情報セキュリティ方針
1.0 版

1

情報セキュリティ方針
１趣旨 ............................................................................................................................ 4２『情報セキュリティポリシー』の適用範囲 ............................................................... 5

３『情報セキュリティポリシー』の適用者................................................................... 5３．１

経営陣の責務 ................................................................................................... 5３．２

従業員の責務 ................................................................................................... 6３．３

外部委託業者に対する対応 ............................................................................. 6『情報セキュリティポリシー』の構成と位置付け .................................................... 6４４．１

情報セキュリティ方針 .................................................................................... 7４．２

情報セキュリティ対策規程 ............................................................................. 7４．３

情報セキュリティ対策手順書 .......................................................................... 7４．４

既存の規程との関連 ........................................................................................ 7４．５

その他関連法規 ............................................................................................... 7５『情報セキュリティポリシー』の公開対象者 ........................................................... 8６

基本用語の定義 .......................................................................................................... 8６．１

情報セキュリティ............................................................................................ 8６．２

リスクアセスメント ........................................................................................ 9６．３

リスクマネジメント ........................................................................................ 9６．４脅威 ................................................................................................................. 9６．５

脆弱性 ............................................................................................................. 9体制 .......................................................................................................................... 10７７．１

情報セキュリティ委員会 ............................................................................... 10７．２

情報システム部 ............................................................................................. 11７．３

システムセキュリティ責任者 ........................................................................ 11７．４システム管理者 ............................................................................................. 11７．５

オペレーター ................................................................................................. 11７．６

情報セキュリティ担当者 ............................................................................... 11７．７

情報セキュリティ監査 .................................................................................. 12

情報セキュリティ委員会の構成図及び構成メンバー ............................................... 12８８．１

情報セキュリティ委員会の構成図................................................................. 12８．２

常勤委員 ........................................................................................................ 12８．３

非常勤委員 .................................................................................................... 12８．４

委員長 ........................................................................................................... 13８．５

副委員長 ........................................................................................................ 132

８．６

委員 ............................................................................................................... 13８．７

事務局 ........................................................................................................... 13８．８

タスクフォース ............................................................................................. 13

情報セキュリティ委員会の役割と責務 .................................................................... 13９９．１

情報セキュリティマネジメントの企画及び計画 ........................................... 13９．２『情報セキュリティポリシー』文書の配布責任 ........................................... 14９．３

社内教育の実施 ............................................................................................. 14９．４『情報セキュリティポリシー』の遵守状況の評価及び改訂 ......................... 14９．５

監査結果の評価及び改訂 ............................................................................... 14９．６

社長への報告 ................................................................................................. 14９．７『情報セキュリティポリシー』違反者への処罰 ........................................... 14１０

情報セキュリティマネジメント ........................................................................... 15１０．１

リスク分析 ................................................................................................. 15１０．２

情報セキュリティポリシー策定................................................................. 15１０．３

対策の実施 ................................................................................................. 16

１０．４

教育・啓蒙 ................................................................................................. 16

１０．５

評価 ........................................................................................................... 16１０．６

文書の改廃 ................................................................................................. 16

１１

違反時における罰則 ............................................................................................. 16１２

情報セキュリティ侵害時の対応 ........................................................................... 17１３

改訂 ...................................................................................................................... 173

情報セキュリティ方針
１趣旨(A.5.1)
ＩＴを利用した経営環境が、当社に導入されて久しい。その間、当社の扱っている情報が、コンピュータ上で扱われることが当然のこととなった。ＩＴは、その導入による業務効率の影響は甚だしく、また、経営支援ツールとしても今後も大いに活用していくべきものである。インターネットを利用してビジネスチャンスを拡大している当社にとって、「セキュリティの確保」は必須事項である。昨今の度重なるセキュリティ事件は、当社にとっても「対岸の火事」ではなく、問題を発生させないために、早急に対応しなければならない経営課題である。
お客様との関係において、セキュリティ事件が発生した場合の営業機会の損失は甚だしいものになることは想像に難くない。当社は、顧客満足度を向上させるためにも、「セキュア」なブランドイメージを早急に構築しなければならない。
そのために、当社は、情報やコンピュータ及びネットワーク等の情報システム（以下、情報資産）を第４の資産と位置付ける。よって、当社は、情報資産を重要な資産とし、保護・管理しなければならない。
当社は、情報資産を保護する「情報セキュリティマネジメント」を実施するために、『情報セキュリティポリシー』を策定する。
『情報セキュリティポリシー』は、当社の情報資産を、故意や偶然という区別に関係なく、改ざん、破壊、漏洩等から保護されるような管理策をまとめた文書である。
当社の情報資産を利用する者は、情報セキュリティの重要性を十分に認知し、この『情報セキュリティポリシー』遵守しなければならない。

