情報セキュリティ基本方針の作り方｜中小企業が公開しても実態とずれない書き方

情報セキュリティ基本方針を作れと言われて、ひな形を探す。見つかったサンプルは体裁が整っているので、社名を入れて日付を入れれば形にはなる。問題は、そうやって作った文書を公開したあとに起きる。方針に書いた運用を、社内の誰もやっていないという状態が、外から見える場所に残る。

基本方針は社外に出す文書だ。IPAのSECURITY ACTION二つ星も、策定だけでなく外部公開までを要件にしている。だからこそ、書き方の前に決めることがある。この記事は、ひな形を埋める順番を組み替える話をする。

宣言までの手続きはSECURITY ACTIONの宣言手順、生成AIを使うときの決めごとは生成AIの社内ルール、権限の実態確認は社内ツールの権限設定が扱う。この記事は基本方針という文書そのものに絞る。

出発点はIPAの付録でよい

ゼロから書く必要はない。IPAの「中小企業の情報セキュリティ対策ガイドライン」は第4.0版（2026年3月27日公開、最終更新2026年7月3日）で、付録2として情報セキュリティ基本方針のサンプル、付録5として情報セキュリティ関連規程のサンプル、付録3として「5分でできる！情報セキュリティ自社診断」、付録6として資産管理台帳のサンプルを提供している（IPA「中小企業の情報セキュリティ対策ガイドライン」、2026年8月26日に確認）。想定読者は個人事業主・小規模事業者を含む中小企業だ。

付録が分かれていることに意味がある。基本方針は理念や原則を示す短い文書で、手順や禁止事項は規程側に置く。この分担を崩して方針に細かい手順を書き込むと、運用が変わるたびに公開文書を差し替えることになる。

方針に置く6つの欄

この6つのうち、ひな形のままにしても事故が起きないのは「法令・契約の遵守」くらいだ。残りは自社の事実を入れないと、公開した瞬間に実態とずれる。

書く前に確定させる3つの運用

方針の文面より先に、次の3つを実際どうしているかを確認する。方針に書かれる文の多くは、この3つの言い換えになる。

バックアップがここに入るのは、2026年3月の改訂で情報セキュリティの取組目標に「バックアップを取ろう！」が加わり、六か条になったからだ。取得しているかだけでなく、復元を試したことがあるかまで見ておくと、方針に書ける内容が変わる。共有IDの扱いは共有アカウントを廃止する移行手順、社内で動いているツールの把握は内製ツールの棚卸し手順で先に整理できる。

適用範囲の書き方でほとんど決まる

実務で一番ずれるのが適用範囲だ。「当社の役員および従業員」と書いた方針は、次のような人と情報を範囲外にしてしまう。

1. 業務委託で経理や事務を担っている人。
2. 営業が私物のスマートフォンで見ている顧客情報。
3. 取引先と共有しているクラウドストレージのフォルダ。
4. 退職したが、まだアカウントが生きている元従業員。

先に「自社の情報が実際にどこまで流れているか」を並べ、その事実に合わせて範囲を書く。範囲を狭く書いて実態が広いより、範囲を実態どおりに書いて対策が追いついていないほうが扱いやすい。前者は方針が嘘になり、後者は課題が残るだけだからだ。

公開したあとの見直しを1行入れる

二つ星の要件は、自社ウェブサイトへの掲載、会社案内やパンフレットへの掲載、その他の方法のいずれかで外部公開することとされている（IPA「二つ星を宣言する」、2026年8月26日に確認）。公開した文書は、直さなければ古いまま残る。

見直しの欄には頻度だけでなく引き金を書く。人が入れ替わったとき、ツールを追加したとき、ヒヤリが起きたとき。この3つを書いておくと、年1回の定期見直しを待たずに直す理由ができる。

来週できる一歩：適用範囲だけ先に書く

1. 自社の顧客情報に触れている人を、雇用形態を問わず全員書き出す。
2. その人たちが使っている端末とクラウドを並べる。
3. いま止められないものに印を付ける。
4. 印の付いたものを含む形で、適用範囲の一文を書く。
5. 残りの欄は、その一文と矛盾しないように埋める。

適用範囲が事実どおりに書けていれば、残りの欄はひな形を土台にしても大きくずれない。逆にここが実態と違うと、他をどれだけ丁寧に書いても文書全体が信用できなくなる。

方針が実態とずれるのは、文章の問題ではない

文面そのものはIPAの付録から起こせるので、代わりに書いてもらう必要はほとんどない。ずれが出るのは、方針に書いた運用を誰がやるのか決まっていないときだ。バックアップ、情報の持ち出し、退職者のID。この3つが決まらないまま文書だけ整えても、決まっていないことは決まらない。

判断基準が人によって違う、データが部署ごとに分かれている、最後は社長が全部見ている。この状態だと、方針を見直すたびに同じ議論に戻る。文書の書き方ではなく、責任分担と運用の側に原因がある。

そちらに心当たりがあるときは、どこから手を付けるかを3分・8問の事業基盤診断で確認できる。方針の書式や制度の要件だけを知りたいのであれば、上のガイドラインと付録で足りる。

社内の仕組みづくりの事例は業務改善カテゴリで確認できる。

よくある質問