博 士 論 文「情報セキュリティポリシーに関わる
例外規程の必要性と限界」

Yasuhiro MURASAKI
村﨑 康博

情報セキュリティ大学院大学
情報セキュリティ研究科
情報セキュリティ専攻
2019 年 9 月

目次
v

初出一覧
1.

-1-

研究の背景・動機・目的
1.1

時代背景と「例外」の必要性

-1-

1.2

例外の煩雑性-2-

1.3「例外」という概念

-3-

1.4

例外に関する基本例-5-

1.4.1 ケ ー ス １ ： USB メ モ リ 管 理 策-5-

1.4.2 ケ ー ス ２ ： 第 三 者 認 証 の な い 外 部 ク ラ ウ ド の 利 用 へ の 管 理 策

-6-

1.5

本研究の目的と本論文の構成

-7-

1.6

例外を組織内で管理・運用する主体

-8-

1.7

研究の直接的動機- 10 - 11 -小括2.

- 12 -

例外の定義と研究対象，必要性と限界
2.1- 12 -

例外・例外措置・例外規程の定義

2.1.1 原 則 規 程 ， 通 常 措 置 及 び 逸 脱- 12 -

2.1.2 例 外 （ 本 論 文 に お け る ）- 13 -

2.1.3 例 外 措 置- 13 -

2.1.4 例 外 規 程- 14 -

2.2- 16 -

本研究における例外

2.2.1 情 報 セ キ ュ リ テ ィ ポ リ シ ー に お け る 例 外- 16 -

2.2.2 緊 急 時 ・ 非 常 時 ・ 平 常 時 に お け る 例 外- 19 -

2.2.3 本 論 文 で の 例 外 の 研 究 対 象- 21 -

2.3

例外の必要性- 22 -

2.3.1 業 務 効 率 の 向 上- 22 -

2.3.2 い わ ゆ る シ ャ ド ー IT の 未 然 防 止- 22 -

2.3.3 技 術 進 歩 へ の 柔 軟 な 対 応- 24 -

2.4- 28 -

例外が持つ限界- 31 -

小括3.

- 32 -

例外の先行事例
3.1

例外の先行事例を調査するにあたって- 32 -

3.2

国内事例- 35 -

3.2.1 官 公 庁- 35 -

3.2.2 民 間 組 織- 38 -

3.3- 39 -

国際規格・ガイドライン事例

3.3.1 ISMS

- 39 -

3.3.2 米 国 NIST

- 42 -

3.4- 44 -

海外事例

3.4.1 日 本 企 業 海 外 法 人- 44 -

3.4.2 欧 州 医 薬 品 庁- 46 i3.5- 48 -

海外の大学での先行事例

3.5.1 米 国

ジョージア工科大学- 48 -

3.5.2 米 国

ルイビル大学- 49 -

3.5.3 英 国

ノッティンガム大学- 51 -

先行事例・調査からの考察- 53 -

3.6- 55 -

小括
4.

- 56 -

例外の実態の把握
4.1

アンケート調査における例外に関する「想定」- 56 -

4.2

2015 年 度 ア ン ケ ー ト 調 査- 58 -

4.2.1 ア ン ケ ー ト 調 査 実 施 内 容 （ 全 体 ）- 58 -

4.2.2 ア ン ケ ー ト 設 問- 59 -

4.2.3 調 査 結 果 1： 例 外 規 程 の 有 無 （ 想 定 １ ， 設 問 14）- 60 -

4.2.4 調 査 結 果 2： 例 外 規 程 に な い 例 外 措 置 の 承 認 手 段 （ 想 定 ２ ， 設 問 15， 17）- 62 -

4.2.5 調 査 結 果 3： 例 外 規 程 の 新 規 策 定 時 の 参 考 元 （ 想 定 ３ ， 設 問 18）- 64 -

4.2.6 調 査 結 果 4： 例 外 規 程 の 策 定 部 門 （ 想 定 ４ ， 設 問 19,20）- 66 -

4.2.7 調 査 結 果 5： 例 外 規 程 の 見 直 し 頻 度 （ 想 定 ５ ， 設 問 22）- 68 -

4.2.8 調 査 結 果 6： 例 外 措 置 の 実 施 手 順 の 記 載 の 有 無 （ 想 定 ６ ， 設 問 21）- 69 -

4.3

2015 年 度 ア ン ケ ー ト 調 査 結 果 か ら の 考 察- 70 -

4.3.1 策 定 ／ 未 策 定 の 両 極 化 （ 調 査 結 果 1 よ り ）- 71 -

4.3.2 専 門 部 門 へ の 集 中 （ 調 査 結 果 4 よ り ）- 71 -

4.3.3 必 要 に 応 じ た 都 度 ご と の 見 直 し （ 調 査 結 果 5 よ り ）- 72 -

4.4

2018 年 度 ア ン ケ ー ト 調 査- 73 -

4.4.1 ア ン ケ ー ト 調 査 実 施 内 容 （ 全 体 ）- 73 -

4.4.2 ア ン ケ ー ト 設 問- 73 -

4.4.3 調 査 結 果 1： 例 外 規 程 の 有 無 （ 想 定 １ ， 設 問 34）- 75 -

4.4.4 調 査 結 果 2： 例 外 規 程 の 策 定 部 門 （ 想 定 ４ ， 設 問 35,36）- 76 -

4.4.5 調 査 結 果 3： 例 外 規 程 の 見 直 し 頻 度 （ 想 定 ５ ， 設 問 37）- 78 -

4.5

2 つのアンケート調査結果の比較- 79 -

4.5.1 例 外 規 程 の 有 無 （ 想 定 1）

- 79 -

4.5.2 例 外 規 程 の 策 定 部 門 （ 想 定 4）

- 79 -

4.5.3 例 外 規 程 の 見 直 し 頻 度 （ 想 定 5）

- 80 -

4.5.4 2 つ の ア ン ケ ー ト 調 査 の 比 較 か ら- 80 -

4.6

例外規程と原則規程の策定状況- 81 -

4.6.1 ア ン ケ ー ト 調 査 実 施 内 容 （ 想 定 7）

- 81 -

4.6.2 原 則 規 程 と 例 外 規 程 の 策 定 状 況 の 比 較- 86 -

4.6.3 原 則 規 程 か 例 外 規 程 か ど ち ら を 策 定 す る か の 考 察- 88 -

4.7- 89 -

例外規程に関する想定と結論- 92 -

小括
5.

- 93 -

例外規程の活用に向けての対策
5.1- 94 -

例外規程を活用する意義

ii

5.2

- 95 -

例外規程の策定主体と注意点

5.2.1 例 外 規 程 を 取 り 扱 う 主 体- 95 -

5.2.2 強 行 法 規 へ の 注 意 点- 97 -

5.3- 99 -

例外規程にすべきかどうかの考え方

5.3.1 可 搬 型 メ デ ィ ア- 101 -

5.3.2 私 物 デ バ イ ス- 102 -

5.3.3 公 衆 無 線 LAN- 103 -

5.3.4 国 内 法 非 準 拠 の ク ラ ウ ド- 104 -

5.3.5 例 外 規 程 に す べ き か ど う か の 考 え 方 へ の 考 察- 105 -

5.4

利用者がもつ例外措置への阻害要因- 107 -

5.4.1 例 外 措 置 の 実 施 を 阻 害 す る ３ つ の 要 因- 107 -

5.4.2 守 ら な い 利 用 部 門 に お け る 組 織 性 逸 脱 と の 関 連 性- 108 -

5.4.3 組 織 の 不 正 行 為 に 関 す る 先 行 研 究 か ら 得 ら れ る 考 察- 110 -

5.5

- 111 -

例外規程適用の限界への見解

5.5.1 例 外 規 程 策 定 へ の 限 界 （ 残 余 リ ス ク と の 関 係 ）- 111 -

5.5.2 例 外 規 程 運 用 へ の 限 界 （ 技 術 進 歩 と の バ ラ ン ス 等 の 配 慮 ）- 112 -

5.5.3 例 外 規 程 が も た ら す 業 務 効 率 化 へ の 限 界 （ 想 定 外 な ど の 概 念 と の 関 係 ）- 112 - 114 -小括
6.

- 115 -

結言
6.1

これまでの各章のまとめ- 115 -

6.2

例外規程の普及に向けての提言- 120 -

6.2.1 情 報 セ キ ュ リ テ ィ ポ リ シ ー 基 本 構 造 ご と に 例 外 規 程 を 策 定 す る- 120 -

6.2.2 例 外 規 程 を 予 め 策 定 す る- 120 -

6.2.3 例 外 措 置 の 許 容 範 囲 を 決 め て お く- 121 -

6.2.4 例 外 規 程 の 策 定 に は 例 外 措 置 の 信 頼 性 を 求 め る- 121 -

6.2.5 申 請 者 の 資 質 で レ ベ ル 別 に 例 外 措 置 を 承 認 す る- 122 -

6.2.6 例 外 規 程 を 管 理 部 門 と 利 用 部 門 が 協 調 し て 策 定 ・ 運 用 す る- 123 -

6.3

例外規程によるビジネス展開の期待- 124 -

6.4

おわりに

- 125 -

（付録）

- 129 -

A1 例 外 規 程 策 定 へ の 定 量 的 評 価 の 試 み- 129 -

A1.1 例 外 規 程 に お け る 具 体 的 効 果 に 関 す る 調 査 （ 想 定 8）

- 129 -

A1.2 二 重 刺 激 劣 化 尺 度 法 に よ る 主 観 評 価 分 析- 131 -

A1.3 主 観 評 価 分 析 結 果 へ の ヒ ア リ ン グ 調 査- 134 -

A1.4 例 外 規 程 策 定 済 組 織 に お け る 例 外 規 程 の 定 量 評 価- 135 -

小括

- 137 -

A2 例 外 措 置 の 普 及 に 向 け て の 実 践 と 拡 張- 138 -

A2.1 中 小 企 業 に お け る 例 外 措 置- 138 -

A2.2 例 外 措 置 の 実 態- 138 -

A2.3 原 則 規 程 と 例 外 規 程 と の 関 連 性- 140 iii

A2.4 中 小 企 業 に お け る 例 外 措 置 の 限 界- 142 -

A2.4.1 例 外 を 認 め る 判 断 と 適 切 な 措 置 ・ リ ス ク 対 応 へ の 限 界- 142 -

A2.4.2 措 置 が 持 つ 緊 急 性 の 判 断 へ の 限 界- 143 -

A2.5 中 小 企 業 の 例 外 措 置 の 活 用 に 向 け て- 144 -

A2.5.1 企 業 規 模 の 違 い に お け る 例 外 措 置 の 考 え 方- 144 -

A2.5.2 競 争 優 位 に 繋 が る 例 外 措 置 の 可 能 性- 145 -

A2.5.3 例 外 措 置 と 監 査 ・ 外 部 認 証- 145 -

A2.6 例 外 措 置 を 前 提 と し た セ キ ュ リ テ ィ ポ リ シ ー の 提 案- 146 -

小括

- 150 -

A3 例 外 措 置 の 利 用 者 側 に よ る 実 施 阻 害 要 因 及 び 対 応
A3.1 利 用 者 に お け る 逸 脱 行 為 の 傾 向- 152 - 152 -A3.1.1 利 用 者 の セ キ ュ リ テ ィ 対 策 に お け る レ ベ ル の 違 い- 152 -

A3.1.2 リ ス ク と ベ ネ フ ィ ッ ト と の 関 係- 153 -

A3.1.3 利 用 者 に お け る 時 間 リ ス ク と 逸 脱- 153 -

A3.1.4 利 用 者 に お け る 情 報 セ キ ュ リ テ ィ 被 害 傾 向- 154 -

A3.2 逸 脱 に 関 わ る 社 会 ・ 組 織 と の 関 係- 155 -

A3.2.1 社 会 規 範 と 市 場 規 範- 155 -

A3.2.2 個 人 重 視 と 組 織 重 視- 155 -

A3.2.3 集 団 的 防 護 動 機 理 論- 156 -

A3.2.4 組 織 文 化 ・ 風 土 と の 関 係- 156 -

A3.2.5 情 報 漏 え い に つ な が る 行 動 に 関 し て- 157 -

A3.3 逸 脱 行 為 へ の 対 策 案- 157 -

A3.3.1 構 成 員 の リ ス ク 行 動 に 対 す る 組 織 の 取 り 組 み モ デ ル- 157 -

A3.3.2 モ チ ベ ー シ ョ ン マ ネ ジ メ ン ト の 適 用- 158 -

A3.3.3 構 成 員 へ の 安 心 感 の 提 供- 159 -

A3.3.4 罰 則 の 適 用 の 利 用- 159 - 161 -小括
A4 「 例 外 規 程 」 と 法 律 の 「 例 外 規 定 」 と の 関 連- 162 -

A4.1 特 許 法 の 例 外 規 定- 162 -

A4.2 例 外 規 程 と 例 外 規 定 と の 関 連 性- 164 -

小括

- 165 -

A5 各 管 理 策 に お け る 原 則 規 程 と 例 外 規 程 （ 解 説 ）- 166 -

A6 用 語 集- 176 -

参考文献

- 181 -

iv

初出一覧
【学会査読論文】(1)

村﨑康博 ，原田要之助，“情報セキュリティポリシーにおける例外措置に関 する一 考 察 ”，第 15 回 情 報 科 学 技 術 フ ォーラ ム 講 演 予 稿 集 ，3PRN003(2016)(2)

村 﨑康 博 ，原 田 要 之 助 ，“情 報 セキュリティポリシーにおける例 外 措 置 ”，
情処論文誌，Vol.58，No.12，pp,1856-1862(2017)(3)

村﨑康博 ，原田要之助，“例外措置を活用した情報セキュリティポリシー
の柔軟 な運用に関する提案～中小企業 に着目 して～”，システム監査 ，
Vol.31，No.1，pp140-149 (2018)(4)

Murasaki ， Y. ， Harada ， Y. ， “Exceptional Rules Concerning theInformation Security Policy”，Twenty-Second Pacific Asia Conferenceon Information Systems(PACIS2018)，Doctoral Consortium，pp101-107(2018)【学会研究会発表論文】(5)

村 﨑康 博 ，原 田 要 之 助 ，“情 報 セキュリティにおける例 外 措 置 に関 する考察”，情報処理学会研究報告 ,Vol.2015-EIP-69，No.7 (2015)(6)

村 﨑康 博 ，原 田 要 之 助 ，“情 報 セキュリティ調 査 で分 かった組 織 における情 報 セキュリティポリシーの"例 外 措 置 "について”，情 報 処 理 学 会 研
究報告，Vol.2016-EIP-71，No.6，(2016)(7)村﨑康博 ，原田要之助，“情報セキュリティポリシーにおける例外措置の
効 果 への 一 検 討 ” ， 情 報 処 理 学 会 研 究 報 告 ， Vol.2016-EIP-72， No.2
(2016)(8)

村﨑康博 ，原田要之助，“情報セキュリティポリシーにおける例外規定の
普 及 に 向 け て の 一 考 察 ” ， 情 報 処 理 学 会 研 究 報 告 ， Vol.2016-SPT20(2016)(9)村﨑康 博 ，稲 葉緑 ，原田 要 之助 ，“情 報 セキュリティポリシーにおける例
外 措 置 の利 用 者 による実 施 阻害 要 因 および対 応に関 する一 考 察 ”，情報処理学会研究報告，Vol.2018-SPT-30，No.1 (2018)【学会研究大会予稿】(10) 村﨑康博 ，原田要之助，“情報セキュリティポリシーの例外措置におけるv

主 観 評 価 に 関 す る 一 検 討 ” ， 電 子 情 報 通 信 学 会 総 合 大 会 ， A-12-3(2016)(11) 村﨑康 博 ，松 井俊 浩 ，原 田要 之 助 ，“情 報 セキュリティポリシーにおける例 外 措 置 の 技 術 的 対 策 との 関 わり” ，電 子 情 報 通 信 学 会 総 合 大 会 ，(2019)(12) 村 﨑康 博 ，“情 報 セキュリティポリシーに 関 わる例 外 規 程 の必 要 性 と限界 ” ， 第 18 回 情 報 科 学 技 術 フ ォ ー ラ ム 講 演 予 稿 集 ， N-014 (2019)<FIT2019 奨励賞受賞 >vi

1. 研究の背景・動機・目的
本論文の第 1 章として，まず情報セキュリティポリシーに関わる例外規程の研究をはじめた時代背景と個人的動機，ならびに研究の目的について述べる．
本 テーマの研 究 を始 める以 前 は，例 外 措 置 はいわば「良 薬 」だと認 識 していた（例外措置の定義は 2.1 節参照）．例外は都合のよいものである．原則に当てはまらない事 象 に対 して，兎 にも角 にも例 外 として一 時 措 置 を講 じる．それで結果として業務が継続できたのであれば，例外はまさに良薬であった．
しかし諺にもあるように，良薬であるならば口に苦い．実際，例外にはそれを承認する者（当 時の筆 者 ）にとっても，申請する者（現在の筆者）にとっても，より多くのリスクを受容しなくてはならず，承認事由を上長に説明する際になんとも言えないほろ苦さを実感していた．そもそもどうして例外が存在して，それが必要なのか？その一方でなぜ例外は面倒なのか？そもそも例外 とは何なのか？
ともかくいずれにせよ情 報セキュリティに携 わる業 務 には例 外 を取り扱 うことが求められる．故に例外について正しく理解する必要があると実感した．
本論文の冒頭にあたり，まず例外そのものについて述べる．

1.1

時代背景と「例外」の必要性

そもそも情 報セキュリティの業 務において例 外は必要 なのだろうか．例 外の必要 性は，実は，現代 の複層 的な業務改革・組織運営 が直面している「不確実性」
1)に深く関わっている．
本論文の執筆を始めた 2018 年は，安倍内閣が目玉政策の一つとして「働き方改革」を掲げ，ワーク・ライフ・バランスの見直し，特に総労働時間の短縮と，それを可 能 にする仕 事 の効 率 化 が注 目 された年 であった 2 ) ．この取 り組 みは，中央官庁や自 治体はもとより，一般の民間 企 業にも浸透し，根 本的 な業務内容の見直しや意識改革がせまられている．
報 道 などでは「（医 療 や介 護 現 場 の）働 き過 ぎ」や「ブラック企 業 」などの負 の面 が注 目 されがちであるが，本 来 の目 的 は後 段 の「効 率 化 」の方 であり，しかも
1) 経 営 学 が「不 確 実 性 」に初 めて正 面 から向 き合 ったのは，1977 年 にガルブレイスが BBC の番 組 と書
籍 で公 表 した “The Age of Uncertainty” であったと思 われる．他 方 ，経 済 学 では早 くも 1921 年 にナイトが risk と uncertainty を明 確 に区 分 し，前 者 を予 測 可 能 なもの，後 者 を不 可 能 なものとして上で，現 代 企 業 の利 益 は前 者 ではなく後 者 から生 まれるとした（Frank H. Knight(1921) “Risk,
Uncertainty and Profit”, Houghton Mifflin Company）．
2) 厚 生 労 働 省 “「働 き方 改 革 」の実 現 に向 けて”, 2018, (オンライン). (オンライン).
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000148322.html. (アクセス日 : 2019 年 6 月 10
日 ).
-1-

「省力化」よりも「創造 的なイノベーション」が期待されている．これをなくして政府が同時に提唱する「Society 5.0」という，欧米や中国に対峙できる技術力 の確保と，それによる優 位なビジネス展 開 はあり得 ない．「イノベーション」はもはや企 業や官庁を問わずあらゆる組織の責任者に求められているのである 3) ．
その一 方 で人 がコントロールできない事 象 が存 在 し ，その発 生 確 率 さえ予 測できないため 4 ) ，このような環 境 でビジネスを展 開 せざるを得 ないならば，予 め立てる計画も事象の変化に柔軟に対応できるものでなければならない．そのためこれまでの常 識 にとらわれない仕 事 の進 め方 や，ものの考 え方 が求 められる 5 ) ．これは社会が要請する「働き方改革」である．
この「不確実 性」を伴う環境の一つの例が，情報セキュリティやサイバーセキュ
リティと呼ばれる領 域 である．昨今のマルウエアやサイバー攻 撃は，従 来の想定を超 えるものであり，これに対 応 する対 策 も技 術 と運 用 の両 面 で広 がらざるを得ない．
現 代 の組 織 は，より複 雑 性 を増 し，過 去 の知 識 で対 応 できないような不 確 実
性 が増 大 しているといえる．したがってより複 雑 性 の増 した現 代 の組 織 では，過去 の知 見 にとらわれない，よりフレキシブルな対 応 が出 来 るような仕 組 みが求 められている．これの 1 つに「例外」があると考える．特に情報セキュリティ施策は不
確 実 性を伴うものであるため，想 定 が難しい問 題 や事 象に対しては「例 外」を考えざるを得ない．すなわち例外が必要なのである．

1.2

例外の煩雑性

次に，例外の取り扱いは少なからず煩雑である．それはなぜか．
一般的に，例外に対して何らかの措置 6 ) をする場合は，事象の一つ一つに対
3) 内 閣 府 ,“Society5.0”,内 閣 府 , (オンライン).https://www8.cao.go.jp/cstp/society5_0/index.html. (アクセス日 : 2019 年 6 月 10 日 ).
4) なお最 近 の経 営 学 の書 物 では，東 日 本 大 震 災 の影 響 を受 けたためか，“Unexpected”（想 定 外 ）と同一 視 するものもある
5) 沼 上 幹 ,“組 織 戦 略 の考 え方 － 企 業 経 営 の健 全 性 のために－”,ちくま新 書 , 2003 年 .
6) 「措 置 」については，広 辞 苑 （第 七 版 ）では「とりはからって始 末 をつけること。処 置 。」，大 辞 林 （第 三版 ）では「うまくとりはからって始 末 すること。処 置 。」とされている．さらに法 律 用 語 での「措 置 」と「処 置 」の違 いについては，法 律 用 語 辞 典 （第 ４版 ，有 斐 閣 ）や法 令 用 語 辞 典 （第 10 次 改 訂 版 ，学 陽 書 房 ）などから「ある問 題 に対 する対 策 ，施 策 等 その問 題 を 処 理 するためにとられるもろもろの手 段 をまとめていう場 合 が多 い．「処 置 」が個 々の事 項 の始 末 について用 いられるのに対 し，「措 置 」は，これを総 体 として表 示 し，又 はその結 末 よりも手 続 きの面 に着 眼 して用 いられることが多 い」とされている． web 上 での解 説 によると，物 事 を完 結 させるかどうか，事 前 に対 処 するかどうかにあるとされる．措 置 は必 要 な手
続 きにより物 事 を始 めから最 後 まで手 続 きを行 い，また事 前 に対 処 するのに対 し，処 置 はその場 の状
況 や判 断 で対 処 し，物 事 が起 こってから対 処 するのに使 われるとされる．（“Investigate Blog”，
https://g2015graman.top/archives/2856.html あるいは“国 語 力 アップで人 生 豊 かに”，
https://kokugoryokuup.com/measure-treatment/）本 論 文 では用 語 の統 一 するため，これより「措 置 」という用 語 をもって，後 に述 べる組 織 内 においての不 確 実 性 を伴 う情 報 セキュリティ分 野 への施 策 を考 え
-2-

