会社のセキュリティ教科書 第6部 6-2
情報セキュリティ規程の一覧｜情報管理・インシデント対応・SNS利用など
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- どんな社内規程を作ればいいか分からないとき
- 取引先のチェックシートで「規程類を整備していますか」と聞かれ、何がそろっていればいいか知りたいとき
- IPAの「情報セキュリティ関連規程（サンプル）」を開いたが、59ページあってどこから手をつけるか迷うとき
読み終えたあと、社内でこう言えます
「うちに要る規程と、まだない規程を一覧で整理しました」
結論：情報セキュリティ規程とは、基本方針を実行するための社内の決まりをまとめた文書です。IPAのサンプルは組織的・人的・物理的・技術的の4つの対策に分けて、27の章を用意しています。小さな会社は全部を一度に作らず、体制・情報資産の管理・アクセス管理・インシデント対応・委託先管理から作るのが現実的です。SNSや生成AIの利用、個人情報の取扱いは、業務に合わせて章を足します。違反したときの扱いは、就業規則とつないでおきます。
会社に必要な情報セキュリティ規程は？
規程は、情報セキュリティポリシーの3階層のうち「対策基準」に当たります。基本方針の約束を、「何をするか」の決まりに落としたものです。中小企業で必要になりやすい規程を、優先度の目安とあわせて並べます。
| 規程（章） | 決めること | 優先度 |
|---|
| 体制・役割 | 責任者、担当者、連絡先、点検の時期 | まず作る |
| 情報資産の管理 | 重要度の分け方、保管場所、持ち出し、廃棄 | まず作る |
| アクセス制御・認証 | アカウントの発行と停止、パスワード、多要素認証、管理者権限 | まず作る |
| インシデント対応 | 事故の報告先、判断する人、届出先、再発防止 | まず作る |
| 委託先管理 | 委託先の選び方、契約に入れること、定期的な確認 | まず作る |
| インターネット・メール・SNS | 使ってよいサービス、誤送信対策、SNSへの書き込み | 次に作る |
| 人（雇用・教育・退職） | 守秘の誓約、教育の頻度、退職時の返却とアカウント停止 | 次に作る |
| IT機器の利用・運用 | 更新、ウイルス対策、ログ、私物端末 | 次に作る |
| バックアップ・復旧 | 取る対象と頻度、保管場所、戻す手順と試験 | 次に作る |
| 物理的な管理 | 入退室、施錠、机の上と画面の片付け | 次に作る |
| テレワーク | 使う端末、つなぐ場所、画面ののぞき見対策 | 在宅勤務があれば |
| 生成AIの利用 | 使ってよいサービス、入れてはいけない情報、出力の確認 | 使っていれば |
| システム開発・保守 | 開発の進め方、テスト、外注するときの要件 | 自社開発があれば |
規程は1冊にまとめても、章ごとに別の文書にしても構いません。取引先には、どの規程があるかを一覧で示せる状態にしておくと答えやすくなります。
IPAの「情報セキュリティ関連規程（サンプル）」には何がある？
情報処理推進機構（IPA）は、「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）の付録5で、関連規程のサンプルを公開しています。Word形式で全59ページです。赤字は自社の役職名などに書き換える所、青字は自社に合う文言を選ぶ所です。
| 分類 | サンプルの章 |
|---|
| 1 組織的対策 | 組織、監査・点検、情報共有、基本方針の制定・管理、情報資産・IT資産の管理、アクセス制御及び認証、インターネットの利用、委託管理、インシデント対応及び事業継続管理 |
| 2 人的対策 | 雇用条件、従業員の責務、雇用の終了、教育、人材育成、テレワーク |
| 3 物理的対策 | 入室権限とセキュリティ領域、関連設備、領域内の注意事項、搬入物の受け渡し、クリアデスク・クリアスクリーン、廃棄・返却・譲渡 |
| 4 技術的対策 | アクセス制御の標準設定、IT機器利用、IT基盤運用管理、バックアップ、リストア手順、システム開発及び保守 |
サンプルには、委託先の対策状況を確かめるチェックリストも付いています。4つの分類の考え方は管理策の分け方で詳しく扱います。
サンプルは「全部やる」前提ではありません。IPAのガイドラインは、リスクの大きいものから対策を決め、その対策をサンプルを参考に文書にする流れを示しています。自社でやらないと決めた章は、削るか「対象外」と書くのが正直な作り方です。
小さな会社はどの規程から作ればいい？
迷ったら、「取引先からよく聞かれる」と「起きたときの被害が大きい」の2つで順番を決めます。次の順番が一つの目安です。
- 体制・役割：責任者と連絡先が決まらないと、ほかの規程の主語が決まりません。役割の分け方はセキュリティ担当の決め方を参考にしてください。
