情報セキュリティの手順書・記録・台帳

手順書は作業の実行方法を示し、記録は実施した事実と結果を示します。 台帳は対象・責任者・状態を継続して管理するための記録です。規程と基準を整備しても、この層がなければ日常の運用や監査につながりません。

手順書に書くこと

項目	書く内容
目的・対象・根拠	どの業務・システムで使うか。規程・基準の参照先
担当者・確認者	作業者、承認者、結果の確認者、代理者
開始条件と前提	承認、必要権限、ツール、対象の特定、バックアップ
実施手順	順番、操作、入力内容、各段階の確認
完了条件	どの結果を確認すれば終了できるか
失敗・緊急時	中止条件、影響抑制、連絡先、復旧・切戻し
記録	記録項目、保存先、保存期間、閲覧者

設定画面の説明だけでなく、誤った対象への操作を防ぐ確認や、失敗時の判断も含めます。パスワード・APIキー等の秘密情報を手順書へ直接埋め込まないようにします。

入社時のアカウント発行手順の例

人事等の正式な入社情報と申請を照合し、対象者・開始日・部署を確認する。
情報責任者の承認と、利用システム・権限・利用期限を確認する。承認不足なら設定を止めて差し戻す。
個人別IDを作成し、承認された権限だけを付与する。特権が必要なら別途所定の審査を行う。
承認された方法で初期登録を案内し、本人確認とMFA登録を行う。認証情報を申請記録へ保存しない。
本人とログインを確認し、必要な操作ができること・不要な権限がないことを確認する。
作業者・確認者・日時・設定結果を申請に記録し、完了を通知する。

退職時の手順は、アカウント停止だけでなく、セッション・トークン・外部共有・鍵・機器・データの引継ぎを確認します。無効化と削除を分け、保存が必要な業務記録まで直ちに削除しない構成にします。

端末紛失の初動手順の例

段階	担当・作業	記録すること
報告	利用者が指定窓口へ連絡。通常の端末が使えない場合の別経路も用意する	発見時刻、場所、端末ID、分かる範囲の状況
評価	対応担当者が保存情報、暗号化、接続状態、アカウントを確認する	影響評価、判断根拠
影響抑制	権限のある担当者がセッション失効、遠隔ロック等を実施する	操作の承認・実施・結果
証拠と通知	調査担当者がログを保全。法務等と通知の要否・期限を確認する	保全先、閲覧履歴、通知判断
復旧・改善	責任者が代替端末と業務再開を判断し、原因と再発防止を確認する	復旧結果、是正の責任者・期限

遠隔消去は証拠や未保存データを失わせる可能性があります。実行条件・承認者を事前に決め、緊急時の権限と事後報告を用意します。担当者の不在時、時間外、連絡不能時も訓練します。

最初に整備する台帳

台帳	主な項目	更新のきっかけ
情報・IT資産台帳	ID、情報・機器・サービス、責任者、分類、保存先、利用者、関連委託先	導入、変更、廃棄
リスク台帳	ID、対象、脅威・弱点、影響・可能性、既存対策、残余リスク、責任者、対応・期限、受容承認	評価、事故、重要変更、対策完了
例外台帳	ID、対象要件、理由、リスク、代替策、申請者、承認者、期限、解消・再審査結果	申請、承認、期限到来
文書台帳	文書ID、名称、版、所管者、承認者、施行日、次回レビュー、関連文書	制定、改訂、廃止
承認サービス・委託先一覧	サービス・委託先、用途、取扱情報、責任分担、審査結果、契約、次回評価	導入、契約・用途変更、終了

リスク台帳には「脅威：アカウント乗っ取り」「弱点：MFA未適用」「影響：顧客情報の流出」のように具体的な事象を書きます。「セキュリティリスクあり」だけでは対策を選べません。

運用記録の例

記録ID：AR-2026-001
作業：顧客管理サービスの権限棚卸
根拠：アクセス管理基準 AC-02、権限棚卸手順 第3版
対象・範囲：有効な利用者35名、管理者2名
実施日・作業者：YYYY-MM-DD、担当者A
確認者：情報責任者B
結果：不要な権限2件を検出、削除後に再確認
関連証跡：権限一覧の保管先、削除申請番号
未完了事項：1件の業務確認待ち。担当者・期限を登録
保存・閲覧条件：記録管理基準に従う

「実施済み」のチェックだけでなく、対象範囲、結果、不備、是正、確認者を残します。証跡へのリンクが無効にならないよう、保存先と参照権限も管理します。

記録そのものを保護する

記録には個人情報、権限、システム構成等が含まれます。種類ごとに保存期間と根拠、閲覧権限、改変防止、バックアップ、期限後の廃棄を定めます。事故調査や保全指示の対象になった記録は、通常の自動削除を止める仕組みも必要です。

手順の更新後は、実際の担当者がテスト環境や訓練で実行し、説明どおりに完了できるかを確認します。共有スプレッドシート、チケット、文書管理システム等の形式は問いませんが、変更履歴・アクセス・責任者を追跡できるようにします。