sg security-management policy organization
情報セキュリティポリシーとは？基本方針・対策基準・実施手順の違いをやさしく解説
まず結論
情報セキュリティポリシーとは、組織が情報資産を守るための考え方やルールをまとめたものです。
SG試験では、細かい文書名を暗記するよりも、次のように切り分けると判断しやすくなります。
| 層 | 役割 | 試験での見方 |
|---|---|---|
| 情報セキュリティ基本方針 | 組織の考え方・姿勢 | 経営層が示す大きな方針 |
| 情報セキュリティ対策基準 | 守るべき基準 | 具体策を決めるための基準 |
| 情報セキュリティ実施手順 | 現場の手順 | 実際にどう操作・運用するか |
ポイントは、上位ほど方針、下位ほど具体的な作業手順になることです。
直感的な説明
情報セキュリティポリシーは、会社の「守り方のルールブック」のようなものです。
たとえば、会社で重要な書類や顧客情報を扱うときに、
- 何を守るのか
- 誰が責任を持つのか
- どのような対策を行うのか
- 困ったときにどう対応するのか
を決めておかないと、人によって対応がバラバラになります。
そこで、組織として共通の考え方とルールをまとめたものが、情報セキュリティポリシーです。
定義・仕組み
情報セキュリティポリシーは、一般に次の3層で整理されます。
1. 情報セキュリティ基本方針
情報セキュリティ基本方針は、組織として情報セキュリティにどう取り組むかを示す最上位の方針です。
経営者や組織の責任者が、
- 情報資産を守る目的
- 情報セキュリティに取り組む姿勢
- 対象となる範囲
- 組織としての責任
などを示します。
試験では、経営層が示す大きな方針と考えると分かりやすいです。
2. 情報セキュリティ対策基準
情報セキュリティ対策基準は、基本方針を実現するために、どのような対策を行うかを定めた基準です。
たとえば、
- アクセス制御
- パスワード管理
- ウイルス対策
- バックアップ
- ログ管理
- 事故発生時の対応
などについて、組織として守るべき基準を決めます。
試験では、基本方針と実施手順の間にあるルールと押さえるとよいです。
3. 情報セキュリティ実施手順
情報セキュリティ実施手順は、対策基準に基づいて、現場で実際に行う具体的な手順です。
たとえば、
- パスワードを何文字以上にするか
- バックアップをいつ取得するか
- 事故発生時に誰へ連絡するか
- ログをどこで確認するか
といった、実務レベルの内容です。
試験では、現場での具体的な操作・運用手順と判断します。
どんな場面で使う？
情報セキュリティポリシーは、組織全体で一貫した情報セキュリティ対策を行うために使われます。
たとえば、次のような場面です。
- 社員に守るべきルールを周知する
- 情報資産の扱い方を統一する
- セキュリティ事故が起きたときの対応を明確にする
- 監査で、組織の対策状況を確認する
- 取引先や顧客に、セキュリティへの姿勢を示す
特にSG試験では、単なる文書作成ではなく、組織として情報資産を守るための管理の仕組みとして出題されやすいです。
よくある誤解・混同
誤解1：情報セキュリティポリシーは、全部を外部公開する
これは誤りです。
情報セキュリティ基本方針は、組織の姿勢を示すために公開されることがあります。
一方で、対策基準や実施手順には、具体的な防御方法や運用手順が含まれるため、むやみに外部公開すると攻撃者に悪用されるおそれがあります。
基本方針は公開されることがある。実施手順は内部向けになりやすい。
この切り分けが大切です。
誤解2：情報セキュリティポリシーは、作れば終わり
これも誤りです。
情報セキュリティポリシーは、作成して終わりではありません。
組織の状況、利用するシステム、脅威、法令などが変われば、見直しが必要です。
SG試験では、策定・周知・教育・運用・監査・見直しまで含めて考えると判断しやすくなります。
誤解3：すべての情報資産に同じ費用をかけて守る
これも誤りです。
情報資産の重要度やリスクの大きさによって、必要な対策は変わります。
たとえば、公開資料と顧客の個人情報では、守るべきレベルが異なります。
そのため、リスク分析を行い、被害の大きさや発生可能性を考えて、適切な対策を選ぶことが重要です。
試験での切り分けポイント
SG試験では、次のように判断すると選択肢を切りやすくなります。
「基本方針」と出たら
組織の考え方、経営層の姿勢、最上位の方針を示すものです。
細かい手順ではありません。
「対策基準」と出たら
基本方針を実現するためのルールや基準です。
実施手順ほど細かい操作内容ではありません。
「実施手順」と出たら
現場で実際に行う具体的な手順です。
誰が、いつ、どのように行うかが書かれます。
まとめ（試験直前用）
情報セキュリティポリシーは、組織が情報資産を守るための方針やルールをまとめたものです。
試験直前は、次の3点を押さえておきましょう。
- 基本方針：経営層が示す最上位の考え方
- 対策基準：基本方針を実現するための守るべき基準
- 実施手順：現場で実際に行う具体的な手順
ひっかけ対策としては、上位ほど抽象的、下位ほど具体的と覚えると判断しやすいです。
また、情報セキュリティポリシーは作って終わりではなく、周知・教育・運用・見直しまで含めて機能させることが大切です。