情報セキュリティポリシーとは、会社が情報を守るための方針と、社員が従う行動のルールをまとめた文書です。中小企業なら、1枚の基本方針と数ページのルールから始められます。
今日やることは、IPAの基本方針のサンプル（Word、1ページ）を開き、社長と一緒に自社の言葉へ直すことです。立派な文書を整えるより先に、自社で実際に守れることだけを書く形を作ります。
この記事は公開情報を整理したものです。私たちが顧客の規程を作った事例ではありません。関連する記事は情報セキュリティの基礎のカテゴリにあります。
どんな文書で、どこまで作ればいい？
総務省の組織幹部向けの資料（2003〜2009年）は、情報セキュリティポリシーを、企業や組織が実施する対策の方針や行動指針と説明しています。構成は、基本方針、対策基準、実施内容の3階層が一般的だとしています。
中小企業が最初から3階層を揃える必要はありません。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版（2026年3月27日公開）の付録は、規模に合わせて段階を踏めるように並んでいます。
| 付録 |
分量 |
誰に向けたものか |
| 付録2 情報セキュリティ基本方針（サンプル） |
1ページ |
社員、顧客、取引先 |
| 付録4 情報セキュリティハンドブック（ひな形） |
17ページ |
全社員 |
| 付録5 情報セキュリティ関連規程（サンプル） |
59ページ |
責任者、担当者 |
ガイドライン本編の順番も、基本方針、自社診断、ハンドブックが先です。59ページの規程はその次の段階で、本格的に取り組むときに使います。まず1枚の方針と、ハンドブックの必要な部分だけを残せば、数ページにできます。
大企業の規程を写すとなぜ形だけになる？
写した規程には、自社に当てはまらない項目と、実際にはできない項目が混ざります。「情報セキュリティ委員会が毎月審査する」と書いてあっても、そんな委員会がなければ守れません。守れない項目が残ると、社員は規程全体を読まなくなります。監査や取引先の確認で聞かれたときも、書いてあることと実態が違うと説明に困ります。
実態との差は数字にも表れています。IPAの2024年度 中小企業における情報セキュリティ対策に関する実態調査（4,191社）では、「対策をルール化し、従業員に明示している」に実施または一部実施と答えた企業は39.2%でした。OSやソフトウェアを最新にしているという回答の73.0%と比べて、かなり低い数字です。
総務省の資料も、ポリシーを「絵に描いた餅」にしないためには、幹部が率先して全社員に周知することが大切だとしています。誰かが作って棚に置いた時点で、形だけになり始めます。
どの順番で作ればいい？
6つの手順で、数ページのルールまで持っていきます。
1. 社長と30分で、避けたい事故を決める
第4.0版は、経営者が懸念する重大事故を念頭に、何が起こらないようにすべきかを考えるよう求めています。たとえば、金属部品の加工会社なら「預かった図面が外に出る」「受注データが消えて納期が守れない」の2つが挙がるかもしれません。書くことは、この2つを防ぐためのものに絞ります。
2. 基本方針を1枚にする
付録2を編集します。第4.0版は基本方針に決まった書き方はないとし、記載項目の例に、管理体制の整備、法令やガイドラインの順守、セキュリティ対策の実施、継続的改善を挙げています。事業の特徴や顧客の期待を考えて、経営者と連携して作ります。社長の名前で出す文書なので、社長が読んで言葉に違和感のないところまで直します。
3. 自社診断で、今の状態を見る
付録3の「5分でできる！情報セキュリティ自社診断」の25項目に答えます。実施している4点、一部実施している2点、実施していない0点、わからないマイナス1点で採点します。部署が多いなら部署ごとに書いてもらい、担当者が集計します。ここで「実施していない」「わからない」が付いた項目が、ルールを書く候補です。
4. 全部ではなく、直す項目を選ぶ
