情報セキュリティポリシーとは？策定と運用のポイントをわかりやすく紹介

サイバー攻撃や情報漏洩などのリスクから、自社の情報資産を守るために欠かせないのが「情報セキュリティポリシー」です。しかし、なかには情報セキュリティポリシーを策定したいけれど、適切な内容や運用方法がわからないと困っている方もいるのではないでしょうか。

そこで本記事では、情報セキュリティポリシーとは何かをわかりやすく解説するとともに、策定および運用のポイントを紹介します。

情報セキュリティポリシーとは

リスクマネジメントを学ぶ情報セキュリティ管理士

情報セキュリティポリシーとは、企業や組織が、情報資産に対する一定の安全性を確保するために定めている行動指針や対策です。具体的には、主に以下の内容を記載します。

• ・情報セキュリティに関して社内全体で定めるルールや運用規定
• ・保護の対象となる情報資産について
• ・想定されるリスクから情報資産を守る方法や対策・方針
• ・情報セキュリティを確保するための社内の体制

情報セキュリティポリシーを策定するにあたり、定められた決まりはありません。会社の規模や体制によって内容は異なるため、自社に合ったものを策定しましょう。また、情報セキュリティポリシーを通じて、全従業員のセキュリティ意識が向上するような内容にすることがポイントです。

情報セキュリティポリシーの目的

情報セキュリティポリシーを策定するにあたり、定められた決まりはありません。会社の規模や体制によって内容は異なるため、自社に合ったものを策定しましょう。また、情報セキュリティポリシーを通じて、全従業員のセキュリティ意識が向上するような内容にすることがポイントです。

サイバー攻撃などのリスク回避

情報セキュリティポリシーを策定する最大の目的は、企業の情報資産を守ることです。特に、サイバー攻撃による外部からの脅威には注意しなければなりません。

情報セキュリティポリシーを策定し、サイバー攻撃から情報を守るためにどうするべきか、また外部からの脅威に直面したときにどのように対応するかを明確にしておくと、リスクの回避および対策強化につながるでしょう。その結果、安定した事業の継続が期待できます。

情報漏洩の防止

情報セキュリティポリシーは、従業員のミスによる外部への情報漏洩や、意図的な情報持ち出しの防止にもつながります。社内に保管している顧客の個人情報や企業秘密が外部に流出すると、企業の社会的信用は失墜してしまうでしょう。最悪の場合、事業停止につながりかねません。

情報セキュリティポリシーを策定し情報を適切に管理することを従業員に徹底すれば、情報漏洩のリスクを最小限に抑えられるでしょう。

トラブル時の適切な対処

情報セキュリティポリシーで非常時のガイドラインを社内全体に共有しておけば、いざというときも慌てず冷静に対処できます。サイバー攻撃に遭ったときや、情報が漏洩したときのガイドラインができていないと迅速に対処できなくなってしまいます。そのあいだに、被害は拡大してしまうでしょう。緊急時に適切な措置を取るためには、情報セキュリティポリシーの策定は必須です。

社員の意識向上

情報セキュリティポリシーの内容を社員に徹底したり、研修を実施したりすることで、従業員のセキュリティ意識の向上につながります。従業員一人ひとりが情報セキュリティポリシーの順守に努めれば、企業全体のセキュリティ対策が強化されます。その結果、より安全な作業環境の構築が実現するでしょう。

情報セキュリティの3要素

情報セキュリティポリシーを策定するうえで欠かせないのが、「機密性」「完全性」「可用性」の3要素です。ここからは、それぞれの概要についてわかりやすく解説します。

「機密性」（Confidentiality）

機密性とは、許可されたユーザーだけが情報にアクセスできる状態にすることです。たとえば顧客情報や商品の開発情報など、機密性の高い情報を誰でもアクセス可能にしてしまうと、情報漏洩のリスクが高まります。

そのため、機密性の高い情報にアクセスできる人員は必要最低限にしておくことが大切です。また、パスワードの定期的な変更やデータの暗号化などを実施し、機密性を保持することも忘れないようにしましょう。

「完全性」（Integrity）

完全性とは、情報を完全かつ正確な状態にすることです。最近では、データの改ざんを行って企業の社会的信用の失墜や、業務のかく乱を狙うサイバー攻撃も増えています。

常にデータを正確な状態にするには、定期的なチェックやバージョン管理が欠かせません。また、サイバー攻撃だけでなく災害に遭ったときに備えて、こまめなデータのバックアップも大切です。そのほか、データを扱う社員に対する定期的なオペレーション教育も忘れないようにしましょう。