4

２『情報セキュリティポリシー』の適用範囲(A.5.1.1)『情報セキュリティポリシー』の適用範囲は、当社の情報資産に関連する人的・物理的・環境的リソースを含むものとする。
当社の保有するシステムの具体例は、下図で示している範囲とする。

３『情報セキュリティポリシー』の適用者(A.5.1.1 A.6.1.1)
当社の社員・契約社員（一時雇用者を含む）を従業員と定義する。
『情報セキュリティポリシー』の適用者は、経営陣、従業員を含めた、当社の情報資産を利用するすべての者である。

３．１

経営陣の責務(A.7.2.1)
経営陣は、『情報セキュリティポリシー』の支持・支援を表明し、率先して情報セキュリティマネジメントを推進しなければならない。
5

３．２

従業員の責務

(A.5.1.1 A.6.1)
従業員には、当社の情報資産の使用を認めるが、それは、円滑な業務遂行の手段としての使用を認めることであり、私的利用を認めるものではない。
従業員は、情報資産を扱う上で、企業利益の維持・向上および顧客満足のために、『情報セキュリティポリシー』に同意し、遵守しなければならない。また、これに違反した者は、その結果について責任を負わなければならない。

３．３

外部委託業者に対する対応(A.5.1.1 A.14.2.7)『情報セキュリティポリシー』の適用範囲内で行う作業を、外部委託業者に依頼する
場合には、契約上で遵守するべきセキュリティ管理策を明確にし、セキュリティ事故時の責任に関しても明確にしなければならない。

４『情報セキュリティポリシー』の構成と位置付け(A.5.1.1)『情報セキュリティポリシー』は、以下の「情報セキュリティ基本方針」を含む３つの階層に分けて策定・管理される文書とする。

情報セキュリティ基本方針ポリシー（公開情報）
情報セキュリティ方針(情報資産管理規程）（機密情報）

スタンダード情報セキュリティ対策規程(群)（機密情報）

プロシージャー
情報セキュリティ対策手順書(群)（機密情報）
記録(群)（機密情報）6４．１

情報セキュリティ方針(A.5.1)
情報セキュリティ方針（以下、「方針」とする）は、当社の情報セキュリティマネジメ
ントにおける方針を記述したものである。この文書に基づいて下層の文書を策定する。

４．２

情報セキュリティ対策規程(A.5.1.1)
情報セキュリティ対策規程（以下、「対策規程」とする）は、方針の下層に位置する文書である。この文書は、方針での宣言を受け、項目毎に遵守すべき事項を網羅的に記述する。

４．３

情報セキュリティ対策手順書(A.5.1.1)
情報セキュリティ対策手順書（以下、「対策手順書」とする）は、対策規程の下層に位置する文書である。この文書は、対策規程で記述された文書をより具体的に、配布するべき対象者毎に内容をカスタマイズして記述する。

４．４

既存の規程との関連(A.5.1.1)

方針は、当社の他の規程（人事規程、就業規則等）と同等の位置付けの文書とする。
よって、この文書の改廃は所定の規程に準じて行うものとする。

４．５

その他関連法規(A.5.1.1 A.18.1)『情報セキュリティポリシー』は、関連法規と照らして違反することの無いようにしなければならない。また、必要に応じて関連規格に遵守した管理策を導入しなければならない。
関連法規・関連規格としては、以下のものが挙げられる。
国際規格
・ISO/IEC 27000 シリーズ
国内規格
・ JIS Q 15001
国内法規
・ 刑法
・ 不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）
・ 建築基準法/同施行令7

