ISO27001の社内ルール作りとは？情報セキュリティポリシー・教育・チェック体制の作り方を他社事例を交えて解説

ISO27001の社内ルール作りとは？

ISO27001の社内ルール作りとは、情報セキュリティを守るために、社内で守るべき方針、基準、手順、教育、チェック体制を整えることです。
情報セキュリティポリシーを作って終わりではなく、従業員が日常業務の中で何を守るのか、誰が確認するのか、どの記録を残すのかまで決める必要があります。

初心者担当者がつまずきやすいのは、社内ルールを文書作成だけで考えてしまう点です。
ISO27001では、情報資産の洗い出し、リスクアセスメント、管理策の選定、適用宣言書、社内規程、教育、内部監査、マネジメントレビューがつながっています。
ルールだけが立派でも、教育されていない、チェックされていない、記録が残っていない状態では、運用できているとは言いにくくなります。

たとえば、顧客情報を扱う営業部門では、メール誤送信防止、商談資料の持ち出し、クラウド共有の権限管理が必要になります。
人事部門では、社員情報や応募者情報の閲覧権限、紙書類の保管、退職者アカウントの削除が重要です。
情シス部門では、アカウント発行、ログ確認、バックアップ、脆弱性対応のルールが必要になります。
このように、社内ルールは部署ごとの実務に落とし込んで初めて機能します。

イソログに寄せられたISO27001社内ルール作りのリアルな声

ISO27001の社内ルール作りでは、初めて担当する方ほど、ポリシー、規程、手順、教育、チェックリストの関係が分からずに迷いやすくなります。
経営層向けの情報セキュリティ方針は作ったものの、現場が何をすればよいか分からない、教育を実施したが受講記録がない、内部監査の直前に日常点検の証跡が足りないといった相談は珍しくありません。

また、他社テンプレートを参考にしてルールを作った場合でも、自社の業務に合っていないと形骸化しやすくなります。
たとえば、紙書類を多く扱う会社なのにクラウドのルールばかり厚くなっている、リモートワークが多い会社なのに端末持ち出しや自宅作業のルールが弱い、委託先へ情報を預けているのに委託先確認の記録がないといったズレが起こります。

ここでは、イソログに寄せられる相談の傾向をもとに、ISO27001の社内ルール作りで初心者担当者が迷いやすい状況を整理します。

イソログに寄せられる相談でも、社内ルール作りでは同じようなつまずきが多くあります。

ISO27001で整えるべき社内ルールの全体像

ISO27001で整える社内ルールは、情報セキュリティポリシーだけではありません。
経営層の方針を示す基本方針、その方針を具体化する規程や対策基準、現場が実施する手順、実施したことを示す記録までを階層で整理します。

よくある失敗は、最初から細かい規程を大量に作ってしまうことです。
文書が多すぎると、どれが最新か分からない、現場が読まない、教育しきれない、審査前に整合性を確認できないという問題が起こります。
まずは、自社の適用範囲、情報資産、リスク、管理策に対して必要なルールを洗い出し、文書体系をシンプルに設計することが重要です。

たとえば、従業員50名程度のIT企業では、情報セキュリティ基本方針、情報資産管理規程、アクセス権管理規程、クラウド利用規程、インシデント対応手順、教育記録、権限棚卸し記録を中心に整備するケースがあります。
一方、紙文書が多い医療福祉事業者では、紙カルテや利用者情報の保管、持ち出し、廃棄、職員教育のルールを厚くする必要があります。

情報セキュリティポリシーの作り方

情報セキュリティポリシーは、会社として情報セキュリティにどう取り組むかを示す基本方針です。
ISO27001では、経営層が情報セキュリティの重要性を認識し、組織として守るべき方向性を明確にしていることが重要になります。

ポリシーには、適用範囲、守る情報の考え方、法令や契約要求の遵守、継続的改善、役割と責任、従業員への周知などを入れるのが一般的です。
ただし、難しい表現だけで作ると、社員に伝わりにくくなります。
社外公開用の基本方針と、社内向けの説明資料を分けると、審査対応と現場理解を両立しやすくなります。

