Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第6部 6-1

情報セキュリティポリシーとは｜基本方針・対策基準・実施手順の3階層

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 取引先から「情報セキュリティ基本方針を提出してください」と言われたとき
  • 基本方針・対策基準・実施手順の違いがあいまいで、どの文書に何を書けばいいか迷うとき
  • SGや支援士の勉強で、ポリシーの体系を実務の言葉でつかみたいとき

読み終えたあと、社内でこう言えます

「取引先に出す情報セキュリティ基本方針を、1ページで用意しました」

結論：情報セキュリティポリシーとは、会社が情報をどう守るかを決めた文書の体系です。一般に「基本方針」「対策基準」「実施手順」の3階層で考えます。総務省のガイドラインでは、ポリシーと呼ぶのは基本方針と対策基準までで、実施手順は含めません。取引先が提出を求める「基本方針」は、経営者の名前で出す1ページほどの宣言です。IPAのひな形を使えば、基本方針は短い時間で形にできます。

情報セキュリティポリシーは基本方針・対策基準の2つで、その下に具体的なやり方を書く実施手順がある3階層

基本方針・対策基準・実施手順の違いは？

3つの文書は、上に行くほど短く変わりにくく、下に行くほど具体的で変わりやすい関係です。総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版）は、この階層を次のように説明しています。

同じガイドラインは、基本方針と対策基準を合わせて「情報セキュリティポリシー」と呼び、実施手順は含まないとしています。会社に置き換えると、次の表のようになります。

文書書くこと誰が決めるか社外に出すか
基本方針なぜ守るか、何を約束するか。1ページほど経営者（社長名で出す）出す。サイトや会社案内に載せてよい
対策基準何を、どこまで守るか。「〜する」「〜しない」の決まり責任者が案を作り、経営者が承認原則社内。求められたら該当部分だけ
実施手順どうやってやるか。画面や作業の順番担当者が作り、責任者が確認出さない（社内の作業書）

中小企業では、対策基準を「情報セキュリティ関連規程」や「社内ルール」と呼ぶことが多いです。名前は違っても、「方針」「決まり」「やり方」の3段に分かれていれば体系としては同じです。

ISMSの規格ではどう扱うか

ISMS（情報セキュリティマネジメントシステム）の要求事項を定めたJIS Q 27001:2023（ISO/IEC 27001:2022に対応）では、「方針」は箇条5「リーダーシップ」の中にあります。つまり経営者の役割として方針を定める位置づけです。附属書Aの管理策にも「情報セキュリティのための方針群」があり、テーマ別の方針（アクセス制御、バックアップなど）を定めて周知することが求められます。テーマ別の方針は、上の表の対策基準に当たると考えると整理しやすくなります。

情報セキュリティ基本方針には何を書く？

情報処理推進機構（IPA）は「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）の付録2で、基本方針のサンプル（Word、1ページ）を公開しています。サンプルは前文と5つの項目でできています。

項目書く内容（要約）自社に合わせる所
前文情報資産を事故・災害・犯罪から守り、信頼に応えるために全社で取り組む「お客様からお預かりした」「当社の」など、守る情報の言い方
1 経営者の責任経営者が主導し、継続して改善するそのままでよいことが多い
2 社内体制の整備組織を置き、対策を社内の正式な規則として定める責任者を誰にするか（本文に役職を書く会社もある）
3 従業員の取組み必要な知識と技術を身につける教育の頻度を別の規程で決める
4 法令・契約の遵守法令、規制、契約上の義務を守る個人情報保護法など、自社に関係の深い法令
5 違反・事故への対応違反や事故が起きたら適切に対処し、再発を防ぐそのままでよいことが多い

末尾には制定日、会社名、代表者の役職と氏名を入れます。IPAのガイドラインは、基本方針に決まった書き方はなく、事業の特徴や顧客の期待をふまえて作るよう案内しています。

たとえば社員25人の印刷会社では（架空の例）

顧客から名簿データを預かり、ダイレクトメールを印刷・発送する会社を考えます。サンプルの5項目はそのまま使い、自社らしさは前文と項目4に出します。

  1. 前文：「お客様からお預かりした宛名データと原稿を、印刷・発送が終わるまで責任をもって管理します」と、守る情報を具体的に書く。
  2. 項目4：個人情報保護法と、お客様との契約で決めた返却・消去の約束を守ると書く。
  3. 追加の一文：「お問い合わせ窓口」として、総務部のメールアドレスを書く。