- 情報資産の管理：何が大事な情報かを決めます。台帳は情報資産台帳のつくり方で作れます。
- アクセス制御・認証：退職者のアカウント停止と多要素認証は、チェックシートで特によく聞かれます。
- インシデント対応：報告先と判断する人を決めるだけでも、初動が変わります。
- 委託先管理：外注やクラウドに情報を預けているなら、早めに作ります。
- 残りの章：自社診断で「できていない」と出た所から足していきます。
たとえば社員12人の会計事務所では（架空の例）
顧客の決算書やマイナンバーを扱い、クラウドの会計ソフトと共有フォルダを使う事務所を考えます。所長が責任者、事務長が担当を兼ねています。
| 規程 | この事務所での中身の例 |
|---|
| 情報資産の管理 | 顧客の決算書とマイナンバーを「極秘」に分け、保管は施錠した書庫とアクセスを絞ったフォルダだけにする |
| アクセス制御 | 会計ソフトは全員が多要素認証。退職日にアカウントを止め、事務長が記録する |
| インシデント対応 | 誤送信や紛失は、気づいた人がすぐ所長へ。所長が顧客と届出の要否を判断する |
| 生成AIの利用 | 顧客名や数字の入った文書は入力しない。使うサービスは所長が許可したものだけ |
事務所の規模なら、物理的対策やシステム開発の章は短くて構いません。扱う情報が重いほど、資産管理とアクセス制御を厚くします。
SNS利用・生成AI・個人情報の規程はどう扱う？
この3つは、業務の中身によって必要な深さが大きく変わります。どこに書くかを整理します。
| テーマ | IPAサンプルでの扱い | 足すときの考え方 |
|---|
| SNSの個人利用 | 「インターネットの利用」の中に節がある | 会社の公式アカウントを運用するなら、投稿の承認や乗っ取り時の連絡を別に決める |
| 生成AIの利用 | 付録5のサンプルには独立した章がない | 入力してよい情報と、出力の確認を決める章を足す |
| 個人情報の取扱い | 資産管理や委託管理の中に分かれて入っている | 個人情報保護委員会のガイドラインに沿って、取扱規程としてまとめることもできる |
IPAのサンプルのSNSの節は、業務に関わる情報を書き込まない、取引先と私的に交流するときは立場をわきまえる、などの4点です。生成AIの社内ルールの例文はシャドーITと生成AIの社内ルールにまとめています。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、安全管理措置として、基本方針の策定と、個人データの取扱いに係る規律の整備を挙げています。従業員100人以下の「中小規模事業者」には、取得・利用・保存などの基本的な取扱方法を整備する、という手法の例が示されています（例外の条件があります）。自社が当てはまるかは、ガイドラインの本文で確かめてください。
規程を形だけにしないには？就業規則とのつなぎ方と見直し
規程は、作った日がいちばん正しい状態です。使うサービスや人が替わると、すぐに実態とずれます。形だけにしないために、次の3つを仕組みにしておきます。
- 就業規則とつなぐ：IPAのサンプルは、規程に違反したときの懲戒を就業規則に準じる書き方にしています。懲戒の定め方は労働契約法などが関わるため、社会保険労務士や弁護士に相談してください。社員のモニタリングを規程に入れる場合は労働関連の法律とモニタリングも確認してください。
- 周知の記録を残す：入社時と改定時に説明し、読んだことの確認を取ります。教育の進め方は社員教育と標的型メール訓練で扱います。
- 点検して直す：IPAのサンプルは、点検の結果を委員会に報告し、規程が守られていない、または不十分なら原因を直すか規程を改訂する流れです。点検は監査と内部統制、見直しはPDCAで規程を見直すで扱います。
規程どおりにできていない所を見つけたら、規程を実態に合わせて直すか、実態を規程に近づけるかを決めます。どちらでもよいので、ずれたまま放置しないことが大事です。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| 情報セキュリティに関する社内規程を整備していますか。 | はい。IPAのサンプルをもとに、体制、情報資産管理、アクセス管理、事故対応、委託先管理などの規程を定めています。 |
| インシデント発生時の対応手順を定めていますか。 | はい。報告先、判断する責任者、外部への届出先を規程に定め、連絡先の一覧を全員に配っています。 |
| SNSの利用に関するルールを定めていますか。 | はい。業務に関わる情報を投稿しないことを規程に定め、入社時に説明しています。 |
| 規程に違反した場合の罰則を定めていますか。 | いいえ。現在は定めておらず、〇月に就業規則の懲戒規定とつなぐ改定を予定しています。 |
規程の名前を聞かれたら、一覧（目次）をそのまま示すと伝わります。書き方はチェックシートの回答の書き方も参考にしてください。
