体の情報セキュリティ対策における基本的な考え方を定めるものが、「基本方針」である。この基本方針に基づき、全ての情報システムに共通の情報セキュリティ対策の基準を定めるのが「対策基準」である。この「基本方針」と「対策基準」を総称して「情報セキュリティポリシー」という。この「対策基準」を、具体的なシステムや手順、手続に展開して個別の実施事項を定めるものが「実施手順」である。
出典：地方公共団体における情報セキュリティポリシーに関するガイドライン（令和7年3月版）｜総務省
対策基準を「基本方針を実現するために全社で守るべきルールの基準」と捉えると、基本方針や実施手順との違いが掴みやすくなります。
基本方針は、情報を守る目的や姿勢を一枚で示す文書で、対外的に公開することも多い層です。対策基準は「何を・どのような体制とルールで守るのか」を全社共通の基準として定めます。実施手順は、その基準を個別の業務やシステムに合わせて「誰がいつどう操作するのか」まで落とし込む層です。対策基準は、この3つの中で日々の運用ルールを決める実務の軸になります。
三層の位置づけを整理すると、次のとおりです。
本記事は三層のうち対策基準に絞って掘り下げますが、基本方針や実施手順も含めて情報セキュリティポリシーをこれから一式で整える場合は、先に全体像をつかんでおくと作業の順序が見えやすくなります。以下の記事で、三層それぞれの位置づけと策定の進め方をまとめて解説しています。
情報セキュリティポリシーとは？三層構造・策定手順・ひな形をわかりやすく解説
取引先から「情報セキュリティポリシーはありますか」と尋ねられた、ISMSやPマークの取得を検討し始めた、社内のセキュリティ対策が担当者任せでばらついている——。こうしたきっかけで「情報セキュリティポリシーとは、そもそも何なのか」を調べる担当…
対策基準に書く項目【組織的・人的・物理的・技術的の4分類】
対策基準に載せる項目は、思いついた順に並べるのではなく、情報セキュリティ対策の国際規格に沿った分類で整理すると、抜け漏れを防ぎやすくなります。拠りどころになるのが、ISMS（情報セキュリティマネジメントシステム、ISO/IEC 27001）の管理策です。
ISO/IEC 27001 は2022年の改訂で、情報セキュリティ対策（管理策）の分類を見直しました。
管理策は、最新の動向を考慮して再構成され、追加・統合されて、15分類の構成から４分類（組織的、人的、物理的、技術的）に簡素化されました（管理策数は114から93になりました）。
出典：ISMS認証基準（ISO/IEC 27001）の改訂｜一般財団法人日本情報経済社会推進協会（JIPDEC）
この「組織的・人的・物理的・技術的」という4つの区分は、もともとは管理策（具体的な対策）の分類です。対策基準は組織が定める情報セキュリティ対策の基準をまとめた文書なので、この4区分を対策基準の目次の骨組みとして使うと、公式規格の枠組みに沿った網羅性のある構成にできます。以下、各区分に書く項目を見ていきます。
組織的対策（体制・ルール・責任）
組織的対策には、情報セキュリティを運用する体制と全社共通のルールを定めます。「誰が責任を持ち、どの資産を、どう守るのか」という土台を決める区分です。たとえば情報資産の管理なら、「取り扱う情報を重要度で区分し、区分ごとに保管と持ち出しの基準を定める」のように、個別の操作ではなく全社で守る基準のレベルで書きます。
このほか、基準として次のような項目を定めます。
- 情報セキュリティの責任者と各部門の担当者を定める
- 委託先には自社と同等の対策を契約で求め、定期的に実施状況を確認する
- インシデント発生時の報告ルートと対応体制を決めておく
人的対策（従業員の遵守事項・教育）
人的対策で扱うのは、情報に触れる従業員が守るべきルールと、その土台になる教育です。技術では防ぎきれない「人による漏えい・誤操作」を減らす区分といえます。たとえば「秘密情報を業務目的以外で持ち出さず、退職時に貸与機器とアカウントを返却・停止する」のように、遵守事項を基準として書きます。派遣社員や業務委託先の担当者まで対象範囲に含めておくと、運用でつまずきにくくなります。
従業員向けには、次のような基準も定めます。
- 全従業員に年1回以上のセキュリティ教育を実施する
- 私物端末の業務利用やSNSでの情報発信の可否を定める
物理的対策（入退室・機器・書類の管理）
物理的対策では、情報を扱う場所と物を守るルールを定めます。クラウド活用が進んでも、オフィスや端末という物理的な接点は残るため、対策基準でも外せません。たとえば「サーバー室や書庫は施錠し、入室を許可された者に限る」「記録媒体と重要書類は保管場所と廃棄方法を定める」といった管理のルールを定めます。
さらに、次のような基準を定めます。
- 重要区画への入室を記録に残す
