情報セキュリティポリシーは、組織の情報資産をどのように守るかを定めた基本文書です。しかし、ひな形をそのまま使って作成した文書が、実際の運用と乖離したまま放置されているケースは少なくありません。この記事では、実際に機能するポリシーを作成するための手順を整理します。
01 ポリシーの階層構造を理解する
情報セキュリティポリシーは、一般的に「基本方針」「対策基準」「実施手順」の3層構造で整備します。基本方針は経営層が承認する組織全体の方向性を示す文書で、対策基準は具体的な管理策を定めた文書、実施手順は現場の担当者が実際に参照する手順書です。
この3層を混在させた文書を作成すると、改訂のたびに全体を見直す必要が生じ、維持管理が困難になります。層ごとに文書を分けて管理することで、変更が生じた際の影響範囲を限定できます。
02 実態に合わせた内容にする
ひな形をそのまま使用すると、自社では使用していないシステムや、実施していない手順が含まれることがあります。審査員や監査人は、文書と実態の整合性を確認するため、実態に合っていない記述は指摘事項になります。
ポリシーの作成にあたっては、まず自社の情報資産・システム構成・業務プロセスを棚卸しした上で、それに合わせた内容を記述することが基本です。
- 情報資産台帳を最新の状態に保つ
- クラウドサービスの利用状況を正確に反映する
- テレワーク・モバイル端末の利用ルールを明記する
- インシデント報告フローを具体的に記載する
- 改訂履歴と承認者を文書に記録する
03 定期的な見直しの仕組みを作る
情報セキュリティポリシーは、作成して終わりではありません。システム構成の変更、新たな法令・規制への対応、インシデントの発生などを契機に、定期的に見直す仕組みが必要です。年1回の定期レビューをスケジュールに組み込み、担当者を明確にしておくことが重要です。
Crystal Ravenでは、既存のポリシー文書の見直しについてのご相談も承っています。お問い合わせフォームからご連絡ください。
情報セキュリティポリシーは、作成することよりも、実際に運用し続けることの方が難しいです。まず現状の文書と実態のギャップを確認することから始めてみてください。