第3部 守りと経営
第8章 情報セキュリティ規程とルール作り
ルールがなければ現場は守りようがありません。しかし厳しすぎるルールは、現場に堂々と回避されます。守られてこそのルール——その現実的な着地点を探します。
🎯 この章で学ぶこと
- 「ルールがないと守れない」と「厳しすぎると守られない」の両立
- ポリシーの3層構造(基本方針・対策基準・実施手順)
- 守れるルールにするコツと、例外・承認のプロセス
- 最低限これだけは定めたい項目のリスト
- 教育・周知の続け方と、参考にできる公的な枠組み
8.1 ルールがないと守れない、でも厳しすぎると守られない
どんなに優れたセキュリティ製品を入れても、それを使う「人」の行動が定まっていなければ、穴はいくらでも開きます。「パスワードは何文字以上にするのか」「顧客データを社外に持ち出してよいのか」「怪しいメールを開いてしまったら誰に報告するのか」——こうした判断の基準を言葉にしたものがルール(規程)です。ルールがなければ、社員は「自分の常識」で動くしかなく、その常識は人によってバラバラです。だからルールは必要です。
ところが、ここに一人情シスが必ずぶつかる壁があります。「厳しく作りすぎたルールは、現場に守られない」という現実です。パスワードを毎月変更させ、USBを全面禁止し、あらゆる操作に申請を課す——理屈の上では安全でも、現場は仕事が回らなくなります。すると人は必ず「抜け道」を見つけます。パスワードを付箋に書き、私物の機器でこっそりデータを運び、申請が面倒だからと隠れて処理する。守られないルールは、ないのと同じどころか、「守っているつもり」という誤った安心を生むぶん、むしろ危険なのです。
ですから、一人情シスが目指すべきは「理想的に厳しいルール」ではなく、「現場が実際に守れて、かつ最低限の安全を担保するルール」という、地に足のついた着地点です。この章の一貫したテーマは、その現実的なバランスです。
8.2 ポリシーの階層 — 3つの層で考える
セキュリティのルールは、1枚の巨大な文書にするとうまくいきません。「なぜやるのか」と「具体的にどう操作するのか」が混ざって読みにくく、更新もしづらいからです。そこで一般に、次の3つの層に分けて考えます。
| 層 | 役割 | 中身のイメージ | 更新頻度 |
|---|---|---|---|
| ① 基本方針(ポリシー) | 会社としての「姿勢・約束」を宣言する | 「当社は顧客情報を適切に保護します」といった大方針。経営が承認する | めったに変えない |
| ② 対策基準(スタンダード) | 方針を実現するための「守るべき基準」 | 「パスワードは◯文字以上」「重要データは暗号化する」など、守るべきルール | 年1回程度見直す |
| ③ 実施手順(プロシージャ) | 基準を「具体的にどう操作するか」の手順書 | 「パスワード変更の操作手順」「バックアップの取り方」など画面つき手順 | 随時更新する |
この分け方の良いところは、変更に強いことです。ツールを乗り換えても、変わるのは③の手順だけで、①②はそのまま使えます。一人情シスにとっては、まず②の対策基準(守るべきこと)を数ページで作り、③の手順は必要なものから少しずつ足していくのが現実的です。①の基本方針は、会社のWebサイトなどに載せる短い宣言で十分なことが多いでしょう。最初から3層すべてを分厚く作ろうとして挫折するより、②を薄く1本作るところから始めましょう。
8.3 現実的なルール作り
「守られるルール」を作るためのコツを、具体的に挙げます。
- 守れる水準にする — 現場の業務を想像し、「これなら回る」ラインに設定する。理想の8割でも、守られる方がはるかに安全
- 理由を添える — 「なぜこのルールがあるのか」を一言添える。理由が分かるルールは自発的に守られ、丸暗記の禁止事項は破られる
- 例外の申請ルートを用意する — 「原則禁止。ただし業務上必要な場合は申請すれば許可」という逃げ道を作る。これがないと、現場は申請せずに勝手にやる(=シャドーIT、第7章)
- 短く、平易な言葉で — 法律のような難解な文章では誰も読まない。中学生でも分かる言葉で
- 経営の承認を得る — ルールは「情シスの個人的なお願い」では守られない。経営層の名前で発行してもらうことで、はじめて全社の約束になる
