情報セキュリティポリシーとは
情報セキュリティポリシーとは、企業や組織が保有する情報を守るために定めた、セキュリティ対策に関する基本的な方針や具体的なルールのまとまりのことです。これがあることで、全社員が「何をどこまで守るべきか」「どのように行動すべきか」を共通の基準で理解し、一貫したセキュリティ管理を行うことができます。ポリシーは通常、最上位の「基本方針」、具体的なルールを定めた「対策基準」、日々の操作手順を示す「実施手順」の3層構造で作成されます。
具体例
情報セキュリティポリシーの構成と具体例は以下のようになります。
- 基本方針（経営陣が決定）：「当社は、お客様からお預かりした個人情報を最重要資産と位置づけ、一切の漏洩を防ぐための体制を構築します」という宣言。
- 対策基準（各部署のルール）：「顧客データが保存されたパソコンは、席を離れる際に必ず画面ロックを行うこと。パスワードは8文字以上とし、英数字を混在させること」というルール。
- 実施手順（マニュアル）：「Windowsキー ＋ Lキーを押して画面をロックする手順」や「パスワードの変更手順」を示した操作マニュアル。
もう少し詳しく
情報セキュリティポリシーは、組織全体のセキュリティガバナンスを確立するための基盤となる文書群です。ポリシーを策定する最大の理由は、人や部門によってセキュリティに対する判断基準がばらつくのを防ぐことにあります。ポリシーが定められていないと、ある部署では強固なパスワード管理をしている一方で、別の部署では共有PCをパスワードなしで使用しているといった状態が生じ、そこが全体のセキュリティホールになります。ポリシーは通常、以下の3層構造（または階層構造）で整理されます。
1. 基本方針（ポリシー）：企業としてのセキュリティに対する基本姿勢や目標を定めたもので、経営陣の署名入りで全社および社外に公開されます。不変的な内容とします。
2. 対策基準：基本方針を実現するために「何をすべきか（またはしてはならないか）」を規定したルール集です。例えば「PCの画面ロック」「外部メディアの利用ルール」などが該当し、技術の進歩や法改正に合わせて定期的に見直されます。
3. 実施手順（ガイドライン・手順書）：対策基準を満たすための「具体的な操作手順やマニュアル」です。OSの操作方法やソフトウェアの設定手順など、実務担当者が参照する最も具体的な文書であり、システムの変更に伴い頻繁に更新されます。
試験でのポイント
試験において最も重要なのは、ポリシーの「3層構造（基本方針、対策基準、実施手順）」のそれぞれの階層の役割と特徴を区別することです。例えば、「全社的なセキュリティへの姿勢を示し、経営陣が策定するものはどれか」という問いに対しては「基本方針」、「対策基準をどのように実行するかという具体的な操作手順を示すものはどれか」という問いには「実施手順（手順書）」と答えられるようにしましょう。また、ポリシーは「全従業員（正社員だけでなく、役員、派遣社員、パート、外部委託先も含む）」に周知徹底し、順守させる必要がある点や、形骸化を防ぐためにPDCAサイクルを回して定期的に見直し・改定を行う必要がある点も頻出の論点です。
関連する用語
情報セキュリティポリシーに関連する用語には、ポリシー運用の組織的枠組みである「ISMS」、ポリシーを監査して順守状況を確認する「内部監査」、および組織全体のセキュリティ戦略を指揮する最高責任者である「CISO」があります。