「可用性」（Availability）

必要なときにいつでも情報を使える状態にしておくことを、可用性といいます。可用性を低下させる主な要因が、ハードウェアの故障やサイバー攻撃です。たとえば、ハードウェアの故障に関してはハードウェアを複数用意して、ひとつが故障した場合でももうひとつで運用できるようにしておくと安心でしょう。

サイバー攻撃に遭った場合は、オフライン状態でもアクセス可能な場所にデータを保存する「オフラインバックアップ」が有効です。このように、いつでもデータを安全に利用できる状態にしておけば、業務が停止することなく継続できます。

情報セキュリティポリシーの基本階層

情報セキュリティポリシーは、一般的に「基本方針」「対策基準」「実施手順」の3つの階層で構成されています。ここからは、それぞれの階層について解説しましょう。

基本方針

基本方針は、企業が目指すべきセキュリティの目標・価値観を反映したものです。具体的には以下のような内容です。

• ・経営者や責任者が率先してセキュリティの向上に努める
• ・従業員のセキュリティ教育を徹底し、リテラシーの向上を図る
• ・律や組織を遵守する

基本方針は、セキュリティ対策のいわば土台の部分になります。企業が大前提として、取り組むべき方針を含めましょう。

対策基準

基本方針に基づいて、具体的に実施するセキュリティ対策を記載します。対策基準は、実務上で従業員が直接的に意識する内容です。そのため、策定する際はそれぞれの担当部署や管理部門が参加できるようにしましょう。

内容は具体的になるように意識します。たとえば、データの保護方法やアクセス制御の基準、ネットワークセキュリティなどについて明記するとよいでしょう。また、許可されていること・禁止されていることを明記すれば、従業員は迷うことなく適切な行動がとれます。

実施手順

業務を遂行するための具体的な手順を明記する、いわばマニュアルです。従業員が作業のたびに対策基準と照らし合わせて実施方法を検討することがないように、対策基準を満たした業務をどのような方法で遂行するのかを記載しましょう。具体的には、以下の項目について明記します。

• ・従業員の教育方法および頻度
• ・サーバーメンテナンスの方法
• ・OSの最適化について

内容はだれが見ても理解しやすく、可能な限り詳しく記載しましょう。

情報セキュリティポリシー策定の手順

詳細な情報セキュリティポリシーを策定するには、準備すべきことが多数あります。策定時にどこから手を付ければいいのか迷ってしまわないように、ここからは一般的な情報セキュリティポリシー策定の流れを紹介します。

1.情報セキュリティポリシー策定のための組織を作成する

まずは、情報セキュリティポリシーを策定するための組織を作りましょう。どのような組織で策定するのか、責任者や運用担当者は誰かを決定します。

具体的には「情報セキュリティポリシー策定委員会」を立ち上げ、主要な人材を確保しましょう。そのなかで、統括責任者や事務局などのポジションを決定します。同時に、情報セキュリティポリシーの適用範囲も定めます。企業によっては、外部コンサルタントや監査委員が必要になるケースもあるでしょう。

役割分担や適用範囲がある程度決まったら、情報セキュリティポリシー策定までのスケジュールを決定し、基本方針を策定します。

2.保護対象となる情報資産を洗い出す

情報セキュリティポリシーの対象となる資産をすべて洗い出しましょう。対象となるのは、ネットワークやデータベース、ハードウェア、ソフトウェアなど企業を運営するために必要なすべての情報資産です。保護すべき情報資産を明確にすることで、適切なセキュリティ対策が実施できるようになります。

3.リスクを分析する

自社の事業内容および周囲の環境をもとに、想定されるリスクを洗い出します。それぞれのリスクが企業にどのくらい脅威を与えるのかを把握すれば、おのずとセキュリティ対策の優先順位が決定するでしょう。また、予算内でどのような対策をするべきかが明確になります。

4.内容をわかりやすい文書にする

これまで収集した情報をもとに、リスクに対してどのような対策を行うのかを文書化します。このときに気をつけたいのが、できるだけわかりやすく具体的な内容にすることです。どのデータを暗号化するか、パスワードは数字とアルファベットをそれぞれ何文字にするかなど、誰が読んでも明確に理解できるようにしましょう。

また、従業員の現在の業務内容も踏まえて、正確に実施できる可能性が高いルール策定を意識してください。

5.定期的に見直しブラッシュアップする

情報セキュリティポリシー策定が完了したら、内容に準拠して業務を行います。しばらくは、内容の不備や業務にそぐわないルールが発見される可能性があります。その場合は内容を変更するなど、柔軟な対応を心がけましょう。

また、時間がたつにつれて新規ビジネスの開始や新しいサービスの活用など、業務環境も変化します。組織の実情に即した内容にするために、日常的に情報セキュリティポリシーを見直して改善しましょう。

