情報セキュリティ方針の作り方

ISMSの情報セキュリティ方針の作り方

〜経営の意思を明文化し、組織全体で共有する〜

ISMS（情報セキュリティマネジメントシステム）を運用するうえで、
セキュリティ方針（情報セキュリティ基本方針）は最も重要な文書のひとつです。

これは、組織が「情報セキュリティにどのように取り組むのか」を経営レベルで明示するもので、
ISMS全体の方向性と判断基準を定める役割を持ちます。

本記事では、ISO/IEC 27001（JIS Q 27001）に基づき、セキュリティ方針の作り方とポイントをわかりやすく解説します。

1. セキュリティ方針とは何か

セキュリティ方針とは、組織が情報セキュリティをどのように確保・維持していくかを定めた最上位レベルの基本方針です。

ISO/IEC 27001では、**5.1「情報セキュリティのための方針群」**として以下が求められています。

組織は、情報セキュリティの目的及び経営の方向性を明確にする方針を確立し、
文書化し、組織内外に伝達しなければならない。

つまり、方針は単なる宣言文ではなく、
経営層が自ら示す「組織の意志」として定め、運用全体を導くための文書なのです。

2. セキュリティ方針を作る前に確認すべき3つのこと

方針を策定する前に、次の3点を整理しておくと、内容に一貫性が生まれます。

これらを整理することで、方針が現実に即した経営視点のある内容になります。

3. セキュリティ方針の構成例

以下のような項目構成で作成すると、ISO規格の要求にも適合しやすくなります。

【1】目的

• 本方針を定める目的を記載します。
  　例：「当社は、情報資産の機密性・完全性・可用性を確保し、顧客および社会からの信頼を維持するため、情報セキュリティ基本方針を定めます。」

【2】適用範囲

• 方針が適用される対象を明確にします。
  　例：「当社の全従業員および業務委託先が、当社の業務に関連して取り扱うすべての情報資産を対象とします。」

【3】基本的な取り組み方針

ISO/IEC 27001の考え方を踏まえ、以下の項目を含めるとよいでしょう。

• 法令・契約の遵守
• 情報資産の適切な管理
• 教育・啓発の実施
• インシデントへの迅速な対応
• 継続的改善への取り組み

【4】責任と体制

• 経営層が責任を持ってISMSを運営することを明記。
  　例：「経営者は本方針の下、情報セキュリティ管理責任者を任命し、適切な資源を提供します。」

【5】継続的改善

• ISMSの有効性を維持・改善する旨を明記。
  　例：「当社は、内部監査やマネジメントレビューを通じて、ISMSを継続的に改善します。」

【6】制定日・改訂日・承認者

• 経営トップの署名・制定日・最終改訂日を記載し、正式な承認文書として位置づけます。

4. 実務で使える文例（サンプル）

情報セキュリティ基本方針（例）

当社は、顧客からお預かりする情報資産を適切に保護し、事業活動の信頼性を確保するため、次の方針を定めます。

1. 情報資産の機密性・完全性・可用性を維持するため、適切な管理策を講じます。
2. 関係法令および契約上の義務を遵守します。
3. 情報セキュリティに関する教育・訓練を実施し、全従業員の意識向上を図ります。
4. インシデント発生時には迅速かつ的確に対応し、被害の最小化に努めます。
5. 内部監査およびマネジメントレビューにより、ISMSの継続的改善を行います。

本方針は、当社の全従業員および関係者に周知し、外部にも公開します。

制定日：2025年4月1日
最終改訂日：2025年10月1日

株式会社〇〇〇〇
代表取締役　□□□　□□□

5. 方針策定後に行うべき運用ステップ

セキュリティ方針は作成して終わりではなく、「運用して定着させる」ことが重要です。
具体的には以下のステップを踏みます。

6. よくある課題と改善のヒント

7. まとめ

ISMSのセキュリティ方針は、
「経営層の意志を文書化し、組織全体に方向性を示す羅針盤」です。

作り方のポイントは次のとおりです。

1. 経営方針・事業目的と整合させる
2. 法令・顧客要求を反映する
3. 責任体制と改善の姿勢を明記する
4. 文書化・周知・改訂を継続する

これを適切に実施すれば、ISMSの信頼性が高まり、社内外からの評価も向上します。