とくに最後の「経営の承認」は、一人情シスにとって死活的に重要です。あなた一人が「守ってください」と言っても、他部署は動きません。しかし「これは会社の決定です」となれば、話は別です。ルール作りは技術の仕事であると同時に、経営を巻き込む政治の仕事でもあります(経営との対話は第10章で詳しく扱います)。
立派なルール文書を作ることがゴールではありません。ゴールは「現場が実際にその通り動き、危険が減ること」です。100点の理想を書いた文書が棚で埃をかぶるより、60点でも全員が守れるルールが日々回っている方が、会社ははるかに安全です。「作って満足」ではなく「運用して初めて価値が出る」——これはバックアップ(第6章)にも通じる、守りの仕事に共通する真理です。
8.4 最低限これだけは定めたい
「何から手をつければいいか」と迷ったら、次の項目から始めてください。中小企業で被害につながりやすく、かつルール1つで大きく効くものを厳選しました。
| 項目 | 定めたいことの例 | なぜ重要か |
|---|---|---|
| パスワード | 長さ・使い回し禁止・MFAの利用・パスワード管理ツールの推奨 | 乗っ取りの大半は弱い・使い回したパスワードが原因 |
| 端末利用 | 私物端末の扱い、画面ロック、紛失時の連絡、ソフトの勝手なインストール禁止 | 端末は最も紛失・感染しやすい入口(端末管理は第4章) |
| データ持ち出し | USB・私物クラウド・メール添付での社外持ち出しの可否と手順 | 情報漏えいの代表的な経路 |
| SNS・生成AI | 業務情報の投稿禁止、生成AIに入力してよい/いけない情報の線引き | うっかり投稿・入力による漏えいが増えている(第7章) |
| インシデント報告の義務 | 「怪しいメールを開いた」「PCを紛失した」等を隠さず・すぐ・咎めずに報告する | 初動の遅れが被害を拡大させる(第10章) |
5つ目のインシデント報告の義務は、とりわけ重要です。フィッシングメールのリンクを踏んでしまった社員が、叱られるのを恐れて黙っていると、その数時間の沈黙の間に被害は社内に広がります。だからルールには必ず「正直に早く報告した人を責めない。むしろ報告を評価する」という姿勢を明記してください。報告を罰すると、次からは誰も報告しなくなり、情シスは目隠しで戦うことになります。「早く言ってくれてありがとう」の文化が、技術的対策以上に会社を守ります。
8.5 教育と周知 — 作って終わりにしない
ルールは、作って社内サーバーに置いただけでは誰も読みません。「作ること」と「浸透させること」はまったく別の仕事であり、後者の方がずっと難しく、ずっと重要です。ルールを「文化」として根付かせるための、続けやすい方法を挙げます。
- 入社時に必ず伝える — 新入社員向けに、要点だけを15分で説明する時間を設ける。最初が肝心
- 定期的な注意喚起 — 月1回、チャットや朝礼で1テーマだけ。「今月はパスワードの話」のように小分けにすると続く。分厚い研修を年1回やるより、短い注意喚起を毎月の方が定着する
- 標的型メール訓練 — 情シスが「訓練用の偽フィッシングメール」を社内に送り、誰が開いたかを把握して学びにつなげる。責めるためでなく「気づく力」を鍛えるため
- 身近な事例を使う — ニュースになった同業他社の被害など、「自分ごと」に感じられる話は心に残る
ポイントは、「怖がらせる」より「守り方を具体的に教える」ことです。「危険だ」と脅すだけでは人は動きません。「怪しいメールはこう見分ける」「困ったらここに連絡する」という具体的な行動を、繰り返し・少しずつ伝えていく。教育は一度のイベントではなく、日々の積み重ねだと考えましょう。
どんな高価なセキュリティ製品も、社員が偽メールのリンクをクリックし、パスワードを入力してしまえば突破されます。攻撃者は技術の穴だけでなく、「人の心理の隙」(急かす、権威を装う、好奇心を刺激する)を突いてきます。これをソーシャルエンジニアリングと呼びます。だからこそ、社員一人ひとりが「これはおかしい」と気づけることが、最強かつ最安の防御になります。ルールと教育は、社員を「管理する対象」ではなく「一緒に会社を守るチームメイト」にする営みだと捉えると、うまくいきます。攻撃者の手口をより深く知りたい場合は「入門コース(🐍 Python × セキュリティ)第9章 情報セキュリティの基礎知識」も役立ちます。