・ 消防法/同施行令/同施行規則
・ 不正競争防止法
・ 著作権法・個人情報の保護に関する法律（個人情報保護法）
・ 行政手続きにおける特定の個人を識別するための番号の利用等に関する法律（番号法）
・外国為替及び外国貿易法（外為法）および輸出貿易管理令
・労働契約法・労働基準法・会社法
・金融商品取引法
・刑事訴訟法５『情報セキュリティポリシー』の公開対象者(A.6.1.1)（１）情報セキュリティ基本方針は、一般に公開する。
（２）情報セキュリティ方針は、従業員すべてに公開とする。外部には公表しない機密情報として取り扱わなければならない。情報セキュリティ方針以外の文書も機密情報である。
情報セキュリティ対策規程は、情報セキュリティ委員会メンバーと担当部署の者に公開とする。

（３）対策手順書は、該当する業務を行う者に公開とする。
（４）公開しなければ業務を遂行できない場合には、機密保持契約を締結した上で、公開を認める場合がある。

６

基本用語の定義『情報セキュリティポリシー』における用語は以下の通り定義する。

６．１

情報セキュリティ

情報の機密性、完全性及び可用性を維持すること。
注）
機密性は、情報にアクセスすることが認可された者だけがアクセスできることを確実にすること、として定義される。
完全性は、情報及び処理方法の正確さ及び完全である状態を安全防護すること、として定義される。
可用性は、許可されたユーザが、必要時に、必要な情報及び関連資産にアクセスできることを確実にすること、として定義される。
8

６．２

リスクアセスメント

情報及び情報処理施設/設備に対する脅威と重要度を特定し、事故発生につながる脆弱性及び事故のおこりやすさを評価すること。

６．３

リスクマネジメント

リスクアセスメントにより、情報及び情報処理施設/設備に影響を及ぼす可能性がある
情報セキュリティリスクを明確にし、許容コストに応じて情報セキュリティリスクを制御し、最小限に抑制するか、又は除去するプロセスを指す。

６．４

脅威

自然災害、機器障害、悪意のある行為等、損失を発生させる直接の要因のこと。

６．５

脆弱性

ハードウェア・ソフトウェアの欠陥、定期点検の不備、要員教育の不備等、脅威を増加させる要因（脆さ、弱点）のこと。

9

７体制(A.6.1)
情報セキュリティマネジメントを遂行する体制を以下の通り定める。

情報セキュリティ委員会体制図

社長

情報セキュリティ監査

役員

情報セキュリティ委員会
情報システム部
システム管理者

システムセキュリティ責任者

情報セキュリティ担当者

情報セキュリティ担当者

業務部

情報セキュリティ担当者

情報セキュリティ担当者

営業部

情報セキュリティ担当者

企画部

総務部

情 報 セ キ ュ リ テ ィ 担 当者

情報セキュリティ担当者

経理部

人事部

７．１

情報セキュリティ委員会(A.6.1.1)
当社の情報セキュリティを維持していくために、情報セキュリティ委員会を設け、全社的なマネジメント体制を整えるものとする。情報セキュリティ委員会の詳細情報に関しては、情報セキュリティ委員会構成メンバーを参照のこと。

10

７．２

情報システム部(A.6.1.2)
情報システム部は、情報セキュリティ委員会で決定した対策事項を実施及び推進する担当部署とする。
情報システム部は、当社の情報機器の管理責任を有し、当社に関係するセキュリティ情報収集を行い、社内のセキュリティ対策に反映させなければならない。また、従業員から収集した情報を、必要に応じて情報セキュリティ委員会に報告しなければならない。

７．３

システムセキュリティ責任者(A.6.1.2)
システムセキュリティ責任者は、情報システム部に属し、システム管理者の作業責任を有する。
システムセキュリティ責任者の役割は、システム管理者への作業指示・管理を行い、システム管理者同士での作業の「相互牽制」及び「職務の分離」が有効に働くように配慮しなければならない。

