情報セキュリティ基本方針とは？
目的から作成方法までまるっと解説

まずは、情報セキュリティ基本方針とは何かを理解することから始めましょう。
情報セキュリティ基本方針は、「情報セキュリティポリシー」と呼ばれる文書の一部です。情報セキュリティポリシーの全体像については（2）で述べますが、そのポリシーにおける基本方針を示したものが「情報セキュリティ基本方針」という位置づけです。企業が情報セキュリティ対策にしっかり取り組んでいるという意思表示でもあり、多くの企業がウェブサイトなどで公開しています。

基本方針で明示する内容

情報セキュリティ基本方針で示すべきことは、情報セキュリティに関する基本的な考え方です。企業や組織にとって共通の理念・目的・目標、さらに情報セキュリティポリシーの対象や、違反への対応などについても明記します。
企業規模や業種によって文言や表現、ボリュームは異なってきますが、だいたい5～10か条ぐらいで簡潔にまとめられる傾向にあります。「A4サイズの用紙１枚に収まる程度がよい」という意見もあります。

（1）で、情報セキュリティ基本方針は「情報セキュリティポリシー」と呼ばれる文書の一部と述べました。ここでは情報セキュリティポリシーの全体像も理解しておきましょう。

情報セキュリティポリシーとは？

情報セキュリティポリシーは、一般的に「基本方針」「対策基準」「実施手順」の3つで構成されます。基本方針については前述の通りですが、あとの2つはいわゆる「ガイドライン」と「マニュアル」という位置づけです。

【対策基準＝ガイドライン】想定される情報セキュリティリスクに対して、どのような対策を行うかを明記します。
【実施手順＝マニュアル】どのように情報セキュリティポリシーを運用するかを定めます。

情報セキュリティ基本方針を明文化する目的は、重要な情報資産（※1）を守ることにあります。デジタル化が急速に進展し、サイバー攻撃がますます複雑化する現代、情報は企業にとって守るべき「財産」です。情報セキュリティ基本方針に則った適正な情報セキュリティ対策を行うことは、ステークホルダー（※2）に対して大きな意味を持ち、会社の信用度を向上させます。

従業員のセキュリティ意識の向上

もう一つ大きな目的として挙げられるのが、従業員のセキュリティ意識の向上です。ただ漠然と対策をするのではなく、明文化したうえで全員のベクトルを合わせたセキュリティ対策を行うことで、セキュリティ意識は高くなります。

では、自社で情報セキュリティ基本方針を作ることは可能でしょうか。専門的な知識が必要なのではと思われがちですが、決して難しいことではありません。
情報セキュリティ基本方針は、企業によって守るべきものや理由は異なるため、どのような方針が必要かを検討し、作ることが重要です。IPA（独立行政法人 情報処理推進機構）が提供しているサンプルを元に、主な項目を紹介します。

• 経営者の責任
• 社内体制の整備
• 従業員の取り組み
• 法令及び契約上の要求事項の遵守
• 違反や事故への対応

実際に作成するための注意点

情報セキュリティ基本方針の作成には、IPAの「中小企業の情報セキュリティ対策ガイドライン」を参照するとよいでしょう。また、上記でも触れたとおり、IPAでは「情報セキュリティ基本方針（サンプル）」を公開しています。必要な項目を選択し、編集することで自社の情報セキュリティ基本方針を作成することができます。
ただし安易に「ひな形」に頼ればいい、ということではありません。そこに明記された文章が自社の方針となることを忘れず、あくまで自分たちで考えて作るという意識を持つことが重要です。

自社のセキュリティ状況も把握可能

さらにこのガイドラインでは、詳細リスク分析の実施方法として情報資産の洗い出し、リスク値の算定なども詳述されており、自社のセキュリティ状況を把握するのに便利です。

ここまで、情報セキュリティ基本方針とは何か、目的から作成方法までを解説してきました。自社でも情報セキュリティ基本方針が作れること、それが社内外に対して重要であることをご理解いただけたでしょうか。
情報セキュリティ基本方針の作成は、現在の自社の取り組みを見直す絶好の機会でもあります。また、それらをウェブサイトなどで公表することによって、情報セキュリティに取り組む姿勢が社会的な信頼・信用にもつながります。

サクサでは中小企業のセキュリティ対策に関するお役立ち資料を提供していますので、こちらもぜひご活用ください。