8.6 参考になる枠組み
ルールをゼロから自分の頭だけで作る必要はありません。世の中には、中小企業向けに整理された優れた「お手本」があります。まず頼りにしたいのがIPA(情報処理推進機構)という公的機関が無料で公開している資料です。
- IPA「中小企業の情報セキュリティ対策ガイドライン」 — 中小企業が何から手をつければよいかを段階的に示した定番。付属のひな形(規程のサンプル)をたたき台にできる
- IPA「SECURITY ACTION」 — 中小企業が「情報セキュリティに取り組みます」と自己宣言する制度。無料で、取り組みの第一歩や対外的なアピールに使える
こうしたひな形を「自社に合わせて削る・言い換える」形で使えば、ルール作りの負担は大幅に減ります。ゼロから書くより、良質なたたき台を自社サイズに調整する方が、はるかに早く・確実です。
一方で、ISMS(ISO 27001)やプライバシーマーク(Pマーク)といった認証制度もあります。これらは取引先から求められることもあり、取得できれば信頼の証になります。ただし、取得と維持には相応の工数・費用・継続的な運用が必要です。一人情シスの立場では、「いきなり認証取得を目指す」のは負担が大きすぎることが多いでしょう。まずはIPAのガイドラインで土台を固め、認証は「取引先の要求など、明確な必要性が出てきたら検討する」という順序が現実的です。認証というゴールに振り回されて、日々の運用が回らなくなっては本末転倒です。
まとめ
- ルールは必要だが、厳しすぎると守られず、かえって危険。目指すのは「守れて最低限安全」な着地点
- ポリシーは3層(基本方針・対策基準・実施手順)で。まず対策基準を薄く1本作るところから
- 守られるルールのコツは、守れる水準・理由を添える・例外申請の道・平易な言葉・経営の承認
- 最低限、パスワード/端末/持ち出し/SNS・生成AI/インシデント報告を定める。報告者は絶対に責めない
- 作って終わりにせず、少しずつ継続して教育・周知。IPAのガイドラインをたたき台に、認証は必要が出てから
演習(自社の点検)
自社に「情報セキュリティに関する明文化されたルール」はありますか。あるとしたら、それは現場に実際に守られていますか。守られていない項目があれば、なぜ守られないのかを考えてください。
考え方
点検の視点は「ルールの有無」よりも「守られているか」です。守られていないなら、たいてい原因は「厳しすぎて業務が回らない」「理由が分からない」「そもそも周知されていない」のいずれかです。ルールを増やす前に、既存のルールが守れる水準か・理由が伝わっているかを見直しましょう。守られない立派なルールより、守られる現実的なルールの方が会社を安全にします。
8.4の5項目(パスワード・端末・データ持ち出し・SNS/生成AI・インシデント報告)のうち、自社でルールが最も曖昧なものはどれですか。1つ選び、「1文で書ける最低限のルール」を作ってみてください。
考え方
点検の視点は「完璧でなくてよいから、まず1文で決める」ことです。たとえば「顧客の個人情報を無料の外部サービスや生成AIに入力してはいけない。必要な場合は情シスに相談する」のように、禁止と例外ルートをセットで書くのがコツ。長い文書を作る前に、いちばん危ない1項目を1文で固め、経営の承認を得て周知する——この小さな一歩が、実務では最も効きます。
もし社員がフィッシングメールのリンクを踏んでしまったら、その社員は「すぐに正直に報告できる」空気が自社にありますか。報告を促す(責めない)ための工夫を1つ考えてください。
考え方
点検の視点は「報告のしやすさ = 初動の速さ = 被害の小ささ」という因果です。「報告したら怒られる」文化だと、社員は隠し、被害が広がります。工夫の例:報告窓口を1本化して分かりやすくする、ルールに「早く報告した人を責めない・むしろ評価する」と明記する、実際に報告があったら経営の前で感謝を示す。技術対策の前に、この「言い出せる空気」づくりが会社を守ります。詳しい初動対応は第10章で扱います。