７．４

システム管理者(A.6.1.2)
システム管理者は、情報システム部に属し、システムセキュリティ責任者より与えられた管理作業の責任を有する。
システム管理者の役割は、管理を依頼された情報機器に対して、セキュリティ対策を実施する現場レベルでの責任者である。

７．５

オペレーター(A.6.1.2)
オペレーターは、情報システム部に属し、システム管理者の管理下のもとで実質的な作業を行う者である。

７．６

情報セキュリティ担当者(A.6.1.2)
情報セキュリティ担当者は、各部署の部門長によって最低一人は任命され、配置される者である。
情報セキュリティ担当者の役割は、部門内におけるセキュリティ推進及び運用の点検結果の収集担当であり、収集した情報は各部の情報セキュリティ委員へ報告する。

11

７．７

情報セキュリティ監査(A.6.1.2 A.12.7)
情報セキュリティ監査は、運用部門とは独立した組織を構成する事を目的とする。
監査人は、自部門業務を監査しない体制を確保する事が望ましい。

８

情報セキュリティ委員会の構成図及び構成メンバー

８．１

情報セキュリティ委員会の構成図(A.6.1.2)
委員会の構成は下図の通り定める。

情報セキュリティ委員会

構成図

委員長

副委員長

（情報統括役員）(情報システム部部長)

委員(各部門長)

事務局(情報システム部)

タスクフォース
ポリシー策定

８．２

緊急時対応

常勤委員

常勤委員は、委員長、副委員長、委員とする。

８．３

非常勤委員

非常勤委員は、外部コンサルタント、法律専門家、システムセキュリティ責任者である。非常勤委員は、委員長によって召集されたときに参加する。
12

８．４

委員長

委員長は、当社の役員を情報統括役員として社長が任命する。委員長は、当社における情報セキュリティマネジメントに関しての最高責任者である。

８．５

副委員長

副委員長は、情報システム部部長とする。副委員長は、委員長の補佐役である。委員長が万一職務を遂行することが不可能になった場合には、委員長の代理となって、職務を遂行する。

８．６

委員

委員は、各部門長とする。委員は、情報セキュリティ委員会への議題（社内及び社外で起きているセキュリティ事象への対応等）を提示することができる。

８．７

事務局

事務局は、情報システム部とする。事務局は、情報セキュリティ委員会を運営する上での事務作業を行う。
また、情報セキュリティ委員会で作成・策定した情報セキュリティマネジメント計画書や『情報セキュリティポリシー』文書の管理を行う。

８．８

タスクフォース

情報セキュリティ委員会は、各作業を実施するにあたってタスクフォースを設けることができる。このタスクフォースの責任者は、いずれかの委員とする。タスクフォースには、『情報セキュリティポリシー』策定、緊急時対応等の作業を実施する。

９

情報セキュリティ委員会の役割と責務(A.6.1.2)
情報セキュリティ委員会の主な役割を下記の通り定める。

９．１

情報セキュリティマネジメントの企画及び計画(A.6.1.1)
情報セキュリティ委員会は、当社における情報セキュリティマネジメントを実施していく企画及び計画を作成し、その計画通り情報セキュリティマネジメントを実施しなければならない。
この企画及び計画には、情報セキュリティマネジメントを遂行する為のリスクアセスメント、リスクマネジメントはもちろんのこと、『情報セキュリティポリシー』の見直しや従業員への普及・啓発も考慮に入れなければならない。
13

９．２

『情報セキュリティポリシー』文書の配布責任(A.7.2.2)
情報セキュリティ委員会は、『情報セキュリティポリシー』を策定又は改訂した場合には、迅速に対象従業員へその文書を配布し、周知徹底させなければならない。

９．３

社内教育の実施(A.7.2.2)
情報セキュリティ委員会は、経営陣、従業員に対し情報セキュリティに関する継続的な社内教育を行う。この社内教育は、意識向上と技術向上の両面から実施しなければならない。

