情報セキュリティ文書の策定・承認・見直し

文書管理は、最新版を保存するだけでなく、承認されたルールを対象者へ伝え、実行と改善を確認する活動です。 作成時点から、所管者、承認者、施行日、教育、証跡、見直し条件を決めます。

制定から運用までの流れ

段階	実施すること	成果物・完了条件
1. 現状・要求の把握	業務、資産、事故、既存文書、法令・契約の要求を確認	対象範囲、要求事項一覧、課題
2. リスクと優先度の決定	影響・可能性を評価し、対応するリスクと責任者を決める	リスク台帳、対策計画
3. 文書体系の設計	方針・規程・基準・手順の配置を決め、重複を整理	文書一覧、上位・下位関係
4. 起案とレビュー	現場、IT、人事、法務等が実行可能性・整合性を確認	草案、レビュー結果、残る論点
5. 承認と施行準備	決裁権限に従って承認し、設定変更・教育・移行を準備	承認記録、施行日、移行計画
6. 周知と運用	対象者へ変更点と実施方法を伝え、手順を実行	周知・受講・運用記録
7. 点検と経営レビュー	不備、例外、事故、監査結果から有効性を評価	是正計画、経営判断、レビュー記録
8. 改訂・廃止	関連文書と設定も更新し、旧版を管理	改訂履歴、旧版保管、参照先更新

要求事項一覧では、要求の名称だけでなく、適用理由、対象業務、対応する条項・証跡、担当者、確認日を記録します。外部資料をそのまま社内義務にするのではなく、適用範囲と実現方法を確認します。

文書の管理項目

文書ID：IS-STD-001
文書名：アクセス管理基準
版：2.0
状態：承認済み・施行待ち
所管者：情報セキュリティ責任者
承認者：職務権限に定める決裁者
承認日／施行日：YYYY-MM-DD／YYYY-MM-DD
適用範囲：顧客情報を扱うサービスと特権アカウント
公開区分：社内限定
上位文書：情報セキュリティ管理規程
関連文書：アカウント発行・廃止手順、権限棚卸手順
正本の保管先：文書管理システムの参照先
次回レビュー：YYYY-MM-DD
改訂内容：MFA対象の拡大と、証跡の確認方法の追加

ファイル名の日付だけで最新版を判断しないようにします。草案・承認済み・施行待ち・施行中・廃止を区別し、利用者には施行中の正本を示します。旧版は履歴確認のため保管し、現行版との混同を防ぎます。

承認と周知の考え方

基本方針は経営、規程は所定の決裁者、基準や手順は委任された責任者が承認する、といった権限を決めます。重大な適用範囲変更やリスク増加は、通常の手順改訂より上位の判断に回します。

周知は「文書を掲載した」だけで終えず、誰に何が変わったかを伝えます。MFA対象を増やすなら、利用者への登録案内、問い合わせ窓口、管理者の設定、未登録者への対応、施行日に適合しないシステムの扱いも準備します。重要な手順は演習し、外部委託先へ必要な変更を契約上の手続きに沿って伝えます。

定期・臨時の見直し

きっかけ	確認すること
定期レビュー	適用範囲、責任者、要求事項、運用結果が現在も妥当か
新しい事業・クラウド・AI・拠点	対象情報、責任分担、対策、承認条件が足りるか
法令・契約・外部資料の変更	適用される変更と対応期限、文書・設定への影響
事故・訓練・監査での不備	ルールの不足か、理解不足か、実装・運用の問題か
組織変更・委託先変更	担当者、連絡先、代理者、承認権限が有効か
技術・脅威の変化	基準の設定・認証・修正期限・監視が有効か

レビュー周期はリスクに応じて決めます。例えば方針・規程は年1回、技術基準や手順は変更時に加えて定期確認を行う、といった運用が考えられます。レビューと改訂は別です。 変更不要の判断も、確認者・日付・理由を記録します。

例外と是正を文書管理に結び付ける

例外や不備が増えたら、現場の違反だけを数えるのではなく、基準の実行可能性、必要な予算、承認サービスの不足を確認します。例外の期限前に責任者へ通知し、解消・再審査・利用停止等を判断します。期限切れが自動的に延長される設計は避けます。

経営レビューでは、重大な残余リスク、期限超過の是正、資源不足、復旧試験の結果、方針の妥当性を扱い、決定・担当者・期限を残します。監査指摘は文書を直した時点ではなく、設定や運用が改善し、結果を確認した時点で完了とします。

最初の90日の進め方の例

以下は導入計画の例であり、事故や高いリスクへの対応を90日後まで待つ意味ではありません。

期間	優先する内容	確認する結果
1〜30日	重要資産、責任者、要求、リスクを整理し、方針を起案	重要業務の対象と決定者が明確
31〜60日	規程と最低限の基準、入退社・事故・復元の手順を整備	承認、設定、教育、必要な例外を準備
61〜90日	運用・訓練・棚卸・復元試験と初回レビュー	証跡、不備、是正計画、経営判断がある

公開・施行前のチェック

用語、対象範囲、責任者、承認権限が文書間で一致している。
必須要件・推奨事項・例示が明確で、参照先が有効である。
設定・人員・予算の準備が済み、移行中の不適合を管理している。
周知・教育、実施記録、例外の期限管理、旧版の管理ができる。
内部情報を公開しすぎておらず、変更履歴と承認記録を追跡できる。