- 離席時に書類を片付け画面をロックする（クリアデスク・クリアスクリーン）
技術的対策（アクセス制御・マルウェア対策・ログ）
技術的対策は、システム上で情報を守る仕組みを定める区分です。組織的対策で決めたアクセス制御の「方針」を、ここで「具体的な設定・仕組み」として実装する関係にすると、重複なく整理できます。たとえば「業務に必要な範囲に限ってアクセス権を付与し、ID・パスワードに多要素認証を組み合わせる」といった、システム面の守り方を定めます。
システム面では、次のような基準を定めます。
- パスワードは十分な長さと複雑さ（例: 英数字記号を含む12文字以上）を満たす
- 重要情報は保存時・通信時に暗号化する
- アクセスログを一定期間保管し、必要なときに追跡できるようにする
設定画面での操作そのものは実施手順に委ね、ここでは「どの水準を満たすか」という基準を書くのがポイントです。
4つの区分と、対策基準に書く主な項目、ISO/IEC 27001:2022 附属書Aの対応区分を整理すると次のとおりです。
| 対策基準の4分類と ISO/IEC 27001:2022 附属書Aの対応 | 組織的対策 | 人的対策 | 物理的対策 | 技術的対策 |
|---|---|---|---|---|
| 対策基準に書く主な項目の例 | 情報セキュリティの体制と責任、情報資産の管理、アクセス制御の方針、委託先管理、インシデント対応体制、内部監査 | 従業員の遵守事項、入退社時の手続き、秘密保持、セキュリティ教育・訓練 | 入退室管理、機器・記録媒体の管理、書類の保管と廃棄、設備の保護 | アクセス制御の実装、認証・パスワード、マルウェア対策、ネットワーク・端末の保護、ログ取得・バックアップ |
| ISO/IEC 27001:2022 附属書Aの区分 | 組織的管理策 | 人的管理策 | 物理的管理策 | 技術的管理策 |
※上記は対策基準に書く項目の整理例です。実際に定める項目は、自社の事業内容・情報資産・利用システムに応じて調整してください。
対策基準と実施手順の書き分け
対策基準を書いていると、「この内容は対策基準に書くべきか、実施手順に書くべきか」で迷う場面が必ず出てきます。判断の軸は粒度です。対策基準は全社に共通する基準・ルールを定め、実施手順はそれを個別の業務・システムで「どう実行するか」まで落とし込みます。
総務省のガイドラインは、実施手順を次のように定義しています。
実施手順は、職員等関係者が、各々の扱うネットワーク及び情報システムや携わる業務において、どのような手順で情報セキュリティポリシーに記述された内容を実行していくかを定めるマニュアルに該当する。このマニュアルには、主要な情報資産に対するセキュリティ対策実施手順も含まれる。
出典：地方公共団体における情報セキュリティポリシーに関するガイドライン（令和7年3月版）｜総務省
具体的には、対策基準には「パスワードは一定の複雑さと定期的な見直しを求める」といった全社共通のルールを書き、実施手順には「どの画面でどう設定するか」という操作レベルの手順を書きます。迷ったときは、全社で共通して守る基準なら対策基準、特定の業務・システムに固有の操作なら実施手順、と振り分けると整理できます。
| 対策基準と実施手順の書き分け | 位置づけ | 粒度 | 記載例 | 作成・見直し |
|---|---|---|---|---|
| 対策基準（規程） | 全社に共通する対策の基準。何を・どの体制とルールで守るか | 方針・ルールのレベル | アクセス制御の方針、パスワード管理のルール | 全社共通として定め、改訂は慎重に行う |
| 実施手順（手順書） | 基準を個別の業務・システムで実行する方法 | 操作・手続きのレベル（5W1H） | アカウント発行の申請フロー、PC持ち出し時の操作手順 | 業務担当が作成し、必要に応じて柔軟に見直す |
この書き分けを意識しておくと、対策基準が操作手順で膨らんで読みにくくなったり、逆にルールが曖昧なまま手順だけが独り歩きしたりする事態を避けられます。
対策基準の公的ひな形の入手と使い方
対策基準は、ゼロから文章を起こす必要はありません。公的機関や業界団体が、規程や方針のサンプルを無償で公開しています。これらを自社の実情に合わせて調整すれば、作成の負荷を大きく下げられます。ここでは入手先ごとに、どの区分・項目に使えるかを整理します。
IPA「中小企業の情報セキュリティ対策ガイドライン」付録の規程サンプル
独立行政法人情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」には、そのまま編集して使える付録が付いています。付録2の「情報セキュリティ基本方針（サンプル）」は基本方針づくりに、付録5の「情報セキュリティ関連規程（サンプル）」は対策基準本体づくりに使えます。
