情報セキュリティ基本規程は、企業が保有する重要な情報資産を守るための基盤となるルールです。
この規程を策定し、組織全体で適切に運用することで、情報漏えいやサイバー攻撃のリスクを大幅に軽減できます。

本記事では、情報セキュリティ基本規程の具体的なサンプルと、規程作成の際に注意すべきポイントをわかりやすく
解説します。
企業の規模や業種に応じてカスタマイズし、自社に最適なセキュリティ体制を構築する際の参考にしてください。

情報セキュリティ基本規程

（制定日：〇〇年〇〇月〇〇日）
（改訂日：〇〇年〇〇月〇〇日）

第1章 総則

第1条（目的）

本規程は、当社の情報資産を適切に管理し、漏えい、改ざん、不正利用等のリスクを防止することを目的とする。また、法令遵守および顧客、取引先の信頼を確保し、事業継続性を維持する。

第2条（適用範囲）

本規程は、当社の全従業員（正社員、契約社員、派遣社員、アルバイトを含む）および業務委託先に適用される。

第3条（定義）

1. 情報資産：当社が保有するすべての情報（電子データ、文書、印刷物等）およびそれらを扱うシステム、ハードウェア、ネットワークを含む。
2. セキュリティインシデント：情報資産に対する不正アクセス、情報漏えい、データ破壊等、セキュリティを脅かす事象。
3. 従業員：当社に所属するすべての者を指す。

第2章 情報セキュリティ方針

第4条（基本方針）

1. 当社は、情報セキュリティを経営課題の一つとして位置付け、適切な管理体制を確立する。
2. 情報セキュリティに関する教育・訓練を定期的に実施し、従業員の意識向上を図る。
3. 情報セキュリティリスクを適切に評価し、予防措置および緊急対応策を整備する。

第5条（責任と権限）

1. 最高情報セキュリティ責任者（CISO）は、本規程の運用およびセキュリティ体制の維持を統括する責任を負う。
2. 各部門責任者は、自部門における情報セキュリティの実施状況を管理する。
3. 従業員は、本規程および関連する指示を遵守し、情報資産の保護に努める。

第3章 情報資産の管理

第6条（資産の特定と分類）

1. 情報資産は、機密性、完全性、可用性の観点から重要度に応じて分類される。
   • 機密情報：社外秘資料、顧客データ、設計図など。
   • 内部情報：社内業務用の文書、報告書など。
   • 公開情報：ウェブサイトで公表される情報など。
2. 情報資産の分類は、定期的に見直しを行う。

第7条（アクセス制御）

1. 情報資産へのアクセスは、業務上必要な範囲に限定する。
2. アクセス権限は職務内容に応じて付与し、定期的に見直すものとする。
3. システムへのログインには、強固なパスワードと多要素認証を使用する。

第8条（情報の持ち出し）

1. 情報資産を社外へ持ち出す場合、事前に承認を得るものとする。
2. 機密情報を持ち出す際は、暗号化を施し、適切なセキュリティ対策を講じる。

第4章 セキュリティインシデントの対応

第9条（インシデントの報告）

1. 従業員は、セキュリティインシデントまたはその兆候を発見した場合、速やかにCISOまたは上長に報告する。
2. 報告は、専用フォームまたは指定された連絡方法で行う。

第10条（対応手順）

1. インシデントが発生した場合、初動対応として被害の拡大を防止する措置を講じる。
2. 必要に応じて外部機関（警察、セキュリティベンダー）への連絡を行う。
3. インシデントの原因を特定し、再発防止策を策定する。

第5章 教育と啓発

第11条（教育の実施）

1. 新入社員および業務委託先には、情報セキュリティに関する基礎教育を実施する。
2. 全従業員を対象に、年1回のセキュリティ研修を実施する。
3. インシデント事例を共有し、セキュリティ意識向上を図る。

第6章 規程の見直し

第12条（見直しの頻度）

本規程は、少なくとも年1回、または新たなセキュリティリスクの発生時に見直しを行う。

第13条（改定の通知）

規程の改定内容は、速やかに全従業員に通知するものとする。

第7章 附則

第14条（施行日）

本規程は、〇〇年〇〇月〇〇日より施行する。

第15条（罰則）

本規程に違反した場合、社内規則に基づき、懲戒処分の対象となる場合がある。

作成時のポイント

1. 自社の状況に合わせて調整
   業種や規模に応じて、規程内容をカスタマイズしてください。
2. シンプルでわかりやすい言葉を使用
   規程が複雑だと従業員に浸透しないため、明確で具体的な表現を心がけます。
3. 従業員への周知徹底
   規程の内容を全社員に共有し、遵守を促すための研修や説明会を実施してください。

このテンプレートを基に、自社の課題やリスクに合わせた「情報セキュリティ基本規程」を策定し、
従業員と一丸となって情報資産を守る仕組みを構築してください。

まとめ

情報セキュリティ基本規程は、企業が重要な情報資産を適切に保護し、
情報漏えいやセキュリティインシデントを防ぐための指針となる重要な文書です。
本記事で紹介したサンプルを参考に、自社の業務内容やリスクに合わせて規程を策定し、
全従業員が理解し実行できる仕組みを構築しましょう。

規程の策定後も、セキュリティリスクや技術の進化に対応するため、定期的に内容を見直し、
必要に応じて改訂することが重要です。
また、従業員への教育や意識向上活動を継続的に実施することで、組織全体でセキュリティ体制を強化できます。

適切な情報セキュリティ規程を通じて、顧客や取引先からの信頼を守り、持続可能な事業運営を目指しましょう。