ISO27001の情報セキュリティ方針とは？作り方・記載例・審査で見られるポイントを解説

ISO27001の情報セキュリティ方針とは

ISO27001の情報セキュリティ方針とは、組織として情報セキュリティをどのように考え、どのように守り、どのように改善していくかを示す基本方針です。
ISMSを運用するうえでの最上位の考え方になるため、社内規程や手順書、教育、リスクアセスメント、管理策の土台になります。

情報セキュリティ方針は、社外向けのきれいな宣言文だけではありません。
会社の事業内容、扱う情報資産、顧客や取引先から求められる要求事項、法令・契約上の義務、社員に求める行動、継続的改善の考え方を示すものです。
方針が曖昧だと、その下にあるルールや教育、管理策も曖昧になりやすくなります。

ISO27001では、トップマネジメントが情報セキュリティ方針を確立し、組織内に伝達し、必要に応じて利害関係者が入手できる状態にすることが求められます。
つまり、担当者が文案を作るだけでなく、経営者が内容を理解し、自社の方針として承認していることが重要です。

イソログに寄せられた情報セキュリティ方針のリアルな声

ISO27001の相談では、情報セキュリティ方針について、ひな形は見つかったものの自社に合わせた直し方が分からない、代表者の承認をどう取ればよいか迷う、社員への周知が後回しになる、という声が多くあります。
方針は文章として完成していても、社内の実態やリスクアセスメント、教育、規程とつながっていなければ、審査や運用で説明しづらくなります。

特に初めてISO27001を担当する場合、情報セキュリティ方針を「作成して保管する文書」と捉えてしまいがちです。
しかし実際には、方針は経営者の意思を示し、社員に行動基準を伝え、管理策や社内ルールの根拠になるものです。
作った後にどう周知し、どう見直し、どう運用へつなげるかまで考える必要があります。

ここでは、イソログに寄せられる相談傾向をもとに、情報セキュリティ方針で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談内容をもとに、情報セキュリティ方針の作成・承認・周知・運用・見直しで担当者がつまずきやすい場面をまとめました。

情報セキュリティ方針に書くべき基本項目

情報セキュリティ方針には、会社として情報セキュリティに取り組む姿勢だけでなく、どのような目的で、どの範囲に、どのような考え方を適用するのかを分かるように書きます。
抽象的な宣言だけでは、社員が何を意識すればよいか分かりにくく、審査でも運用とのつながりを説明しづらくなります。

基本的には、組織の目的との整合、適用範囲、情報資産の保護、法令・契約要求事項の遵守、情報セキュリティ目的の設定、責任体制、教育、インシデント対応、継続的改善、見直しの考え方を含めます。
すべてを長文で書く必要はありませんが、会社として何を大切にするのかが伝わる内容にします。

たとえば、受託開発会社であれば顧客から預かる仕様書やソースコードの保護、SaaS企業であればサービスの安定稼働と顧客データの保護、人材会社であれば求職者情報の適切な管理を方針に反映します。
どの会社にも使える汎用文ではなく、自社の事業と情報資産に合っていることが重要です。

情報セキュリティ方針と情報セキュリティポリシーの違い

情報セキュリティ方針と情報セキュリティポリシーは、文脈によって同じ意味で使われることもあります。
ただし実務では、情報セキュリティ方針を最上位の基本方針、情報セキュリティポリシーを方針・規程・基準・手順を含む広い文書体系として扱うことがあります。

たとえば、情報セキュリティ方針には「当社は顧客から預かった情報資産を適切に保護し、法令・契約上の要求事項を遵守し、継続的に改善する」といった大きな方向性を書きます。
一方で、アクセス権の申請方法、パスワードの管理方法、USBメモリの使用禁止、バックアップの取得頻度、委託先評価の手順などは、規程や手順書で具体化します。

