セキュリティポリシーの雛形はどう使う？IPAの見本を自社版に直す手順

セキュリティポリシーの雛形は、IPAのガイドライン第4.0版の付録を使い、自社で守れない項目を削って自社版にします。全部を残すと、59ページのまま読まれない文書になりがちです。

今日やることは、IPAのガイドラインのページから付録2の基本方針（1ページ）⁠を開き、赤字と青字を自社の内容に置き換えることです。付録2は5項目しかないので、社名と役職名を入れて社長に見せれば、最初の版が今日のうちにできます。規程の本体は、その次に取りかかります。

ポリシーの全体像はセキュリティの基本⁠にまとめています。この記事は、見本を直す作業だけを扱います。

IPAの雛形はどれを使う？

付録は8つあります。ポリシーづくりに使うのは次の6つです（ページ数は2026年11月7日⁠にIPAのページで確認⁠）⁠。

サンプルの冒頭に、付録5は「必要な対策を選択し、編集することで」自社の規程を作れるものだと書かれています。赤字は役職名や担当者名など自社の内容に書き換える所、青字は文言を選ぶ所です。黄色の蛍光は第3.1版からの変更箇所で、新しい版を読む人には目印になります。作り終えたら色は外します。

残す所と削る所はどう分ける？

判断の問いは一つです。その業務が自社にあるか。あるなら残して直し、無いなら削ります。付録5の目次に当てると、次のようになります。

上の「残す」⁠も⁠、書かれた文のままとは限りません。付録5のサンプルは、アカウントが不要になったら翌日までに削除や無効化をすると定めています。守れないなら、「退職手続きの日に総務が行う」⁠と⁠、実際の流れに書き換えます。

守れる文にはどう直す？

一文ずつ、誰が、いつ、どうやって確かめるかが言えるかを見ます。言えない文は、削るか書き換えます。

• 「情報セキュリティ委員会を設置する」は、毎月集まれないなら「社長と総務部長が四半期に1回⁠、自社診断の結果を見る」⁠に⁠直⁠す
• 委託先の評価は、付録5に訪問、管理責任者へのインタビュー、確認リストの送付などの方法が並びます。外注先が多い会社は、重要な情報を渡す先だけ訪問し、ほかは確認リストにする
• パスワードの節には、桁数や、定期的な変更を強制しないことが書かれています。古い社内ルールに「毎月変更」⁠が残っていたら、ここに合わせて直す。機器によって設定できない値は、そのまま書かない

教育の頻度は、付録5の例では、新規受け入れ時、異動時、役割変更時、年1回以上です。この「年1回以上」⁠を朝礼の話に分けて補うなら、社員が気を付けることの10か条⁠をそのまま使えます。製品を使う場合はセキュリティ教育サービスの比較で確かめられます。

見本に無いものは何を足す？

製造業で足りなくなりやすいのは2つです。

一つは生成AIです。付録5を語で検索したところ、「生成AI」⁠は出てきませんでした。IPAの生成AIとAIエージェントの手引書（2026年7月）⁠に⁠は⁠、利用規定に入れる項目が挙がっています。利用できるAIの一覧、入力できる情報の分類と入力禁止の情報、出力結果の確認、未許可のAIの禁止、事故のときの連絡先です。情報セキュリティ10大脅威2026でも、組織編の3位⁠に「AIの利用をめぐるサイバーリスク⁠」⁠が初めて選ばれました。

もう一つは工場の機器です。付録5で「工場」⁠が出てくるのは、区画の例の1か所でした。たとえば、切削機につないだパソコンで加工データを受け取り、USBメモリで事務所と行き来している工場を考えます。事務所のパソコンのルールは、このパソコンには当てはまらないことがあります。更新を止めて使っている機器があるなら、例外として書きます。次の3つ⁠を決めると、現場で使えるルールになります。

• どの機器が、どの網につながっているか（付録6の台帳に足す）
• USBメモリを使うなら、どれを使うか。付録5は会社の貸与品を使う例を挙げています
• 取引先から預かった図面の扱い。保管場所、持ち出し、取引が終わったときの消し方

取引先との契約で決まっている条件は、雛形より優先します。秘密保持の条項を読み返し、規程と食い違っていないかを見てください。

どの順番で進める？

1. 付録2で基本方針を作り、社長の名前で出す
2. 付録3の自社診断で25項目⁠に答え、弱い項目に印を付ける
3. 付録6の台帳に、守る情報と機器を書き出す
4. 付録5をコピーし、自社に無い業務の節を削る
5. 残った節を、守れる文に一文ずつ直す。生成AIと工場の機器の節を足す
6. 現場の責任者に読ませて、守れない文に印を付けてもらう
7. 付録4のハンドブックを同じ内容に合わせ、社員に配る
8. 1年後に自社診断をやり直し、規程を見直す

6番を飛ばすと、総務が事務所の机で書いただけの規程になります。現場が読んで「これは無理」⁠と言った文こそ、直す価値があります。

外に示す場面がある会社は、次の2つ⁠も見てください。IPAのSECURITY ACTIONには2段階あります。一つ星は6か条に取り組むことの宣言、二つ星は自社診断のうえで基本方針を定めて公開したことの宣言です。上の1番と2番は、二つ星の中身に当たります。また、SCS評価制度⁠の★3・★4は2027年3月⁠の受付開始に向けて準備が進んでいて、付録5の委託先評価基準の例にも入っています。取引先から確認を求められそうなら、要求事項を規程と見比べます。

取引先からの質問票が多い会社は、チェックシート回答・委託先管理ツールの比較で、回答を管理する道具も探せます。ISMSなどの認証まで見据えるなら、ISMS・Pマーク取得支援ツールの比較が次の入口です。

雛形は、自社のルールを考えるための下書きです。短くても、全員が読んで守れる版を目指してください。