情報システム利用規程が守るもの

情報システム利用規程は、端末やクラウドサービスを安全に使うための判断基準です。 端末の持ち出し、アカウントの発行、データの共有、異常時の連絡を、担当者の経験だけに委ねないために定めます。

規程が保護する対象は、会社の業務継続だけではありません。 従業員が迷わずに仕事を進められること、顧客や仕入れ先から預かった情報を適切に扱うことも対象になります。 禁止事項を並べるだけでは、日常の判断に使える規程にはなりません。

適用範囲を先に決める

まず、誰に適用するかを明らかにします。 正社員だけでなく、役員、契約社員、派遣スタッフ、業務委託先が情報システムへアクセスするなら、その扱いも整理します。

次に、対象となる情報資産を洗い出します。 業務用PCやスマートフォンだけでなく、メール、ファイル共有、会計システム、顧客管理、SaaS、紙の帳票も業務上の情報を扱う場所です。 対象を広く書きすぎて現場が判断できなくなる場合は、共通規程と個別手順に分けます。

経営判断と日常の操作を分ける

情報セキュリティの方針は、事業上のリスクを引き受ける経営者が定めます。 経済産業省とIPAのサイバーセキュリティ経営ガイドラインも、経営者がリスクを認識し、組織としての対応方針を示すことを求めています。

一方で、日常の操作をすべて基本方針に書く必要はありません。 利用者の守る事項、システム管理者の作業、例外を承認する手順は、役割ごとの規程や手順書に分けると更新しやすくなります。

目的は業務との関係で書く

規程の冒頭では、守りたい情報と業務を組織の言葉で示します。 たとえば、顧客情報を扱う営業部門、設計情報を扱う開発部門、支払情報を扱う経理部門では、同じ端末利用でも注意すべき場面が異なります。

「安全に利用する」とだけ書くのでは足りません。 業務に必要な情報を、必要な人が、必要なときに使える状態を維持しながら、不正利用や漏えいを防ぐことまで書くと、規程と現場の作業を結び付けやすくなります。

次の記事では、こうした目的を個別の規程と手順へ分ける考え方を扱います。

参考文献

• サイバーセキュリティ経営ガイドラインと支援ツール（経済産業省）
• 中小企業の情報セキュリティ対策ガイドライン（IPA）