この違いを整理しておかないと、方針に細かいルールを書きすぎて読みにくくなったり、逆に方針だけが立派で現場のルールが整っていなかったりします。
方針は大きな方向性を示し、その下に社内規程、基準、手順、チェックリストを配置する構成にすると、審査でも説明しやすくなります。

ISO27001で求められる情報セキュリティ方針の考え方

ISO27001で求められる情報セキュリティ方針は、単なる標語ではありません。
組織の目的に合っており、情報セキュリティ目的を設定するための枠組みを含み、適用される要求事項を満たすことへのコミットメントを示し、ISMSを継続的に改善する姿勢を含む必要があります。

ここで大切なのは、自社の事業と方針がつながっていることです。
たとえば、顧客から機密情報を預かる受託開発会社であれば、顧客情報や開発成果物の保護が重要になります。
24時間サービスを提供するSaaS企業であれば、顧客データの保護だけでなくサービスの安定稼働も方針に関係します。
人材会社であれば、求職者情報と求人企業情報の適切な管理が重要です。

また、情報セキュリティ方針は経営者の責任と関係します。
担当者が作った文書を経営者が形式的に承認するだけではなく、会社としてどの情報を守り、どのような体制で取り組むのかを理解している状態が望ましいです。
審査では、トップマネジメントが方針やISMSの目的を理解しているかを確認されることがあります。

情報セキュリティ方針の作り方

情報セキュリティ方針は、いきなり文章を書き始めるよりも、先に自社の事業内容と守るべき情報を整理してから作ると失敗しにくくなります。
ひな形を使う場合でも、事業内容、適用範囲、顧客要求、社内体制を確認し、自社の言葉に置き換えることが大切です。

まず、ISMSの適用範囲を確認します。
対象となる部門、拠点、業務、システム、外部委託の有無を整理します。
次に、顧客情報、従業員情報、契約書、ソースコード、業務データ、設計情報など、守るべき情報資産を確認します。
そのうえで、法令、契約、顧客要求、業界上の要求事項を洗い出します。

次に、経営者に確認しながら、会社としての情報セキュリティの姿勢を文章化します。
文案ができたら、代表者または権限を持つトップマネジメントの承認を得て、社内へ周知します。
Webサイトへ掲載する場合は公開範囲を確認し、社内ポータルや教育資料にも反映します。
最後に、年1回程度、または組織変更・事業変更・重大インシデント後に見直します。

経営者に確認すべきポイント

情報セキュリティ方針は、担当者だけで完結させる文書ではありません。
ISO27001ではトップマネジメントの関与が重視されるため、経営者が方針の内容を理解し、会社として承認していることが重要です。
担当者が文案を作る場合でも、承認前に経営者へ確認すべきポイントを整理しておきましょう。

まず確認したいのは、経営方針や事業目的との整合です。
たとえば、取引先からの信頼獲得、委託業務の拡大、クラウドサービスの安定提供、個人情報保護、海外取引への対応など、なぜ情報セキュリティに取り組むのかを経営者の言葉で確認します。
次に、どの情報資産を特に重視するか、どの部門を巻き込むか、教育や内部監査にどの程度取り組むかも確認します。

また、重大な情報セキュリティ事故が起きた場合の基本姿勢も確認しておくと実務に役立ちます。
迅速な報告、顧客や取引先への説明、再発防止、事業継続など、会社として大切にする考え方を方針や関連規程へ反映しやすくなります。

記載例：中小企業向けの情報セキュリティ方針サンプル

ここでは、中小企業がISO27001の準備で使いやすい情報セキュリティ方針の記載例を示します。
実際に使う場合は、そのまま丸写しにせず、自社の事業内容、適用範囲、扱う情報資産、顧客要求、社内体制に合わせて修正してください。

当社は、顧客、取引先、従業員その他の利害関係者からお預かりする情報資産、および当社の事業活動に関する情報資産を重要な経営資源と認識し、機密性、完全性、可用性を適切に維持するため、情報セキュリティマネジメントシステムを構築し、継続的に改善します。

