情報セキュリティ諸規程
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス案 Ver.0.1 の小分類 6-24-4「情報セキュリティ諸規程」（大分類 6：セキュリティ／中分類 24：情報セキュリティマネジメント）。
2026-09-26 にシラバス本文と突合済み。
0. 何を押さえるか
組織の中の決まりごとです。取り違えやすいのは「誰に向けた決まりか」です。
| 規程 | 誰に向けたものか | 何を定めるか |
|---|---|---|
| 情報セキュリティ方針（情報セキュリティポリシー） | 組織の全員 | 情報をどう守るかの方針と規則 |
| プライバシーポリシー（個人情報保護方針） | 社外（顧客・利用者）にも公表 | 個人情報をどう扱うか |
| ソーシャルメディアガイドライン（SNS 利用ポリシー） | 従業員 | SNS をどう使うか |
情報セキュリティポリシーは、次の 3 階層で作るのが一般的です。
| 階層 | 何か | 変わる頻度 |
|---|---|---|
| 基本方針 | 組織として何を目指し、どう取り組むか（経営者が示す） | ほとんど変えない |
| 情報セキュリティ対策基準 | 基本方針を守るために何をしなければならないかの規則 | ときどき見直す |
| 実施手順 | 対策基準を具体的にどうやるかの手順書 | 業務に合わせて変える |
上ほど抽象的で少なく、下ほど具体的で多い——ピラミッドの形です。
1. 情報セキュリティポリシーを含む組織内規程
根拠: シラバス 6-24-4
情報セキュリティポリシーの 3 階層とは？
| 階層 | 何を定めるか |
|---|---|
| 基本方針 | 組織の情報セキュリティへの取組み姿勢（経営者が宣言する） |
| 対策基準 | 基本方針を実現するために守るべき規則 |
| 実施手順 | 対策基準を実行する具体的なやり方 |
方針 → 基準 → 手順の順に具体的になる。
狭い意味では、基本方針と対策基準の 2 つを情報セキュリティポリシーと呼ぶこともある。
情報セキュリティ方針（情報セキュリティポリシー）は、誰がつくり、誰が守るか？
経営者（経営層）が責任を持って定め、組織の全員が守る
- 経営者が示すことで、組織としての本気度が伝わる
- 対象は正社員だけでなく、派遣社員・委託先など情報を扱う全員
決めたら周知し、定期的に見直す（PDCA）。
作っただけで誰も知らないポリシーは機能しない。
情報セキュリティ対策基準とは？ 例は？
基本方針を実現するために、組織として守るべき具体的な規則
例:
- パスワードは一定の長さ以上にし、使い回さない
- 社外への持ち出しは、暗号化した上で許可を得る
- 離席時は画面をロックする
「何をしなければならないか」までを定め、
「どの画面でどう操作するか」は実施手順に任せる。
情報セキュリティポリシーの 3 階層のうち、社外に公開することが多いのはどれか？
基本方針
| 階層 | 公開 | 理由 |
|---|---|---|
| 基本方針 | 公開することが多い | 取引先や顧客に、取組みの姿勢を示せる |
| 対策基準・実施手順 | 社内向けの規則として扱うことが多い | 従業員が守る具体的な決まりで、細かな守り方まで知られると攻撃者に手の内を明かすことにもなる |
IPA の「中小企業の情報セキュリティ対策ガイドライン」も、基本方針は従業員や顧客などの関係者に周知するものとしており、
SECURITY ACTION の二つ星では「基本方針を定め、外部に公開」することが求められる。
対策基準・実施手順を公開しないことは法令などの決まりではなく、一般的な扱い。
2. マルウェア感染時の対応
根拠: シラバス 6-24-4
マルウェアに感染したかもしれないとき、最初にすべきことは？
① ネットワークから切り離す → ② すぐに決められた窓口へ報告する
- LAN ケーブルを抜く、Wi-Fi を切るなどして、感染の広がりと情報の流出を止める
- 自己判断でデータを消したり、初期化したり、むやみに電源を切ったりしない（機器に残った記録＝原因を調べる手がかりが消える）
- その後の操作は、組織の手順と担当者の指示に従う
「気のせいかも」でも報告する。早い報告ほど被害は小さい。
マルウェア感染時の対応を、あらかじめ規程に定めておくのはなぜか？
感染したときに、現場が迷わず・すぐに正しく動けるようにするため
定めておくこと:
- 報告先（連絡先・連絡手段）
- 初動（切り離し方、やってはいけないこと）
- 被害の範囲の調べ方、復旧の手順
その場で考えていては間に合わない——
訓練で実際に試しておくと、いざというときに動ける。
3. 外に向けた方針・SNS の決まり
根拠: シラバス 6-24-4
情報セキュリティポリシーとプライバシーポリシーの違いは？
| 対象 | 誰に向けて | |
|---|---|---|
| 情報セキュリティポリシー | 組織が持つ情報全般 | 主に組織の内側（従業員など） |
| プライバシーポリシー（個人情報保護方針） | 個人情報の取扱い | 外部（顧客・利用者）に公表する |
プライバシーポリシーには、
個人情報を何の目的で使い、どう管理し、問合せにどう応じるかを書く。
ソーシャルメディアガイドライン（SNS 利用ポリシー）とは？ なぜ要るか？
従業員が SNS を使うときに守るべきことを、組織が定めたもの
定める内容の例:
- 業務上の秘密・顧客の情報を投稿しない
- 職場の写真に、画面や書類が写り込まないよう注意する
- 個人の発言でも、組織の信用に関わりうることを意識する
私的なアカウントでも、1 つの投稿が炎上や情報漏えいにつながるため、
業務用の発信だけでなく私的な利用も対象にすることが多い。