情報システム利用規程を見直し、定着させる

情報システム利用規程は、公開して終わりではありません。 利用するサービス、働き方、委託先、脅威が変われば、規程と現場の運用にずれが生じます。

見直しは、事故が起きたときだけに行うものではありません。 定期的に確認する機会と、変更があったときに確認する条件を決めておきます。

見直す時期を決める

少なくとも、規程の責任者が内容を確認する定期的な予定を置きます。 確認の周期は、利用する情報システムの変化、組織の規模、業務上のリスクに合わせて決めます。

次のような変更があった場合は、定期確認を待たずに対象となる規程や手順を確認します。

• 新しいクラウドサービスや外部委託先を利用するとき
• 端末の管理方式、認証方式、ネットワーク構成を変えるとき
• 組織変更により責任者や承認者が変わるとき
• 端末の紛失、不正アクセス、誤送信などの事象が起きたとき

見直しでは、文章の整合性だけでなく、申請、承認、記録、連絡が実際に機能したかを確認します。 規程を守れなかった事実があれば、個人の注意だけで終わらせず、手順や仕組みが業務に合っていたかを検討します。

教育は役割に合わせる

全員に同じ資料を配るだけでは、規程の定着を確認できません。 利用者には、日常の操作で必要になるルール、異常を見つけたときの連絡先、相談先を伝えます。

管理者には、アカウント管理、権限の見直し、端末の返却、例外の記録といった役割別の手順を確認します。 新入社員、異動者、外部スタッフなど、利用を始める時点で説明が必要な対象も決めます。

運用の記録を次の改定に使う

問い合わせ、例外承認、教育の実施、点検結果、インシデント対応の記録は、次の見直しの材料になります。 記録の目的は、利用者を監視することではありません。 規程が実態に合うか、運用上の負荷が一部の担当者へ偏っていないかを判断するためです。

IPAの中小企業向けガイドラインには、自己診断、規程のサンプル、インシデント対応の手引きが用意されています。 自社の運用を確認する際の参照資料として利用できます。

参考文献

• 中小企業の情報セキュリティ対策ガイドライン（IPA）
• 組織における内部不正防止ガイドライン（IPA）
• サイバーセキュリティ経営ガイドラインと支援ツール（経済産業省）