情報セキュリティポリシー策定におけるポイント

情報セキュリティポリシーはただ作ればよい、というものではありません。すべての従業員が内容を正しく理解し、セキュリティリテラシーの向上につながるものを作ることが重要ですここでは、適切に活用できる情報セキュリティポリシーを策定するために重要なポイントを紹介します。

内容は実現可能なものにする

実現不可能な高いレベルの情報セキュリティ対策を記載しても意味がありません。内容は、社内の状況を踏まえた実現可能なものにしましょう。たとえば、「パスワードは1か月ごとに変更する」などとしてしまうと、あまりに頻度が高すぎて従業員の負担が増えてしまいます。

また、利用する機会の少ないパスワードまで頻繁に変更してしまうと、パスワードが覚えられなくなってしまいます。このように従業員に負担ばかりが増えるような対策を講じると、最終的には誰も守らなくなってしまうでしょう。

情報セキュリティポリシーの内容は、自社の業務内容や環境をしっかりと見直したうえで、従業員が運用可能なものにすることが大切です。

適用範囲と責任の所在を明確にする

情報セキュリティポリシーが適用される情報資産、および対象者の範囲を明記しましょう。情報セキュリティポリシーは、企業や組織全体に関わるもののため、対象範囲がどうしても広くなってしまいます。

そのため、どこまでが対象範囲で責任の所在がどこにあるかを明確にしておかないと、いざというときにその効力を発揮できません。特に対象者の範囲は従業員だけでなく、子会社や外注の人たちといった、外部の要員が含まれるケースもあるためしっかり明記しておきましょう。

罰則規定を設ける

ルールに反した場合の罰則規定は、必ず設けておきましょう。罰則規定を設けておかないと、せっかく策定した情報セキュリティポリシーが形骸化してしまう恐れがあります。違反時の罰則を明記して注意を促すことで、従業員は情報セキュリティポリシーを遵守する意識が芽生え、結果的にセキュリティリテラシー向上につながるでしょう。

情報セキュリティポリシー運用のコツ

情報セキュリティポリシーは、策定したら終わりではありません。業務に関わる人員すべてが、その内容に則った業務を遂行することが大切です。そこでここからは、情報セキュリティポリシーを適切に運用するために重要なポイントを紹介します。

定期的なコンプライアンス監査の実施

情報セキュリティポリシーが適切に運用されているかどうかを確認するために、定期的なコンプライアンス監査を実施しましょう。監査を通じて、その効果と適切性を確認するだけでなく、運用上で問題点がないかどうかもチェックします。

監査結果は、必ず経営層へ報告しましょう。監査で改善の指摘を受けた経営層は、速やかに改善を図ることが大切です。もしも情報セキュリティポリシー違反が発覚した場合は、ただちに是正してください。また、時間をおいて再度監査を実施し、改善されているかをチェックしましょう。

従業員への定期的な研修を実施

従業員一人ひとりが情報セキュリティポリシーを正しく理解し、実践できるように定期的な研修を行うことも大切です。定期的に教育することで、従業員はセキュリティポリシーの重要性を認識できるでしょう。

研修では、セキュリティ事故が起こった場合、自社にどのような悪影響をもたらすのかを具体例を挙げて解説すると、セキュリティポリシーの重要性が実感しやすくなります。また、日常業務のなかで、セキュリティを意識した行動がとれるような声かけを行うと、より効果的でしょう。

セキュリティに関する資格取得の支援を行うのも一つの方法です。資格を取得することで、従業員はセキュリティに対する意識が向上しますし、企業は情報セキュリティ対策のプロを育成できます。

全日本情報学習振興協会では、情報セキュリティ管理士認定試験をはじめとした、情報セキュリティに関する資格試験を実施しています。試験内容は企業のニーズに即して、個人が身につけるべき知識をすべて網羅しているのが特徴です。

情報セキュリティのプロフェッショナルを育成したいと考えている方や、情報セキュリティの知識を深めたいと考えている方は、試験にチャレンジしてみてはいかがでしょうか。

情報セキュリティ管理士認定試験について詳しくはこちら

まとめ

企業の大切な情報資産を守るためには、情報セキュリティポリシーの策定が必要不可欠です。策定する際は情報セキュリティの3要素と基本階層をしっかりと踏まえたうえで、企業の実情に即した内容にしましょう。また、策定するだけではなく実際に運用していくことも大切です。従業員一人ひとりに内容を周知し、定期的な見直しを忘れないようにしましょう。

情報セキュリティポリシーについてより理解を深めるために、情報セキュリティ管理士認定試験などの資格試験を受験するのもおすすめです。資格を取得して知識を深めることで、セキュリティに対する意識向上につながるでしょう。