試験ではここが問われる
SG・支援士・Security+ 5・CISM 1
- 規程の位置：情報セキュリティ関連規程は、基本方針の下の「対策基準」に当たります。具体的な作業の順番（実施手順）とは区別します。
- 安全管理措置：個人情報保護委員会のガイドラインは、基本方針の策定、規律（取扱規程）の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握を挙げています。
- 規程の例と分類：入退室の管理は物理的、守秘の誓約や教育は人的、委託先の管理や事故対応の体制は組織的、アクセス制御は技術的、のように振り分けられます。
- 実効性：規程は周知・教育・点検・見直しとセットで意味を持ちます。違反時の扱い（懲戒）は就業規則とつなぎます。
- 英語：Security+やCISMでは、Acceptable Use Policy（AUP、利用規程）、Incident Response Policy などの名前で問われます。
確認問題
問1 IPAの「情報セキュリティ関連規程（サンプル）」の分類で、「委託管理」が含まれるものはどれですか。
- ア 組織的対策
- イ 人的対策
- ウ 物理的対策
- エ 技術的対策
答えと解説
正解：ア サンプルでは、委託先の選定・契約・評価は組織的対策の章に入っています。人的対策は雇用・教育・テレワーク、物理的対策は入室権限や廃棄、技術的対策はIT機器やバックアップなどです。
問2 社員18人の設計事務所（架空）で、初めて規程を作ります。責任者は社長、担当は総務の1人の兼務です。最初に作る規程の組合せとして、最も適切なものはどれですか。
- ア システム開発・保守の規程と、搬入物の受け渡しの規程
- イ 体制・役割、情報資産の管理、アクセス制御、インシデント対応の規程
- ウ IPAのサンプル59ページを、書き換えずにそのまま全部
- エ 規程は作らず、口頭で注意する
答えと解説
正解：イ 責任者と連絡先、大事な情報、アカウント、事故の報告先は、どの会社でも最初に必要で、取引先からもよく聞かれます。アは自社開発がなければ優先度は低く、ウは実態と違う規程になります。エは周知や点検ができません。
問3 個人情報保護委員会のガイドライン（通則編）が示す安全管理措置の項目に含まれないものはどれですか。
- ア 基本方針の策定
- イ 個人データの取扱いに係る規律の整備
- ウ 外的環境の把握
- エ 第三者認証の取得
答えと解説
正解：エ ガイドラインは、基本方針の策定、規律の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握を挙げています。ISMSやプライバシーマークなどの認証の取得は、安全管理措置の項目にはありません。
よくある質問
情報セキュリティ規程のひな形は、どこで手に入りますか？
IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録5「情報セキュリティ関連規程（サンプル）」が無料で使えます。Word形式なので、赤字・青字の所を自社に合わせて書き換えます。基本方針のひな形は付録2にあります。
情報セキュリティ規程と就業規則は、別々に作るものですか？
別の文書として作り、就業規則から参照させるのが一般的です。規程は使うサービスに合わせて変えることが多く、就業規則とは改定の頻度が違うためです。懲戒とのつなぎ方は、社会保険労務士や弁護士に確認してください。
社員が10人以下でも、規程は必要ですか？
はい。ただし短くて構いません。取引先から規程の有無を聞かれることがあり、文書がないと「いいえ」と答えることになります。体制、情報資産、アカウント、事故の報告先の4つを1〜2ページにまとめるだけでも、答えられる設問が増えます。
この記事のまとめ
- 情報セキュリティ規程は、基本方針を実行するための社内の決まりで、IPAのサンプルは組織的・人的・物理的・技術的の4分類です。
- 小さな会社は、体制・情報資産の管理・アクセス制御・インシデント対応・委託先管理から作ります。
- SNS・生成AI・個人情報は業務に合わせて章を足し、違反時の扱いは就業規則とつなぎます。
参考にした資料
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と付録5「情報セキュリティ関連規程（サンプル）」（2026年3月27日公開）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正、10（別添）講ずべき安全管理措置の内容）
- 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版）
- IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.0（2023年12月）