当社は、情報セキュリティに関する法令、規制、契約上の要求事項および社内規程を遵守します。
また、情報セキュリティリスクを適切に評価し、必要な管理策を実施します。
全役員および従業員に対して情報セキュリティ教育を実施し、情報資産の適切な取扱いを徹底します。
情報セキュリティ事故が発生した場合は、速やかに報告し、被害拡大の防止と再発防止に取り組みます。
本方針は定期的に見直し、必要に応じて改訂します。

この例で置き換えるべき部分は、会社が扱う情報資産、対象となる部門、顧客や取引先から求められる要求事項、責任者、制定日、代表者名です。
Webサイトに公開する場合は、社外に出してよい表現になっているかも確認します。
社内向けの詳細なルールは、別途規程や手順書で具体化しましょう。

業種別に変えるべきポイント

情報セキュリティ方針は、どの会社でも同じ文章でよいわけではありません。
ISO27001の基本的な要求事項は共通していても、業種によって扱う情報資産、顧客から求められる水準、事故が起きたときの影響が異なります。
方針には、少なくとも自社の事業に合った表現を入れることが大切です。

SaaS企業であれば、顧客データの保護とサービスの安定提供が重要になります。
受託開発会社であれば、顧客から預かる仕様書、ソースコード、検証環境、アカウント情報の管理が重要です。
人材会社であれば、求職者情報と求人企業情報の機密性が大きな論点になります。
医療・福祉系では、個人情報や記録の正確性に加え、業務継続も重要です。

方針文そのものに業種別の細かい管理策をすべて書く必要はありません。
ただし、自社が何を重視しているかが読み取れる程度には、事業内容に合わせた表現にしましょう。
抽象的すぎる方針は、社員に伝わりにくく、審査でも実態とのつながりを説明しにくくなります。

方針を社内ルール・教育・管理策へつなげる方法

情報セキュリティ方針は、作成して掲示するだけでは十分ではありません。
方針で示した考え方を、社内ルール、教育、管理策、内部監査へ落とし込むことで、実際に使えるISMSになります。
審査でも、方針と運用がつながっているかは重要な確認ポイントです。

たとえば、方針で顧客情報を適切に保護すると書いた場合、アクセス権管理、持ち出しルール、委託先管理、メール送信ルール、教育資料に反映されている必要があります。
方針で継続的改善を掲げるなら、内部監査やマネジメントレビューで課題を確認し、改善策を実施する流れが必要です。

実務では、方針の文言と関連する規程・手順・記録を対応づけておくと便利です。
方針に書いた内容が、どの社内規程に反映され、どの教育で説明され、どの管理策で実施され、どの記録で確認できるのかを整理しておくと、審査前の準備がしやすくなります。

審査で見られるポイント

ISO27001の審査では、情報セキュリティ方針が文書として存在するかだけでなく、組織の目的に合っているか、トップマネジメントが承認しているか、社員に伝達されているか、必要に応じて利害関係者が入手できるかが確認されます。
さらに、方針が情報セキュリティ目的、リスクアセスメント、管理策、教育、内部監査と整合しているかも見られます。

審査員からは、方針はどこで確認できますか、社員にはどのように周知していますか、いつ見直しましたか、経営者はこの方針をどのように理解していますか、といった質問を受けることがあります。
トップインタビューでは、経営者がISMSの目的や情報セキュリティ方針の考え方を説明できるかが確認されることもあります。

また、方針の制定日や改訂日、承認者、版数、公開場所、教育記録、マネジメントレビューの記録も確認されやすいです。
社名変更、代表者変更、組織変更、事業内容の変更があった場合に、方針が見直されているかも重要です。

審査前に確認したいチェックリスト

審査前には、情報セキュリティ方針が最新版であるか、承認や周知の記録が残っているか、関連文書と矛盾していないかを確認します。
方針本文がきれいに整っていても、制定日が古い、代表者名が違う、社員が存在を知らない、教育資料に反映されていない、といった状態では指摘につながる可能性があります。

