情報システム関連規程をどう分けるか

一つの文書に、経営方針から端末の設定方法までを書き込むと、更新のたびに承認範囲が広がります。 情報システム関連規程は、決める内容の性質ごとに分けます。

分ける目的は、文書を増やすことではありません。 誰が決め、誰が守り、何が変わったときに更新するかを明確にすることです。

三つの層を置く

最上位には、経営者が承認する情報セキュリティ基本方針を置きます。 対象範囲、守るべき情報、責任の考え方を示す文書です。

次の層には、管理の要求を定める規程を置きます。 ガバナンス、人、システム、ネットワーク、データ、アプリケーション、クラウド、エンドポイント、インシデント対応、物理セキュリティは、この層で整理できます。 すべてを独立した規程にする必要はなく、組織の規模と管理できる範囲に合わせます。

最後に、利用者や管理者が実行する手順を置きます。 アカウント申請、端末の返却、クラウドサービスの利用申請、異常時の連絡先などは、変更が比較的多いため、基本方針とは別に管理します。

規程に残す内容を選ぶ

規程には、守るべき原則と責任分担を残します。 たとえば、業務に不要な権限を付与しないこと、利用が終わったアカウントを見直すこと、外部サービスの利用前に確認することは、規程で扱う内容です。

製品ごとの画面操作や設定値は、運用手順に置きます。 特定の製品名を規程本文へ書くと、サービスの切替えだけで規程全体の改定が必要になるためです。

境界をまたぐ領域を見落とさない

クラウドサービスは、データ、アカウント、委託先管理、ネットワーク利用にまたがります。 端末の持ち出しも、エンドポイント管理だけでなく、データの保管と紛失時の連絡に関係します。

このため、領域別の規程を作ったあとに、担当部署をまたぐ手順を確認します。 担当者が不明な作業や、二つの規程で異なる指示が出る箇所は、導入前に解消します。

IPAの中小企業向けガイドラインには、基本方針のサンプル、関連規程のサンプル、クラウド利用とインシデント対応の手引きが含まれています。 ひな形は出発点として使い、自社の責任分担と運用に合わせて直す必要があります。

参考文献

• 中小企業の情報セキュリティ対策ガイドライン（IPA）
• 組織における内部不正防止ガイドライン（IPA）