情報セキュリティガイドライン

情報セキュリティガイドラインは、規程や基準を理解し、日々の業務で安全な判断をするための指針です。 本カテゴリでは推奨と具体例を中心に扱います。必須ルールを掲載する場合は「必須」とその根拠を示し、推奨と区別します。

外部機関のガイドラインや契約で指定された指針は、名称だけで任意と判断できません。社内でどう適用するかを所管者が確認します。

構成のひな形

〇〇利用セキュリティガイドライン
1. 目的と対象者・対象業務
2. 関連する規程・基準と必須ルール
3. 判断のための確認事項
4. 推奨される行動と避けたい行動
5. ケーススタディと判断理由
6. 判断できない場合・事故の疑いがある場合の相談先
7. 文書の所管者、版、確認日、改訂履歴

実際の文書では、承認済みサービス一覧、情報分類表、申請先、事故報告先への参照を付けます。画面名やリンクが古くなっていないかも確認します。

メール・チャット・ファイル共有の例

種類	記載例	根拠・理由
必須	機密情報は、情報取扱基準で承認された相手と方法で共有する	情報取扱基準の外部共有要件
推奨	宛先は本文と添付を確認した後に入力し、候補の表示名だけでなくアドレスを確認する	誤送信を減らす
推奨	外部共有リンクには、必要に応じて有効期限を設定する	不要な共有を残しにくくする
必須	誤送信・誤公開に気付いたら、削除依頼だけで済ませず指定窓口へ報告する	管理規程の事故報告義務

ケース：取引先から、共有リンクを「リンクを知っている全員」に変更してほしいと言われた。 情報分類と相手の本人確認を確認し、機密情報なら基準で認めた範囲を超えて共有しません。承認済みの個別招待や別の共有方法を相談します。相手の利便性だけで公開範囲を広げない判断を示します。

クラウドサービス利用の例

利用前に、保存する情報、アカウントの管理主体、共有範囲、ログ、バックアップ、終了時のデータ移行を確認します。無料の個人アカウントと契約済みの組織アカウントでは管理機能や条件が違う場合があります。

• 必須の例： 業務利用は利用審査を受け、承認されたサービスとアカウントを使う。根拠は管理規程の外部サービス条項。
• 推奨の例： フォルダーを作る際は最初から用途別に権限を分ける。大きな共有先を後から絞るより確認しやすい。
• 相談が必要な例： 外部の共同作業者が増える、機密情報を追加する、利用地域や契約条件が変わる。

ケース：承認済みのクラウドに、新たに顧客名簿を保存したい。 サービスが承認済みでも、情報の種類や用途まで承認されているとは限りません。承認範囲を確認し、必要なら追加審査を受けます。

生成AI利用の例

利用の判断では、サービス名だけでなく、契約プラン、入力の保存・利用条件、管理設定、入力する情報、出力を使う業務を確認します。

状況	判断・行動の例
一般公開された製品案内を要約する	承認された用途なら利用し、固有名詞や数値を原文と照合する
顧客の問い合わせ履歴を入力する	個人情報や機密情報の入力条件を確認する。未承認なら入力せず相談する
名前を消した社内資料を入力する	文脈・識別子・契約内容から再識別や機密の開示が起きないか確認する
生成されたコードを製品へ組み込む	レビュー、動作・セキュリティ確認、利用条件等の確認を行う

「氏名を削除すれば安全」「有料ならすべて入力可能」といった判断は避けます。必須の入力制限はデータ・AI利用基準に置き、このページではその理由と判断例を説明します。

在宅勤務・外出先での例

• 必須の例： 承認された端末・接続方法を使用し、紛失や不正利用の疑いを直ちに報告する。根拠は端末基準と事故報告条項。
• 推奨の例： 視線や会話の聞こえ方を確認して場所を選び、離席時は画面をロックする。紙資料は必要最小限にする。
• 判断例： 公共の場所で機密の会議を行う場合は、周囲に聞かれない場所へ移るか日程を変更する。通信の保護だけでは会話の漏えいを防げない。

作成時のチェック

1. 必須・推奨・例示の表示と、必須事項の根拠がある。
2. 「気を付ける」だけでなく、実際に確認する項目がある。
3. できること・避けることに加え、相談が必要な条件がある。
4. 現場でよくある場面を扱い、判断理由を説明している。
5. 規程・基準にない禁止を、説明なく追加していない。

関連ページ・参考資料

• 方針・規程・基準・ガイドラインの比較
• IPA：中小企業の情報セキュリティ対策ガイドライン — ハンドブック、クラウド利用・事故対応の手引きも参照できます。