して異 なる対 応 を考 えなくてはならないため，「判 断 」という作 業 が伴 う．ここで，企 業 や役 所 などを例 に考 えてみる．「判 断 」の出 発 点 は，例 外 の申 請 を受 け付
ける窓 口担 当 者 にあるが，決定にあたって通常は上 司の承 認が必 要になる．場
合によっては，「判 断」が，さらに上 位 者の承 認 というヒエラルキーを上っていくことになる．したがって「例外」が頻発すれば，中間管理者や経営層の業務を圧迫することになりかねない．
そこで，この例外にかかる措置を，ある程度 ルール化することが有効となる．すなわち経 営 層 にまで上 がる例 外の承 認 要 件 と手 続 きの多 くを，明 文 化 ・体 系 化
して権 限 を中 間 管 理 者 に委 譲 し，中 間 管 理 者 で対 応 を完 結 させればよい．判
断を要する例外に限って，前述のヒエラルキーを上がって経営層が承認することにする．また，類似の事 例 が多 発するようなら，それらの措 置もまた明文 化して，ルーチン業 務として処 理できるようにする．こうした組 織 設 計により，経 営 層の負担を軽減するとともに，判断ミスを減らすこともできる．さらには例外に関わる措置の一 部を汎 用 的にルール化し，明 文 化 することで例 外 に関 わる措 置への承 認・実施への効率化が期待できる．
なお，情報セキュリティが経営上の重要事項となった現代では，組織において実施する情報セキュリティ対策の指針を，全組織 的に「情報 セキュリティポリシー」
7)として策定し，内部規程としても活用するのが一般的 とされている．したがって，

情 報セキュリティポリシーにおいても例外に関する規程を設けることが避けられない．
しかし他 方で，「例外 はあくまでも例 外である」のが一 般 的 だと考 える．前述のように例外が頻発して原則に取って代わることがあることは否定できないが，それが定 常 化 すれば原 則 の妥 当 性 そのものが疑 われることになる．したがって例 外には何 らかの限 界 があり，安 易 に内 部 規 程 と同 等 にルール化 することは避 ける
べきでもある．故に判 断を伴う点，原 則と例 外を区別して取り扱わなくてならない
点などが，例外を扱う上で煩雑にしている原因であると推定する．

1.3「例外」という概念

では，そもそも例外とは何なのか．

ていきたい．
7) 情 報 セキュリティポリシーとは，例 えば，総 務 省 「情 報 セキュリティポリシーの概 要 と目 的 」によれば，
企 業 や組 織 において実 施 する情 報 セキュリティ対 策 の方 針 や行 動 指 針 のことを指 す．
「情 報 セキュリティポリシーには，社 内 規 定 といった組 織 全 体 のルールから，どのような情 報 資 産 をどのような脅 威 からどのように守 るのかといった基 本 的 な考 え方 ，情 報 セキュリティを確 保 するための体
制 ，運 用 規 定 ，基 本 方 針 ，対 策 基 準 などを具 体 的 に記 載 するのが一 般 的 です」．
-3-

本論文で使用する例 外 に関わる用語や概念の定義は次章で行なうこととして，
ここでは「例外」という一般的な概念について，基本的な意味を述べておく．
「例 外」という言 葉 は，広 辞 苑 （第 七 版 ）によれば「通 例 の原 則 にあてはまっていないこと，または一 般の原則 の適 用を受 けないこと」である．また大辞 林（第三版 ）では「普 通 の例 からはずれていること．原 則 にあてはまらないこと．また，そういうもの」とされ，いずれも「原則」という言 葉 と対で表 されることが多い．また我々が「原 則 として」という語 を付 してルールや規 程 を伝 える場 合 は ，相 手 に対 して「例外がある」ということを暗に伝えていることにもなる．すなわち「例外がある」ということは，言い換えると「原則から逸脱 する」と解釈できる．
通常我々は，仕事や学業，そしてプライベートにおいて，ルールやマナーを守って生 活 している．ルールには一 般 に原 則 と例 外 が存 在 するので ，例 外 に対 して適 切 に対 応 し措 置 することで，原 則 による規 律 を維 持 している．これを原 則 と例外の相互補完 という．しかしながら世の中の事象には，予め原 則として措置できないものの例 外 としてなら措 置 できるもの，あるいは想 定 外の事 象 のため例外としても予め措置できないものとがある．前者では原則を継続して維持することができるが，後 者ではルールや規 程 そのものを抜 本 的に見直 すことの契 機となり，原則と例外が逆転する場合さえもある．これを原則と例外の代替関係という．
すなわち例 外 というものは，相 互 補 完 および代 替 関 係 といった原 則 と相 互 に関係しながら，セットで作用することがわかる．
例 えば，予 め例 外 に関 する規 程 が策 定 されている場 合 には，例 外 申 請 を審査する側 としてそれに沿って申 請を処 理し，適 切 に手 続きを進 めることで，業 務を遂 行することが可 能 であると考える．一 方，例 外が定 められていない場 合には，どのように措 置すべきか，あるいは申 請そのものを却下すべきか（取り下げてもらうべきか）を即座に判断できず，日常業務に支障をきたすおそれがある．
情報セキュリティポリシーの策定と実施においては，日常業務のルールやマナーの場合以上に，例外をなるべく広範囲に取り込んでいかざるを得ない．なぜなら，情 報 セキュリティポリシーに基 づく組 織 の業 務 は汎 用 的 にルール化 されたものであり，かつ即 応 性 が求められることから，それに付 随する例 外 の適 用 範囲も，
情報セキュリティポリシーを網羅するように広くとる必要があるからである．
また情 報 セキュリティの場 合 には，災 害 やセキュリティ攻 撃 といった非 常 時 における例 外 の適 用 だけでなく，情 報 技 術 の著 しい技 術 進 歩 や一 般 への急 速 な普及などにより，平常時における例外の適用 が不可欠となっている．しかし起こり得るすべての情報セキュリティインシデント（以下，インシデント）やリスクを事前に把握し，それに対する措置を事前に策定し実施することは不可能である．

-4-

また前述のとおり例外がもともと原則に対する逸脱であることは避けられない．
そこで内 部 規程から逸 脱している行 動に関して，どの程度 まで容 認 し，またそれを容 認 することで新 たに生 ずるリスクが ，容 認 するメリットを上 回 らないか，という判断が求められてくるのである．

1.4

例外に関する基本例

例外について論じていくに当たり，具体的なイメージを想起しやすいよう，その基本例（プロトタイプ）を提示する．ここでは組織における USB フラッシュメモリー
（以下 ，USB メモリ）等 可搬 型メディアの業務 利用 と，第三 者 認証 のない外 部 ク
ラウドの利用との二つのケースについて管理策と例外の必要性を取り上げる．

1.4.1 ケース１：USB メモリ管理策
昨 今 の個 人 情 報 ・秘 密 情 報 漏 えいに関 する事 件 ・事 故 の主 要 な原 因 に，当該情報の入った USB メモリを社外へ持ち出すことが挙げられている 8) ．そこで組織では，対策として組織内ルールに USB メモリの持ち出しについて，USB メモリの全 面 禁 止 や利 用 制 限 を策 定 することが多 い 9 ) ．その一 方 で，組 織 の中 には，取引先から図面データの受け渡しにおいて USB メモリによるデータ交換が要請されることも多い．このケースを例に考える（図 1-1 参照）．
ある組織で「USB メモリは全面使用禁止」を内部規程として策定していたとする．これが原則に該当 する．この場合，組織が自社の規則通り USB メモリの使用禁止を貫くならば，図面を受け取れないことで仕事が受注できなくなる．あるいは取引先にて印刷したものを受け取って，自組織でスキャンし電子データにして利用したりするなど，手間（時間）と経費がかかる．一方，無条件で USB メモリ利用の規則を破ってデータを受領した場合，この USB メモリがマルウエアに感染していたならば，組織内にマルウエア感染が拡散し，日常業務が維持できなくなる．
上 記 のようなケースにおいて，「あらかじめ取 引 先 でウイ ルススキ ャン済 みのUSB メモリを受 領 するのであれば作業を許 可する」，すなわち，例 外として条件付きで USB メモリの利用を許可することで，日常業務の中で対応が可能となる．
ここで述べた措置が例外の適用であり，「あらかじめウイルススキャン済み USB メモリ」を使 用 するといった要 件 が，内 部 規 程 から逸 脱 している事 象 に対 して，例外を規程として策定する場合の許容要件（つまり許容範囲）となる．
8) 情 報 処 理 推 進 機 構 , “内 部 不 正 による情 報 セキュリティインシデント実 態 調 査 ”, (オンライン).
https://www.ipa.go.jp/files/000051140.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
9) 日 経 NETWORK, “企 業 セキュリティ調 査 Part2USB メモリ編 ”, 日 経 NETWORK, 第 7 月 号 , pp.
pp.42-44, 2012
-5-

USB の使 用は利 用禁 止 ：原 則

取 引 先から USB で，図 面データを渡すことしかできないと指 示 される

図 面 を受 領 できない，もしくは受 領 しにくくなるため，仕 事 を引 き受けることが難しくなる

ＵＳＢがマルウエア感染 していたならば，社 内 に
マルウエアが感 染 し，日 常 業 務を維 持 できなくなる

Ｕ利
Ｓ用
Ｂ
メ者
モに
リ対
をし
使て
用，
すウ
るイ
条ル
件ス
ス
でキ
許ャ
可ン
す済
るみ
の

図 1-1 USB メモリ管理策における例外の基本例

なお上 記 で述 べた例 外 の適 用 においては，USB メモリの利 用 者 に関 する要件のみを紹介したが，システム管理者に対しては「対象システムを特別の監視対象として運用する」といった要件が加味されることになる．

1.4.2 ケース２：第三者認証のない外部クラウドの利用への管理策
次に第 三 者 認 証 のない外 部クラウドの利 用 について取り上 げる．クラウドサー
ビス事業者のセキュリティの現状を評価する手段としては，利用組織が事業者に対 して直 接 監 査 を実 施 することは，クラウドサービス事 業 者 のポリシーや利 用 者
側の費用的・時間的 面から難しい 10 ) ．そのため一般的にはクラウドサービス事業者のセキュリティ対 策 の確認 方 法として第 三 者認 証が活用 されており 11 ) ，これに対応して，多くのクラウドサービス事業者が第三者認証を取得している 12) ．
しかしながら，外部クラウドサービス事業者の特定サービスを利用するに当たり，
当該事業者が第三者認証を取得していないケースがあることも否定できない．そのため，当該サービスを利用する場合は，例外 の適用が考えられる．

10) 栗 田 克 己 , 樋 口 清 秀 ，“クラウド・コンピューティングにおける非 対 称 情 報 の解 消 について”，情 報
通 信 学 会 誌 ，2012 年 30 巻 1 号 p. 1_15-1_26
11) 佐 藤 栄 城 ，原 田 要 之 助 ，“クラウドサービス利 用 における第 三 者 認 証 制 度 の考 察 ”，情 報 処 理 学 会
研 究 報 告 ，Vol.2013-EIP-59，No.1(2013)12) ビジネス on IT，“クラウド環 境 における第 3 者 認 証 制 度 ”，2019-2-8， https://www.business-onit.com/1002-cloud-security-3rd-pty-certification/-6-

このケースを例 に考 えると，ある組 織 で「第 三 者 認 証 のない外 部 クラウドの利用は禁止」を内部規程として策定していたとする．これが原則に該当する．しかしながらその組 織 が目 指 す新 規 業 務 開 拓 には，第 三 者 認 証 のされていない外 部
クラウドサービスが提 供 する特 定 サービスの利 用 が不 可 欠 だとする．この場 合 ，第 三 者認 証のない外 部クラウドの利用 禁 止 を貫くならば，当 該クラウドのみが提供する特定サービスを利用しての新規業務開拓ができなくなる．その結果 ，自組織でサービスを設 計・開 発しなくてはならなくなり，手 間（時 間）と経 費がかかる．
また，当 該クラウドへの内 部 規 程を無 条 件 で破ってサービスを利 用 した場 合 ，このクラウドが突 然 停 止 したりマルウエア攻 撃 を受 けたりすると新 規 業 務 に影 響 が生じ，これにより日常業務も維持できなくなる．
上記のようなケースにおいて，「あらかじめ組 織内イントラネットと切 り離し，クラウド業 者 に対 し最 大 限 の管 理 ・運 用 の徹 底 と早 期 の第 三 者 認 証 の申 請 を条 件として，一時的に利用 を承認する」，すなわち例外として条件付きでクラウド利用を承 認 することで，新 規 業 務 への機 会 を得 ることが可 能 となる．ここで述 べた措
置が例外の適用であり，「あらかじめ組織内イントラネットと切り離し，クラウド業者に対し最 大 限の管 理・運 用 の徹 底と早 期の第 三 者 認 証の申 請を条 件とする」といった要 件 が，内 部 規 程 から逸 脱 している事 象 に対 して の例 外 の策 定 許 容 要件（つまり許容範囲）となる．
なお上 記 で述 べた例 外 の適 用 のケースにおいては，利 用 者 に関 する要 件 のみを紹介しているが，システム管理者に対しては「対象システムを特別の監視 対象として運用する」といった要件が加味されることになる．

1.5

本研究の目的と本論文の構成

本研究は，情報セキュリティの業務を遂行する上で，例外というものを認識し，
例 外 への許 容 範 囲 がどこまで認 められ，かつどのように措 置 されるべきか，またその例外の限界はどこか，といったプリミティブな疑問に答えようと出発した．その上で，本論 文 では，例 外を適 用することによってもたらされるであろう，業 務の効率 化を探求することを主目的とし，組織における情報セキュリティポリシーの例外の策定の必要性・可能性，そしてその運用の必要性と限界について論じる．
具 体 的 には，例 外 を規 程 として策 定 するという管 理 ・運 用 方 法 は，例 外 の申請 者もしくは申 請 部門 （利用 部 門）や承認 者 もしくは承認 部 門 （主 に管理 部 門）
さらには，組織経営全体にとって有効であることを論 じる．これは特に，不確実性の高い情報セキュリティ分野において，組織 ごとに情報セキュリティポリシーを策定し，同時にその例外をも規程として策定することは，今日の組織において喫緊-7-

の課題であるとともに，そこに優位な意義を見出せるものと考える．
そして例 外 を規 程 として策 定 する意 義 を補 足 するために，例 外 の適 用 をどのように判 断し，また規 程をどのように策 定 ・運 用 するべきかについて探 求 する． このことは，迅速な例外の適用によって組織の日常業務に負担軽減が期待できるかを明 らかにするほか，情 報 セキュリティポリシーからどの程 度 の逸 脱 した事 象（もしくは行為）なら，許容範囲として例外の適用を認め，業務の継続ができるのかを知る手がかりとなる．
本論文の章構成は次の通りである．
まず本 論 文 で用 いる「例 外 措 置 」と「例 外 規 程 」をはじめとする用 語 の定 義 と研究対象となる範囲を第 2 章で定めた後,「例外」の必要性と限界について整理する．第 3 章では，国内外の例外に関わる先行事例を調査し，例外の活用の傾向と課題について考察する．
次に第 4 章では，第 3 章の先行事例で把握できなかった例外の活用の実態についてアンケート調 査を行い，例 外の取り扱いや効 果などを分 析した ことを述べる．これらの結果から，具体 的な管 理策における原則と例 外との比率を求め，その傾向についても考察 する．
第 3 章と第 4 章の結果・考察を受けて第 5 章では，例外規程（定義は 2.1 節参照）の活用に向けての対策について述べる．具体的には，組織内での策定主
体 と注意 点，例 外規 程にすべきかどうかへの考え方，および利 用 者への対 策について言及する．最後 の第 6 章では例外規程の普及に向けての提言と今後の期待について論じる．
なお本論文は，これまでの筆者の研究を総括するものであるため，「初出一覧」に記載した諸 論文を見直し，再整 理している．そのため，用 語の定義も再考し，さらに次章で述べるように統一を図っているため，初出の用語と本論文の用語が一致しない場合は，本論文の用語が優先するものと考えていただきたい．

1.6

例外を組織内で管理・運用する主体

前節では，例外を適用するにあたっての基本例を示した．実際に例外を組織内で取り扱っていくためには，例外をマネジメントサイクル化すなわち PDCA サイ
クル（Plan-Do-Check-Act cycle）によって管理・運用していく体制 を構築していく
ことが求 められる．これは例 外 をただ単 に活 用 するだけでなく，情 報 セキュリティ
マネジメントとして，規 程 の策 定 ，措 置 の実 施 および 管 理 ・運 用 が明 確 にできるからである．
-8-

通 常 ，情 報 セキュリティポリシーについては，組 織 の管 理 部 門 が専 門 的 に立案 ・策 定 し，それに沿 った措 置 を利 用 部 門 が実 施 し，実 施 結 果 を評 価 ・改 善 していく．そのため例外においても，管理部門が主体となったトップダウンでの管理策が考えられる．一方 で例外の策 定を考慮した場合，利用部門が求める例外の適用を利用部門自身がボトムアップ的に立案し，管理部門への上申などを極力減らし，利用部門が主体となって管理・運用 することも考えられる．
こうした例 外 の特 徴 から，本 論 文 では，組 織 における例 外 の適 用 への管 理 ・
運用には体系的に大きく「管理部門主導タイプ」と「利用部門主導タイプ」の 2 つの主体のタイプにまず区別する．これを表 1-1 のように特徴づけることができる．2
つのタイプのどちらを使 っているかを知ることは，管理部門・利 用 部門 のどちらが主体となって例外を策定しているかなど，その組織の例外適用における管理・運用の姿勢が把握できることになる．
なお本論文では，4 章のアンケート調査を経て，管理部門主導タイプと利用部
門 主 導 タイプの両 方 の長 所 をバランスさせて，柔 軟 な運 用 を提 案 する（詳 細 は
5.2.1 項を参照）．
表 1-1 例外を組織内で管理・運用する主体
主体のタイプ
1 管理部門主導特徴
経 営 側 ，組 織 全 体 の統 一 規 程 ・基 準 ・ガイドラインにタイプ（トップダ おいて例外を策定．経営側 で管理．改定は数年程度
ウンタイプ）
2 利用部門主導の間隔で定期的に実施する．
現 場 側 ，事 業 所 や職 場 ごとの基 準 やガイドライン，手タイプ（ボトムア 引 きなどにおいて例 外 を策 定 ．各 現 場 で管 理 ．直 接ップタイプ）

運 用 に関 わることが多 いため改 定 はその都 度 柔 軟 に
対応する．

-9-

1.7

研究の直接的動機

最後に本研究の直接的動機を述べて本章の結びとする．
筆者は 2014 年 6 月から 2017 年 6 月にかけて，組織の情報システム部門に在籍し，IT ユーザ部門から外部クラウドや管理外 PC の使用などの例外措置に関 する各 種 申 請 ・相 談 窓 口 業 務 を担 当 していた．そこでは，情 報 システムに関する例 外 申 請 の承 認 業 務 も含 まれていた（この間 の経 緯 は，初 出 一 覧 （ 5）に詳しく述べている）．
一般に，原則 的な措 置に関しては，情報セキュリティポリシーに則って内部規
程 等 で詳 細 に記 載 されているが，例 外 的 な措 置 に関 しては大 まかな措 置 方 法のみが記されていることが多い．詳細な措置方法については，与えられた権限のもとで個人の判断に委ねられ，それを上長が承認するという過程だけが決められている．これはもともと申 請 内 容 を内 部 規 程 に予 め記 述 することが難 しく，ケー
ス・バイ・ケースであるという，「例外 」の性質上やむを得ないことではあろう．
しかし当の担当者にしてみれば，これは困惑するものであった．個々の申請内
容と自らの内部規程の意味解釈と業 務経験 とを照らし合わせつつ判断するしかなかった．上長 決済への対応も考え合わせると，労力と時間を要することが多い
反面，例外の申請は急を要し，迅速に措置を実施することが求められるので，苦労が絶えなかった．
このような経験から，例外規程（用語の定義は 2.1.4 項参照）の利点（規程に明記 された事 象にはもちろん，明 記されていない事 象にも準 用できる）を実感す
るとともに，その限 界 にも関 心を持つようになった．例 外 申 請を効 率 よく審査 ・承認するために，何らかの統一的なルールの存在，また，他の組織ではそれをどのように策定し運用しているのか，さらには仮に統一的なルールがあるとすれば，どのように普及させていくべきなのか，という点に関心を持つようになった．
そこで例外を研究テーマとして，2014 年 10 月に当大学院博士前期課程に入学した後，おおむね 2015 年 3 月頃から先行事例やアンケート調査を通じて，本研究に取り組むことになった次第である．

