情報セキュリティとは？会社の情報を守る範囲を紙と人まで含めて解説

情報セキュリティとは、会社が持つ情報を、許可された人だけが見られ、正確で、必要なときに使える状態に保つことです。対象はパソコンやサーバーの中だけではありません。紙の書類、社員が覚えていて話す内容、社外へ持ち出す図面も入ります。

今日やることは、「外に出たら困る情報」⁠と「なくなったら仕事が止まる情報」⁠を合わせて10個書き出し、それぞれが今どこにあるかを横に書くことです。置き場所の欄に、紙のファイル、個人のスマホ、ベテランの頭の中と出てきたら、そこも守る範囲です。

この記事は公開情報を整理したものです。私たちはセキュリティ製品の開発会社ではなく、製品を試した結果は書いていません。関連する記事は情報セキュリティの基礎のカテゴリ⁠にまとめています。

機密性・完全性・可用性は何を指している？

3つ⁠の言葉は、情報がどういう状態なら守られていると言えるかを表します。総務省の組織幹部向けの資料（2003〜2009年）⁠は⁠、情報資産をこの3つ⁠に関わる脅威から守る必要があると説明しています。現在の総務省の用語集でも、国際標準化機構（ISO）⁠の標準で定義された言葉として載っています。

たとえば、金属加工の会社が取引先から図面を預かっている場合で置き換えると、次のようになります。

漏えいだけが問題ではない、という点がこの表から読み取れます。古い版の図面で加工してしまうのは完全性の問題です。ファイルサーバーが止まって図面が開けないのは可用性の問題です。どちらも、情報が外に出ていなくても納期や品質に響きます。

サイバーセキュリティとはどう違う？

サイバーセキュリティはネットワークやコンピュータを通じた脅威の話が中心です。情報セキュリティはそれを含みつつ、紙の紛失や人の不注意まで広げて情報そのものを見ます。言葉の境目は資料によって幅があるので、社内では「守る対象は情報全部」⁠と決めておけば足ります。

外からの攻撃が大きな話題であることは確かです。IPAの情報セキュリティ10大脅威 2026⁠の組織編は、1位⁠がランサム攻撃による被害、2位⁠がサプライチェーンや委託先を狙った攻撃、3位⁠が初めて選ばれたAIの利用をめぐるサイバーリスクです。ただ、同じ表の7位には内部不正による情報漏えい等が11年連続で入っています。

日本損害保険協会のサイバー保険の解説も、リスクを内部要因と外部要因に分けています。内部要因に挙がっているのは、パソコンやUSBメモリの盗難・紛失、メールの誤送信、内部不正です。製品を入れる前に、この内側の話を自社のこととして見ておくと、対策の抜けが見つかります。

紙の書類はどこまで範囲に入る？

業務で使う紙は、原則として全部入ります。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版は、守る対象の「重要な情報」⁠を⁠、営業秘密など事業に必要で価値のある情報や、顧客や従業員の個人情報など管理責任を伴う情報と説明しています。データか紙かで分けていません。

紙の扱いは、同じガイドラインの付録「5分⁠でできる！情報セキュリティ自社診断⁠」⁠の設問にも具体的に出てきます。

• 重要情報が書かれた書類を机の上に放置せず、書庫などに保管しているか
• 書類を持ち出すときに、盗難や紛失の対策をしているか
• 書類を捨てるときに、復元できないようにしているか
• メールやFAXの宛先の送信ミスを防ぐ取り組みをしているか
• 関係者以外の事務所への立ち入りを制限しているか

工場を持つ会社なら、この設問を事務所だけでなく現場にも当てはめてみてください。現場の机に置いたままの図面、見学者が通る通路から見える工程表、検査成績書を綴じたファイルが該当します。紙は誰がいつ見たかの記録が残りにくいので、置き場所と捨て方を先に決めておきます。