一度に全部直そうとしないでください。手順1で決めた事故に関係する項目から、3〜5個を選びます。第4.0版も、検討するときは従業員の意見を聞き、職場環境や業務に適した対策を決めるよう書いています。現場に「これなら毎日できるか」を聞くのは、この段階です。
5. ハンドブックを編集して、書いたことだけ配る
付録4のひな形から、決めた対策の部分を残して編集します。ガイドラインの例では、バックアップの欄を「○○サーバー」のような例文から、「営業部ファイルサーバーの売買契約書ファイルを外付けHDDに毎週」と自社の具体に書き換えています。この粒度にすると、担当者が読んで何をすればよいかが分かります。
6. 配って、説明して、年に1回見直す
完成したら全従業員に配り、必要に応じて説明します。IPAのSECURITY ACTIONのよくある質問も、年に1回など定期的な自社診断を期待するとしています。点数が上がったか、守れなかった項目は何かを見て、ルールのほうを直すこともあります。
形だけにしないための書き方
- 実際にやることだけを書き、できないことは「いつまでに」と分けて残す
- 「適切に」「速やかに」で終わらせず、誰が、いつ、何をするかを書く
- 例外のときに誰へ相談するかを1行書く
- 事故に気づいたときの連絡先を最初のページに載せる
製造業なら何を足す？
事務所のひな形だけでは足りない部分があります。たとえば、図面を預かる加工会社なら、次のような項目を足すと現場に合います。
- 紙の図面をどこに置き、いつ、どう捨てるか
- 協力会社に図面を渡すときの方法と、秘密保持の約束の有無
- 工場を見学する人が通る場所から、何が見えるか
- 取引先ごとに決められた情報の扱いを、誰が把握しているか
取引先の要求も確認します。先の調査では、発注元から情報セキュリティの要請を受けた企業のうち79.6%が「秘密保持のための措置」を求められていました。秘密保持契約に書かれた約束を、ルールに反映しておきます。
委託先がある会社には、付録5についている委託先チェックリストのサンプルが使えます。
工場設備は別紙にする
第4.0版は工場設備や制御システムを対象外としています。SCS評価制度も、制御（OT）システムは直接の対象としていません。事務所のルールと混ぜると、どちらも守れなくなります。設備のUSBメモリや保守回線の扱いは、設備の担当者や保守会社と別紙で決めてください。
外に見せる必要はある？
基本方針は、社員だけでなく顧客や取引先にも伝えるものです。IPAのSECURITY ACTIONの二つ星は、自社診断を実施したうえで基本方針を策定し、外部に公開して宣言する仕組みです。よくある質問によると、自社診断の点数は何点でもかまいません。個人情報保護方針の公開は、基本方針の公開とはみなされません。
取引先への説明という点では、経済産業省のSCS評価制度も見ておきます。委託元が委託先に適切な段階を提示し、実施状況を確認する使い方を想定した制度で、★3と★4は2026年度末頃の開始を目指すとされています。時期は変更の可能性があると書かれています。第4.0版はこの制度を受けて実践編を全面的に改訂しているので、今から作るルールは第4.0版を土台にするのが素直です。
先のIPAの調査では、ISMS取得済みの企業の73.9%が、発注元の要請で行った対策が取引につながったと答えています（未取得の企業は30.3%）。回答者の実感を尋ねた数字なので、認証の効果を示すものとは言えません。取引先から認証を求められている会社は、ISMS・Pマーク取得支援ツールの比較で進め方を調べられます。
作ったあと、どう定着させる？
文書の次に必要なのは、社員が内容を知っている状態です。入社時と年1回の説明を決めておきます。繰り返しの教育を自社で続けるのが難しければ、セキュリティ教育サービスの比較で外部の教材を探せます。自社のルールとして何が足りないかを見てほしい場合は、セキュリティコンサルティングの比較が入り口になります。
ルールに入れておきたい項目のうち、次の2つは別の記事で詳しく書いています。
紙の書類や社員の話まで含めて、何を対象にするのかを最初に確かめたいなら、情報セキュリティで守る範囲の整理を先に読むと、手順1の話し合いが進めやすくなります。