- 10 -

小括
本章では，まず研究をはじめた時代背景と，個人的動 機について述べた．
2014 年から 2017 年にかけて情報システム部門に在籍していた筆者は，例外措置に関する申請 窓 口で「例外」を運 用することになったのがきっかけとなり，例外 の存 在 意 義 ，必 要 性 ，煩 雑 性 ，運 用 の在 り方 について興 味 と疑 問 を持 つに至った．
情 報セキュリティ施 策 はその性 質 上 不 確 実 性が伴うため，想 定が難しい問 題や事象に対しては「例外」を考えざるを得ない．これが例外の必要性である．また
例外に対して何らかの措置をする場合，それぞれの事象に対して個別事情を考慮した対応を考えなくてはならないため，「判断」という作 業が伴う．これが例外の煩雑性につながる．したがって例外にかかる措置を例外規 程として策定することで，一 般 化 と個 別 事 情 への配 慮 という ，相 反 する目 的 間 のバランスをとることが有効と考える．
また例外は，常に原則 と密接に関係して考える必要がある．例 外はあくまでも
例 外であり，例 外は原 則に対 する逸 脱 であることは避けられない．そこで情 報セキュリティポリシーから逸 脱 している行 為 に関 して，それを例 外 としてどの程 度 まで容認するのか，またそれを容認することによって新たに生ずるリスクが容認するメリットを上回らないか（効用対リスク効果），という判断が求められる．
さらに例外の適用には「管理部門主導タイプ」と「利用部門主導タイプ」の 2 種類あり，組織 がそのどちらを使うかにより，組織の運用姿勢が把握できるものと考える．

- 11 -

2. 例外の定義と研究対象，必要性と限界
第 １章 では情 報 セキュリティの業 務 における例 外 の必 要 性 と煩 雑 性 について
述 べた．「例 外 」という用 語 そのもの，あるいはそれに関 連 する考 察 は広 範 囲 の内容を含んでいることから，これから本論文で例外について論じるにあたり，まずは本 章にて用 語の定 義 を示し，併 せて本 研 究の研究 対 象の範 囲 を明確にする．
その上で，例外の必要性と限界について述べる．なお付録 A6 にて本論文で用いる重要な用語をまとめている．合わせて参照されたい．

2.1

例外・例外措置・例外規程の定義

本節 では，原則 規 程，通常 措 置および逸 脱 を述べた上で例 外について説 明
し，その上で例外の中 から例外措置および例外規程の定義 と範 囲（内包と外延）について述べる．

2.1.1 原則規程，通常措置及び逸脱
情 報 セキュリティに関 する組 織 全 体 の方 針 は，情 報 セキュリティポリシーに定められている．そこでは，組 織 全 体のルールとして「どのような情 報を，どのような脅 威から，どのように守 るのか」といった基 本 方 針 とともに，情 報 セキュリティを守るための体制，運用規程・対策基準などが具体的に記載されている 13) ．これらの規程は，日常業務において定常的に実施 されるべきリスク低減 措置としてまとめられたものであり，関係 者が合意して策 定したものでもあるため，原 則として遵守しなければならないものである．これを本 論 文 では 「原 則 規 程 」と定 める．そして原 則 規 程 （即 ち，元 を辿 れば情 報 セキュリティポリシーに則 って）の管 理 策 14 ) それぞれに対し，日常 業務において定常的に実施されている措置を，本論文では「通常措置」と定義する．すなわち通常措置は原則規程によって明文化・ルール化された措置である．
したがって通常措置を破る行為は，「逸脱」行為 ・措置 となり，是正あるいは非難 の対 象 になる．なお本 論 文 では逸 脱 について，特 に「情 報 セキュリティポリシーからの逸脱」と記述する場合を除 き「原則規程からの逸脱」に便宜上表記する．
13) 総 務 省 , “情 報 セキュリティポリシーの概 要 と目 的 ”, (オンライン).
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/executive/04 -2.html. (アクセス日 : 2019 年 6 月 10 日 ).
14) JIS Q 27000：2014 では，管 理 策 （control）は，「リスクを修 正 （modifying）する対 策 」と定 義 されている．また注 釈 として「管 理 策 には，リスクを修 正 するためのあらゆるプロセス，方 針 ，仕 掛 け，実 務 及 びその他 の処 置 を含 む」とする一 方 ，「常 に意 図 又 は想 定 した修 正 効 果 を発 揮 するとは限 らない」と留 意 を付 加 している．
- 12 -

2.1.2 例外（本論文における）
しかし同じ「逸 脱 」の中 には，「原 則 に対 する例 外 」として組 織 で認 めたものや，
予め求められていなくても緊急避難的に実施した方が良いもの，これまで検討されてこなかったが原 則 よりもリスク低 減 効果が高いと思 われるもの，などが存 在し得る．これらは本来 「逸脱」であるが，原則を補完 するために「例外 」として認知されたり（相 互 補 完 ），場 合 によって原 則 に取 って代 わったり（代 替 関 係 ）するなどの有効性が認められるもの，いわば「原則の予備軍」である．このことから，この両者を総称して「例外」と考える．
本論文における「例外」とは，1.3 節における広辞苑の定義を情報セキュリティに当てはめたものである．特に，情報セキュリティを守るための管理手順が定められていることを前 提 に，原 則 とは違 った手 続 きが必 要 な場 合 の要 件 を定 めた規則，あるいは定められた手続きそのものを指す．

2.1.3 例外措置
原 則 に対する逸 脱 において，その逸 脱 の内 容 ・範 囲を 把 握 し，原 則 規 程 もし
くは通常措置と同程度の効用対リスク効果が期待できるとして，承認権限者から許可を得た措置を，本論文では「例外措置」と定義する 15) ．
例 外 措 置 は，原 則 規 程をすぐに改 定できず，通 常 措 置 として対 応 しきれない状 態もしくは通 常 措 置 そのものがない状態 において，利 用部 門が業 務やビジネスにおいて活 用 するための措 置 のうち，利 用 部 門 の判 断 や管 理 部 門 での承 認に基づいて一時的に実施される措 置である．
これには次のことが考 えられるからである．原 則 規程に予 め策 定 されていない
場 合や原 則規 程 から逸 脱した事 象 ・行 為は逸 脱 領域にあたる．そのため，逸脱
行 為は即 禁 止され罰 則の適 用が検 討されることがある．また原 則 規 程 の改 定そのものにも時 間 がかかるため，事 象 のリスクが変 わった時 点 ですぐに措 置 （当 該
事象への対策）を原則規程に盛り込む改定 は困難である．
このような事態を避 けるため，例外 措置 を原 則規 程 の改 定 までの当該 事象 のリスクに対 応 する一 時 的 な措 置 とする．すなわち例 外 措 置 によって想 定 外 の事
象への対応をカバーでき，原則規程からの逸脱を防ぐことになる．
この原 則 規 程 からの逸 脱 に基 づく例 外 措 置 には以 下 の要 素 が全 て求 められる．
15) H24 政 府 統 一 管 理 基 準 では，利 用 者 がその実 施 に責 任 を持 つ原 則 規 程 を遵 守 することが困 難 な状 況 で，業 務 の適 正 な遂 行 を継 続 するため，遵 守 事 項 とは異 なる代 替 の方 法 を採 用 し ，又 は遵 守 事
項 を実 施 しないことについて合 理 的 理 由 がある場 合 に，そのことについて申 請 し許 可 を得 た上 で適 用
する行 為 として定 義 している- 13 -

(1) 計 画 準 備 段 階 で対 策 手 順を予 め策 定し，実 際に事 象 が発 生した場 合 は，手順に従って例外措置を実施する．
(2) 計画準備段階での手順が事象に対する措置の実情に沿わないときには，手順以外の方法で対応できるようにするための手続きを準備する．
(3) 担当者の判断で，事前に定められた措置とは異なる例外措置の実施を可能にする（実施したときには，実施 内容を報告する）．
(4) 実施した例外措置を管理する．
(5) 例外措置と罰則（措置から逸脱したときのため）をセットにする．
これら 5 項目は組織全体で統一した内容とするのではなく，それぞれの部門
で様 々な管 理 策 において例 外 措 置 を実 施 するものと考 える．これは部 門 によって管 理 する情 報 やリスクが異 なるため，部 門 毎 に実 務 に沿 った例 外 が必 要 となる．なお（5）については，罰則の意義についてより深い理解が必 要なため，5.4.3
項にて改めて論じることにする．
なお例外措置は第 3 章の先行事例や第 4 章のアンケート調査の結果からも，今日の組織において活用されてきていることが明らかになっている．
なお例外 措 置は事 前 承認が原 則だが，事 後承 認も例 外として認 めることも考えらえる．しかし事 前 に組 織 が把 握していない措 置 であるため，措 置を実 施した
時 点 で逸 脱 行 為 の区 別 がつかないというリスクが伴 う．これを避 けるために次 項のとおり例外規程を予め策定し，事後承認に関わるルールとして設定しておくべきである．

2.1.4 例外規程
組 織 が例 外 措 置 を管 理 ・運 用 していくためには，措 置 の申 請 ，承 認 ・許 可 ，
実 施 ，報 告 ，さらには見 直 し等 といった手 続 きやその内 容 について明 確 に ルー
ル化し，記録保 存する必要がある．したがって原則規程によって管理・運用されている通常 措置の取り扱いと同等に，例外措置を規程として汎用的にルール化していくことによって，より効率 的に管理・運 用できるものと考える．本論文では，この例外措置の根拠規程を「例 外規程」と定義する．すなわち同一もしくは類似する例外措 置の適用 が多い状況において，当該例 外措 置を（代替手段の導 入も含 め）ルール化し，規 程 として策 定したものを例 外 規 程 とする．例 外 規 程 には，例外措置の策定手続き，あるいは例外措置を策定した規範 が含まれる．
例 外 措 置 を汎 用 的 にルール化 することで承 認 ・許 可 作 業 を可 能 な限 り 簡 便
化 ・省 力 化 でき，業 務 の効 率 化 が図 れる． また規 程 として明 文 化 することで 管理・運用の可視化が期待できる．
- 14 -

なお，例外規程として改めて策定しなくても，原則規程を利用部 門にてカスタ
マイズすればよいという考 えがある．これは，本 研 究 を始 めた当 初 から議 論 されてきている点である．しかし規程 策 定へのマンパワーやスキルが乏 しい傾向にあると考 えられる利 用 部 門 で，管 理 部 門 や経 営 層 への説 明 や承 認 も含 め，組 織
横 断で原 則規 程を改 定 することは難しい．また例外 規 程で取り扱う例 外措 置は，原則規程で定められた通常措置とは異なる管理・運用 がされるべきである．これは例 外 措 置 として承 認 され，実 施 しているという意 識 を利 用 部 門 に与 え，例 外
措 置 の頻 発 を抑 える必 要 性 による．したがって例 外 規 程 は原 則 規 程 と切 り離 して取り扱うべきと考える．
以 降 ，本論文では「例外」の表記には，例外規程および例外措置 を含めて述べていく．また「例 外 規 程 」または「例 外 措置 」それぞれについて述 べる場 合は，
区 別して表 記し論じていくこととする．なお，本 論文 では，原 則 規 程や例 外規 程を内 部 規 程 などに明 文 化 してルール化 することを，「規 程 を策 定 する」「規 程 策
定 」と表 現 する．また，原 則 規 程 に則 り措 置 をすることを「通 常 措 置を実 施 する」，
例 外 規 程 の有 無に関 わらず例 外 措 置 をとることを「例 外 措 置を実 施 する」と，原則，表記する．
ま た ， 本 論 文 で は 「 例 外 」 の 英 語 表 記 を ， “exception” ， 「 例 外 措 置 」 を“exceptional measure”，そして「例外規程」を“exceptional rule”で用いている．これは，第 3 章の先行事例で取り上げる，政府機関の情報セキュリティ対策のための統一基準群の英訳版（Common Standards for Information Security Measuresfor Government Agencies）で“exceptional measure”という語が用いられていること参 考 にしている 16 ) ．なお “measure”は，措 置 を実 施 する具 体 的 措 置 を意味 するのに対 して，措 置 の要 件 を定 める規 則 は“rule”と表 記 し，後 者 が本 研 究 の主たる検討対象である 17) ．

16) The Cybersecurity Strategic Headquarters, “Common Standards for Information Security
Measures for Government Agencies (FY2016)”, 2016.
17) Oxford English Dictionary によれば，exception は “A person or thing that is excluded from ageneral statement or does not follow a rule. ”と説 明 されている．すなわち，通 常 のステートメント（表 明
文 ，宣 言 書 ，報 告 書 など）から除 外 された，あるいはルールに従 わない人 や物 を指 し，本 論 文 での原 則の規 程 から除 外 もしくは従 わない措 置 を例 外 措 置 として扱 うことと一 致 する．
- 15 -

2.2

本研究における例外

前 節では，例外そのものの意味は広範囲であることから，本論文で述べていく
上で文言の定義づけをした．さらに本 研究を進める上で，例外を取り扱う研究 対象を定義しなくてはならない．本節では例外について 2 つの区別を取り上げ，その上で本論文における例外の研究対象範囲を述べる．

2.2.1 情報セキュリティポリシーにおける例外
まず例 外 の範 囲 を，原 則 規 程 のおおもととなる情 報 セキュリティポリシーに基づいて定義する．この情報セキュリティポリシーの基本構造は，図 2-1 の内側の三角形に示す通り三層構造（基本方針・対策基準・実施手順）から成り立っている 18 )19 )20 )21 ) ．例 外はこの三 層 のそれぞれに対 応 し，その範 囲は逸 脱 領域 （2.1.3
項 参 照 ）との間 にあると考 える．以 下 ，「基 本 方 針 」「対 策 基 準 」および「実 施 手順」について述べる．なおこれらの三層構造は情報セキュリティポリシーに基づいて策定されている原則 規程にも当てはまるものとみなし，以下原則規程における三層構造に置き換えて述べていくことにする．
まず情報セキュリティ対策における基本的な考え方を定めるものが，図 2-1 の最上層にある「基本方針」である．基本方針は，組織の経営・運用方針について表 明するものであり，組 織に属する構 成員 を対 象に全 体 的に統 一 された内 容 とな っ て い る ． 基 本 方 針 に 関 係 す る 例 外 規 程 と し て は ， 例 え ば 「 CISO （ Chief
Information Security Officer；最高情報セキュリティ責任者）など責任者による例
外 措 置 の許 可 権 限 」や「非 常 時 での非 常 対 策 本 部 （もしくは緊 急 対 策 本 部 ）の設置・指 示命 令 系の統一」などであり，経 営 方針に関わる，包括 的なものになっている．
次 に，この基 本 方 針 に基 づき，全 ての組 織 に共 通 の情 報 セキュリティ対 策 の基準を定めるのが，2 層目の「対策基準」である．対策基準には，基本方針を実行に移すための具 体 的な対 策を記 述する．対策 基準 での例 外規 程は，組 織全18) 内 閣 サイバーセキュリティセンター, “政 府 の情 報 セキュリティの基 本 的 な考 え方 ,情 報 セキュリティポリ
シーに関 するガイドライン H14”, 内 閣 サイバーセキュリティセンター, (オンライン).
http://www.nisc.go.jp/active/sisaku/2002_1128/ISP_Guideline_20021128.html. (アクセス日 : 2019 年
6 月 10 日 ).
19) 総 務 省 , “地 方 公 共 団 体 における 情 報 セキュリティポリシーに関 するガイドライン(平 成 27 年 3 月
版 )”, 総 務 省 ホームページ, (オンライン). http://www.soumu.go.jp/main_content/000348656.pdf.
20) 総 務 省 , “情 報 セキュリティポリシーの内 容 ”, 総 務 省 ホームページ, (オンライン).
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/executive/04 -3.html. (アクセス日 : 2019 年 6 月 10 日 ).
21) 情 報 処 理 推 進 機 構 , “情 報 セキュリティポリシーの策 定 ，情 報 セキュリティマネジメントと PDCA サイクル”, 2016. (オンライン).http://www.ipa.go.jp/security/manager/protect/pdca/policy.html. (アクセス日 : 2019 年 6 月 10 日 ).
- 16 -

逸 脱 領域

例 外の範 囲基 本 方針対策基準

実 施 手順

図 2-1 情報セキュリティポリシー（原則規程）基本構造と例外
体に共通したものである必要はなく，対象 部 門ごとに策定・実 施してもよい．これは一 般にリスクは部 門 ・部 署 ごとに異 なるため，適 用 する対 策 基 準も変 わるためである．個 別 具 体 的 に例 外 措 置 を実 施 することで，部 門 ・部 署 ごとの日 常 業 務に沿ってセキュリティリスクを低減させたり，リスクレベルを維持させたりするための，セキュリティ上の見落としや脆弱性がないかのチェックを常に行う 22) ．
さらに「対策基準」を，具体的なシステムや手順，手続に展開して個 別の実施事項を定めるものが，最下層の「実施手順」である．
例 外 は「基本 方 針」，「対策 基準」および「実 施手 順」それぞれに適 用することによって，業 務 効 率 の向 上 が期 待 できると考 える．一 方 で，例 外 規 程 の策 定 お
よび例外 措 置の実 施 内 容については，それぞれの層 で異 なる形 式になるとも考えられる．本 論 文 では三 層 のうち「基 本 方 針 」と「対 策 基 準 」での例 外 規 程 について述べる．これは「実施手順」は上位二つの層に拘束されるため，上位層での例外規程の策定および管理・運用から直接結びつけられると考えられるからである 23) ．

22) 金 融 情 報 システムセンター, “金 融 情 報 システムセンターガイドライン検 索 システム”，(オンライン).
https://www.fisc.or.jp/guideline/. ( アクセス日 : 2019 年 6 月 10 日 ).
23) 文 献 によっては，基 本 方 針 と対 策 基 準 のみを情 報 セキュリティポリシーとして整 理 し，実 施 手 順 は細則 として個 別 対 策 などを盛 り込 んで肉 付 けする形 が一 般 的 とする事 例 もある．（サイバーセキュリテ
ィ.com，「情 報 セキュリティポリシー策 定 のポイントとサンプル例 文 集 と策 定 しないリスクとは？」，https://cybersecurity-jp.com/security-measures/22421（アクセス日 ：2019 年 6 月 11 日 ）など）
- 17 -

まず基本方針における例外規程の策定および例外措置の実施について述べる．基 本 方 針 は，組 織 の情 報 セキュリティについて，組 織 の理 念 や運 用 方 針 を表明するものであり，組織に属する構 成員（従業員や派遣 社員，協力会 社の出
向 社 員 等 ）を対 象 に全 体 的 に統 一 された内 容 となっていることが一 般 的 である
24)．
そのため基本方針での例外規程は，例外 措置の容認の可否や，非常時での非常対策本部の設置・指示命令系統の統一などといった，大筋の方針を定める．
どの構 成 員 にも理 解 できるよう平 易 で簡 潔 に記 述 されており，経 営 側 の意 思 を表明したり，構成員の義務を明記したりして，形骸化を防ぐ内容となっている．また基本方針は経営方針や組織内風土を反映したものでなくてはならない．
なお基 本 方 針 は頻 繁 にかつ定 期 的 に見 直 されるものではな いため，例 外 規
程 についても同 様 である．したがって基 本 方 針 における例 外 規 程 は，以 下 の事
象が起きた場合に策 定を検討することになる．
(1) 事故・事件等により大きな脅威や脆弱性が発見された場合(2) 新たな事業展開や法制度の変更に伴うセキュリティ要件が変わる場合(3) NISC （ National center of Incident readiness and Strategy for
Cybersecurity，内 閣 サイバーセキュリティセンター）や外 部 監 査 機 関 等から見直しの勧告を受けた場合など．
（1）については，災 害 時やインシデント発 生 時において，「非 常 事 態の宣 言 と業務移行命令」，「対策本部の設置」，「審議・連絡体制への移行 」，「例外措置の実 施 」などへの対 策 基 準 項 目 の採 択 の決 定 などがあげられる． （2）の新 たな
事 業 展 開については，例えば「外 部クラウドサービスの組 織 内への導 入 決 定」，
法 制 度 の変 更 については，例 えば「個 人 情 報 保 護 法 の改 正 に伴 う個 人 情 報 の管 理厳 格 化」などに対するセキュリティ要件の変更 があげられる．また（3）については，勧 告の内 容をもとに担 当部 門において「基本 方 針 への見 直しに関する検討会の設置」「基本方 針の変更とそれに伴う各部門への対策基準 ・実施手順の見直しの指示」などがあげられる．すなわち基本方 針では，非常 時 ・改変 時 での
非 常 対 策 本 部 の設 置 ・指 示 命 令 系 統 の統 一 などといった大 筋 の方 針 を定 めた
策定にとどまる．
さらに例外規程は，基本方針の見直しにつながるため，経営層の承認が必要であり，具 体 的 な策 定 においてはセキュリティ管 理 部 門 が担 当 業 務 として担 うか，
新たに検討委員会などのタスクフォースを編成して行うことが考えられる．
24) 金 融 情 報 システムセンター, “金 融 機 関 等 におけるセキュリティポリシー策 定 のための手 引 書 (第 ２版 )”, 金 融 情 報 システムセンター, 2008.
- 18 -

次に，対策基準での例外規程の策定および例外措置の実施について述べる．
対策基準は，基本方針を実行に移すための具体的な対策を記述したものであり，
標 準 ，スタンダートやガイドラインと呼ばれるものである．対策基準 では基本方 針とは異なり，各現場レベル・部門ごとでの状況の変化に適切に対応するために，原則規程の見直しや例外措置の追加策定が求められる．
対策基準においては，セキュリティレベル（リスクのレベル）を安全とみなせるレ
ベルに維持することが求められる．そのため常にセキュリティ上の見落としや脆弱性がないかのチェックを行う必要がある．
また基本方 針での例 外 規 程 と異なり，対 策 基準での例 外 規程は個別 具体 的に策 定 することになる．すなわち当 該 事 象に対 応する例 外 規 程は，原 則 規 程を見直して盛り込 まれるまでの，もしくは全く暫 定 的 なものとしての，一時 的 な例 外措置として実施されるものとなる．
一 般 的 に は 日 常 業 務 で 想 定 で き る も の で あ っ た と し て も ， 例 え ば BYOD
（Bring your own device：私 物 端 末の業 務 利 用）のケースでは，例 外 措 置の煩雑さや実効性の難しさなどから，例外規程を策定していない組織が多い 25) ．このようにあえて規程として明文化しない場合，「想定外の事象」が起こりうることを抽象的なイメージで「想定内」として意識し続けなければならない．これはリスクを認識していながら対策せずに放置したことと等価である．
そこで私物端末を業務用として一 時的に利用を許可する場合，具体的に，使用 期 間 や目 的 ，理 由 を明 記 した申 請 書 の提 出を義 務 付 けるなどの実 施 手 順を定 めた例外 規 程があることで，利 用開 始 時 期や審議・決 定する時 間を短 縮できる効果が期待できる．
なお対策基準では，各部門おいて具体的な管理策ごとに例外規程が必要であり，当該例外措置を実施するための実施手順（図 2-1 の最下層）の作成が求められる．