９．４『情報セキュリティポリシー』の遵守状況の評価及び改訂(A.18.2.2)
情報セキュリティ委員会は、従業員の『情報セキュリティポリシー』遵守状況を定期的に調査し、『情報セキュリティポリシー』のレビューを行うこととする。また、従業員の『情報セキュリティポリシー』に対する意見や要望を収集し、その妥当性・準拠性を評価するとともに必要に応じて内容の改訂を行うこととする。

９．５

監査結果の評価及び改訂(A.18.2.2)
情報セキュリティ委員会は、監査の結果を受けて、『情報セキュリティポリシー』の妥当性を評価すると共に、必要に応じて、内容の改訂を行わなければならない。

９．６

社長への報告(A.18.2.2)
情報セキュリティ委員会は、情報セキュリティの維持・管理状況や『情報セキュリティポリシー』の改訂状況、及び情報セキュリティに関する事故や問題の発生状況を社長へ報告しなければならない。

９．７『情報セキュリティポリシー』違反者への処罰(A.7.2.3)
情報セキュリティ委員会は、従業員の『情報セキュリティポリシー』に違反した行為等が判明した場合、該当従業員に対して適切な処置を講じることとする。場合によっては、人事規程に基づいた処罰を人事部に申請することとする。

14

１０

情報セキュリティマネジメント(A.5.1.1)
当社は、情報資産を保護するために、情報セキュリティマネジメントを以下の通り進めることとする。

１０．１

リスク分析

(A.5.1.1)
当社の情報資産に関するリスクアセスメント、リスクマネジメント全般は、情報セキ
ュリティ委員会が行うこととする。

１０．２

情報セキュリティポリシー策定(A.4.2 A.18.22)『情報セキュリティポリシー』の策定･評価･レビューは情報セキュリティ委員会が行うこととする。
情報セキュリティ委員会では、方針および対策規程を策定することとする。
対策手順書に関しては、情報セキュリティ委員会より指名された各情報システムの担当者が策定し、運用しなければならない。
15

１０．３

対策の実施

(A.17.1.2)
当社で策定した『情報セキュリティポリシー』に記述した対策は、計画的に実装しなければならない。情報システム部は、セキュリティ対策実装のための計画書を策定し、情報セキュリティ委員会の承認を得なければならない。

１０．４

教育・啓蒙

(A.7.2.2)
当社は、情報資産を扱うすべての者に対し、意識向上と技術レベルの向上の両面から、積極的に情報セキュリティ教育を行うこととする。
当社の情報資産に関わるすべての者は、当社が実施する情報セキュリティの教育を受けなければならない。同時に、当社の情報資産に関わる者は、情報セキュリティに関する最新の情報について、自発的に情報セキュリティ委員に提言することが望ましい。

１０．５

評価

(A.18.2)
情報セキュリティ委員会は、定期的あるいは発見の可能性のあるときに情報セキュリティに対する脅威、脆弱性を洗い出し、その対策を検討し、『情報セキュリティポリシー』に反映させなければならない。それらは、監査の結果、情報資産の利用者から届けられた情報、情報セキュリティの脆弱性に関する情報の収集等の活動から得られる情報をもとに行われる場合もある。

１０．６

文書の改廃

(A.5.1.2)『情報セキュリティ方針』及び『情報セキュリティ基本方針』の改廃は、社長の承認を必要とする。対策規程及び対策手順は、情報セキュリティ委員会が承認する。

１１

違反時における罰則(A.7.2.3)
当社は、『情報セキュリティポリシー』の違反者に対し、厳格な措置をとることとする。
情報セキュリティ委員会は、『情報セキュリティポリシー』に違反した事項の重要度を評価し、適切な処置を講じることとする。

16

１２

情報セキュリティ侵害時の対応(A.16.1)
当社の情報セキュリティが侵害されたと思われる事象が判明した場合は、速やかに準備された対応方法に従って対応しなければならない。

１３

改訂

本方針は、平成ｘｘ年ｘｘ月ｘｘ日に社長によって承認され、平成ｘｘ年ｘｘ月ｘｘ日より施行する。

17