規程を作る前に行う情報システムの棚卸し

規程のひな形から書き始めると、実際には使っていないサービスのルールが残ったり、重要な業務システムが漏れたりします。 導入前には、情報システムの利用状況を棚卸しします。

棚卸しは、資産台帳を完璧に作る作業ではありません。 どの業務が、どの情報とサービスに依存しているかを把握し、規程で先に扱うべき対象を選ぶ作業です。

業務から情報資産をたどる

売上の計上、受発注、顧客対応、給与計算、設計、保守といった主要業務を並べます。 各業務について、扱う情報、利用する端末、アカウント、クラウドサービス、保存先、外部委託先を記録します。

情報の種類は、顧客情報、従業員情報、契約書、設計資料、認証情報、会計情報のように、利用者が判断できる単位に分けます。 重要度の分類を細かくしすぎると維持できません。 最初は、取扱いを誤ったときの影響の大きさで区分できれば十分です。

利用者と権限の状態を確認する

サービス名だけでは、規程の対象を決められません。 誰が管理者か、誰が利用しているか、入退社や異動のときに権限を変更する担当が決まっているかも確認します。

共有アカウント、退職者のアカウント、私物端末からのアクセス、部署が契約したSaaSは見落とされやすい対象です。 これらは、利用を直ちに禁止するかどうかではなく、実態とリスクを把握したうえで、承認、代替手段、移行期限を決めます。

緊急度と重要度を分ける

端末の紛失時に連絡先がない、特権アカウントの管理者が不明、顧客情報を外部共有する手順がないといった問題は、早く対処する必要があります。 一方で、文書名の統一や細かな用語の整理は、重要でも初動を止める理由にはなりません。

優先順位は、事故が起きたときの影響と、今の管理状態を組み合わせて決めます。 経営層、業務部門、情報システム担当が同じ一覧を見ながら判断すると、規程の対象と導入順序を説明しやすくなります。

この棚卸しの結果は、次に作る導入計画の基礎になります。

参考文献

• 中小企業の情報セキュリティ対策ガイドライン（IPA）
• サイバーセキュリティ経営ガイドライン Ver3.0（経済産業省）