付録5はWord形式で約59ページあり、組織・情報資産管理・委託管理・インシデント対応といった組織的対策、アクセス制御や電子メール・ウイルス対策などの技術的対策、従業員の責務や教育といった人的対策、機器・媒体の管理などの物理的対策を、ほぼ一式で網羅しています。
対策基準の「アクセス制御」の項目を書くなら付録5のアクセス制御・認証の章、「委託先管理」なら委託管理の章、というように、先ほどの4分類の項目に対応する章を参照すると効率的です。利用の際は、同ページの引用に関する案内に従ってください。
JNSA「情報セキュリティポリシーサンプル」
NPO日本ネットワークセキュリティ協会（JNSA）は、中小企業向けの「情報セキュリティポリシーサンプル」を公開しています。基本方針に加えて、人的管理規程・物理的管理規程・文書管理規程・外部委託先管理規程・リスク管理規程・各種システム管理規程など、規程が種類ごとに分かれて提供されているのが特徴です。
規程名が対策基準の4分類に素直に対応しているため、「人的対策の章は人的管理規程」「物理的対策の章は物理的管理規程」というように、必要な規程を選んで参照できます。
ただし、JNSAのサンプルは文章の複製・転載・引用に事前の了解が必要です。文面を使う際は配布ページから入手し、利用条件を確認したうえで自社用に調整してください。
総務省ガイドライン・自治体の公開ポリシー
これらはそのまま流用するひな形ではなく、基本方針と対策基準をどう書き分け、どの粒度で定めるかの考え方を確かめる典拠・参考です。考え方の典拠は総務省のガイドラインが示しており、たとえば千葉県のように、基本方針と対策基準を実際に公開している自治体の例もあります。
民間企業がそのまま使う文書ではありませんが、三層をどう文書化しているかの完成イメージとして目を通しておくと、自社の構成を決めるときの手がかりになります。
対策基準の策定・運用のポイント
項目とひな形がそろっても、作った対策基準が現場で守られなければ意味がありません。策定から運用まで、つまずきやすいポイントを押さえておきます。
自社の規模・業種に合わせる
ひな形をそのまま採用すると、自社では運用できないルールが混ざることがあります。扱う情報資産の種類、従業員数、クラウドの利用状況に照らして、過剰なルールは削り、自社に必要な項目は足します。守れないルールを並べるより、確実に守れる基準にするほうが、実効性は高まります。
関連法令・ガイドラインを参照する
個人情報を扱うなら個人情報保護法、特定の業種なら業界のガイドラインなど、自社に関わる法令・指針を踏まえて対策基準を定めます。ISMSやプライバシーマーク（Pマーク）の取得を予定している場合は、それぞれの要求事項に沿った項目を盛り込んでおくと、認証取得の準備と対策基準づくりを一度に進められます。
従業員への周知
対策基準は、作って終わりではなく、全従業員に周知して初めて機能します。全文を配るだけでは読まれないため、要点を教育の場で伝え、入社時や改訂時に確認の機会を設けます。周知した記録を残しておくと、運用の証跡になり、認証審査でも役立ちます。
定期的な見直し（PDCA）
事業内容の変化や新しい脅威、法令の改正に合わせて、対策基準は定期的に見直します。年1回の定例見直しに加え、大きな変化があったときに随時改訂する体制を決めておくと、基準が実態から離れるのを防げます。見直しの際は、基準の内容だけでなく、現場で実際に守られているかも点検します。守られていない項目は、基準側と運用側のどちらを直すべきかを見極めることが重要です。
対策基準の整備・運用をクラウドで支えるサービス
対策基準を作ったあとは、規程・情報資産台帳・リスクアセスメントの記録を、改訂のたびに版を管理しながら維持していく必要があります。WordやExcelでの管理は、版の取り違えや更新漏れが起きやすく、担当者の負荷も大きくなりがちです。ISMSやPマークの取得・運用をクラウドで支えるサービスを使うと、文書管理やリスクアセスメントをまとめて扱え、この運用負荷を下げられます。
SecureNavi（SecureNavi株式会社）
SecureNaviは、ISMS認証やPマークの取得・運用をクラウド上で進められるサービスです。構築の進め方を示すガイドに加え、規程や台帳をクラウドで版管理する文書管理、年間のタスク管理、リスクアセスメントの自動提案、内部監査支援、委託先管理までを同じ画面で扱えます。
対策基準づくりの観点では、作成した規程を一元管理し、改訂履歴やタスクを追いながら運用できる点が、手作業の管理負荷を下げる助けになります。リスクアセスメントの記録も同じ基盤で残せるため、対策基準の内容と運用の証跡を切り離さずに管理できます。導入実績は1,100社を超えています（2025年11月時点）。