基本方針は宣言なので、細かな数字や製品名は書きません。「パスワードは12文字以上」のような決まりは、次の対策基準に書きます。

対策基準と実施手順は、どこまで書き分ける？

書き分けの目安は、対策基準は「何をするか」、実施手順は「どうやるか」です。対策基準は、パソコンやサービスを入れ替えても変わらない書き方にします。実施手順は、使っている機器やサービスに合わせて書き、入れ替えたら直します。

基本方針（どの項目から）対策基準（何を）実施手順（どうやって）
2 社内体制の整備社外に持ち出すパソコンは、ディスクを暗号化するOSの暗号化機能をオンにする画面の順番と、回復キーの保管場所
4 法令・契約の遵守お客様のデータは、契約終了後30日以内に消去し、記録を残す消去するフォルダ、消去の方法、記録の様式と保存先
5 違反・事故への対応事故に気づいた社員は、すぐに責任者へ報告する連絡先の一覧、報告で伝える項目、夜間・休日の連絡順

実施手順まで全部そろえる必要はありません。担当者が替わると困る作業や、事故のときに慌てる作業から作ります。事故対応の流れはインシデント対応体制の設問の答え方も参考になります。

中小企業はどの順番で作ればいい？

一度に3階層を作ろうとすると、途中で止まりがちです。IPAのガイドラインの流れに沿うと、次の順番が無理なく進みます。

  1. 守る情報を書き出す：顧客名簿、図面、会計データなど。台帳の作り方は情報資産台帳のつくり方にまとめています。
  2. 基本方針を作る：IPAの付録2を自社向けに書き換え、社長名で制定します。
  3. 今の状態を測る：IPAの「5分でできる！情報セキュリティ自社診断」（付録3、25項目）で、できていない所を見つけます。
  4. 対策基準を作る：IPAの「情報セキュリティ関連規程（サンプル）」（付録5）から、自社に必要な章を選んで書き換えます。どの規程が要るかは会社に必要な規程の一覧で整理しています。
  5. 実施手順は必要な所だけ：バックアップの戻し方、退職者のアカウント停止、事故の連絡順などから作ります。
  6. 周知して記録を残す：全員に説明し、読んだことの確認（署名やチェック）を取ります。
  7. 年1回見直す：事故や取引先の要求、使うサービスの変化に合わせて直します。見直しの回し方はPDCAで規程を見直すで扱います。

手順2までは、ひな形を使えば短い時間で終わります。取引先への提出期限が近いときは、まず基本方針を整え、対策基準は「〇月までに制定予定」と伝えるのが現実的です。

取引先に「基本方針を提出して」と言われたら何を出す？

取引先がこの依頼をするのは、経営者が責任をもってセキュリティに取り組んでいるかを確かめたいからです。提出物は次のように考えます。

求められたもの出すもの気をつけること
基本方針制定日と社長名の入った基本方針（PDF）ひな形の「株式会社○○○○」や赤字を残さない
規程類・ポリシー一式規程の一覧（目次）と、聞かれた章の抜粋社内の連絡先や設定の詳細は伏せる。全文を出すなら秘密保持契約の範囲で
まだ作っていない「未制定。〇月までに制定予定」と今の対策ないものを「ある」と書かない

基本方針を自社サイトに載せておくと、提出の手間が減ります。IPAの「SECURITY ACTION」の二つ星は、基本方針を定めて外部に公開することが宣言の条件です。宣言の手順はSECURITY ACTIONの宣言のしかたにまとめています。

一番避けたいのは、ひな形をそのまま出して、中身と実態が違う状態です。基本方針で「教育を行う」と約束したなら、教育の記録も聞かれる前提で準備しておきます。

チェックシートではこう聞かれる

よくある設問答え方の例
情報セキュリティ基本方針を策定し、経営者が承認していますか。はい。代表取締役名で制定し、自社サイトで公開しています。
基本方針や規程を従業員に周知していますか。はい。入社時と年1回説明し、全員から確認の署名を取っています。
情報セキュリティに関する規程類を整備していますか。はい。IPAのサンプルをもとに、情報資産管理・アクセス管理・事故対応など8章の規程を定めています。
方針や規程を定期的に見直していますか。いいえ。制定後の見直しは未実施で、〇月に責任者が見直し、社長の承認を得る予定です。