2.2.2 緊急時・非常時・平常時における例外規程を策定し例外措置が実施されるケースとして，緊急時・非常時・平常時の3 つのケースが想定される．そのため，これらと例外との区分について明らかにし，
本論文での例外の範囲を明確にする必要がある．
緊 急 時 （あるいは緊 急 事 態 ）とは，戦 争 やテロ，大 規 模 災 害 などの非 常 事 態に対 処するため，「一 時 的に政 府に強 い権 限を与える法 的 な根 拠」を示す概 念である．国際的には国家の最高法規（一般的には憲法あるいは基本法と呼ばれ25) 平 木 健 士 ,原 田 要 之 助 , “業 務 利 用 のスマートデバイスのマネジメントについて”, システム監 査 学 会
2013 年 度 第 27 回 研 究 大 会 , 2013 年 6 月 7 日- 19 -るもの）にこうした条 項 （緊 急 事 態 条 項 ）を持 つのが普 通 で，具 体 的 には行 政 の長が緊急事態を宣言すれば，行政が法律と同じ効力を持つ政令を定めたり，地方 自 治 体 の首 長 に必 要 な指 示 をしたりすることができ，国 民 の順 守 義 務 もそれに含まれている．
日 本 国 憲 法 では緊 急 事 態 が定 められていないため注 目 されていないが，災害対策基本法には「災害緊急事態」（同法 105 条），原子力災害対策特別措置法には「原子力緊急事態」（同法 15 条）の定めがあり，平成 23（2011）年 3 月 11
日 に発 生 した東 日 本 大 震 災 に当 たって後 者 が発 動 されたが，前 者 は発 動 されなかった．災害緊急事態は，かつては災害対策本部の設置の前提であったが，阪神淡路大震災（平成 7（1995）年 1 月 17 日発生）の教訓から，要件から除かれたからである 26) ．
いずれにせよ，日 本 は世 界 でも稀 な「憲 法 に緊 急 事 態 条 項 を含 まない国 」 である．その影響からか，武力攻撃事態対処法 ができてもなお，「緊急 事態」という概念が憲法論においても定着していない．ましてや災害対策や情報セキュリティ対策において，「緊急事態」を想定することは忌避されている．したがって本論文
でも，緊急時という分類は見送 り，「非常時」と「平常時」の 2 区分について取り上
げる 27) ．
「非 常 時 」における例 外 措 置は，想 定 外 のインシデントや事 件 ・事 故 などに対するもので，対 応 策 がリソース的 ・時 間 的 な制 約 などにより実 施 できない場 合 がある．想 定 外 の事 象 への対 策 は，必 ずしも情 報 セキュリティポリシ ーの対 象 になっていなかったり，必要な対策基準や実施手順が予め策定されていなかったり，もしくは不 十 分であったりするためである．このような場 合，計 画 段 階で想 定した範囲内だけで実施すると，かえって柔軟に対応できなくなるおそれがあることから，
例外規程を用意して非常時に備え，自由度を確保するねらいもある 28) ．
また非 常時 における例 外措 置は，即 時 対応 が求められる措 置であるため，主に BCP（Business Continuity Planning；事業継続計画）で策定すべき一時的な措置と重なる．すなわち，インシデント対応 や BCP といった，組織の大方針に従うため，当 該 措 置 を内 部 規 程 に盛 り込む場 合 では，原 則 規 程 にこだわらない例
26) 従 って新 法 においては，内 閣 総 理 大 臣 が単 独 で設 置 を決 定 できる「非 常 災 害 対 策 本 部 」（同 法 24条 ）と，閣 議 にかけなければ設 置 できない「緊 急 災 害 対 策 本 部 」（同 法 28 条 の 2）の両 者 があることになる．なお前 者 が存 在 する中 で後 者 が設 置 された場 合 は，後 者 が前 者 の事 務 を承 継 することになる（同 条 3 項 ）．
27) 本 研 究 では従 来 「緊 急 時 例 外 措 置 」と表 記 していたが，本 論 文 では災 害 対 策 基 本 法 改 正 の経 緯
等 も勘 案 して再 考 し「非 常 時 」と表 記 する．これにより「緊 急 災 害 」に達 しなくとも「平 常 時 」ではない事
象 においても，例 外 措 置 を取 り扱 う必 要 性 を述 べる．
28) 内 閣 官 房 情 報 セキュリティセンター, “政 府 機 関 の情 報 セキュリティ対 策 のための統 一 管 理 基 準 （平成 24 年 度 版 ）解 説 書 「1.2.1.3 違 反 と例 外 措 置 」”, (オンライン).
http://www.nisc.go.jp/active/general/pdf/K304 -111C.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
- 20 -

外 規 程 として取 り扱 われることになる．しかし長 期 間 継 続 させるものではなく ，可及的速やかに「原則」に戻さなくてはならない.
一 方 ，「平常時」における例外措置は，重大かつ緊急を要するものではないものの，原 則 規 程 では取 り扱 えない事 象 を対 象 とする．そのため予 め例 外 規 程として策定され，ある程度の期間にわたって例外措置が実施される．
例 外 措 置が実施 できない場 合 ，原 則 規 程 から逸脱した事 象や行 為はすべて認められなくなる．また原則規程の改定にはリスク分析や評価，対応等の検討が必要で時 間がかかるため，リスクが高まった時点ですぐには対応 できない．こうしたリスク対応がとれない事態を避けるため，組織において例外 措置を実施することが考 えられる．そして例 外 規 程 を予 め策 定 しておくことで，迅 速 に例 外 措 置 が実施でき，リスク対応がとれるものと期待できる．

2.2.3 本論文での例外の研究対象
これまで本論文での例 外の研究対象 を決める上で，情報セキュリティポリシー
（原 則 規 程 ）の基 本 構 造 ，ならびに非 常 時 ・平 常 時 での 区 別 について述 べた．
本論文では主に「平常時」における「対策基準」の例外を研究対象とする．
研 究 の対 象 を対 策 基 準 とした理 由 は，基 本 方 針 と比 べ日 常 業 務 に直 結 し，組 織 のリスクの変 化 などに柔 軟 かつ定 期 的 に対 応 しなければならない と考 えたからである．また平常時 とした理由は，非常時の例外規程に比べ頻度が高く，また長期間運用されることから，原則規程からの逸脱程度の判断や評価が定期的に管理され，定式化 するための対策を探ることが研究に結びつくと判断したためである．
本 論 文では，以 降，「平 常 時」における「対 策 基 準」について論じていく．その上 で，組 織 での例 外 措 置 の実 施 ，および例 外 規 程 の策 定 による例 外 措 置 の管理 ・運 用 ，それらを手 掛 ける組 織 内 での体 制 ，さらには例 外 適 用 への判 断 や評価などといった観点で調べていく．

- 21 -

2.3

例外の必要性

ここまで，本 論 文 にて例 外 を論 じる上 で必 要 となる定 義 と 研 究 対 象 範 囲 について述 べた．例 外 規 程 および例 外 措 置 は既 に定 義 づけたので，本 節 では平 常時での対策基準における例外の必要性について述べる．

2.3.1 業務効率の向上
まず，例 外措 置を例外 規程によって汎用 的 にルール化することで，承認 作業を可 能 な限 り簡 便 化 でき，業 務 効 率 が図 れる．規 程 として明 文 化 することで 管理・運用の可視化が期待できる．
これは筆者の経験であるが，例えば自組織が管理していない外部業者の PCを，原 則 規 程上 禁 止 しているイントラネットへの接 続を希 望する例 外申 請が出された場合 ，自組 織と同 一のセキュリティ管 理 ソフトが導 入 済みであることと，指 定
したプロキシ設定が実施されていることを条件に，申請・誓約書のみの形式審査で承認する例外規程が存在していた．これにより申請者・承認者ともに負荷がほ
とんどかからず，効 率 化 が図られていることは自 明 である．一 方 で，当 該 例 外 規程に該当しない例外申請がされた場合，例えば，PC の動作機能上セキュリティ
管 理 ソフトがインストールされていない場 合 では，例 外 措 置 として 承 認 するかの審査処理が伴う．したがって当該申 請には申請者・承認者 双方 に労力も時間もかかることになる．

2.3.2 いわゆるシャドーIT の未然防止
例外の適用は，管理部門におけるリスク対策においても極めて重要であり，安心 安 全な業務運用に役立つものと考える．なぜなら例外措置がない場合，利用者は原則 規程に該 当 しないものは実施できないし，実施した場合 は規程違 反として罰則 の対 象となる場合があるからである．いずれにしても健全 な業務遂 行ができなくなる．そこで原 則 規 程 を無 視 して，管 理 部 門 から管 理 されないように水面下で原則規程に該当しない逸脱 行為を実施されてしまうことが考えられる．
例 えば私 物 スマートフォンの業 務 利 用 を取 り上 げてみる ．これらは近 年 IoT（Internet of Things：もののインターネット）や BYOD への対応が普及しつつある
ものの，依 然 多 くの組 織 では原 則 禁 止 にしているものと推 定 する．また現 場 （利用部門）からの要望がなければ，管理部門から私物スマートフォンの利用を検討
するとは経 験 上 考 えにくい．したがって当 該 利 用 については現 場 からの要 請 が主であると考える．

- 22 -

まとめると，業務で私物スマートフォンを利用した方が，仕事をしやすいと判断したときに，利用部門は以下のような行為を実施するものと考える 29) ．
(1) 管理部門に見つからないようにだまって利用する．場合によってはグループぐるみで実施することも否定できない．
(2) 管理部門と相談し，業務として利用できるように働きかける（1）はいわゆる「シャドーIT」と呼ばれるものである 30 ) ．（2）は「利 用 部門 主 導タ
イプ」の例外措置に対応する．
他 方 ，情 報 セキュリティ管 理 者 としては申 請 を受 けた時 に，① 承 認 しない，②
無条件で承認する，③ 条件付きで承認する，3 つの選択肢が考えられる．ここで例外措置が実施できなければ，①しか選択できない．一方例外措置が実施できるのであれば③になる．もともと②であれば，例外措置ではなく通常措置として実施されているはずである．
また時間的・労力的に余裕があるならば，（事象が発生した時点では）例外措
置がなくとも，検 討 ・審 議・経 営 許 可 を得た上 で，②か③ の措 置をとることも考 えられる．つまり当該事象をきっかけにして，例外措置を実施することとなる．しかし，時間的に余裕がなく喫緊の対応 を要する場合において，例外 措置がないときは，
現 場 担 当 者 の判 断 でまず一 時 的 措 置 をとり，後 ほど 承 認 のため周 辺 や上 層 へのエスカレーションすることも考えられる．
次に利用者側の心理面から考えたとき，原則だけでなく例外があると，一種の緊急退 避術と考えられ，安堵感につながる効 果が考えられる．一方 で管理 部門
としては，利 用 部 門 に例 外 措 置 の実 施 を承 認 したことで，セキュリティ上 完 全 に
問 題 がないか，または責 任 が重 くなりはしないか，などと言 う不 安 感 が出 てくることも否めない．なぜなら管 理 部 門が例 外 措 置 を認めたことは，利 用 部 門 としては
「お墨 付 き」を得 たわけであり，リスク対 策と同 時 に責 任も管 理 部 門 側にあると転嫁することも可 能だからである．したがって例外を承認した管 理 部 門としてはさらに重い責任を負うことになる．管理 部者の判断・承認が確立していない，もしくは
承 認 の裁 量 でブレが生 じるようなときには，情 報 セキュリティへの確 保 が難 しく，管理部門の精神的な負担も大きくなる可能性がある．

29) 内 閣 サイバーセキュリティセンター, “スマートフォン等 の業 務 利 用 における情 報 セキュリティ対 策 の実
施 手 順 策 定 手 引 書 ”, 2015 月 5 月 21 日 .
(オンライン).http://www.nisc.go.jp/conference/cs/taisaku/ciso/dai02/pdf/02shiryou0305.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
30) 遠 藤 宗 正 , “シャドーIT とはこれでおさらば!? 企 業 をむしばむ無 断 使 用 ツールを「断 捨 離 」する 3 つのステップ, “シャドーIT”との向 き合 い方 ”, IT Media ニュース, 2015. (オンライン).
http://www.itmedia.co.jp/news/articl es/1501/27/news045.html. [アクセス日 : 2018 年 12 月 21].
- 23 -

しかしながら，原 則のみの場 合だと違 反して即 罰則の対 象となったり 31 ) ，水 面
下で無 断に使 用されたりすることを考えれば，情 報セキュリティのリスク管 理においては，内部規程に「原則」と「例外」があることが望ましい．内部 規程に盛り込まれていない事 象 に対 して，どのように明 記 しているかで，上 記 の対 応 に差がつく
ことは容易に想像できる．

2.3.3 技術進歩への柔軟な対応
例 外 が原 則 の補 完 として柔 軟 に効 果 を発 揮 できることを説 明 するために，技術進 歩と例外との関 係性を考えてみる．筆 者が着 目したのは，組 織活 動において，組織の情報インフラ 32) 整備における技術進歩と原則規程とは整合性が取れない（合 致 しない）ことが起 こる，という現 象 である．この現 象 には，(1)原 則 規 程が技 術 進 歩 に追 いつかない場 合 ，(2)技 術 進 歩 が原 則 規 程 に対 し十 分 でない場合，(3)技術進歩が逸脱領域に達する場合，の 3 つのケースが考えられる．本項ではこのうち(1)の原則規程が技術進歩に追いつかないケースに着目し，情報
セキュリティポリシーにおける原 則 規 程 と法 律 ，そして技 術 進 歩 との関 係 について述べる．
例 外 措 置 を用 いない場 合 ，原 則 規 程 の外 側 の周 りは逸 脱 領 域 である．原 則
規程の境界は，それと境界を一にする逸脱領域の範囲の内側の境界である．そして逸 脱 領 域 はそれと境 界 を一 にする法 令 違 反 領 域 の内 側 の 領 域を範 囲 とする．そこで逸脱領域の限度域と法令違反領域の間にある境界を，ここでは「法定境 界 線 」と定 義 する．例 外 措 置 を伴 わない逸 脱 行 為 のうち，法 定 境 界 線 を超 えるものは法令 違反の対 象となる．したがって法定境界 線は逸 脱領 域 の内側にある原 則 規 程における法 律 上の限 界を表 すこととなる．すなわち逸 脱 領 域に存 在する例外措置もまた，法定境界線が限界となることを示すことになる．
31) 佐 藤 慶 浩 ，“政 府 機 関 の情 報 セキュリティ対 策 のための統 一 基 準 ”, (オンライン).
http://yosihiro.com/speech/presenter/2006 -08-02/index.html (アクセス日 : 2019 年 6 月 10 日 ).なお
佐 藤 氏 へのインタビューの際 「例 外 措 置 を設 けることによって，責 任 が明 確 となることで故 意 と過 失 の間のグレーゾーンがなくなり，組 織 のガバナンスの観 点 からは情 報 セキュリティ管 理 としては，むしろ効 果
的 であり, また例 外 措 置 の記 録 は，以 後 のマネジメントサイクルでのリスクの見 直 しに役 立 てることができるようになる」というコメントがあった. 前 者 についてはいささか断 定 的 な見 解 であるが，後 者 は ISMS
（3.3.1 項 参 照 ）など管 理 策 にも通 じる概 念 と思 われる．
32) なお本 論 文 での情 報 インフラは組 織 が業 務 上 保 有 している情 報 システム機 器 やデバイス，使 用 する
クラウドも指 すものとする．
参 考 ：品 質 マネジメントシステム（Quality Management System ; QMS）の国 際 規 格 である，
ISO9001:2015 の「7.1.3 インフラストラクチャ」において「組 織 は、プロセスの運 用 に必 要 なインフラストラ
クチャ、並 びに製 品 及 びサービスの適 合 を達 成 するための必 要 なインフラストラクチャを明 確 にし、提 供し、維 持 しなければならない。」の記 載 がある．さらに同 項 の注 記 には「インフラストラクチャとしては次 を
含 めることができる。 a)建 物 及 び関 連 するユーティリティ b)設 備 。これにはハードウエア及 びソフトウエ
アを含 む c)輸 送 のために資 源 d)情 報 通 信 技 術 」の記 述 がある．b)および d)の記 載 は，本 論 文 の情
報 インフラの定 義 に参 考 となるものと考 える．
- 24 -

次 に情 報 を取 り扱 う組 織 は情 報 インフラを保 有 しているのが一 般 的 であり，これら情 報インフラが持 つ機 能を有 効活 用するためには，その活 用 範 囲について
リスク分 析を行い，その結 果に基づいて原 則 規 程を策 定しておくことが求 められる．これにより原 則 規 程 に基 づく通 常 措 置 として，組 織 は情 報 インフラを十 分 に活 用することができる．その上で組 織 は，技 術 進 歩に伴 う 情 報インフラを整 備す
ることによって生じる高い経済性や利便性を求めることが可能となる．
例えば組織が保有する情報インフラの一つに「ファイル共有システム」がある．
このファイル共 有 システムは組 織 の保 有 する情 報 を組 織 内 あるいは外 部 業 者 と共有するために用いられる基幹システムである．このファイル共有システムを組織が有 効 活用していくためには，予 め運 用 規 則などを原 則 規 程に明 記し管 理・運用していくことが求められる．
ところで組 織 が発 展 していくためには，組 織 をめぐる新 しい環 境 に適 応 し，先進の情報インフラを取り入れていかなければならない．そのため技術進歩に伴い
情 報 インフラの活 用 範 囲 が，従 来 のものから新 しいものへと変 化 していく （一 般的 には機 能 拡 張 を目 指 すわけであるから，本 論 文 では拡 張 する方 向 へ変 化 するものと解釈し表現する）．一方で情報インフラを管理・運用する範囲を策定していた原 則 規 程 も，新 しい情 報 インフラの活 用 範 囲 の拡 張 に伴 い改 定 していく必要 がある．これは活 用 範 囲 が変 更 された，新 しい 情 報 インフラの管 理 運 用 が従来の原則規程では網羅しきれなくなり，逸脱になることを防ぐためである．
ファイル共 有システムは従来 ，組織 内 でオンプレミスサーバを構築 し運用 されてきた．一般的にみて原則規程においても，ファイル共有システム内での情報の取り扱いについては，機密情報や個人情報 については社外秘扱いとし，厳重に管 理 されてきた．それが近 年 利 便 性 や経 済 性 の向 上 から外 部 クラウドが広 く利用されてきたことにより，組織は外 部クラウドを利用したファイル共有システムを運用 できるようになった．外 部 クラウドを利 用 する場 合 ，組 織 はまず外 部 クラウド利
用 に対 するリスク分 析 を行 い，その上 で従 来 のオンプレミスサーバにはなかった
機能の拡 張部 分に対 して，情報セキュリティポリシーに則り，現 行 の原則規 程で措置できるのか，新たに原則規程の改定が必要なのか，または例外措置を施すのか，といったことを判断する必要がある．
しかしながら，原則 規 程を改定するには時 間 を要する．原 則規 程 は組織の文化や組織のリスク受容に裏付けられたものであり，すぐには変えられないからである．そのため原 則 規程 の改 定作 業が，情 報インフラの技 術 進 歩による活 用 範囲の変 化 の速 度 についていけないことが起 こる．それが(1)の「原 則 規 程 が技 術 進
歩に追いつかない場合」である．

- 25 -

そこで原 則 規 程 の改 定 が完 了 するまでの間 ，例 外 措 置 の実 施 により一 時 的に，その間隙を補完するわけである．これにより情報インフラの技術進歩を，例外措置で管 理運 用することが可 能となる．その上で例 外 措置の実施 を，例外 規程の策定によってさらに管理運用することが望ましいと考える．
当 該 ファイル共 有 システムにおいても，クラウド化 の機 能 を網 羅 できる原 則 規
程をすぐに改定できないため，改定されるまでの間の一時措置として，例外措置を実 施 し，システムの運 用 を図 ることになる．例 えば ，組 織 がいずれ改 定 する原則 規 程 として外 部 クラウドに預 ける情 報 を社 外 秘 以 外 の一 般 情 報 のみとし，個人情報は従来通りオンプレミスサーバに保管 させる．機密情報に関しては，例外
措 置 扱いとして外 部クラウドに保 管すると判 断したならば，原 則 規 程が改 定 されるまでの間，3 つのケースの例外措置（A，B および C）が考えられる．
例外措置ケース A は新しい情報インフラの活用範囲を，いずれ改定される原則 規 程 の範 囲 内 で使 用 する場 合 であり，ファイル共 有 システムでは一 般 情 報 を
外 部 クラウドに預 けるケースが該 当 する．これは原 則 規 程 が改 定 されれば例 外措置ではなくなる．
例外措置ケース B は新しい情報インフラの活用範囲を例外措置によって最大限 に使 用 する場 合 であり，ファイル共 有 システムでは機 密 情 報 を外 部 クラウドに預 けるケースが該 当する．改 定 される原 則 規 程 をもってしてもその上 限を超 える
ところがあり，法令違反では無いものの，上限を超える措置の部分については個別に例外措置の対応とする．
例外措置ケース C は新しい情報インフラを目一杯使い法令違反となる場合であり，ファイル共 有 システムでは組 織 が承 認 していなかった個 人 情 報 を外 部 クラ
ウドに預 けるケースが該 当 する（この場 合 ，個 人 情 報 を利 用 者 の第 三 者 提 供 の
同意 なしに外 部 委託 すると個人 情 報保 護 法違 反 となる）．改 定 後の原 則 規 程，
それに対する例外措置の両方をもってしても，法令違反となり，社会通念上認められるものではない．
以上，例外措置ケース A から例外措置ケース C についてまとめたものを表 21 に示す．

