不正利用やなりすまし、サイバー攻撃、ハッキング、ウイルスなど様々な情報セキュリティリスクから企業の情報資産を確実に保護することは簡単なことではありません。

情報化の進んだ現代においては、いつどこで脅威にさらされているかわかりません。

実は、情報セキュリティ方針を設定することで、様々なリスクから会社を守ることができます。情報セキュリティ方針は、トップマネジメントが制定する会社の情報セキュリティに関する原則や基本的な考え方を示す文書のことです。

なぜなら、情報セキュリティ方針を設定し明示することにより、従業員の意識が向上したり、取引先や顧客からの信頼を獲得することができたりなどのメリットが得られる可能性があるからです。

ここでは、ISMSとセキュリティ方針の関連性や、それらを取得・設定することの重要性について紹介していきます。

読み終えていただければ、ISMS認証取得に向けたセキュリティ方針策定の重要性について理解することができるでしょう。

1.ISMSにおけるセキュリティ方針とは

結論から申しますと、ISMSのセキュリティ方針とは「企業や組織にとっての情報セキュリティに関する基本的な考え方」のことを指します。

より簡単にしますと「会社がどのように情報を守るのか」ということです。

これは、企業の情報資産を不正利用されることやサイバー攻撃などのさまざまな情報セキュリティリスクから守るために作成します。

一般的に記載される内容としては、組織が保有する情報資産を保護するための基本的な考え方やルール、情報セキュリティを確立するための体制、運用規定、対策基準などが挙げられます。

基準となる文章の用意や目的が適切かの確認、要求事項が含まれているかの確認を行い、ISMSのセキュリティ方針を作成することが必要となります。

また、企業が自社の状況と照らし合わせて作成し会社の目的に対して適切であるかどうかということも重要となってきます。

その上で、社内の人が見られるように社内のドキュメントとして保存したり、会社のウェブサイトで公開して社外の人も閲覧できるようにしておくと良いでしょう。

2.情報セキュリティ方針に必要な要素

ここでは、情報セキュリティ方針の決め方について解説していきます。

情報セキュリティ方針を作成する時は、3つのポイントがあります。

（1）基準となる文章の用意

すでにセキュリティポリシー等、企業独自で作成しているものがある場合、それがISMSの規格要求に合致しているかどうか、加筆修正程度で良いでしょう。

何もない状態から作成する場合は、

1. 情報セキュリティ方針の概要
2. 規格要求事項に対しての自社の対応

の構成でシンプルにまとめるのが良いと思います。

（2）目的が適切か確認する

会社の経営理念やビジョンに基づいた、事業の目的やゴール及び情報セキュリティの必要性などを明確にする必要があります。

ISMSの規格要求事項に囚われて、自社の経営理念等と乖離が見られることがないよう、経営理念や経営ビジョンなどに裏づけされた会社の事業の目標、目的、ゴールや、情報セキュリティが必要な理由、事業をとりまく環境などを明確にし絡めながら作成すると良いでしょう。

また、自社の業務概要や業務内容に関わる情報資産を明記するのもおすすめです。

業務内容や経営理念に沿って作成することで、情報セキュリティ方針の位置づけや狙いが明確になります。

（3）情報セキュリティに関する要求事項が入っているか確認する

以下の観点から、要求事項を満たしているかどうか確認してみましょう。

企業など組織の目的に対して適切である
→自社の経営理念等と乖離がないか確認しましょう。

情報セキュリティ目的を含むか、又は情報セキュリティ目的の設定のための枠組みを示す
→ここでいう情報セキュリティ「目的」は、いわゆる「目標（ゴール）」と捉えて差し支えありません。

情報セキュリティに関連する適用される要求事項を満たすことへのコミットメントを含む
→自社の業務内容や特徴、あるいは課題を入れましょう。

ISMSの継続的改善へのコミットメントを含む
→ISMSに関する取り組みを定期的に見直し改善することの約束を記載しましょう。

文書化した情報として利用可能である
→文書として提出できる状態にすることが望ましいです。

組織内に伝達する
→従業員が閲覧できるようにしましょう。

必要に応じて、利害関係者が入手可能である
→利害関係者が閲覧できるようにしましょう。

3.情報セキュリティ方針を設定する重要性

ITサービスが普及し情報化が進んでいる現代では、情報の取り扱いにおける企業の責任は非常に重くなっています。

そのため、情報資産の保護は、業種を問わず求められている課題の一つです。

企業が一度でも情報に関する事故や事件などを起こしてしまうと、多額な損失や賠償責任を負うことになります。

さらに、社会的な信頼を失い、経営活動の継続が難しい事態に追い込まれる可能性もあるのです。

そのため、リスクから会社を守る手段として、情報セキュリティ方針の設定が重要になってくるのです。

情報セキュリティには3つの要素があります。

• 機密性：外部や権限のないものに対して、情報を見せない、漏らさないことです。
• 完全性：改ざんや過不足のない正確な情報が保持されている状態のことです。
• 可用性：データ・情報が欲しい時にアクセスでき、いつでも使える状態のことです。

これらのように、情報セキュリティの持つ3つの要素をバランスよく維持し、社会的信頼と強固な経営基盤を築くために、情報セキュリティ方針の設定は不可欠と言えるでしょう。

4.まとめ

いかがでしたか？

企業などの様々な組織において、情報資産を守るために情報セキュリティを高めていく必要があり、情報セキュリティ方針を定めることが欠かせません。

また、情報セキュリティ方針は企業にとって情報セキュリティの基盤となるものなので、ISMSでも作成が義務付けられています。

社内外問わず、自社の情報セキュリティに関する方針を示すことで会社がどのように情報資産を守るのかということが明らかになります。

情報セキュリティの持つ3つの要素や情報セキュリティに関する要求事項を満たしているかを確認し、それぞれの目的に適したISMSのセキュリティ方針を立ててください。