情報セキュリティ管理規程（ルール）

情報セキュリティ管理規程は、基本方針を実現するために、対象者の義務、管理体制、承認・報告の仕組みを定める社内文書です。 本カテゴリでは英語をInformation Security Management Rulesとし、組織内で守るべき正式なルールを意味するものとして扱います。

良い条文には「誰が」「何を」「いつ」「誰の承認で」「どの記録を残すか」があります。技術的な設定値は基準に置き、日常操作は手順書に分けます。

章立てと管理事項の例

章	定める内容	下位文書・記録
1. 総則	目的、適用範囲、用語、上位文書、他規程との関係	基本方針、適用要求事項一覧
2. 管理体制	経営、責任者、情報責任者、実施者、確認者の権限・報告先	任命、職務権限、会議記録
3. 資産・リスク管理	資産責任者、分類、リスク評価、残余リスクの承認	資産台帳、リスク台帳、対策計画
4. データ・物理管理	保存、共有、持出し、保管期間、廃棄、入退室	分類・取扱基準、廃棄記録
5. ID・アクセス管理	申請、承認、最小権限、特権、異動・退職、棚卸	アクセス基準、申請・棚卸記録
6. 端末・ネットワーク	管理対象、構成、更新、遠隔勤務、私物端末の扱い	端末基準、構成台帳
7. 開発・変更・脆弱性	設計時の対策、レビュー、診断、修正、変更承認	開発・変更手順、診断・修正記録
8. ログ・監視	記録対象、保護、監視責任、異常の連絡	ログ基準、監視・調査記録
9. 委託先・クラウド	選定、利用審査、契約、継続確認、利用終了	委託先評価、承認サービス一覧
10. 事故・復旧・継続	報告、指揮、封じ込め、社外連絡、復旧判断、訓練	対応計画、BCP、復元・訓練記録
11. 教育・点検・監査	対象者、計画、是正、経営報告	教育記録、点検・監査結果
12. 例外・違反・改廃	例外承認、違反への対応、文書の見直し・承認	例外台帳、改訂・承認履歴

各章で既存の個人情報保護規程やBCPを参照しても構いません。参照先だけでなく、情報セキュリティ上の責任の境界も明記します。

条文のひな形

以下は主要条文の例であり、上の管理事項をすべて網羅する完成版ではありません。自組織の承認権限と業務に合わせて補います。

第1条（目的・適用）
本規程は情報セキュリティ基本方針に基づき、当社の情報資産を
適切に管理するための責任と必須ルールを定める。
本規程は役員・従業員に適用し、委託先の義務は契約等により定める。

第2条（管理体制）
経営は情報セキュリティ責任者を任命し、権限と報告先を定める。
各部門長は管理する情報の責任者を定め、資産台帳に登録する。
情報セキュリティ責任者は重大なリスク・事故を速やかに経営へ報告する。

第3条（資産・リスク管理）
情報責任者は情報の重要度と取扱条件を分類基準に基づき定める。
新規サービス導入および重要な変更の前にリスクを評価し、対策を決定する。
対策後に残るリスクは、職務権限に定める承認者の承認を受ける。

第4条（アクセス管理）
アクセス権の付与・変更は情報責任者の承認を要する。
IT担当者は承認された範囲で設定し、申請・設定・確認の記録を残す。
情報責任者はアクセス管理基準に定める周期で権限を確認する。
人事担当者は異動・退職情報を実施期限に間に合うようIT担当者へ通知する。

第5条（外部サービス）
業務で外部サービスを利用する者は、導入前に所定の利用審査を受ける。
所管部門は情報の取扱条件、責任分担、事故連絡、終了時のデータ処理を確認する。

第6条（事故の報告）
対象者は事故またはその疑いを認識した場合、指定の窓口へ直ちに報告する。
原因が未確定でも報告し、証拠を削除・改変しない。
対応責任者は影響と緊急度を評価し、所定の指揮系統に従って対応する。
社外通知の要否・内容・期限は、法務等と確認し、指定の権限者が決定する。

第7条（例外）
基準の例外は対象要件・理由・リスク・代替策・期限・責任者を記載して申請する。
申請者以外の指定承認者が判断し、期限までに解消または再審査する。
法令・契約上の義務を社内の例外承認のみで免除してはならない。

第8条（点検・改廃）
所管部門は対策の実施状況を点検し、不備の責任者と是正期限を定める。
情報セキュリティ責任者は本規程を定期および重要な変更時に見直し、
職務権限に定める承認を得て改訂し、対象者へ周知する。

例外承認の運用例

古い業務システムがMFAに対応しない場合、「設定できない」で終わらせず、対象システム・利用者・情報・想定被害を明示します。アクセス元の制限、特権利用の制限、監視強化等の代替策を評価し、移行計画と期限を付けて審査します。

例外承認は基準への一時的な不適合を管理する判断です。残余リスクの受容とは関連しますが、同じではありません。重大なリスクは、例外承認者の権限内でも、別途経営判断が必要となるように基準を定めます。

違反対応と報告を両立する

違反時は、事実確認、影響抑制、原因分析、是正を行います。懲戒等が必要な場合は、既存の就業規則・契約・所定の手続きと整合させます。本規程だけで新たな罰則を機械的に設ける構成は避けます。

事故の報告と責任の判断を分け、善意の早期報告を妨げない運用にします。連絡先、時間外の代替経路、責任者が不在の場合の代理者も、対応手順に記載します。

作成時のチェック

「適切に管理する」だけで終わらず、担当者・承認・記録が分かる。
情報の取得から廃棄、サービスの導入から終了までを扱う。
期限・数値の管理元となる基準と、実施する手順書がある。
例外と緊急対応の権限、事後確認、経営への報告条件を定めている。

参考資料

IPA：中小企業の情報セキュリティ対策ガイドライン — 付録5「情報セキュリティ関連規程（サンプル）」を参照できます。
文書の策定・承認・見直し