「いいえ」の場合も、予定と代わりの対策を添えると誠実な回答になります。書き方はチェックシートの回答の書き方を参考にしてください。

試験ではここが問われる

SG・支援士・Security+ 5・CISSP 1・CISM 1

  • 3階層：基本方針（考え方）→対策基準（何をするか）→実施手順（どうやるか）。下に行くほど具体的で、見直しの頻度が高くなります。
  • ポリシーの範囲：総務省のガイドラインでは、情報セキュリティポリシー＝基本方針＋対策基準。実施手順は含めません。
  • 誰が決めるか：基本方針は経営者（トップマネジメント）が定めて承認します。担当者だけで決めた方針は、方針として不十分と考えます。
  • 公開の範囲：基本方針は社外に公開してよい文書。実施手順は、攻撃の手がかりになりうるため非公開にするのが一般的です。
  • 英語：Policy（方針）・Standard（基準）・Procedure（手順）・Guideline（推奨の指針）。CISSPやCISMでは、Guidelineは守ることが義務ではない点が問われます。

確認問題

問1 総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」の考え方で、「情報セキュリティポリシー」に含まれる文書の組合せとして、最も適切なものはどれですか。

  1. ア 基本方針だけ
  2. イ 基本方針と対策基準
  3. ウ 対策基準と実施手順
  4. エ 基本方針・対策基準・実施手順のすべて
答えと解説
正解：イ　同ガイドラインは、基本方針と対策基準を総称して情報セキュリティポリシーと呼び、実施手順は含まないとしています。実施手順は、対策基準を具体的なシステムや手続に展開した文書です。

問2 社員30人の卸売会社（架空）で、規程を整理しています。次のうち、実施手順に書くのが最も適切な内容はどれですか。

  1. ア 当社は、お客様の信頼に応えるため、全社で情報セキュリティに取り組む
  2. イ 社外に持ち出すパソコンは、ディスクを暗号化する
  3. ウ 退職者のアカウントは、最終出社日に停止する
  4. エ 経理システムのバックアップから、前日のデータを戻す操作の順番
答えと解説
正解：エ　特定のシステムでの作業の順番は、実施手順に書きます。アは考え方を示す基本方針、イとウは「何をするか」を決める対策基準の内容です。

問3 情報セキュリティ基本方針の扱いとして、最も適切なものはどれですか。

  1. ア 情報システム担当者が作成し、担当者名で制定する
  2. イ 経営者が承認して制定し、従業員や取引先などの関係者に周知する
  3. ウ 攻撃者に知られないよう、社内でも一部の役員だけに配る
  4. エ 使っている製品名と設定値を詳しく書き、製品を替えるたびに改定する
答えと解説
正解：イ　基本方針は経営者の宣言で、従業員の指針であり、関係者への表明でもあります。アは経営者の関与がなく、ウは周知の目的に反します。エの細かな設定は実施手順に書く内容です。

よくある質問

情報セキュリティ基本方針は、IPAのひな形そのままでもいいですか？
使えますが、会社名・制定日・代表者名を入れ、守る情報の言い方を自社に合わせてください。IPAも、事業の特徴や顧客の期待をふまえて作るよう案内しています。中身と実態が違うと、取引先の追加の質問に答えられなくなります。
情報セキュリティポリシーとプライバシーポリシーの違いは？
守る対象と読み手が違います。情報セキュリティポリシーは、会社の情報全体をどう守るかを決めた文書です。プライバシーポリシーは、個人情報をどう扱うかを本人に知らせる文書で、利用目的や問い合わせ窓口などを書きます。
情報セキュリティポリシーは、どのくらいの頻度で見直せばいいですか？
年1回と、大きな変化があったときが目安です。IPAの関連規程サンプルも、点検の結果をもとに規程を改訂する流れを示しています。事故、取引先の新しい要求、テレワークや新しいクラウドの導入などが、見直しのきっかけになります。

この記事のまとめ

基本方針の設問も、確認と提出だけにする

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の実態に合わせた回答を作ってお返しします。基本方針や規程がまだない項目は、「いいえ」と予定の書き方を添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版、2025年3月28日公表）
  2. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版と付録2「情報セキュリティ基本方針（サンプル）」・付録5「情報セキュリティ関連規程（サンプル）」（2026年3月）
  3. IPA「SECURITY ACTION 制度概要」（2026年10月閲覧）
  4. 日本規格協会「JIS Q 27001:2023 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項」プレビュー（2023年9月改正）
  5. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.0（2023年12月）