⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

情報セキュリティ基本方針

第1部: 書式本文

第1条(基本理念) 〇〇〇〇株式会社(以下「当社」という。)は、事業活動の基盤である情報資産を様々な脅威から保護することが社会的責務であると認識し、本情報セキュリティ基本方針(以下「本方針」という。)を制定する。

第2条(目的) 本方針は、当社が保有し又は取り扱う情報資産の機密性、完全性及び可用性を維持し、顧客、取引先及び役職員の信頼に応えることを目的とする。

第3条(適用範囲) 本方針は、当社の全役員、全従業員(嘱託・パート・派遣を含む。)及び当社の指揮命令のもとで業務に従事する外部委託先の担当者に適用する。

第4条(経営層の関与) 経営層は、本方針の制定及び見直しに主体的に関与し、情報セキュリティマネジメントシステムの運用に必要な人的及び財源的資源を継続的に確保する。

第5条(法令等の遵守) 当社は、個人情報の保護に関する法律をはじめとする情報セキュリティに関連する法令、行政指針及び当社が締結する契約上の義務を遵守する。

第6条(情報資産の分類及び保護) 当社は、取り扱う情報資産を重要度に応じて分類し、分類に応じたアクセス制御、暗号化その他の保護措置を講じる。

第7条(安全管理措置) 当社は、個人情報の保護に関する法律第23条に定める安全管理措置を含め、組織的、人的、物理的及び技術的な観点から総合的な安全管理措置を実施する。

第8条(組織体制) 当社は、情報セキュリティ委員会及び最高情報セキュリティ責任者(CISO)を設置し、本方針の実施状況を統括させる。

第9条(リスクアセスメント) 当社は、定期的に情報資産に関するリスクアセスメントを実施し、識別されたリスクに応じた対策を計画的に実施する。

第10条(教育及び訓練) 当社は、全役職員に対し、情報セキュリティに関する教育を年〇回以上実施し、意識の向上及び規程の周知を図る。

第11条(委託先管理) 当社は、業務の委託にあたり、委託先の情報セキュリティ水準を評価し、契約上の義務を課すとともに、必要に応じて定期的な点検を行う。

第12条(インシデント対応) 当社は、情報セキュリティインシデントの発生に備え、報告体制及び対応手順をあらかじめ整備し、発生時には迅速な対応と関係者への適切な情報提供に努める。

第13条(継続的改善) 当社は、本方針及びこれに基づく施策の有効性を定期的に評価し、内部監査及び経営層によるレビューを通じて継続的に改善する。

第14条(違反への対応) 当社は、本方針及び関連規程への違反が判明した場合、事実関係を調査のうえ、就業規則その他の社内規程に基づき必要な措置を講じる。

第15条(制定及び改定) 本方針は、〇年〇月〇日に制定し、経営層の承認を得て随時改定する。改定後の内容は、当社ウェブサイトへの掲示その他の方法により社内外に周知する。

第2部: 立場別・場面別の書き換えパターン

A. 経営層向けの修正

A-1. 投資判断との連動を明記

修正後:「経営層は、リスクアセスメントの結果を踏まえ、情報セキュリティに関する投資計画を中期経営計画に反映させるものとする。」 一言解説: 基本方針を単なる宣言にとどめず、予算配分の意思決定プロセスに接続させることで、実効性を高める経営層向けの修正である。

A-2. 取締役会への報告体制の明記

修正後:「最高情報セキュリティ責任者は、重大なインシデントの発生及びリスクアセスメントの結果について、取締役会に対し年〇回以上報告する。」 一言解説: ガバナンス上の説明責任を果たすため、経営会議体への定期報告を制度化する修正である。

B. 全社員向けの修正

B-1. 平易な行動規範への言い換え

修正後:「従業員は、不審なメールを受信した場合、開封や添付ファイルの実行を行わず、直ちに情報システム部門に連絡する。」 一言解説: 全社員に向けては抽象的な「安全管理措置」ではなく、日常業務で取るべき具体的な行動を示すことで浸透しやすくなる。

B-2. 私物端末利用に関する留意事項の追加

追加条文例:「従業員は、会社が許可した場合を除き、私物端末を用いて社内情報にアクセスしてはならない。」 一言解説: 在宅勤務の普及に伴い、私物端末(BYOD)の利用可否について全社員向けに明確なルールを示す修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、組織全体の情報セキュリティに対する基本姿勢を経営層が対外的に宣言し、社内の各種規程(アクセス管理規程、インシデント対応規程等)の上位に位置付ける文書として用いる。個別の技術的手順や委託先の審査基準といった実務的な詳細まで本方針に盛り込むことは適さず、それらは本方針の下位に位置付けられる個別規程で定めるべきである。

根拠法令 本方針は、日本産業規格であるJIS Q 27001(情報セキュリティマネジメントシステム-要求事項)が求める情報セキュリティ方針の策定及びトップマネジメントによる関与を踏まえて構成している。同規格は産業標準化法に基づき制定される日本産業規格の一つであり、認証取得の有無にかかわらず、情報セキュリティマネジメントの実務上の指針として広く参照されている。また、当社が個人情報取扱事業者に該当する場合、個人情報の保護に関する法律第23条は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じる義務を定めており、本方針はこの安全管理措置の実施に関する上位方針としての性格を持つ。個人情報保護委員会が公表する「個人情報の保護に関する法律についてのガイドライン(通則編)」も、安全管理措置の具体的内容を検討する際の参考となる。

実務でよくある失敗と対策 第一に、本方針が抽象的な精神条項の列挙にとどまり、年次のリスクアセスメントや予算計画といった具体的な実施計画に接続されず、形骸化する失敗がある。第9条及びA-1のように、リスクアセスメントの実施と経営資源の配分を明記することが対策となる。第二に、対外公表を前提とする本方針に、本来は社外秘とすべき具体的なネットワーク構成や監視手法まで詳細に記載してしまい、かえって攻撃者に手掛かりを与える失敗がある。本方針では「安全管理措置を講じる」といった方針レベルの記載にとどめ、詳細な手順は非公開の個別規程に委ねることが対策となる。第三に、経営層の関与が明記されず、情報セキュリティ委員会や現場部門任せの取組みにとどまり、ISMS認証取得時にトップマネジメントのコミットメント不足を指摘される失敗がある。第4条のように経営層の主体的関与を明記することが対策となる。

情報セキュリティマネジメントの認証取得の要否や具体的な体制設計は組織の規模や業種によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 基本理念及び目的を組織の実態に即して記載したか
• [ ] 適用範囲(役職員・委託先の範囲)を明確にしたか
• [ ] 経営層の関与及び資源確保について明記したか
• [ ] JIS Q 27001の要求事項との整合を確認したか
• [ ] 個人情報保護法第23条の安全管理措置との関係を確認したか
• [ ] 組織体制(CISO・委員会等)を明記したか
• [ ] リスクアセスメントの実施頻度を定めたか
• [ ] 教育及び訓練の実施計画を定めたか
• [ ] 委託先管理の基本方針を含めたか
• [ ] インシデント対応の基本方針を含めたか
• [ ] 継続的改善及び見直しの仕組みを定めたか
• [ ] 対外公表を前提に詳細な技術情報を含めていないか確認したか