- 26 -

表 2-1 情報インフラの技術進歩における例外措置ケース
例 外 措 置 ケース（例 ）ファイル共 有 システム

補足説明

A： （情 報 インフラの）活 用

一 般 情 報 を 外 部 ク ラウ ドに 預

・ いずれ改 定 される原 則 規 程 の範範囲を改定後の原則規ける．改 訂 後 の原 則 規 程 の囲 内 での措 置 を想 定 したもの

程 の範 囲 内 で使 用 する．

範 囲 内 である．

・ 原 則 規 程 が改 定 されれば例 外
措 置 ではなくなる

B： 活 用 範 囲 を最 大 限 に使

機 密 情 報 を 外 部 ク ラウ ドに 預・ 改 定 され る 原 則 規 程 に お い て も用 するため，改 定 後 の原

ける．改 定 後 の原 則 規 程 では

その上 限 を超 えるところがある

則 規 程 の範 囲 を超 える場

一 般 情 報 に限 定 しているた・ 法 令 違 反 では無 いものの，上 限

合 は例 外 措 置 によって補め， 例 外 措 置 によ って 使 用 すを超 える 措 置 の 部 分 につい ては

完 する．

ることになる．

個 別 に例 外 措 置 の対 応 とする．

C： 活 用 範 囲 を目 一 杯 使 っ組 織 が承 認 していない個 人 情・ 改 定 後 の原 則 規 程 ，それに対 すたことで，法 定 境 界 線 を超

報 を外 部 クラウドに預 ける （なる例 外 措 置 の両 方 をもってしてえ，法 令 違 反 の対 象 とな

お，この場 合 個 人 情 報 を利 用

も，法 令 違 反 となるる．

者 の第 三 者 提 供 の同 意なし

・ 社 会 通 念 上 認 められないに外 部 委 託 すると個 人 情 報
保 護 法 違 反 となる）．

以上，技術 進歩と原 則規程とは整合 性が取れない関 係性について，(1)原則
規 程 が技 術 進 歩 に追 いつかない場 合 を例 に，例 外 が原 則 の補 完 として柔 軟 に
効 果 を発 揮 できることを述 べた．なお本 論 文 では取 り上 げなかった， (2)技 術 進
歩が原則規程に対し十分でない場合，および(3)技術進歩が逸脱領域に達する
場 合 においても，改 定 に時 間 を要 する原 則 規 程 の維 持 を図 る上 で，例 外 措 置の実施および例外規程の策定の必要性があると考える．

- 27 -

2.4

例外が持つ限界

前 節では例 外の必要 性 について述べた．例 外を組 織の管 理・運 用 に適 用することで，管理 部門が把握できない利 用部 門でのシャドーIT の未然の防止や，
技 術 進 歩への柔軟 な対応が期 待できるものと考える．その一方 で，例 外は原則
を補 完 する役 割 がある（原 則 と例 外 の相 互 補 完 ）ことを意 識 しなくてはならない.
例 外が原則に取って替わる（原則と例外の代替関係）のは稀であるし，また稀であるべきである．
本 節 では組 織 が例 外 を適 用 することを考 えていくにあたって， 相 互 補 完 への意識 および代 替関 係 の回避 といった，例外 がもつ限界 ともいえる留意 点への基
本的な考えを補足する．
リスクは組織の目的が設定されてはじめて識別される．一般的に組織の多くは，リスク分析をもとにして策定した管理策の実施状況から，原則規程からの逸脱に対する許容範 囲を判断して例外措置を実 施している．この場合，原則規 程には
残 余リスクがもともと含 まれており，内 容や対 処を十 分理 解しておかなくてはならない．さらに原則規程 を補完する例 外規程もまた，残余リスクが含まれていることを認識して策定するべきである．
そもそも残 余 リスクという考え方 自 体 が，将 来 の不 測 事 態 をすべて予 見 したり，
最 適 な行 動 を計 算 に入 れたりすることは出 来 ないという ，人 間 の知 的 能 力 の限界を考慮した「限定合理性」 33) を前提にしたものである（5.5 節でも取り上げる）．
即ち，経 済主 体の行 動として極限までの合 理性を前提とせず（つまり知り得る限りの諸 条 件を全 て充 足すること＝satisfy を求めず），あらかじめ定 めた限られた範 囲 での次 善 的 な最 適 化 に止 めるしかない（satisfice しかできない）という発想である．したがって，残 余リスクの取り扱 いについては，「対 応を拒 否する／諦める」，あるいは「一 時 的に対応を保留する」ことにより，業 務継 続 の維 持が可 能となるのである.
このような発 想 に立 てば，逸 脱 した事 象 に対 する措 置 も，原 則 措 置 と同 程 度の効 用 対 リスク効 果 が見 込 まれると判 断 できた場 合 ，原 則 規 程 には明 記 されていない別の代替方 法 により，例外措置として実施を許可すれば良いことになる．
さらに例外措置のリスク程度をあらかじめ理解し，例外規程 の策 定に反映 することができる （図 2-2 の右の吹きだしが示す円内 と例外の実施範囲の三角形の内側とが交わる赤色で示した領域）．

33) Simon の考 え方 に準 拠 している．H.A.Simon”,意 思 決 定 と合 理 性 ”,ちくま学 芸 文 庫 ,2016- 28 -

法令違反領域代 替 手段 によるリスク軽減 が期待↓
例 外 措置の実施
例 外 規程の策定

例 外の範囲

法 定 境界 線
原 則 規程逸 脱 領 域

図 2-2 代替手段による例外範囲の確立
しかし，既に例外を認められている利用 部門 は，例外に対する心理 的抵抗感
が減 少 しており，過 信 してさらに例 外 措 置 を求 めてくる ことが考 えられる．これは組 織 の情 報 セキュリティ管 理 側 にとって，「例 外 からの例 外 」を認 めることで，業務遂行上の管理リスクを高めることにつながり，避けなければならない 34) ．
そのための方策として，「厳罰化」と「組織性逸脱 化への防止」の 2 つが考えられる．前者は法学者が好むもので，一般的に法の実効性はその強 制力にあるとされるから，罰 則 が整 備 され現 実 に発 動 されることは望 ましいとも考 えられる．しかし，制定法の領 域にあっても，罰則がかなり厳格に適用されるのは刑法・知的財産法などに限られるのが現状である．
また，本来情報セキュリティにおいては，実行行為者，被害の特定，因果関係の立 証 などを特 定 することが難 しい（帰 属 （attribution）問 題 ）という難 問 があり，その特 定 には多 大 な費 用 がかかる事は言 うまでもない．組 織 内 部 の情 報セキュ
リティ問 題において，組織が罰 則の実行 者 の場合 ，制定 法の場 合ほど多 くの選
択 肢 は用 意 されていない．せいぜい就 業 規 則 違 反 に基 づく懲 戒 処 分 程 度 であり，この行 使 においてハードルが高 い．日 本 の法 制 では懲 戒 処 分 として最 強 の「解雇」の要件が，他の先進国に比べて，著しく厳格である．

34) 何 が原 則 で何 が例 外 であるかは，基 準 点 の取 り方 如 何 で変 化 し得 る．知 的 財 産 権 のうちでも著 作
権 に例 を取 り，「情 報 の自 由 利 用 」という原 点 から出 発 すれば，「著 作 権 という排 他 権 の設 定 」自 体 が，
例 外 となる．その例 外 ，つまり「例 外 の例 外 」となるのが「公 正 利 用 」の概 念 である．この場 合 は「例 外 の
例 外 」は，「原 則 に帰 る」ことと同 じになるので，法 律 にも明 記 され許 容 されているが，すべて の事 象 がこのような関 係 になる訳 ではない．
- 29 -

そのためむしろ注意を払うべきところは，逸脱行為が蔓延し，組織の秩序が乱れるほどになる状態をいかに回避するか，と言う点に絞られるものと考える．産業
心 理 学 あるいは組 織 心 理 学の研 究 者 の間 では，「組 織 性 逸 脱」という語が共 有されているが，このような無 秩 序に近い状 態 を生じさせない点に，最 大の注 意が払われるべきであると考える（5.4.3 項で取り上げる）.
そもそも例外措置は，原則規程からの逸脱 に対して，即罰則とすることを避ける作 用もある（2.1.3 項参照）が故に，当該例外措置からの更なる逸脱行為は認めるべきではない．また，逸 脱 の防 止 策 として罰 則 のみに頼 るのではなく，各 種の手段を組み合わせるべきである．日 本では稀な「バウンティ（bounty）」という報
奨 制 度（ペナルティというマイナスを与えるのではなく，バウンティという褒 美を与える制度．例：バグバウンティ）の導入も考えられる.

- 30 -

小括
本 章 では，本 論 文 における例 外 の用 語 と研 究 対 象 について定 義 し，例 外 の必要性と限界の基本的な考えを述べた．
例外 措 置とは，原 則に対する逸脱において，その逸 脱の内 容・範囲 を 把握 し，
原則規 程もしくは通常 措置と同 程度の効用 対 リスク効果が期待できるとして，承認権限者から許可を得た措置であると定義 する．実務的にいえば，例外 措置は，原則規程をすぐに改定できず，通常措置として対応しきれない状態 もしくは通常
措置そのものがない状 態において，利用 部 門の判 断や管 理部 門 での承認 に基づいて一時的に実施される措置である．
例 外 規 程 は例 外 措 置 の根 拠 規 程 として，同 一 もしくは類 似 する例 外 措 置 の
適 用 が多 い状 況 において，代 替 手 段 の導 入 も含 め，例 外 措 置 の根 拠 を規 程 として策 定 したものとして定 義 する．言 い換 えれば例 外 措 置 を管 理 ・運 用 していく
ための，措 置 の申 請 ，承 認 ・許 可 ，実 施 ，報 告 ，さらには見 直 し等 といった手 続
きやその内 容 について明 確 に策 定 した根 拠 規 程 であり，組 織 はこれらを記 録 し
保 存 していく．これは業 務 の効 率 化 に直 結 することから，例 外 措 置 をできる限 り
例外規程として策定 し管理・運用していくよう，組織は努めるべきである．
本論文では，「平常時」のもので，情報セキュリティポリシーの 3 層構造のうち「対 策 基 準」における例 外 規 程 及 び例 外 措 置 に絞って研 究 を行 った．これは対策 基 準 が基 本 方 針 と比 べ日 常 業 務 に直 結 し，組 織 のリスク対 策 の変 化 などに
柔軟かつ定期的に対 応しなければならないことや，平常時は非常時と比べ見直し頻度が高く，かつ長 期間 運 用され，管理 部門により原 則 規程からの逸 脱程 度の判断や評価が定期的に管理されるため，定式化しやすいと考えたからである．
例 外 には業 務 の効 率 化 が図 れるなどの効 果 が期 待 できる一 方 で，例 外 がもつ残余リスクや，利用部門における心理的作用などに起因する行為や措置などへの留意点も考慮しなくてはならない．これらを理解したうえで例外を適用することが望ましい．
第 3 章では，第 2 章で定めた例外が，社会でどの程度普及しているのかについて，まずは先行事例を調査する．

- 31 -

3. 例外の先行事例
2 章では例外に係る定義と範囲，さらには必要性と限界について述べた．3 章
および 4 章では組織での例外措置の実施および例外規程の策定の実態について具体的に探っていく．まず本章では，現在の国内外の例外に関わる先行事例を調査し，その傾向と課題について述べる．

3.1

例外の先行事例を調査するにあたって

今日の情報セキュリティ対策は，技術的・システム的な対策や人材育成・確保
や啓 発 活 動 などの人 的 対 策 に合 わせ，法 的 措 置 も含 めた組 織 ガバナンスの一部としての組織的な対応が求められている．その中で情報セキュリティポリシーに
則 った原 則 規 程 を策 定 し，通 常 措 置 の実 施 に備 えることは，どの組 織 においても必須施策の一つと考える．
また一 部 の組 織 では，事 前 に想 定 できなかった状 況 にも対 応 できるように 例
外 措置を実施 し，これを実施することで継続的な業務管理の維持に努め始めている．なお，情報セキュリティポリシーに例外 措置を実施することの必要 性については，NISC からの政府機関の情報セキュリティ対策のための統一管理基準（以下 ，統 一 管 理 基 準 と表 す）の推 進 や 35 ) ，金 融 機 関 等 におけるセキュリティポリシ
ー策定においても明らかである 36)37) ．
ところで組織の情報セキュリティの取り組みについては，上場企業や政府機関をはじめとして各種 報 告書（有 価 証券 報 告 書，情 報セキュリティ報告 書 ，年 次レ
ポートなど）で公開されるようになった（例えば，文献 36 など）．また，経済産業省
では情報セキュリティ監査制度をもとに「情報セキュリティ監査企 業台帳」を公開し，2018 年度には 290 程度の企業が登録されている 38) ．しかしながらセキュリティポリシーに関 わる具 体 的 な規 程 策 定 や措 置 の記 載 について報 告 されること は少ない．そのため情報 セキュリティポリシーに関わる内部規程 や情報セキュリティ
ポリシーに記載 される例外について，上記 報告 書 等では一 般公 開されていない．
35) 情 報 セキュリティ政 策 会 議 , “政 府 機 関 の情 報 セキュリティ対 策 のための統 一 基 準 （平 成 26 年 度
版 ）”, 平 成 26 年 5 月 19 日 . (オンライン). http://www.nisc.go.jp/active/general/pdf/kijyun26.pdf.
(アクセス日 : 2019 年 6 月 10 日 ).
36) 日 立 グループ, “情 報 セキュリティ報 告 書 2018”, 2018 年 9 月 . (オンライン).
http://www.hitachi.co.jp/sustainabili ty/download/pdf/securityreport.pdf. ( アクセス日 : 2019 年 6 月
10 日 )
37) 東 京 海 上 リスクコンサルティング, “金 融 機 関 の情 報 セキュリティポリシー策 定 のためのアイディア・ヒン
ト集 （V1.0）”, 東 京 海 上 リスクコンサルティング, 2014.
38) 経 済 産 業 省 , “平 成 28 年 度 情 報 セキュリティ監 査 企 業 台 帳 , 経 済 産 業 省 ホームページ”，(オンライン). https://www.meti.go.jp/policy/netsecurity/is -kansa/. (アクセス日 : 2019 年 6 月 10 日 ).
- 32 -

したがって本研究開始当初，第 2 章で定めた研究対象である平常時の対策
基 準 における例 外 に関 する公 開 文 書 や報 告 などは稀 有 であった．まして「例 外規 程 」そのものをテーマにした先 行 研 究 は，本 研 究 で調 査 した限 りでは当 初 見
当たらなかった 39 ) ．おそらく例外に関する取 扱 いが組織において企 業秘 密情 報であるのではないかと推定され，このことが本研究での調査活動を難しくするものであった．
しかしながら本研究では，第 2 章で定義した用語（例外，例外措置および例
外 規 程 ）と研 究 対 象 （平 常 時 の対 策 基 準 ）をもとに，情 報 セキュリティポリシーからの逸 脱 とそれに対 する例 外 への適 用 に関 する先 行 事 例 調 査 を試 みた．具 体
的には，2.2.3 項で述 べた通り，組 織での例 外 措置の実 施，および例 外規 程の
策 定による例 外 措 置 の管 理・運 用 ，それらを手 掛ける組 織内 での主 体のパター
ン，さらには例外適用への判断や評価などといった観点で事例を追ってみた．これらの調 査 の結 果 に基 づき，本 章 では例 外 への取 り組 みを明 確 に示していると推定した組織や国際 規格の事例について紹介する．
ここで，先行事例の内容への理解を補足するために，本研究においての前提事例とした，A 社の例外措置窓口担当者の日常業務 をモデル化したものを紹介する．なお，当事例は 2015 年時点のものである 40) ．
当該担当者は当時 組織の情報システム部門に従事し，IT ユーザ部門からの各種申請・相談窓口を担当していた．窓口は，例外申請やそれに関する事前相談を受 けたとき，まず内 部 規 程 や実 施 基 準 ，ガイドラインなどの原 則 に当 てはま
るかどうか確 認 する．次 に原 則 で承 認 できないと判 断 した場 合 ，例 外 措 置 が事前に明記されているかどうかを調べる．一連の業務フロー例としては図 3-1 のとおりである．
また例外申請の主な相談内容例は以下の通りである．なお本事例は必ずしも実務と合致した事例ではないことを断っておく．
(1) Windows PC のみ接続を認めているイントラネットに，映像加工のための Macを接続したい．
(2) 特 定 の外 部 クラウドサービスの導 入 を検 討 しているが，当 該 クラウドが未 だ
第三者認証を得ていない．しかし〇〇機能を利用するには他に選択肢がな
い．

39) この実 態 から，初 出 一 覧 にあるとおり，本 研 究 において精 力 的 に学 会 発 表 を行 い，自 らを先 行 研 究として進 めてきた．
40) 当 該 担 当 者 は筆 者 自 身 である．詳 細 については，初 出 一 覧 (5)を参 照 されたい．なお図 3-1 は図 32 を参 考 に 2015 年 に作 成 しているが，現 在 （2019 年 ）も同 様 の運 用 であるとは限 らない．
- 33 -

(3) USB メモリは原 則 使 用 禁 止 になっているが，〇〇システムの設 計 上 ，外 部
業者とのデータの受け渡しに使わざるを得ない．
これらの事例に対し，例外規 程がない場 合 には，即 時判 断できないため業務が滞る事態になる．特に以下の条件のもとでは対応が難しいことが多い．
① 承認時間が限られている② 他に選択肢がない③ 既に利用している，契約済みである④ 承認しなければ現場の実務・サービスが滞ってしまう
当 該 承 認 担 当 者 が経 験した例 外 措 置 へのケースでは，直 前での申 請・相談を受けることもあり，迅速に内部規 程へのあてはめ，上長への報告と承認処理 への対応が求められる．類似の例外措置の申請があった場合，その措置に関わる
過 去 の事 例 を集 計 ・分 析 しておけば，直 前 での申 請 にも 迅 速 な対 応 が可 能 ではなかったかと経 験 上 感 知していた．しかし当 時は過 去 の対 応に基づいてその都度処理し，例外措置をもとに汎用的にルール化を進めることはなかった．
申請者

受 付 窓 口 ・審 査

例外措置申請

申請受付

申

書類確認
書類不備
可
審査
（許 可 ／不 許 可 ）審査結果通知副副本作成

正 本 ・台 帳 管 理
正台

申 ：記 入 済 の例 外 措 置 申 請 書
正 ：審 査 済 の例 外 措 置 申 請 書 の正 本
副 ：審 査 済 の例 外 措 置 申 請 書 の副 本
台 ：例 外 措 置 申 請 書 の管 理 台

図 3-1 A 社の例外措置の業務フロー例- 34 -

本 事 例 については，例 外 措 置 を実 施 しているが十 分 な例 外 規 程 を策 定 しているわけではない．また当該例外措置は平常時の対策基準でのものであり，「例外 措 置 」の管 理 ・運 用 および策 定 主 体 は当 該 部 門 である．上 記 (1)から(3)については例外措置として取り扱っている．

3.2

国内事例

3.2.1 官公庁
例外措置の事例として本論文において最も参考としたのが，官公庁や一部の組織において策定・実施が進められている，NISC の統一管理基準である．
この統一管理基準での例外措置は，NISC が策定するにあたって開催した有識者会議に参画し，情報セキュリティ個人情報保護の担当であった佐藤慶浩氏（当時は日本ヒューレットパッカード株式会社に所属 ）が，インシデントなどにおける例外措置を中心となって検討し取りまとめた．
以 下 はこの統 一 管 理 基 準 における例 外 措 置 の在 り方 について示 した，佐 藤氏の資料の引用とヒアリング（2015 年 8 月実施）から一部加筆したものである 41) ．
「情報セキュリティに対するインシデントに対しては，特に対応手順 や体制を整 備することが求められている．しかしインシデントを迅 速に対応 できる体制が確立していても，日常 的に発生している多くの事象を，現場の当 事者がインシデントとして認 識することに遅 れてしまうと，結 果 的に対応が遅 れてしまうことになる．
インシデントへの対応が遅れないようにするためには事後のことばかりではな
く，インシデントが発 生 する前の事 象にも広 く注 意をする必 要がある．即ちインシデントの管 理 の際 には，インシデントから始 めるのでは不 十 分 な管 理 策 となってしまう．
そこで，インシデントとなる可 能 性 や未 知 の状 況 を示 している『事 象 』が，事
業 運 営 を危 うくする確 率 及 び情 報 セキュリティを脅 かす確 率 が高 くなることで『インシデント』に変 遷 するという考え方をすることが重要 であり，インシデントの管 理 では，インシデントになる前 の事 象 も対 象 とする管 理 策 を講 じなければならない．

41) 佐 藤 慶 浩 , “企 業 における情 報 セキュリティ対 策 の実 務 ”, (オンライン).
http://yosihiro.com/speech/present-er/2014-11-29b/data/resources/2014-11-29b-enPit.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
- 35 -

ここ（統 一 管 理 基 準 ）では，計 画 準 備 段 階 として事 前 計 画 に基 づく対 応 手
順 を充 実 させて，実 際 のインシデント発 生 時 に，手 順 に従 って対 応 することを基 本にしている．しかし，その一方 で，計 画 準 備段 階に用 意した手 順がインシデントの実情に沿わないときには，手順以外の方法による対応をするための手続きが必要である．なぜなら，インシデントとは，予測不可能な状 況となることもあり，その場 合には，事 後 対応を事 前 計画 で想 定した範囲 内だけで実 施する
ことは，むしろ想定外の状況に柔軟に対応をできなくなる場合があるからである．
そのため，想定外の状況に遭遇した場合には，実際の担当者の判断で，事前に定められた措置 とは異なる例外措置ができるようにすることも必要である．
統 一 管 理 基 準 ではそのような例 外 措 置 についても管 理 策 を講 じることについて述べている．」
佐 藤 氏の知 見はインシデント対 応を想 定しており，本 研 究においては 非 常 時
例外措 置への考え方を示している．しかし本 研究における平常時 例外措 置にも転用できるものと考える．
なお NISC は例外措置の手続きの流れ（図 3-2 参照）や様式も定めている 42) ．
図 3-2 は図 3-1 をさらに詳細に業務フローを定めていることがわかる．特に，管理台帳は許可権限者（管理部門）ではなく，CISO すなわち経営側が担っている
点と，審 査の際は申 請 者（利 用 部 門）から疑 義・意 見のできる機 会 を与えている
点は特 徴的である．これは，例外措 置が利用部門で実施されることから，現場の業 務 に適 した内 容 で例 外 措 置 が見 直 される仕 組 みになっていることと，経 営 側にも例 外 措 置 の実 施 状 況 が報 告 されることで，組 織 全 体 として例 外 措 置 を 管理・運用できる体制になっていることを推定できる．
ところで統一管理基準には例外措置が明記されているものの，例外規程の文
言 はない．したがって，例 外 措 置 の実 施 は積 極 的 に推 進 しているものの，例 外規 程 として管 理 ・運 用 していないものと考 える 43 ) ．これはすなわち原 則 規 程 そのものに例 外 措 置 を策 定 しているものであり，本 論 文 で述 べているように区 別 した管理体制ではない．なお例外として区別された管理策については，統一管理基
準 及 び統 一 技 術 基 準 などで掲 載 されている．また 管 理 ・運 用 主 体 は管 理 部 門であると推定できるものの，部門ごとにカスタマイズを推奨していることから，利用