SecureNaviのほかにも、ISMS・Pマークの取得・運用を支援するサービスは複数あります。対応範囲や料金、選び方をまとめて比較検討したい方は、以下の記事をご覧ください。
ISMS・Pマーク認証取得支援サービス比較17選｜違い・費用相場と失敗しない選び方を解説
取引先からセキュリティ体制の証明を求められたり、入札やIPO準備の要件として認証取得を迫られたりして、ISMS（ISO/IEC 27001）やPマーク（プライバシーマーク）の取得を検討する企業が増えています。しかし、規程の整備や情報資産の洗…
まとめ
対策基準は、情報セキュリティポリシーの中で全社共通のルールを定める実務の軸です。書く項目は「組織的・人的・物理的・技術的」の4分類で整理すると、国際規格の枠組みに沿った網羅性のある構成にできます。対策基準には全社共通の基準を、実施手順には個別の操作手順を書く、という粒度の違いを意識すると、文書が読みやすくまとまります。
文章はゼロから起こさず、IPAやJNSAの公的なひな形を自社向けに調整するのが近道です。作成後は、自社の規模に合わせた調整・従業員への周知・定期的な見直しで、形骸化を防ぎます。文書管理や運用の負荷が課題であれば、ISMS・Pマークの取得・運用をクラウドで支えるサービスの活用も検討できます。
よくある質問（FAQ）
Q. 情報セキュリティポリシーの対策基準とは何ですか？
A. 対策基準は、情報セキュリティポリシーの三層（基本方針・対策基準・実施手順）の中間に位置し、全社で守る対策のルールを具体的に定める文書です。基本方針が「なぜ守るのか」を示すのに対し、対策基準は「何を・どのような体制とルールで守るのか」を全社共通の基準として定めます。日々の運用ルールの軸になる層です。
出典・参考資料（1件）
Q. 対策基準は社外に公開する必要がありますか？
A. 対策基準は、基本方針とは異なり、社外に公開せず社内向けの文書として管理するのが一般的です。基本方針は「なぜ情報を守るのか」という姿勢を示す文書で、自社サイトなどで対外的に公開することも多い層です。一方、対策基準は具体的な体制・ルール・管理方法を記したもので、公開すると攻撃の手がかりを与えかねないため、社内で管理し、必要な範囲の従業員や委託先に周知します。
Q. 対策基準とISMS（ISO/IEC 27001）はどう関係しますか？
A. 対策基準の整備は、ISMS（ISO/IEC 27001）認証取得の準備そのものと大きく重なります。対策基準に書く項目は、ISO/IEC 27001:2022 附属書Aの管理策（組織的・人的・物理的・技術的の4分類）に対応づけて整理でき、認証で求められる文書と重なるためです。
ISMSやプライバシーマーク（Pマーク）の取得を予定しているなら、はじめから各規格の要求事項に沿った項目を盛り込んでおくと、認証準備と対策基準づくりを一度に進められます。
Q. 対策基準は個人情報保護方針（プライバシーポリシー）と何が違いますか？
A. 対策基準は情報資産全般を守る社内ルールの基準で、個人情報保護方針は個人情報の取り扱い方針を主に対外的に示す文書です。守る対象と読み手が異なります。
対策基準が顧客情報・技術情報・社内データなどあらゆる情報資産を対象に全社の守り方を定めるのに対し、個人情報保護方針（プライバシーポリシー）は個人情報保護法を踏まえ、個人情報の利用目的や管理方針を顧客・取引先に向けて公表するものです。役割が異なるため、両者は別々に整備します。
Q. 対策基準には、違反したときの罰則も定めるべきですか？
A. 違反時の対応の考え方を対策基準に盛り込んでおくと、ルールの実効性が高まります。対策基準は全社で守るべきルールを定める文書なので、違反した場合の報告・対応や、就業規則など社内規程に基づく処分との関係を示しておくと、周知の際に実効性が伝わります。
具体的な処分内容は就業規則側で定めることが多く、対策基準では「違反は懲戒の対象となりうる」といった基準レベルの記載にとどめ、詳細は関連規程に委ねると整理しやすくなります。
Q. 小規模な会社でも対策基準を作る必要はありますか？
A. 従業員数が少ない会社でも、守るべき情報資産がある以上、対策基準を定める意味はあります。ただし大企業と同じ分量をそろえる必要はなく、自社の規模・業種に合わせて、確実に守れる範囲の基準に絞るほうが実効的です。取引先からセキュリティ体制の提示を求められたり、ISMS・Pマークの取得を目指したりする場面では、規模にかかわらず体裁の整った対策基準が必要になります。
法人向けサービスを課題別に探すならMCB FinTechカタログ
MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。ISMS・Pマーク認証取得支援のほかの課題も、あわせてご確認ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