特に初回審査では、作成したばかりの文書が多く、方針と規程、リスクアセスメント、教育資料の内容がずれていることがあります。
たとえば、方針では全社員を対象に教育すると書いているのに、教育記録が一部の担当者だけしかない場合、説明が必要になります。
方針と運用記録を並べて確認しましょう。

また、Webサイトに公開している場合は、公開ページの内容と社内管理版が一致しているかも確認します。
社外向けには簡潔な表現にし、社内向けには詳細な規程や手順で補う構成でも問題ありませんが、矛盾がないように管理することが大切です。

よくある失敗と修正方法

情報セキュリティ方針でよくある失敗は、ひな形をそのまま使ってしまうことです。
ひな形自体が悪いわけではありませんが、自社の事業内容、適用範囲、顧客要求、情報資産が反映されていないと、審査や社内説明で困ります。
文言が立派でも、社員が何を守るべきか分からなければ運用に使えません。

次に多いのは、方針を作っただけで社内周知していないケースです。
社内フォルダに保存しているだけ、Webサイトに掲載しているだけでは、社員が理解しているとは言えません。
入社時教育、年次教育、部門会議、社内ポータルなどで周知し、必要に応じて受講記録や周知記録を残します。

また、代表者名や社名が古い、改訂履歴がない、組織変更後も見直していない、リスクアセスメントや管理策とつながっていない、という失敗もあります。
修正するときは、単に文章だけを直すのではなく、承認、公開場所、教育資料、関連規程、内部監査の確認項目まで一緒に見直すことが大切です。

コンサルに相談するときに確認すべきこと

情報セキュリティ方針の作成でコンサル会社へ相談する場合は、方針文書だけを作ってもらえるかではなく、ISMS全体の運用へどうつなげてくれるかを確認しましょう。
方針はリスクアセスメント、社内規程、教育、内部監査、審査対応とつながるため、文書単体で整えても運用しづらい場合があります。

確認したいのは、ひな形を自社向けに調整してくれるか、経営者確認の進め方を支援してくれるか、社員教育や周知資料まで整えてくれるか、審査で聞かれやすいポイントを教えてくれるか、取得後の見直しまで支援範囲に含まれるかです。
費用だけで判断せず、支援範囲と担当者の工数を確認しましょう。

低価格のコンサル会社でも、支援範囲、追加費用、連絡方法、取得後支援、安さの理由が明確であれば有力な選択肢になります。
ISOトラストのように月額費用を抑えた支援を行う会社もあるため、初期費用を抑えたい会社や、初めてISO27001を取得する会社は、複数社を比較して自社に合う進め方を確認するとよいでしょう。

まとめ：情報セキュリティ方針は作成物ではなくISMSを動かす基準

ISO27001の情報セキュリティ方針は、ISMS全体の方向性を示す重要な文書です。
方針には、組織の目的との整合、情報資産の保護、法令・契約要求事項の遵守、教育、インシデント対応、継続的改善の考え方を反映します。
ひな形を使う場合でも、自社の事業内容、適用範囲、情報資産、顧客要求に合わせて修正することが大切です。

審査では、方針が文書化されているか、トップマネジメントが承認しているか、社員へ周知されているか、必要な利害関係者が入手できるか、リスクアセスメントや管理策と整合しているかが確認されます。
作っただけで終わらせず、社内規程、教育、内部監査、マネジメントレビューへつなげましょう。

情報セキュリティ方針をどのように作ればよいか分からない、社内周知や審査対応まで含めて整理したい、担当者の工数を抑えながら進めたい場合は、ISO27001に詳しいコンサル会社へ相談する方法もあります。
複数社の支援内容を比較し、自社の規模や目的に合う進め方を選ぶことが重要です。

よくある質問