42) 内 閣 官 房 情 報 セキュリティセンター, “政 府 機 関 統 一 基 準 適 用 個 別 マニュアル群 DM2-04”, 内 閣 サ
イバーセキュリティセンター, 2011 年 4 月 . (オンライン).
https://www.nisc.go.jp/active/general/kijun_man_index.htm. ( アクセス日 : 2019 年 6 月 10 日 ).
43) なお，当 時 の担 当 者 からのヒアリングによれば，「例 外 措 置 については、かつては『必 要 に応 じ，○○
しても良 い』といった抽 象 的 委 任 が多 かったため，自 分 が担 当 して時 には，『必 要 に応 じ』は認 めず，『△△や××の場 合 等 』と必 ず例 示 せよ．その上 で『等 』を入 れるのがやむを得 ない場 合 は許 す」という方
針 を徹 底 されていたようである．説 明 責 任 を明 確 に求 めていたことが 推 定 できる．
- 36 -

部門でも策定・管理・運用している可能性はある．さらに例外措置の実施については，実 際には監 査 方 針 とも密 接 な関 係がでてくるため，政 府 の監 査 方 針 についても対策を講じる必要があると推定する．
最 高 情 報 セキュリティ
申請者

許可権限者

例外措置申請責 任 者 (CISO)

申請受付

申

書類確認
書類不備

可

上
位
へ
回
付

リスク分 析
意見記述

審査権限
不可

判断
可
審査

意

（許 可 ／不 許 可 ）審査結果通知副副副 本 ２部 作 成

審査結果報告管理台帳作成正本管理正台

申 ：本 雛 形 における記 入 済 の［例 外 措 置 申 請 書 ］
意 ：本 雛 形 における［許 可 権 限 者 が疑 義 ･意 見 がある場 合 に申 請 者 にその内 容 を書 面 で確認 するための意 見 書 ］
正 ：本 雛 形 における審 査 済 の［例 外 措 置 申 請 書 ］の正 本
副 ：本 雛 形 における審 査 済 の［例 外 措 置 申 請 書 ］の副 本
台 ：本 雛 形 における［例 外 措 置 申 請 書 の管 理 台 帳 ］

図 3-2 例外措置業務フロー- 37 -

なお本研究では，4 章以降の 2015 年度アンケート調査での表記の都合上，「統一管理基準」は平成 24 年度版（2012 年）を指すこととする．例外措置に関する策定については，2019 年 9 月 12 日現在，平成 30 年度が最新版である．
さらに統一管理基準は，平成 26 年度版（2014 年）以降は統一基準に集約されている 44)45) ．

3.2.2 民間組織
次に国内民間組織についてであるが，佐藤 氏からのヒアリングによれば，官公庁以外での例外措置の導入は複数のグローバル IT 企業の日本法人や日本の大手企業の約 20 社に同じモデルを導入している模様である（2015 年現在）．さら に ， 金 融 情 報 シ ス テ ム セ ン タ ー （ FISC ： The Center for Financial Industry
Information Systems）発 行 の「金 融 機 関 等 におけるセキュリティポリシー策 定 のための手引 書 」も当該 基準を参考にしているため，金 融 機関については日 本銀行を含め，ほぼすべてにおいて例外措置を導入しているものと考える．
本論文では先行事例調査の段階で，個別に具体的な調査・ヒアリングは実施していない．これは 3.1 節でも述べたようにセキュリティポリシーに関わる具体的な規程 策定や措置の記 載について報 告されることが少なく，例 外 措 置については
上記報告書などでは一般公開されていないことから，3.1 節で述べたように企業
秘密情報にもつながるものと判断したためである．
しかしながら，上 記 の組 織 が政 府 の統 一 管 理 基 準 に準 拠 しているならば，例
外 措 置 は実 施 されているものと推 定 する．一 方 で例 外 規 程 の策 定 の有 無 は不明 である．仮 に例 外 規 程 が策 定 されているならば，その管 理 ・運 用 は管 理 部 門が担っている可能性がある．また例外として区別する判断については不明である．

44) サイバーセキュリティ戦 略 本 部 , “政 府 機 関 の情 報 セキュリティ対 策 のための統 一 基 準 （平 成 28 年
度 版 ）”, 平 成 28 年 8 月 31 日 . (オンライン).https://www.nisc.go.jp/active/general/pdf/kijyun28.pdf.
(アクセス日 : 2019 年 6 月 10 日 ).
45) サイバーセキュリティ戦 略 本 部 , “政 府 機 関 の情 報 セキュリティ対 策 のための統 一 基 準 （平 成 30 年
度 版 ）”, 平 成 30 年 7 月 25 日 . (オンライン).
https://www.nisc.go.jp/active/general/pdf/kijyun30.pdf. ( アクセス日 : 2019 年 6 月 10 日 ).
- 38 -

3.3

国際規格・ガイドライン事例

3.3.1 ISMS
ISMS（Information Security Management System：情報セキュリティマネジメン
トシステム）は，組織の意志決定に必要な管理体制（マネジメントの仕組み）が導入 されていること，及 び情 報 セキュリティのリスクを低 減 するためのコントロール（管理策）が適切に維 持・管理されていることについて，第三者が審査することを目的とする 46)47)48)49) ．
ISMS を 実 践 す る た め の 管 理 策 に 関 す る 詳 細 な ガ イ ド と し て ，ISO/IEC27002:2013 がある 50)51) ．この中の 12 章「運用のセキュリティ」では，情報 処 理 設 備 の運 用 における管 理 目 的 及 び管 理 策 が定 められている．その中 の「12.1 運 用 の手 順 及 び責 任 」で「情 報 処 理 設 備 の正 確 かつセキュリティを保 った運 用 を確 実 にすること」が記 述 されており，さらに「12.1.1 操 作 手 順 」「12.1.2
変更管理」が記載されている．これら操作手順の e) f)，ならびに変更管理の g)h)に例外 措置 への対 応についての記載がある．これによれば例外措置を認める
場 合 は，例 外 措 置 として明 確 に規 程 等 に定 めるとともに，運 用 を変 更 する場 合に は 変 更 管 理 を 徹 底 す る こ と が 示 さ れ て い る ． す な わ ち 2013 年 度 のISO/IEC27002(2013)にもとづく ISMS への新規の認証審査もしくは更新審査を
希 望する組 織は，例 外 規程 の策 定 ・例外 措 置の実 施が求められることと推 定する．

46) ISO/IEC JTC, “ISO/IEC27001:2013”47) ISO/IEC JTC, “ISO/IEC27002:2013”48) 日 本 規 格 協 会 , “JIS Q 27001,2014（ISO/IEC27001,2013）,情 報 技 術 ―セキュリティ技 術 ―情 報 セキュリティマネジメントシステム－要 求 事 項 ”, 日 本 規 格 協 会 , 2014.
49) 中 尾 康 二 編 , ISO/IEC27001:2013 情 報 セキュリティマネジメントシステム要 求 事 項 の解 説 , 日 本 規
格 協 会 , 2014.
50) 日 本 規 格 協 会 , “JIS Q 27002,2014（ISO/IEC27002,2013）,情 報 技 術 ―セキュリティ技 術 ―情 報 セキュリティ管 理 策 の実 践 のための規 範 ”, 日 本 規 格 協 会 , 2014.
51) 中 尾 康 二 編 , ISO/IEC27002:2013 情 報 セキュリティ管 理 策 の実 践 のための規 範 , 日 本 規 格 協 会 ,2015.
- 39 -

「 12.1.1 操 作 手 順 書 」（ 抜 粋）
管 理 策:
操作手順は，文書化し，必要とする全ての利用者に対して利用可能とすること が 望ま し い
実 施 の手 引 き ：情報処理設備及び通信設備に関連する操作（例えば，コンピュータの起動・
停 止 の手 順 ，バ ッ ク ア ッ プ ，装 置 の 保 守 ，媒 体 の 取扱 い ，コ ン ピ ュ ー タ 室及 び
メ ー ルの 取 扱 い の 管 理 ・ 安 全） の 手 順 書 を 作 成 す るこ と が 望 ま し い ．
操 作 手順 に は ， 次 の 事 項 を 含む ， 操 作 上 の 指 示 を 明記 す る こ と が 望 ま し い ．
e)

作業中に発生し得る，誤り又はその他の例外状況の処理 についての指示．
これには，システムユーティリティの利用の制限を含む ．

f)

操作上又は技術上の不測の問題が発生した場合の，外部のサポート用連絡
先 を 含 む ， サ ポ ー ト 用 及 び 段 階 的 取 扱 い （ escalation） 用 の 連 絡 先システムの管理活動のための操作手順及び文書化手順は，正式な文書として取 り 扱い ，そ の 手 順 書 の 変 更は ，管 理 層 に よ っ て 認可 さ れ る こ と が 望 ま しい ．
技術的に可能であれば，情報システムは，同一の手順，ツール及びユーティリ テ ィを 用 い て ， 首 尾 一 貫 した 管 理 を 行 う こ と が 望ま し い ．

「 12.1.2 変 更 管 理 」（ 抜 粋 ）管 理 策：
情報セキュリティに影響を与える，組織，業務プロセス，情報処理設備及びシ ス テム の 変 更 は ， 管 理 す るこ と が 望 ま し い
実 施 の手 引 き ：こ の 管理 策 の 実 施 に つ い て は， 特 に ， 次 の 事 項 を 考慮 す る こ と が 望 ま し い ．
g)

う ま く い か な い 変 更 及 び こ れ に 伴 う 予 期 で き な い 事 象 を 取 り 消 し ，こ れ らから回復する手順及び責任を含む，代替手順h)イ ン シ デ ン ト の 解 決 の た め に 必 要 な 変 更 を ，迅 速 に か つ 管 理 し て 実 施 で き
る よ う に す る た め の ， 非 常 時 の 変 更 プ ロ セ ス の 提 供 （ 16.1 参 照 ）あらゆる変更の十分な管理を確実にするためには，正式な責任体制及び手順を備えていることが望ましい．変更がなされたときには，変更に関わる全ての 関 連情 報 を 含 ん だ 監 査 ロ グを 保 持 す る こ と が 望 まし い ．
関 連 情報 ：情報処理設備及びシステムの変更に対する不十分な管理は，システム又はセキュリティ不具合の一般的な原因となる ．特に，システムを開発ステージから運用ステージに移す段階では，運用環境の変更は，アプリケーションの信頼 性 に影 響 を 及 ぼ す こ と が ある

- 40 -

しかし一方で ISMS では積極的に例外措置による運用を奨励しているわけではない．2013 年版では当該記載自体が実は「例外」として残されたものとされている．すなわち ISMS においては，原則規程によってできる限り事前にあらゆる事象を想定して運用し，例外措置はなるべく少なくすることが望ましいと考えられている．そして例 外 措 置 をむやみに認 めることは運 用 範 囲 が曖 昧 になり，セキュリ
ティ確保が難しくなるおそれがあるとされている．
したがって ISO/IEC27002:2013 では個 別 具 体 的 な「実 施 の手 引 き」や関 連
情 報 に例 示 を記 載 しているわけではない．すなわち，より具 体 的 な規 程 策 定 や措置手順については各組織に委ねられていると考える．
ちなみに 2002 年版（ISO/IEC17799:2000）においては，上記該当箇所である10 章「システムの開発及び保守」にて 10.1 節「システムのセキュリティ要求事項」の 10.1.1 項「セキュリティ要件事項の分析 及び明示」では，例外措置を明確に取り扱う管理施策ではなかったことがわかっている．その後，ISMS の世界的な展開などの経緯をふまえて 2013 年版に改訂されていることに鑑みると，欧米諸国においても，例外措置 を用いた管理基準の策定 ・運用が必 要になったと推定することができる．
したがって ISMS 準拠の組織であれば例外措置は実施されており，例外規程の策 定も一 部 で見られる可 能 性 はある．管 理 ・運 用 主 体 は管 理 部 門 であると推定する．通常 措置と例外 措置の区別については，例外規程が策定されているな
らば明記されている可能性はある．

2002 年 改 訂 版 （ ISO/IEC17799:2000）
10 章 「 シ ス テ ム の 開 発 及 び 保 守 」
10.1 節 「 シ ス テ ム の セ キ ュ リ テ ィ 要 求 事 項 」
10.1.1 項 「 セ キ ュ リ テ ィ 要 件 事 項 の 分 析 及 び 明 示 」（ 抜 粋 ）「（ 前 略 ）セキ ュ リ テ ィ が 確 保で き な っ た 場 合 ，又は セ キ ュ リ テ ィ が 確 保 されていない場合に起こると思われる業務上の損害の可能性もその要求事項及び管理策に反映されることが望ましい．セキュリティ要求事項を分析し，この溶融事項を満たすための管理策を明確にするための枠組みが，リスクアセス
メ ン ト及 び リ ス ク マ ネ ジ メ ント で あ る ．（ 後 略 ）」- 41 -

3.3.2 米国 NISTNIST （National Institute of Standards and Technology，米国国立標準技術
研 究 所 ）は米 国 規 格 であるが，日 本をはじめ諸 外 国の組 織 における情 報 セキュ
リティポリシーの策 定 や情 報セキュリティ監 査 基 準 等でも参 照 されていることから，
本研究では国際規格に準ずる規格として取り上げる．
NIST は ”Guide for Security Focused Configuration Management ofInformation Systems” に て ， 情 報 セ キ ュ リ テ ィ に は ， 組 織 の 全 体 的 な CM
（Configuration Management：構成管理）が不可欠であり，CM の情報システムのセ キ ュ リ テ ィ 面 を 実 装 し た ， SecCM （ Security-focused Configuration
Management：セキュリティ構 成 管 理 ）を提 唱 し，情 報 セキュリティの集 中 管 理 を主張している 52)53)54)55)56) ．
SecCM はセキュリティを実 現 するための情 報 システムの構 成 の管 理 と制 御 として定 義 され，「IT ビジネスアプリケーションの機 能 」と「セキュリティに重 点 を置いた訓 練 」の両 方 を単 一 のプロセスとして統 合 すること が期 待 されている．このSecCM 訓練に例外措置が明記されている．
SecCM ではまずセキュリティで保護 された構成 設定を確立するための基本として，一 般 的 なセキュリティ構 成 を検 討 する．構 成 設 定 に関 してはナショナルチェックリストプログラム (http://checklists.nist.gov) を参照する．これらのチェックリ
ストは，幅 広 い商 用 製 品 を網 羅 しており，SCAP (Security Content Automation
Protocol)対 応 ツールによる自 動 評 価 を容 易 にするために標 準 化 された形 式 で書かれている．
次 にセキュリティで保 護 された構 成 を開 発 し，組 織 全 体 の一 貫 性 を確 保 する
ためのトップダウンアプローチで実装することで，確立されたドメイン全体にわたって，安 全 な構 成 ポリシーを一 元 的 に配 布 できるようにする ．一 方 で，ローカルの制約や要 件をサポートするために特 定の情 報システムの構 成を調 整するために，
組 織ごとの情報セキュリティポリシーの例外を必要とする場 合があることを策定している．この例外措置 は必ず文書化し，その情報システムのベースライン構成の一部として承認することを求めている．
このように，NIST が提供する情報セキュリティに関する規格 の一部にも，例外
52) NIST, “SP800・FIPS”, (オンライン). http://csrc.nist.gov/publications/PubsSPs.html. ( アクセス日 :2019 年 6 月 10 日 ).
53) NIST, “Information Security Handbook: A Guide for Managers ”, NIST Special Publication 800 100, 2006.
54) NIST, “Information Security Guide For Government Executives ”, NISTIR 7359, 2007.
55) NIST, “Guide for Security-Focused Configuration Management of Information Systems ”, NIST
Special Publication 800-128, 2011.
56) NIST, “Guide to General Server Security”, NIST Special Publication 800 -123, 2008.
- 42 -

措 置に関わる申請・承 認手続きが付加されていることが分かる．また文書化を求めていることから，一 部 は例 外 規 程 として策 定 されている可 能 性 がある．非 常 時
のみならず平常時の対策基準でも適用されているものと考えられるため，例外措置も当該基準に適用されているものと推定する．例外措置の管理・運用は，ロー
カルでの制約などを考 慮していることから，管 理部門・利用 部門それぞれで担っている可 能 性 がある．仮 に例 外 規 程 があるならば，その策 定 についても管 理 部
門 ・利 用 部 門 それぞれで担 っていると考 えられ，原 則 規 程 と区 別 しているものと推定する．

- 43 -

3.4

海外事例

3.4.1 日本企業海外法人
本 研 究 では日 本 企 業 のある米 国 法 人 での例 として，「例 外 処 理 におけるガイ
ドラインと手順（Exception Handling Guidelines and Procedures）」 57) の考え方を
紹 介 する．なお本 事 例 についても一 般 に公 開 されていないため， ヒアリング（2015 年実施）によって得た法人の考え方を紹介する．
各項目と主な内容を表 3-1 に示す．統一管理基準と同様，原則規程では対処が難しい事象に対して例外を適用しているが，特徴として 2 点あげられる．
一つは原則規程からのコンプライアンス違反について「逸脱（deviation）」を定義し，その逸脱の範囲を厳密に選定したうえで，例外規程を策定している点である．これにより例 外 措 置 が与 えるリスクをできる限 り把 握 する仕 組 みができていると考える．
もう一 つは例外規程を策定するにあたり，原 則規程から逸脱しなくてはならない事由を必ず提出させている点である．これは「Comply or Explain（原則を実施するか，実施しない場合はその理由を説明するか）」の考えに帰するものである．
例 外 措 置の適 用を申 請するのであれば，申 請 部 門に対して説 明 責 任を負 わせる．これにより例外措置によって起こりうるリスクを理解させ，情報セキュリティの確保を図っていく．
なお，この「Comply or Explain」の考 えについては，日 本 社 会 においても通用・活 用されてきている．例えば，金 融 庁 及 び東 京 証券 取 引 所を共 同事 務 局とする「コーポレートガバナンス・コードの策定 に関する有 識者 会議」 では，上場 企
業がそれぞれ実現を目指す企業統治のあり方を，当該会議が提案しているコー
ポレートガバナンス・コードに照合 する際に，「Comply or Explain」の導入を提案している 58) ．
本事 例は，数 少ない例外 規 程を例 示 できたものである．例 外 規 程を策 定した
上で平常時の対策基準での例外措置として実施されている．管理・運用は管理部 門 が担 うが，様 々な利 用 部 門 に柔 軟 に対 応 できるよう協 調 して 策 定 している
傾向にもあるという．内容については企業秘密であり示されていないが，例外として区別する判断についても組織内でなされているものと推定する．

57) 実 際 の規 程 名 称 のため「例 外 処 理 ～」とそのまま掲 載 している
58) 山 内 達 夫 , “コーポレートガバナンス・コードの基 本 的 な考 え方 （案 ）の解 説 ”, テクニカルセンター 会
計 情 報 , vol.463, 2015.
- 44 -

表 3-1 例外処理におけるガイドラインと手順 （抜粋）
1

序論

省略
「セキュリティ方針または標準」（以下、規定等）からの逸脱程度を例外規定として策定
2
目的
例外措置を承認するための上申手続きの策定
3
範囲
社内全体のおける規定等へのコンプライアンス違反事象「逸脱」「例外」「申請者」「欠陥行為を補完するコントロール」を定義
このうち、「逸脱」「例外」は次の通り
逸脱：規定等の中の特定コントロールに対するコンプライアンス違反の例。
4
定義
それは情報資産への通常リスクより高い事が想定される。
例外：適切な承認を受けて規定化された逸脱を言う。
通常ならば規定等に対する違反行為だが、特別のアクティビティまたはプロセスが許可される。
例外は設備面・運用面において事前に規定・承認が必要
例外は社内全組織に効力
例外は現場からの要請を基に規定・承認される
5 ガイドライン
例外は定期的はレビューが必要
例外は常に参照できるよう管理
例外の運用は現場に責任の役割を担う
リスク分析は、情報セキュリティ部門が担う。
情報セキュリティ部門はリスクを適切に識別し、例外規定に必要な条件をリスト化する。
6
責任例外規定の今後の可否や拡張への検討にはレビューが必要。
例外規定が拡張される場合は、当該規定を策定した担当者の承認が必要。
情報セキュリティの例外規定には逸脱とリスクに関して明記しなくてはならない。
申請者は現場での職務を遂行するために要求する逸脱を明記しなくてはならない。
申請者はそれをもとに例外措置を要求できる。
逸脱に関する情報は、以下を明記しなければならない：
参照（逸脱の ・逸脱の内容説明
7
処理）
・逸脱が関連する規程等の参照箇所
・施設、人員またはシステム等で確認されるリスクの直接的な影響・現場で逸脱が適切とされる理由
・逸脱と関連してリスクを制限する補償コントロールまたは要因
・逸脱を報告する者の名前
・逸脱内容の明文化
例外管理プ ・リスクを最小化するための必要な補償コントロール等の識別8
ロセス
・認可プロセスを調整する
・例外規定の周期的なレビュー など
現場での業務遂行において、規定等への逸脱が適切とされるならば、例外規定を策定しなけ
ればならない。
エスカレー 現場を横断的に確認されたリスクに対する例外規定を策定する場合は、必要に応じてリスクの9
ション
影響を受ける現場からの認可を得る。
責任者は少なくとも例外措置による危険性を詳細に現場に伝達しし、リスクの影響を受ける現場から、例外規定の承認を得る。