他社事例として、従業員30名規模の士業事務所では、顧客から預かる契約書、申請書、本人確認書類を守ることをポリシーの中心にしました。
従業員120名規模の製造業では、設計図面、取引先情報、工場端末の保護を重視し、技術情報の外部持ち出し禁止と取引先要求への対応を明記しました。
SaaS企業では、顧客データ、ソースコード、クラウド環境の保護を重視し、開発・運用部門の責任を分かりやすく整理しました。

対策基準・実施手順に落とし込む方法

情報セキュリティポリシーは会社の方針を示すものですが、それだけでは現場は動けません。
ポリシーをもとに、何を守るかを示す対策基準と、誰がどのように実施するかを示す実施手順へ落とし込む必要があります。

対策基準では、たとえば、重要情報はアクセス権限を限定する、外部共有は承認制にする、退職者のアカウントは速やかに削除する、委託先には秘密保持や再委託の条件を確認する、といった基準を定めます。
実施手順では、アカウント申請フォーム、承認者、作業担当者、確認タイミング、記録の保存場所まで具体化します。

他社事例として、EC事業者では、注文情報と決済関連情報へのアクセス権限を職務別に分け、カスタマーサポートは必要な範囲のみ閲覧できるようにしました。
人材紹介会社では、応募者情報の閲覧権限を担当部署単位で制限し、退職者や異動者の権限削除を月次で確認する手順を作りました。
製造業では、設計図面を共有する際の承認ルートと外部送付時の暗号化手順を整備しました。

ISO27001の教育体制の作り方

ISO27001では、従業員が情報セキュリティのルールを理解し、必要な行動を取れるようにする教育体制が重要です。
規程を作っても、社員が知らなければ守られません。
審査でも、教育が実施されているか、対象者が適切か、記録が残っているかを確認されやすくなります。

教育は、全社員向けの年次教育だけでなく、入社時教育、役割別教育、インシデント後の臨時教育に分けると運用しやすくなります。
全社員向けでは、情報の分類、パスワード、メール誤送信、クラウド共有、端末紛失、インシデント報告を扱います。
役割別教育では、情シス向けにアカウント管理やログ確認、人事向けに社員情報の取扱い、営業向けに顧客資料の持ち出しやメール送信ルールを扱います。

他社事例として、医療福祉事業者では、職員の入退職が多いため、入社時に個人情報の取扱い、紙書類の保管、FAX送信確認、利用者情報の口頭共有禁止を教育しました。
SaaS企業では、開発者向けに本番環境アクセス、ソースコード管理、脆弱性対応の教育を別枠で実施しました。
人材BPO企業では、派遣スタッフや委託メンバーにも業務開始前教育を行い、受講記録を案件単位で残しました。

社内ルールを守らせるチェック体制の作り方

ISO27001の社内ルールは、作って周知するだけでは不十分です。
ルールが守られているかを確認するチェック体制が必要です。
チェック体制には、日常点検、月次チェック、部署別確認、内部監査、マネジメントレビューがあります。

日常点検では、共有フォルダの外部公開、机上の紙書類、端末の施錠、バックアップ結果など、現場で短時間に確認できる項目を扱います。
月次チェックでは、退職者アカウント、管理者権限、委託先確認、ログ確認など、少し重い項目を扱います。
内部監査では、規程と実態が一致しているか、教育や点検の記録が残っているか、改善が行われているかを確認します。

他社事例として、従業員80名規模の小売EC企業では、月次で注文管理システムの権限棚卸しと外部共有リンクの確認を行い、チェック結果をスプレッドシートに残しました。
製造業では、工場内の共有PC、紙図面、来訪者記録を現場リーダーが月1回点検し、総務が結果を集約しました。
士業事務所では、案件終了後の顧客資料の保管・返却・廃棄をチェックリスト化しました。

業種別に見る社内ルール作りの他社事例

ISO27001の社内ルールは、業種や会社規模によって重点が変わります。
テンプレートをそのまま使うより、自社の情報資産、業務フロー、リスク、取引先要求に合わせて優先順位をつけることが大切です。

製造業では、設計図面、製造条件、取引先情報、工場端末の管理が重要になりやすく、紙図面の持ち出しや外部送付の承認ルールが必要になります。
IT・SaaS企業では、クラウド環境、ソースコード、本番データ、管理者権限の管理が中心になります。
医療福祉では、利用者情報、職員情報、紙書類、FAX、口頭共有のルールを厚くする必要があります。

