情報セキュリティ規程は、情報資産を脅威から守るための社内ルールの中核です。ISMS（ISO/IEC 27001）認証の取得・維持、取引先からのセキュリティ審査、個人情報保護への対応など、整備が求められる場面は年々増えています。
本記事では、ISMS（ISO/IEC 27001:2022）の枠組みを踏まえた情報セキュリティ規程の作り方と、規程体系・必須項目を整理します。
ISMS（ISO/IEC 27001:2022）の概要
- ISO/IEC 27001:2022 が現行版（2013年版からの移行期限は2025年10月末で終了済み）
- 管理策（附属書A）は93項目に再編され、新たに11の管理策が追加（脅威インテリジェンス、クラウドサービス利用の情報セキュリティ、ICT の事業継続性確保 など）
- 日本語版 JIS Q 27001 は2023年9月に改訂
- テレワーク・クラウド・サプライチェーンリスク・高度化するサイバー攻撃を反映
認証を取得しない企業でも、27001:2022 の管理策は規程設計のチェックリストとして有用です。
規程体系（3階層）
情報セキュリティ関連の文書は、3階層で整理すると運用しやすくなります。
| 階層 | 文書 | 内容 |
|---|---|---|
| 第1層 | 情報セキュリティ基本方針 | 経営層の方針表明（対外公開可） |
| 第2層 | 情報セキュリティ規程（対策基準） | 守るべきルール（本記事の対象） |
| 第3層 | 実施手順・マニュアル | 具体的な手順（端末設定、運用手順等） |
基本方針は滅多に変えず、対策基準（規程）と実施手順を改訂で運用していくのが基本形です。
規程に盛り込むべき項目
1. 目的・適用範囲
- 情報資産の機密性・完全性・可用性の確保
- 対象（全従業員・委託先・対象となる情報資産・拠点）
2. 体制・責任
- 情報セキュリティ責任者（CISO 等）・管理者の役割
- 各部門の責任
- 委員会・インシデント対応体制
3. 情報資産の管理
- 情報資産の洗い出しと分類（機密区分）
- 機密区分ごとの取扱いルール（保管・持出・受渡・廃棄）
4. アクセス制御
- アカウント管理（付与・変更・削除のフロー）
- 認証（パスワード要件・多要素認証）
- 最小権限の原則・特権ID管理
5. 物理・端末・ネットワークセキュリティ
- 入退室管理
- 端末管理（資産管理・ウイルス対策・暗号化）
- ネットワーク（ファイアウォール・無線LAN）
6. クラウド・テレワーク
- クラウドサービス利用の承認・管理（シャドーIT 対策）
- テレワーク時の端末・回線・作業環境のルール
7. 委託先・サプライチェーン管理
- 委託先のセキュリティ要件・契約
- 委託先の評価・監督
8. インシデント対応
- インシデントの定義・報告ルート
- 初動対応・封じ込め・復旧
- 個人情報漏えい時の本人通知・個人情報保護委員会への報告（改正個情法）
9. 教育・点検・是正
- 全従業員への定期教育
- 内部監査・マネジメントレビュー
- 是正措置・継続的改善（PDCA）
個人情報保護規程との関係
個人情報は情報資産の一部ですが、個人情報保護法・Pマークに特有の要求があるため、個人情報保護規程を別に設けるのが一般的です。情報セキュリティ規程と整合させ、重複・矛盾がないように体系を整理します。
ありがちな失敗
1. 規程が分厚いだけで運用されない
理想的なルールを盛り込みすぎて現場が守れないと、形骸化します。実態に合わせて段階的に整備します。
2. クラウド・シャドーITが管理外
現場が勝手にSaaSを使う状態は重大なリスクです。利用承認のフローを規程化します。
3. インシデント時の報告ルートが不明確
漏えい時に誰に・いつ報告するかが曖昧だと、初動が遅れ被害が拡大します。報告ルートと期限を明記します。
規程ログでの整備
規程ログには、情報セキュリティ規程・個人情報保護規程など関連規程のテンプレートが揃っており、規程体系の整合を確認しながら整備できます。本文ハッシュによる改ざん検知や既読証跡の取得は、ISMS・Pマーク審査での証跡としても有効です。
まとめ
情報セキュリティ規程は、ISMS（ISO27001:2022）の管理策を参考に、3階層の規程体系の中で「対策基準」として整備します。情報資産の分類・アクセス制御・クラウド／テレワーク・委託先管理・インシデント対応を押さえ、教育とPDCAで運用していくことが重要です。
※ 本記事は一般的な情報整理を目的としています。ISMS 認証要件や個人情報保護法対応の細目は、最新の規格・法令の確認と、専門家による最終確認を推奨します。