- 45 -

3.4.2 欧州医薬品庁
欧州医薬品庁（EMA，European Medicines Agency）は 1995 年に設立され，EU 内の既存医薬品規制当局における業務の協調を目的に，EU と製薬業界からの資金提供と加盟国からの間接的な補助金で設立された（本部ロンドン）．
この欧 州 医 薬 品 庁 における標 準 的 な操 作 手 順 書 において，「例 外 および法令 順 守 非 適 用 事 象 への要 求 と記 録 」に関 する手 引 きがある 59 ) ．この中 で，例 外と違反を以下のように定義している．なお原文は英語で表記されており筆者が和訳している．
例外：
確 立 され た 手 順 （ 確 立 さ れ た手 順 の 1 つ また は 複 数の ス テ ッ プ を 別 の 手 段に置 換 また は 手 段 を 省 略 す る 行為 ）ま た は 制 御 の オ ーバ ー ラ イ ド（ 以 前 の 制御 結
果 に 反す る 行 為 ）か ら の 逸 脱で あ る が ，規 制 ま た は契 約 上 の 規 程（ 例：欧 州 医
薬 品 庁外 の 事 業 体 と の 契 約）が 遵 守 さ れて お り，既 存 の 手 順 では 予 見 で きず ，
措 置 が講 じ ら れ る 前 に 責 任 者が 事 前 承 認 す る も の ．
違反：確立された手順からの逸脱，または既存の規制における制御の差し替え，契約 上 の規 程 に 違 反 す る 可 能 性が あ っ て ，行 為 が 取 られ た 後 に 検 出 さ れ る もの ．
ここでいう手順とは，例えば内部実装ル ール，マニュアル，ガイドラインな
ど を 指す ．

これらをもとに，所定の申請 書によって例外 申請を受 け付 ける手 順となっている．
なお，例 外 措 置 の申 請 ・承 認 手 続 きを運 用 している組 織 は他 にもみられる．
（本研究で調べた限りでは，例えば，米国アトランタ州 Children’s Healthcare ofAtlanta 社 60 ） ，米国ミシガン州 INFORSEC INSTITUTE 61) ，英国 Birmingham
and Solihull Mental Health NHS Foundation Trust 62) など）
上記機関を調査した限りでは，例外措置の実施は認められるものの例外規程
59) European Medicines Agency, “Requesting and recording of exception s and non-complianceevents, Standard”, European Medicines Agency Standard operation procedure, 2018.
60) Children’s Healthcare of Atlanta, “Information Management, Administrative and Operational
Policies and Procedures”, (オンライン). https://www.choa.org/~/media/files/Childrens/research/ittechnology-acceptable-use-form.pdf?la=en/ (アクセス日 : 2019 年 6 月 10 日 ).
61) Inforsec Institute, “Exception Management - InfoSec Resources” - (オンライン).
https://resources.infosecinstitute.com/exception -management/#gref. (アクセス日 : 2019 年 6 月 10日 ).
62) Birmingham and Solihull Mental Health NHS Foundation Trust, “information systems security
policy (issp)”. (オンライン).
https://www.bsmhft.nhs.uk/EasysiteWeb/getresource.axd?AssetID=4448&type=full&servicetype=At
tachment. (アクセス日 : 2019 年 6 月 10 日 ).
- 46 -

を策定しているかどうかは不明であった．管理・運用 主体は管理部門のみであると考える．また例 外として区 別する判断については明らかではないが，申 請書か
ら推定するに，自組織管理のシステムやサービスにおいて，通常と異なる運用をする場合や，自組織管理外のシステムを自組織内で利用する場合において，例
外措置の対象とするものと考えられる．

- 47 -

3.5

海外の大学での先行事例

海外事例を調査するに従い，海外の大学 での事例がある程度占めたことから，
本節では大学の事例 として分けて，例外措置の運用について紹介する．大学では，一 つの大 きい組 織 として統 一 的 な方 針 を立 てて，情 報 セキュリティに対 応 しているが，研究内容によって変更しなければならない．そのため例外措置を設けているところが多い．以下 にその例を示す．

3.5.1 米国 ジョージア工科大学
米国ジョージア工科大学 （Georgia Institute of Technology）では，予め大学における情 報セキュリティポリシーが，申 請 する項 目 ごと（例えば，コンピュータネッ
トワークセキュリティ手順，データアクセスポリシー等）に閲覧できるようになっている．その上で希望する項目での例外を申請するために，以下の項目を所定の申請 書 に明 確 に記 載 した上 で，所 定 の電 子 メールアドレスに送 信 する手 順 となっている 63) ．
例 外 適用 申 請 情 報
・ 例 外 適用 を 要 求 す る 理 由 を 明記 す る ．
・ 例 外 措置 が 適 用 さ れ る シ ス テム ま た は ネ ッ ト ワ ー クの 一 覧 を 明 記 す る ．マ
シ ン 名と IP ア ド レ ス の 一 覧も 記 載 す る ．
・ 機密性の高いまたはビジネスクリティカルなデータが含まれる場合は列挙 す る．
・ 潜 在 的な リ ス ク を 軽 減 す る ため に ， 全 て 緩 和 策 を 記載 す る ．

なお例外措置の有効 期間は最初の例外 承 認 日から最大 12 か月 とされ，更新 または終 了 を希 望 する場 合 は，承 認 決 定 を受 けるためのレビューが必 須 となっている．このように例 外 措 置 の申 請 にあたっては，その理 由 を示 し，実 施 内 容と不具合時への対処方法の明記が，予め求められていることがわかる．
なお例 外 規 程 を策 定 しているかどうかは不 明 である．管 理 ・運 用 主 体 は管 理部門のみと推定する．例外として区別する判断については明らかではないが，申請 情 報 の記 載 項 目 から，大 学 管 理 のシステムやサービスにおいて，通 常 と異 なる運用をする場合に例外措置の対象とするものと考える．

63) Georgia Institute of Technology, “Policy Exceptions”, (オンライン).
https://policylibrary.gatech.edu/information -technology/policy-exceptions. (アクセス日 : 2019 年 6
月 10 日 ).
- 48 -

3.5.2 米国 ルイビル大学
米国ケンタッキー州のルイビル大学 （University of Louisville）では，情報セキ
ュ リ テ ィ を 専 門 に 取 り 扱 う 事 務 局 が ， 大 学 の 情 報 資 産 に か か る C.I.A.
（Confidentiality；秘 匿 性 ，Integrity；完 全 性 ，Availability；可 用 性 ）を管 理 ・運用 する目 的 で，学 生 ・教 職 員 向 けに下 記 の項 目 で構 成 された情 報 セキュリティ
プログラムを提供し公開している．
・ 情報セキュリティのポリシー，基準，ガイドラインの開発とコミュニケーション
・ 情報セキュリティの意識向上とトレーニング
・ 情報セキュリティのインシデント対応
・ 識別，評価，情報セキュリティ上のリスクの軽減
・ 大学のコンプライアンスへの取り組みや情報セキュリティ関連プログラムのサポート
この中の情報セキュリティポリシーおよび基準において，例外措置の申請規則が明 記しており，これに基づいて申 請 者 が例 外 申 請 を行 う手 続 きとなっている．
当該規則の概要は以下の通りである 64) ．
「規 制 ，コンプライアンス，C.I.A.要 件など情 報セキュリティに関する事 項は，大学が一元的にサポートまたは推奨する規程に基づくのが望ましいが，全ての学部や研究室等において常に適用できないことは理解している．したがって原則 的 には，一 元 的 にサポートあるいは推 奨 された技 術 手 法 からの逸 脱 は 認 め
ない．しかし正当なビジネス目的や研究目的がある場合において，適切な代替技術手段を実施し，管理維持でき，既存の大学の運営 方針と標準に相当するのであれば，例外を考慮することがある．」
この内 容は，他の事 例 と同 様に，例 外 措 置の承 認には，原 則規 程 と同 等のリ
スク軽 減 が代 替 手 段 によって期 待できることを条 件の一つにしている．また例 外
措 置 のプロセスを遵 守 するよう厳 格 に定 められていることから，例 外 措 置 からの逸脱は認めないことが明らかである．以下は例外措置の申請プロセスである．

64) University of Louisville, “Policy Exception Process”,(オンライン).https://louisville.edu/security/policies/policy-exception-process. (アクセス日 : 2019 年 6
月 10 日 ).
- 49 -

実 施 基準 ：情 報 セキュリティポリシーや基 準 に準 拠 できない学 校 ，部 署 ，または他 の団 体 は，セキュリティ上の例 外 を提 出 する必 要がある．簡 易 的 な例 外 申 請 を除き，申 請 時において
代 替 手 段または技 術 的にかかる直 接 的 ／間 接 的な費 用 を提 示する必 要がある．「情 報セキュリティポリシー例 外 リクエストテンプレート」（以 下 を参 照 ）を利 用 し，法 律 ，規 制 ，
大 学 政 策 ，想 定 されるリスク，規 制 環 境 に合 致 する技 術 的 ，物 理 的 および行 政 上 の要件を記 載すること．

申請・承認の流れ：
1.

予備審査：
例 外 申 請 書 を 完 成 さ せ る 前 に ，申 請 書 の 初 期 書 式 を も と に オ ン ラ イ ン 伺 い を送信し，事前審査を受ける．

2.

例外申請書の提出
受 容 可 能 な 潜 在 的 な リ ス ク レ ベ ル で あ り ，大 学 管 理 の 適 切 な レ ベ ル で あ る こと が 承 認 の 条 件 で あ り ，（ 責 任 者 の ） サ イ ン の 記 載 が 必 要
ビ ジ ネ ス お よ び /ま た は 研 究 内 容 ：➢ （標準・応用）技術およびプロセス，該当するポリシー番号など．
➢ サ ポ ー ト さ れ て い る ，ま た は 推 奨 さ れ て い る 技 術 手 法 ま た は 標 準 が ，IT を含む申請要件を満たさない事由．
➢ 管理センターが管理制御するための手段➢ 実 施 に 必 要 な ラ イ セ ン ス の コ ス ト ，ハ ー ド ウ ェ ア ，ソ フ ト ウ エ ア ，イ ン フ
ラ ，ト レ ー ニ ン グ や 手 続 き 文 書 ，行 政 お よ び サ ポ ー ト 担 当 者 ，一 時 的 な コ
ン サ ル タ ン ト ，災 害 復 旧 ，バ ッ ク ア ッ プ ，ビ ジ ネ ス 継 続 性 ，お よ び サ ポ ートするための資金調達を含む実装方法やメンテナンスに係るコストを予測する技術的手法
データ評価：➢ データの定義➢ 希望するユーザ（教員，職員，研究員，学生，臨床技師など）のデータ➢ 法 律 /規 制（ HIPAA，FERPA，PCI，NIH の 要 件 ，そ の 他 の 法 律 や 規 制 な ど ），一 般 的 な プ ラ イ バ シ ー ま た は 知 的 財 産 等 に 関 す る 懸 念 事 項 ，大 学 の 方 針 及び /又 は 慎 重 な 実 践 に よ る デ ー タ ア ク セ ス 制 限 要 件 ．
➢ こ の デ ー タ と ア ク セ ス を 管 理 し ，オ ペ レ ー テ ィ ン グ シ ス テ ム ，デ ー タ ベ ー
ス ，ア プ リ ケ ー シ ョ ン お よ び そ の 他 の 手 段 に よ る ハ ー ド ウ ェ ア お よ び そ の他の関連インフラストラクチャの物理的なセキュリティを含む論理セキ
ュリティを含むセキュリティ方法論．
実施計画➢ プロジェクト実施計画とリソース ，実施に向けたタイムライン．
保全計画➢ 継 続 的 な 保 守 ，管 理 ，ユ ー ザ ー ト レ ー ニ ン グ ，偶 発 事 象 に 特 化 し た 計 画 とリソース．

- 50 -

3.

申請書は審査委員会での審査
委 員 会 に は ，情 報 セ キ ュ リ テ ィ 責 任 者（ ISO）お よ び 情 報 技 術（ IT）の 代 表 者
ならびにアドバイザリー能力のある監査サービスが含まれる こと．
➢ リスク受諾書➢ 委員会は，担当エンティティのリスク受諾書を完成させる ．この文書は，
実 施 者 が 想 定 し て い る リ ス ク を 特 定 す る も の で あ る ．こ の 書 式 は ，当 該 提案 が 実 施 の た め に 承 認 さ れ て い る 場 合 に は ，委 員 会 の 文 書 の 評 価（ 上 記 のとおり）に基づいて文書化される ．
➢ リ ス ク 受 諾 書 ，受 け 入 れ 承 認 と 署 名 は 副 学 長 が 行 う ． こ の 承 認 は ，管 理 者がプロジェクトとシステムに内在するリスクを認識し ，それを受け入れ，エ ン テ ィ テ ィ リ ソ ー ス を 使 用 し て シ ス テ ム を 維 持 し ，発 生 す る リ ス ク イ ベ
ントを軽減することが文書化されている．
特 別 な 状 況 を 除 き ，徹 底 し て 完 全 な 提 案 が あ れ ば ，審 査 委 員 会 は 受 領 後 30 日以内に提案書を審査し承認する．
承 認 さ れ た 場 合 ，申 請 者 は 実 施 を 続 行 す る ．IT の サ ブ ジ ェ ク ト マ タ ー エ キ ス
パ ー ト （ SME） は ， 計 画 ま た は 適 切 な 変 更 の 遵 守 の 実 施 状 況 を 監 視 す る ． 実 装が計画通りに進めば，技術またはプロセスは生産に移行すること ができる．
注 ： SME は プ ロ ジ ェ ク ト マ ネ ー ジ ャ ー で は な い こ と ．
例外の申請が却下された場合，または計画どおりに実施できない場合，申請者は修正するか，代替ソリューションを探すことができる．

4.

今後のレビューまたは監査
監 査 サ ー ビ ス ，情 報 セ キ ュ リ テ ィ ，組 織 の コ ン プ ラ イ ア ン ス ，IT ま た は 大 学の マ ネ ジ メ ン ト に つ い て は ，計 画 ，セ キ ュ リ テ ィ な ど が 継 続 的 に 遵 守 さ れ て い
るかどうか技術的審査を行うことがある．

実施責任：
政 策 当 局 /施 行 ： 大 学 の 情 報 セ キ ュ リ テ ィ 責 任 者 （ ISO） は ， こ れ ら の 方 針 と 基
準 の 開 発 ， 公 表 ， 変 更 ， 監 督 を 担 当 す る ． ISO は ， 大 学 の リ ー ダ ー シ ッ プ ， 情報 技 術 ，監 査 サ ー ビ ス な ど と 連 携 し て ，こ れ ら の ポ リ シ ー と 標 準 の 開 発 ，監 視 ，実施を行う．
ポ リ シ ー の 遵 守：こ れ ら の ポ リ シ ー ，基 準 ，お よ び /ま た は 関 連 す る 情 報 セ キ ュ
リ テ ィ ポ リ シ ー ， 標 準 ま た は 手 続 き を 遵 守 し な い と ，地 方 自 治 体 の 条 例 ， 州 法
または連邦法に従い，雇用，サービスまたは大学との関係の終了を含む懲戒処分が発生する可能性がある．

例 外 措 置 の申 請 プロセスを見 る限 り，当 該 大 学 の事 例 は 例 外 規 程 を策 定 しているのと同 等 であると考える．また管 理・運 用 主 体は管 理部 門のみと推定する．
なお例外として区別する判断については明らかではない．

3.5.3 英国 ノッティンガム大学
ノッティンガム大学（University of Nottingham）は，英国ノッティンガム市にキャンパスを置く，1881 年設立の大規模研究型大学である．設立当初はロンドン大
学のカレッジであったが，1948 年にノッティンガム大学として独立 ．アジア・パシフ
ィック地域との連携強化のため，マレーシア・中国にもキャンパスを開校し，イギリスの中でもグローバル度の高い大学とされている．
当 大 学 でのセキュリティポリシーは，情 報 システムおよびその運 用 ，インフラ，
あるいは大 学 の評 判 に影 響 を及 ぼす可 能 性 のある情 報 など，セキュリティ問 題から大学を守ることを目的としている．さらに大学のすべてのメンバーに情報セキ- 51 -

ュリティ問題への意識を高めることも掲げている．
情 報 セキュリティポリシーは下 記 の項 目 ごとにそれぞれ定 義 ，策 定 されている．

情 報 セキ ュ リ テ ィ ポ リ シ ー 定義 項 目
・ ア ン チウ イ ル ス 対 策・ 情 報 資産 運 用 管 理・ 監査・ PC，モ バ イ ル 機器
・ ダ イ アル ア ウ ト・ 電 子 メー ル・ 暗号化・ ネ ッ トワ ー ク モ ニ タ リ ン グ（ ネ ット ワ ー ク 制 御 ・ 接 続 ，パ ス ワ ー ド ， 物 理 的 セキ ュ リ テ ィ ， リ モ ー ト
ア ク セス ， サ ー バ セ キ ュ リ ティ ， サ ー ド パ ー テ ィ のリ モ ー ト ア ク セ ス ）この情 報セキュリティポリシーにおけるいくつかの項 目に例 外 措 置 が明 記 されている．例えば，個人利用の PC やサーバへのセキュリティパッチ，大学キャンパ
スからのダイアルアウトアクセス，ワイアレスアクセスポイントへの接続 ，サードパー
ティのリモートアクセスサービスなどがある 65) ．
例外申請への承認には，CIO (Chief Information Officer；最高情報責任者)
あるいは CIO などが指名した人，もしくは UEB (大学執行委員会)の判断による事前承認が必要となっている．
例 外 規 程を策 定しているかどうかは不 明 である．管 理 ・運 用 主 体 は管 理 部 門
のみであると考 える．また例 外 として区 別 する判 断 については，内 容 は明らかではないが，上記ポリシーにて明記されているものと推定する．
なお，例 外 措 置 の申 請 ・承 認 手 続 きを運 用 している組 織 は他 にもみられる．
（ 本 研 究 で 調 べ た 限 り で は ， 例 え ば ， 米 国 オ ハ イ オ 州 Youngstown state
university 66 ） ，フィンランド VAMK(University of applied sciences) 67) など）
いずれも他大学と同様の傾向にあると推定している．

65) The University of Nottingham, “Information Security Policy 2015/16”, (オンライン).https://www.nottingham.ac.uk/legalservices/documents/information -security-policy.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
66) Youngstown state university, “Overview of IT Security Waivers and Exceptions ”,(オンライン).https://cms.ysu.edu/administrative -offices/it-security-services/overview-it-securitywaivers-and-exceptions. (アクセス日 : 2019 年 6 月 10 日 ).
67) VAMK(University of applied sciences), “Information Security Policy”, (オンライン).
http://www.puv.fi/en/study/it-basics/rules/policy/. (アクセス日 : 2019 年 6 月 10 日 ).
- 52 -

3.6

先行事例・調査からの考察

例 外 措 置に関する国 内外の先行 事 例を調 査した結果 ，以 下の点 が明らかになった．
まず国 内 では，政 府 が統 一 管 理 基 準 によって例 外 措 置 への対 応 を明 記しており，情報セキュリティ対策での例外措置の必要性を示している．さらには申請・承認における過程を図示し，各省庁で導 入しやすいように工夫している．この 統一管理基準をもとに省庁や関連組織だけでなく，金融など民間企業 の一部でも例外措置が実施されていることがわかった．
しかしながら，政 府 統 一 管 理 基 準 では例 外 規 程 の記 載 がなく，例 外 規 程 として策定しているのかどうかは本調査だけでは明らかにはならなかった．例外規 程については，組織の情報セキュリティポリシーが盛り込まれた内部規 程 が非公開であることが多いことから，先行事例が少ないものと推定する．
次に国際規格・ガイドラインでは，ISMS に例外措置の管理・運 用が含められていることから，ISMS の認 定 を受 けている（受 けようとしている）組 織 であれば，例外措置の活用は必要であると考える．さらには 2013 年の ISO/IEC27002 改正
に際して例 外 事 項 が残 されたことは，欧 米 諸 国 にも情 報 セキュリティにおける例
外 措 置の必 要 性があるものと推 定できる．おそらく例 外 規 程 としては明 記 せず，
原則規程を改定する中で例外措置として実施し，例外規程の概念を取り入れている事例が存在するのではないかと考える．
一 方 ，欧 米 での民 間 組 織 や大 学 の一 部 でも，例 外 措 置 への申 請 ・承 認 ・運用 の事 例が見られた．このことから海 外の事 例においても，例 外 規 程 として予 め
策 定 しているとみなせるところが一 部 あるものと推 定 する．例 えば例 外 規 程 を策定 する際 には，予 め原 則 規 程 からの逸 脱 を把 握 し，管 理 部 門 が利 用 部 門 に対し「Comply or Explain」を求める事例がみられた．あるいは承認された例外措置
範囲から逸 脱する行 為は違 反の対象 となることを，管 理 部門から利用 部 門に示すことで，事後の利用者側の責任所在を明確に与える事例もあった．
しかしながら，本論文での先行事例調査の範囲では，多くの組織 が例外規程を策定して例外措置を実施しているかどうかを判定することはできなかった．また
調 査した全 ての組 織 が，非常 時のみならず平 常 時の対策 基 準での例 外 措 置を実施していることはわかったものの，管理・運用 の主体 部門については，管 理部
門 が多 いものと推 定 するに留 まった．さらに通 常 措 置 と例 外 措 置 の区 別 については，多くの組織が不明であった．
本考察をさらに第 2 章の用語，さらには必要性と限界での観点で再考 してみる．例外措置という用語は利用されているが，例外規程（英単語では- 53 -

exceptional rules あるは exception(al) regulation ほか近似ワードなど）は明確に見当たらなかった．3.4.1 項の事例では「例外規定」とされているが，これは本論文での「例外規程」とみなせば，本論文での唯一の活用 例ではないかと考える．
また調査した全ての組織が，平常時の対策基準での例外措置を実施していることはわかった．
例 外 の必 要 性 については，どの先 行 事 例 においても具 体 的 に記 述 されては
いなか っ た ．し か し 例 外 規 程 を 策 定 し て い た 組 織 の 事 例 （ 3.4.1 項 ， ある いは
3.5.2 項も含まれる可能性あり）では，業務効率を図る目的で例外規程への必要性があるのではないかと推 定する．さらに例 外が持つ限 界への取 り組みとしては，
事 前 の例 外 申 請 がない逸 脱 行 為 は違 反 と断 定 され，罰 則 の対 象 と明 記 している組織が多い（3.4.1 項，3.5.1 項，3.5.3 項）．これは厳罰化への具体的な取り組
みを示す上で興味深 い結果である．さらに利用部門での例外からの逸脱も認めない事例（3.5.2 項）も見 られた．これらの知見により，本調査において例外の必要性や限界に関わる先行事例が最低限 得られたものと考える．