小売ECでは、注文情報、配送先情報、委託先、外部サービス連携のルールが重要です。
人材・BPOでは、応募者情報、派遣スタッフ情報、委託業務で預かる情報を案件単位で管理する必要があります。
士業・コンサルでは、顧客資料、メール誤送信、契約書、リモートワーク時の持ち出し管理が重点になります。

社内ルール作りでよくある失敗と注意点

ISO27001の社内ルール作りでよくある失敗は、規程だけを整えて運用を後回しにすることです。
文書は作ったが社員に周知していない、教育記録が残っていない、チェック担当者が決まっていない、現場が守れないルールになっているといった状態では、審査前に大きな手戻りが発生しやすくなります。

もう一つの失敗は、他社テンプレートをそのまま使うことです。
テンプレートは出発点として便利ですが、自社にない業務のルールが大量に入っている、逆に自社で重要なクラウド利用や委託先管理が薄い、部署ごとの実務に落ちていない、といった問題が起こります。

特に初心者担当者は、厳しいルールほどよいと思い込みがちです。
しかし、現場が守れないルールは形骸化し、例外が増え、記録も残らなくなります。
リスクを下げることと、業務が続くことの両方を見ながら、最初はシンプルに始め、内部監査やマネジメントレビューで改善していく考え方が現実的です。

審査で見られやすいポイント

ISO27001の審査では、社内ルールがあるかだけでなく、ルールがISMS全体の流れとつながっているかを見られます。
情報セキュリティポリシーが承認され、社員へ周知されているか。
リスクアセスメントや管理策と規程がつながっているか。
教育、点検、内部監査、改善の記録が残っているか。
こうした点が確認されやすくなります。

たとえば、アクセス権限管理規程に定期棚卸しを行うと書いてある場合、審査では棚卸しの実施記録、指摘事項、修正履歴、承認記録を確認されることがあります。
教育規程に年1回教育を行うと書いてある場合は、教育資料、受講者一覧、未受講者対応、理解度確認の記録が見られます。

重要なのは、規程と実態を一致させることです。
ルールに書いたことを実施していない場合は指摘につながりやすくなります。
一方、実際には良い運用をしているのに規程や記録に残していない場合も、審査で説明しにくくなります。
ルール、運用、記録を一本の流れで見直しておきましょう。

コンサルに相談する前に整理しておきたいこと

ISO27001の社内ルール作りをコンサルに相談する場合でも、事前に自社の状況を整理しておくと、相談の質が上がります。
特に、既存の社内規程、就業規則、IT利用ルール、情報資産台帳、利用しているクラウドサービス、部署ごとの情報の扱い方を把握しておくと、必要な文書や運用記録を具体的に決めやすくなります。

相談前に何も整理していないと、一般的なテンプレート中心の提案になりやすく、自社の現場に合わないルールが増えることがあります。
一方、現在の業務フロー、情報の流れ、困っている点、取引先から求められている要求、審査希望時期を伝えられると、必要な支援範囲やスケジュールを現実的に決めやすくなります。

たとえば、SaaS企業であれば、利用クラウド、開発環境、本番環境へのアクセス権、ログ確認、障害対応手順を整理しておくと、技術的な社内ルールを具体化しやすくなります。
医療福祉事業者であれば、紙書類、職員教育、利用者情報の保管、委託先との情報共有を整理しておくと、現場に合う規程を作りやすくなります。

まとめ：ISO27001の社内ルールは、作るより運用できる形にすることが大切

ISO27001の社内ルール作りでは、情報セキュリティポリシー、対策基準、実施手順、教育、チェック体制、記録を一体で整えることが重要です。
ポリシーだけを作っても、現場が何をすればよいか分からなければ運用されません。
反対に、細かすぎるルールを作っても、現場が守れなければ形骸化してしまいます。

初心者担当者は、まず自社の情報資産、リスク、管理策、部署ごとの業務を確認し、必要なルールを優先順位づけしましょう。
そのうえで、教育で周知し、日常点検や内部監査で確認し、記録を残し、必要に応じて改善する流れを作ることが大切です。

他社事例を参考にすることは有効ですが、最終的には自社の業務に合う形へ調整する必要があります。
自社だけで文書体系や教育体制、チェック体制を整えるのが難しい場合は、ISO27001に強い専門家へ相談し、審査で説明でき、取得後も続けられるルール設計に整えていきましょう。

よくある質問