セキュリティポリシーの作り方｜社員30名の会社向けの雛形（Word）と運用のコツ
「取引先から、情報セキュリティの規程があるかと聞かれた」「ポリシーを作りたいが、どこまで書けばよいか分からない」。セキュリティポリシーは、会社として情報をどう守るかを決めた文書です。大企業向けのひな形は分量が多く、中小企業がそのまま使うと、実際には守れない規程になりがちです。
この記事では、社員30名程度の会社を想定して、セキュリティポリシーの作り方を解説します。Wordの雛形を無料で配布していますので、自社に合わせて書き換えてお使いください。
この記事の結論
- 中小企業のポリシーは、基本方針（1枚）＋対策基準（数ページ）で十分
- 書くのは「実際に守れること」だけ。守れない規程は、ないより悪い
- IPAの「中小企業の情報セキュリティ対策ガイドライン」を土台にすると、取引先への説明もしやすい
- 作ったら社員への周知と、年1回の見直しまでをセットにする
セキュリティポリシーの構成
| 文書 | 内容 | 分量の目安 |
|---|---|---|
| 基本方針 | 会社として情報セキュリティにどう取り組むかの宣言。経営者の名前で出す | A4で1枚 |
| 対策基準 | パスワード、PC、メール、持ち出し、委託先など、分野ごとのルール | A4で5〜10枚 |
| 実施手順（必要に応じて） | 入退社のアカウント作業、バックアップ、事故時の連絡などの具体的な手順 | 手順ごとに1〜2枚 |
中小企業では、まず基本方針と対策基準を作り、実施手順は必要なものから順に追加していくのが現実的です。
対策基準に入れる項目
- 体制：情報セキュリティの責任者と担当者、事故時の連絡先
- 情報の扱い：重要な情報の範囲、保存場所、社外への持ち出しのルール
- アカウントとパスワード：個人ごとのアカウント、パスワードの決め方、多要素認証
- PC・スマートフォン：会社の機器の使い方、私物の機器の扱い、OSの更新、ウイルス対策
- メール・Web：不審なメールへの対応、ファイルの送り方
- バックアップ：対象、頻度、保存先
- 入退社：アカウントの発行・停止、機器の貸与・回収、秘密保持の誓約
- 委託先：委託先の選び方、契約に入れること、権限の渡し方
- 事故への対応：気づいたときの報告先、初動、社外への連絡
- 教育と見直し：社員への教育の時期、ポリシーの見直しの時期
関連記事生成AIの社内ガイドラインの作り方｜シャドーAIを防ぐルールの項目例・ひな形・作成手順を中小企業向けに解説
無料の雛形（Word）
基本方針と対策基準を1つにまとめた、社員30名程度の会社向けの雛形です。［ ］の部分を自社に合わせて書き換え、守れない項目は削ってお使いください。登録不要でダウンロードできます。
雛形は、IPAの「中小企業の情報セキュリティ対策ガイドライン」の考え方を参考に、当社で作成したものです。法令や取引先の要求に合っているかは、自社で確認してください。
作り方の手順
- 今のやり方を書き出すパスワード、PC、バックアップなど、今実際にどうしているかを書き出す
- 雛形を自社に合わせる今のやり方で守れていることはそのまま書き、足りないところは「いつまでに対応するか」を決めてから書く
- 経営者が承認する基本方針は経営者の名前で出し、会社の方針であることを示す
- 社員に説明する全員に配るだけでなく、短い説明の会を開く。入社時の説明にも組み込む
- 年に1回見直す事故やヒヤリとしたこと、取引先からの質問を反映して更新する
守れない規程は書かない「パスワードは毎月変更する」「私物の機器の業務利用は一切禁止」など、実際には守られていない規程があると、取引先への説明と実態が食い違い、事故のときに問題になります。守れることだけを書き、足りない対策は計画として別に持ちましょう。
ポリシーづくりと運用のお手伝いオーバーエックスでは、セキュリティチェックシート回答の支援（1回10万円〜・税別）の中で、取引先の要求に合わせたポリシーの見直しもお手伝いしています。ポリシーに書いた対策（多要素認証、バックアップ、入退社の手順など）の実施は、情シス代行でお受けしています。
よくある質問
- セキュリティポリシーは法律で義務づけられていますか？
- 一般の中小企業に、ポリシーの作成を直接義務づける法律はありません。ただし、個人情報保護法の安全管理措置や、取引先からの要求に応えるうえで、作っておくことが強く望まれます。
- ISMSやプライバシーマークを取らないと意味がありませんか？
- 認証を取らなくても、自社のルールを文書にし、守ることには十分な意味があります。取引先から認証を求められた場合は、その時点で検討しましょう。
- どのくらいの期間で作れますか？
- 雛形を使えば、今のやり方の書き出しから承認まで2〜4週間程度で作れることが多いです。
まとめ
中小企業のセキュリティポリシーは、1枚の基本方針と数ページの対策基準で十分です。実際に守れることだけを書き、足りない対策は計画として持ちましょう。雛形を土台に自社のやり方に合わせ、社員への周知と年1回の見直しまでを続けることで、取引先への説明にも使える生きた規程になります。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