人の口や記憶から漏れる話はどう考える？

情報を知っている人が話してしまえば、システムでは止められません。ここで効くのは、話してよい範囲を決めることと、秘密だと分かる形で管理することです。

経済産業省の営業秘密のページは、不正競争防止法の営業秘密を「有用性」「秘密管理性」「非公知性」⁠の3つ⁠を満たす情報と説明しています。秘密として管理していることが条件の一つなので、「大事な情報のつもりだった」だけでは足りません。同じページでは、最低限の水準を示す営業秘密管理指針と、対策例をまとめた秘密情報の保護ハンドブックが公開されています。

現場で決めておきたいのは、たとえば次のようなことです。

• 展示会や協力会社との会話で、加工条件や取引先名をどこまで話してよいか
• 個人のSNSに、社内や工場の写真を載せてよいか
• 取引先との秘密保持の約束を、担当者以外が知っているか
• 退職する人から、機器、ID、鍵、資料をどう回収するか

自社診断にも、SNSへの書き込みへの対策や、取引先との契約書の秘密保持条項を問う設問があります。退職については、第4.0版が情報や機器、ID、鍵の回収と、復元できない方法でのデータ消去を挙げ、チェックリストなどで実行状況を見えるようにするよう求めています。

人を疑うためのルールではありません。IPAの組織における内部不正防止ガイドライン（第5版、2022年4月改訂）⁠は⁠、基本方針や資産管理と並べて職場環境も対策の項目にしています。何を話してはいけないかが明確なら、社員も迷わずに済みます。

持ち出しでは何を決めておく？

持ち出しは、紙、パソコン、USBメモリ、クラウドの共有リンクまで含めて考えます。第4.0版には、従業員が顧客情報の入ったパソコンを持ち出して紛失し、取引先の信用を失った建設業の事例が載っています。この会社は持ち出しの明確なルールや手続きを定めておらず、事故の後に機器の暗号化と規程の整備、教育を行ったとされています。

決めることは多くありません。

1. 持ち出してよい情報と、持ち出してはいけない情報
2. 誰の許可で持ち出すか、記録をどこに残すか
3. 暗号化やパスワードなど、持ち出す前にする処置
4. 個人のスマホやパソコンを仕事に使ってよいか
5. なくしたときに、まず誰へ連絡するか

人のルールだけで見きれない規模になったら、仕組みで補います。社外へのファイル送信やUSBメモリへの書き出しを見る製品ならDLP（情報漏えい対策）⁠の製品比較、社員への教育や訓練を任せるならセキュリティ教育サービスの比較で候補を確かめられます。どちらも、何を持ち出してはいけないかが決まっていないと設定ができません。先にルールです。

何から手をつければいい？

書き出した10個⁠を入り口に、次の順で広げます。

1. 書き出した情報を、ガイドラインの付録6「資産管理台帳（サンプル）」⁠に移す。全部を埋めようとせず、10個から始める
2. IPAのガイドラインのページから自社診断を取り、25項目⁠に答える。「わからない」⁠が付いた項目も見ておく
3. 会社としての方針を1枚⁠にする。作り方は形だけにしない情報セキュリティポリシーの作り方⁠に書いています
4. 新しい手口や弱点の情報を、誰がいつ確認するかを決める。兼任担当者が毎週見る情報源の決め方⁠が参考になります
5. 事故が起きたときの費用を考える。サイバー保険で補償される費用と確認する点⁠にまとめています

この数字は、パソコンの対策に比べて、ルールや社内の仕組みづくりが進みにくいことを示しています。逆に言えば、予算をあまり使わずに手を付けられる余地が残っている部分です。

同じ調査では、発注元から情報セキュリティの要請を受けた経験がある企業は1割強で、要請の内容は「秘密保持のための措置」⁠が79.6%でした。取引先が最初に気にするのも、やはり情報の扱いです。認証の取得まで考えるなら、ISMS・Pマーク取得支援ツールの比較で進め方を見ておけます。