2018/08/30SHAREツイートシェアはてブGoogle+PocketLINE情報セキュリティにおける基本方針とは、その組織が情報セキュリティをどのように捉えているのか、どのように安全である体制を維持していくかを宣言した公開文書のことです。わかりやすく言えば、その組織の経営者が、情報セキュリティについてどのように考えるのか、を明文化したものです。今回は、その情報セキュリティ基本方針についての考え方と作り方について解説します。自社の基本方針を確認してみましょう情報セキュリティポリシーについて情報セキュリティ基本方針は、一般的に「情報セキュリティポリシー」の一部として扱われていることから、まずは「情報セキュリティポリシー」について解説します。情報セキュリティポリシーとは、企業や組織の情報セキュリティ対策の方針や行動指針をまとめたものです。その目的は、組織の重要情報を脅威から守ること。情報セキュリティポリシーを的確に運用することで、従業員のセキュリティへの意識づけにもなるために重要視されています。情報セキュリティポリシーの構成は、一般的に、下記の通り「基本方針(ポリシー)」、「対策基準(スタンダード)」、「実施手順(プロシージャー)」で構成されています。「基本方針」は、組織の経営者が情報セキュリティに適切に取り組むことの意思表明です。組織全体に対しての、情報セキュリティに取り組む方針を示すものでもあります。「対策基準」は、基本方針に沿って、組織的にどのような対策を講じるのか分野ごとにルール化したものです。情報セキュリティに関わる人事規定や就業規定などもこれにあたります。「実施手順」は、更に詳細な手順をまとめたもので、いわゆるマニュアルにあたります。場合によっては、基本方針だけ、または基本方針と対策基準だけを情報セキュリティポリシーと呼ぶこともあります。情報セキュリティポリシーの構成は、企業ごとに異なるため、必ずしもこの構成でなくても問題はありません。基本方針(ポリシー)とは「セキュリティ基本方針」などとインターネット検索をすれば、各企業がホームページで掲載している各社の基本方針を見ることができます。各社の基本方針を比較してみる、企業ごとに基本方針の内容は異なっていることがわかります。それは、それぞれの組織の特徴や、考え方によって、あるべき姿が異なるからです。一方で、どの企業の基本方針も、だいたい5~10箇条ほどで簡潔にまとめられていることが多い傾向にあります。それは、基本方針が社内外に対して情報セキュリティに取り組む姿勢をわかりやすく明文化した意思表明だからです。情報セキュリティに取り組むのか、なぜ情報セキュリティポリシーを定めたのか、なぜ遵守しなければならないのか、といった強調すべきポイントを簡潔にまとめることが重要です。中には、A4用紙1枚に収まる程度の文章にまとめるのがよい、という意見もあります。情報セキュリティ基本方針は自分たちで作る他社が公開している基本方針を転用しても意味がありません。情報セキュリティ基本方針は、しっかりと自分たちで考えて作ることが重要です。理由としては2つあり、1つ目は先ほどもお伝えした通り、情報セキュリティ基本方針は、組織の特徴や考え方によって、あるべき姿が異なるからです。2つ目は、自分たちで考えること自体が重要だからです。自分たちで考えることで、そもそも自分たちが守らなければならない情報や、その理由などを正しく把握でき、経営陣の情報セキュリティ対策に関する意識の向上にもつながります。形だけ基本方針を作っても、実務レベルには反映されず、形骸化してしまうことも少なくありません。基本方針を作る際、自分たちの、守るべき情報と、その理由について、正しく把握する必要があります。IPA(情報処理推進機構)などでは、情報セキュリティポリシーを作るための4つのステップを紹介していますが、そのうちの、ステップ1とステップ2を参考にしてみるといいかもしれません。どのような情報資産があるか洗い出して重要度を判断します。社内で保管している情報資産を台帳に記入します。情報資産ごとに、漏洩した場合、改ざんされた場合、誤記があった場合、利用できなかった場合の影響について重要度を判断します。それぞれの管理責任を持つ関係者の個人情報を識別します。リスク値を算出して、セキュリティ対策が必要な情報資産を把握します。ステップ1で洗い出した情報資産について、リスク値を算出します。被害発生可能性は「脅威の起こりやすさ」「脆弱性のつけ込みやすさ」の2種類の値を基に算出します。細かな算出方法については、IPAの「中小企業の情報セキュリティ対策ガイドライン」の35ページを参考にしてみてください。今回の記事で紹介した基本方針のあり方や考え方は、一例に過ぎません。何度も述べている通り、基本方針のあり方は、組織の特徴や考え方によってそれぞれ異なります。他社が公開している基本方針の転載ではなく、自社にはどんな基本方針が必要なのかということを考え、経営陣が主導で、しっかりと検討することが重要と言えるでしょう。今後知っておくべき4つの新要素とともに紹介2情報セキュリティポリシーはなぜ必要なのか。その内容や運用・管理について解説3情報セキュリティ対策の自己点検をしてみよう。