- 54 -

小括
本章では，例外の実態を把握するために，研究対象である「平常時の対策基準における例 外 」に関 する先 行 事 例 （国 内 事 例 ，国 際 規 格 事 例 ，海 外 事 例 ）の調査結果を紹介した．
本論文において最も参考としたのが例外措置を体系的に記述している NISCの統 一 管 理 基 準 である．これをもとに日 本 では省 庁 や関 連 組 織 だけでなく，金融機 関等の民間 企業 の一部 で例外 措置 が実施されていることがわかった．またISMS 認定を受けている組織であれば，例外措置の導入が不可欠であると考える．さらに国 際 規 格 や海 外 の企 業 の事 例 では，一 部 の組 織 がすでに例 外 規 程を導入し，例外措 置の申請・承認・運用がなされている．さらに事前の例外申請がない逸 脱 行 為は違 反 と認 定 され罰 則の対 象 と明 記している組 織が多 いことも
興味深い．
しかし，先 行 事 例 の多 くは申 請 手 続 きに関 するものが多 く，組 織 が例 外 規 程を策 定して例 外 措 置 を実 施しているかどうかについては判 定 することはできなかった．また管理・運用の主体部門については，管理部門が多いと推定できないものの断定はできなかった．さらにどのような原則規程からの逸脱行為が例外措置とされているかについては，多 くの組 織 が不 明 であった．例 外 規 程 や例 外 措 置の実態に関する包括的な統計資料を取り扱った文献もなかった．
先 行 事 例 調 査 から，例 外 措 置 を実 施 しているだけでなく，例 外 規 程 によって管 理 ・運 用 している組 織 では，業 務 の効 率 化 が図られているものと推 定 する．しかし直 接 的 に公 表 されているわけではないことから明 確 に判 定 することはできな
かった．
そこで本 研 究 では，直 接 組 織 に例 外 措 置 の実 施 及 び例 外 規 程 の策 定 における実 態について回答を求めるために，第４章のアンケート調査の実施につなげていくことにした．

- 55 -

4. 例外の実態の把握
第 3 章の先行事例調査では，原則規程からの逸脱 に対し，例外措置の適用と違反とを区別している組織，また例外措置 の申請・承認・運用手 順を活用している複 数 の組 織 について把 握 することができた．一 方 で，組 織 が例 外 規 程 を策定して例外措置を実施しているかどうかを判定することはできなかった．また調査した全ての組 織が，非 常 時のみならず平 常 時の対 策 基準 での例 外 措 置を実 施
していることがわかったものの，管 理・運 用 の主 体 部 門については，管理 部 門 が多いと推定するに留まった．
本章では，第 3 章の結果を受けて，例外措置の実態を把握するために実施したアンケート調査について述べ，調査結果から課題と対策に向けて述べる．

4.1

アンケート調査における例外に関する「想定」

本 研究 では，組織における例外規程および例外措置の実態と効果を把握するために，第 2 章の用語の定義と研究対象 をもとに，3.6 節の考察から表 4-1 に示す例外に関する 8 つの「想定」 68) をたてた．
表 4-1 例外に関する想定（想定 1）

例外規程はある程度普及している（想定 2）

内 部 規 程 にない例 外 措 置 は，経 営 判 断 だけでなく，現 場 判 断でも実施できる（想定 3）

例外規程の策定時は，他の先行事例等を参考にしている（想定 4）

例外規程は，現場組織によって異なっている（想定 5）

例外規程は定期的に見直されている（想定 6）

例外措置の実施手順を明記し，特に罰則とセットにしている（想定 7）

原則規程か例外規程 かのどちらを策定するかの傾向がわかる（想定 8）

例外規程への評価を定量的に明示化でき，セキュリティ上の満足度が分かりやすくなる「想定」は第 2 章及び 3.6 節の考察から，次のような根拠をもとに設定している．まず例外規程の策 定実態を把握するために，例外規程がある程度普及して68) 本 研 究 での「想 定 」については，いわゆる自 然 科 学 で取 り扱 われる「仮 説 」の設 定 で求 められる厳 密
な検 証 ・検 定 を要 しているものではないとする- 56 -

いるとして，「想定 1」を設定した．次に例外規程 を策定，管理・運用する組織の主体部門を調べるため，例外措置は部門ごとでも実施 しており（想定 2），その上で規程を策定する際は，他の先行事例を参考にしながら（想定 3），部門ごと（設問では現場組織）に異なったものを策定する（想定 4）ものとして設定した．
次に，例 外は原則の補完であり，一時 的な規程・措 置であることから，例外規程は定期的に見直されているとして「想定 5」を設定した．さらに，例外の限界による厳罰化への留意点から，例外規程には罰則をセットにしているとして「想定 6」を設定した．
そして組織における管理策において，そもそも原則規程としているのか例外規程としているのかをたずねることで，例外 規 程を策定する傾向を知ることができるとして「想定 7」を設 定 した．最 後に，例 外規 程の効 用であり業 務 効率の向 上を知 る一つの手段として，例外規程への評価 を定量的に明示化 でき，セキュリティ
上の満足度が分かりやすくなるとして「想定 8」を設定した．
なお，このうち想定 1 から想定 6 については，例外の実態に関する「想定」とし，NISC の統 一 管 理 基 準 も参 考 にして設 定 した．これは，統 一 管 理 基 準 が例
外措置を具体的に実 施するための手順やひな形を提供している点，組織ごとにカスタマイズすることを指示している点，ならびに罰則がセットされている点による．
これらが組 織 によって実 施 されているか調 査 することは，統 一 管 理 基 準 の必 要性が明らかになることにつながるとも考える．また想定 7 及び想定 8 は，例外規程 に関 する評 価 について「想 定 」としたものである．なお「想 定 」を設 定 するにあ
たっては，これまでの筆者の実務経験も考慮している．
本研究では，「想定」を検証する手段として 4.2 節以降に述べるアンケート調査を利用している．想定 1 から想定 7 については本章，そして想定 8 について
は付録第 A1 章でそれぞれ分析・考察している．

- 57 -

4.2

2015 年度アンケート調査

4.1 節で設定した「想定」をもとに例外措置の実態を把握するためにアンケート調査を実施した 69) ．

4.2.1 アンケート調査実施内容（全体）各 組 織 で情 報 セキュリティに関 わる例 外 措 置 および例 外 規 程 の実 態 を把 握するために，2015 年度の情報セキュリティ大学院大学原田研究室 で実施したアンケートの一部（第 3 章）として，例外措置 に関連する設問を盛り込んだ．
当研究室では 2015 年 8 月に「情報セキュリティ調査」アンケートを郵送にて実施した．対 象は，日 本 国 内のプライバシーマーク取 得 組 織， ISMS 認 証 取 得 組
織，BCMS 認証取得組織，官公庁，教育機関などから選んだ 4,500 組織（送達確認できたのは 4,373 組織）である．その結果 352 件（8.0％）の回答が得られた．
なお，本調査においては回答の未記 入および択一問 題における重複回 答等の無効回答は，無回答として計上している 70)
表 4-2 アンケート設問（要約．参考文献 69 より一部加筆）[設問 14]

例外規程の有無[設問 15]

例外規程にない例外措置の承認手段[設問 16]

具体的な業務上の事象において，例外措置の有無[設問 17]

内 部 規 程 に例 外措 置 がない事象 への一 時 的 措置 として最初にとる手段[設問 18]

例外規程の新規策定 時の参考元[設問 19]

例外規程の策定部門[設問 20]例 外 規 程 は，組 織 全 体 での統 一 規 程 か，現 場 組 織 ごとの規
程か[設問 21]

例外措置の実施手順の記載の有無[設問 22]

例外規程の見直し頻度[設問 23]

例外規程による効果への主観的 評価

69) 情 報 セキュリティ大 学 院 大 学 原 田 研 究 室 , “2015 年 度 情 報 セキュリティ調 査 ” , (オンライン).
http://lab.iisec.ac.jp/~harada_lab/survey/2015.html.
70) 村 﨑康 博 ほか，“2015 年 情 報 セキュリティ調 査 から見 えてくる企 業 ・組 織 における現 状 ”, 2016 年
暗 号 と情 報 セキュリティシンポジウム講 演 予 稿 集 , 2016
- 58 -

4.2.2 アンケート設問
表 4-1 の想定に基づいて作成したアンケートの設問を表 4-2 に示す．本研究では全アンケート設問のうち「設問 14」から「設問 23」までが例外 規程に関する設問である．
アンケートではまず例外についての用語 解 説を冒頭 に明記 した 71 ) ．次に経 営側・現場側どちらの立場から回答されるかを把握しつつ，特に利用部門（現場側）
でもボトムアップ的な例外措置の取扱いの有無が得られるよう，具体的な管理策を提示し，それに対する措置としてイメージしてもらえるよう工夫した．
以 下 ，本節ではアンケート調査の結果のうち，例外規程の実態を示す想 定 1から想定 6 について示す．想定 7 については 4.6 節で，想定 8 については付録
A1 章にて述べる．

71) 本 アンケート票 の用 語 説 明 においては，例 外 措 置 を「情 報 セキュリティ関 連 規 定 に基 づいて業 務 を遂 行 するにあたり、当 該 規 定 へ適 用 させることが適 正 な業 務 遂 行 を著 しく妨 げる等 の理 由 により、当 該
規 定 とは異 なる代 替 の方 法 を採 用 すること又 は規 定 を実 施 しないことを認 めざるを得 ない場 合 にとる手
続 きをさす。」と定 義 している．さらに「例 外 措 置 が当 該 関 連 規 定 に記 載 されている箇 所 」を例 外 規 定（当 初 の用 語 ）と説 明 した上 で回 答 してもらった．
- 59 -

4.2.3 調査結果 1：例外規程の有無（想定１，設問 14）
想定１では「例外規程はある程度普及している」に基づいて設問 14 を設定し，質問した．
設問 14 の結果を図 4-1 に示す．本設問では内部規程全般において「例外 規
程 」の項 目 の有 無 についてたずねている．結 果 は，青 色 系 の「すべて／一 部 例
外措 置に内 部規 程にある」割合 と，赤色の「内部 規程にない」割 合 が同じ（42％）
であった．
1%

1%
8%

すべての内部規程にある

11%3%

一部の内部規程にある内部規程にはない
34%

わからない・知らない
答えたくない42%

その他
無回答（10件）

図 4-1 情報セキュリティに関わる内部規程全般において「例外 規程」の有無（択一，N=352）
次に業 種別にクロス分 析し，回 答の多かった「情報 通信 業」「サービス業」「大学」「公務（政府・自治体）」の結果を図 4-2 に示す．図 4-2 より「情報通信業」と「サービス業」では 50％が，「すべての内部 規程にある」もしくは「一部の内 部規程にある」ことが分かる．
一 方「公務（政 府・自 治 体）」の場合は「内 部 規程にはない」が 24％あり，「大学」では半数以上（53％）に及んでいる．
これらの結果から，公務・大学における想定 1 については，例外規程について策定の有無が同程度であることから，例外 規程が一般的な方策となっているとは考えられない．一 方「情報 通信 業」・「サービス業」では半数 程度が策定 している傾向にあり，これらの業界では情報技術の依存度が高く技術進歩の影響を受けるため，例外 規程が他の業界と比べて必要となっていると考える．

- 60 -

一 方 ，政 府 ・自 治 体 では，統 一 管 理 基 準 によって例 外 規 程 を推 進していることから，政府・自治体及び関連組織への普及が進んでいるものと推定する．
100%

0%
3%
3%

2%
0%
2%
8%

6%
3%
0%

16%

0%
24%

22%

80%
38%
28%

60%

53%

40%
38%

41%

12%

9%

情報通信業
(N = 164)

サービス業(N = 32)

71%

20%
16%

0%

すべての内部規程にあるわからない・知らない
無回答

0%
大学
(N = 68)
一部の内部規程にある
答えたくない5%
公務(N = 21)
内部規程にはない
その他

図 4-2 情報セキュリティに関わる内部規程全般での「例外 規程」の項目の有無（業種別，択一）- 61 -

4.2.4 調 査 結 果 2 ： 例 外 規 程 に な い 例 外 措 置 の 承 認 手 段（想定２，設問 15，17）
想定 2 では「内部規程にない例外措置は，経営判断だけでなく，現場判断でも実施できる」に基づいて設問 15 及び設問 17 を設定し，質問した．
まず，設問 15 の結果を図 4-3 に示す．設問 15 では例外規程に明記されていない事 象 （障 害 、事 故 ・事 件 、災 害 等 ）に対 する一 時 的 な例 外 措 置 の実 施 の経験の有無についてたずねている．
1%

4%

3%

自分自身ある6%

自分はないが措置したことがある

4%

16%

措置したことがあると聞いている
措置したことはない
わからない
答えたくない無回答（13件）

66%

図 4-3 例外規程に明記されていない事象に対して，
一時的に例外措置した経験の有無（択一，N=352

図 4-3 から実際に例外措置を実施した総数（「自分自身ある（3％）」「自分はないが措 置したことがある（6％）」「措 置したことがあると聞 いている（4％）」の和）
は 13％にとどまり，7 割近くは「措置したことがない」ことがわかった．「わからない」「無 回 答 」の占 める割 合 も考 慮 すると，この 結 果 から例 外 措 置 の実 施 が実 際 に普及していない傾向にあることを示すものと推定する．
なお例外 措置は各 組 織で実 際に規 程を策定して措置を経 験し，自組 織での事例を増やし，組織学習をしていかなければ，当該組織に適応する例外措置の獲得とその効果を得ることは難しいと考える．

- 62 -

次に設問 17 の結果を図 4-4 に示す．本設問は，内部規程に例外 規程がな
い事 象 に対 し一 時 的 に例 外 措 置 をとる場 合 ，「最 初 」にどのような手 段 をとるか（とると想 定 するか ）を たずねた ．図 4-4 か らは，最 初 の 措 置 判 断 は，赤 色 の「CISO 等経営責任者に直接判断を受ける」組織は 23％にとどまり，青色の「（利用部門の）情報セキュリティ責任者による現場判断を受ける」が半数を占めること
がわかる．
4%

5%
情報セキュリティ責任者による現場判断を受ける

7%

CISO等経営責任者に直接経営判断をあおぐ
10%

情報セキュリティ委員会での決議を受ける
51%

従業者の判断で、事務的・システム的に運用を
とる
その他

23%

無回答（16件）

図 4-4 例外規程にない例外措置をとる場合 に「最初」にとる手段 （択一，N=352）
以上からは，想定 2 に対する結果として，一時的に例外措置を実施する際は，
画 一 的 に管理部 門 主 導タイプばかりだけではなく，まずは「現場組 織の判断」が優先される利用部門 主導タイプで実施されている組織が多い．

- 63 -

4.2.5 調 査 結 果 3 ： 例 外 規 程 の 新 規 策 定 時 の 参 考 元（想定３，設問 18）
想定 3 では「例外規程の策定時は，他の先行事例等を参考にしている」に基づいて設問 18 を設定し，質問した．設問 18 の結果を図 4-5 に示す．
本 設 問は，内 部 規 程 に新 規の例 外 規 程を策 定する場 合 ，何を参 考にするか（すると想定するか）をたずねた．同図からは，例外 規程は赤色の「他社事例」や「政府官庁の統一管理基準」をもとに策定 されることが多い．

他社の内部規程や具体的な事例

159 (45.2%)

政府官庁の統一管理基準

154 (43.8%)

貴社の過去におけるインシデント等への一時的措置例

100 (28.4%)

貴社が想定する今後のインシデント等に対する一時的措置

97 (27.6%)

ISO、ISMS等国際規格

95 (27.0%)

その他

9 (2.6%)

無回答（２１件）

21 (6.0%)
0

20

40

60

80

100

120

140

160

図 4-5 内部規程に新規の例外規程を策定する場合の参考元（複数選択，N=352）- 64 -

180（件）

さらに公務（政府・自治体）についての内訳を図 4-6 に示す．なお件数が少な
いため参 考 情 報 とする．同 図 から赤 色 の「政 府 ・官 公 庁 の 統 一 管 理 基 準 」が他に比べ多く，統一管理基準を基に例外 規程が策定され，比較的普 及しているものとみられる．

政府・官公庁の統一管理基準

19 (90.5%)

他社の内部規程や具体的な事例

8 (38.1%)

貴社が想定する今後のインシデント等に対する一時的措置

5 (23.8%)

貴社の過去におけるインシ
デント等への一時的措置例

5 (23.8%)

ISO、ISMS等国際規格

2 (9.5%)その他

0 (0.0%)

0

2

4

6

8

10

12

14

16

18

20

（
件

図 4-6 内部規程に新規の例外規程を策定する場合の参考元（政府・自治体,N=21）
これらにより，想定 3 に対する結果として，例外規程を策定する場合，外部からの事 例 を参 考 にする組 織 が多 い傾 向 にあることが分かる．また統 一 管 理 基 準を参考にする組織も多く，新規に例外規程を策定する際の参考にしていることが分かる．

- 65 -）

4.2.6 調査結果 4：例外規程の策定部門（想定４，設問 19,20）
想 定 4 では「例外規 程は，現場組織によって異なっている」に基づいて設問
19 及び設問 20 を設定し，質問した．
先に，設問 20 の結果を図 4-7 に示す．本設問は，例外 規程は組織全体での統一された内部規程のみか，それとも現場組織ごとにも策定されているかをたず
ねた．同 図 から，例 外 規 程 は青 色 の「統 一 基 準 のみ」が半 数 を越 え（55％），赤
色 の「現 場 組 織 ごと」緑 色 の「両 方 」と現 場 組 織を考 慮 している割 合 （13％）と大きく差があることが分かった．

2%6%

統一基準のみ55%

24%

現場組織ごと統一基準と現場組織の両方
どちらもないその他
無回答（23件）

10%
3%

図 4-7 例外規程は組織全体で統一されたものか，現場組織ごとにも策定されたものか（択一，N=352）- 66 -

次に，設問 19 の結果を図 4-8 に示す．本設問は，例外 規程を策定するにあたり，規 程 の策 定 と管 理 の事 務 処 理 する主 体 部 門 はどこかをたずねている．同図からは，例 外 規 程 を策 定する組織 は赤 色 系の「情 報セキュリティ担 当 部 門」，「総務部門」，「情報システム管理部門」の順で多く，「総務部門」が情報システム
業務を担当している組 織もあることや「情 報システム開 発 部門」も含 めると，情報系部門が圧倒的に占めていることがわかる．

情報セキュリティ担当部門

152 (43.2%)

総務部門

108 (30.7%)

情報システム管理部門

101 (28.7%)

コンプライアンス担当部門

33 (9.4%)

社長室又は役員室

33 (9.4%)

リスク管理担当部門

29 (8.2%)

企画部門

21 (6.0%)

監査部門

21 (6.0%)

情報システム開発部門

19 (5.4%)

事業/営業部門

17 (4.8%)

法務部門

16 (4.5%)

人事部門

8 (2.3%)

経理部門

6 (1.7%)その他

22 (6.3%)

無回答（16件）（

16 (4.5%)
0

20

件

40

60

80

100

120

140

160

図 4-8 例外措置を実施するにあたり，
例外規程の策定と管理の事務処理をする主体部門（択一，N=352，グラフ内の数値は回答数）
すなわち，想定 4 に対応する「設問 20」ならびに「設問 19」，さらに想定 2 における「設問 17」からは，多 くの組 織が例外 規 程 を含 まない統 一 基 準のみで策定 ・運 用していることがわかる．例 外 規 程 については，策 定や運 用 にあたって専門 的 知 識 や経 験 などを要 すると考 えれば，情 報 セキュリティ 担 当 部 門 や情 報 シ
ステム管 理 部 門 など情 報 系 部 門 が策 定し，管 理 ・運 用 まで担 当 せざるを得 ないのが現状であると考える．

- 67 -）

4.2.7 調査結果 5：例外規程の見直し頻度（想定５，設問 22）
想定 5 では「例外規程は定期的に見直されている」に基づいて設問 22 を設定し，質問した．「設問 22」の結果を図 4-9 に示す．
本設 問は，例外 規 程 の見直しの頻 度についてたずねている．同 図からは，例
外規程の見直し頻度は，青色の「随時」見直ししている組織が 40％と多い．また赤色の「1 年以内（14％）」緑色「2 年以内（9％）」と続き，比較的短い期間で見直しをしていることが分かった．
想定 5 に対する結果として，組織は例外 規程について，見直しは随時行うものの定 期的 ではなく必 要に応じて対処しているところが多い．なお，その他や未回 答が多いことから,見 直しをしていない組 織 も多いのではないかとも考えられる．

随時
20%
～1年ごと
～2年ごと

40%

～3年ごと
15%

3年～ごと
その他

1%
1%

無回答（71件）
9%14%

図 4-9 例外規程の見直し頻度（択一，N=352）- 68 -

4.2.8 調 査 結 果 6 ： 例 外 措 置 の 実 施 手 順 の 記 載 の 有 無（想定６，設問 21）
想定 6 では「例外措置の実施手順を明記し，特に罰則とセットにしている」に基づいて設問 21 を設定し，質問した．設問 21 の結果を図 4-10 に示す．
本 設 問 は，例 外 措 置 の業 務 にはどのような手 続 きが盛 り込 まれているかをたずねた．同図からは，赤色の「指定書式の申請書」，「管理・運用 指導（実施・終了）」，「審査（稟議・通 知）」が手続きとして盛り込まれている一方，黄色の「罰則の適用」や「措置手順の見直し」が比較的少ないことが分かった．

指定書式の申請書

120 (34.1%)

運用・管理指導（実施・終了）

91 (25.9%)

審査（稟議・通知）

77 (21.9%)

CISO等経営責任者への審査報告

55 (15.6%)

申請窓口

46 (13.1%)

罰則の適用

26 (7.4%)

措置手順の見直し

29 (8.2%)

その他

42 (11.9%)

無回答（77件）

77 (21.9%)
0

20

40

60

80

100

120

140

図 4-10 例外措置の業務に盛り込まれる手続き（複数選択，N=352）
想定 6 に対する結果 から，統一管理基準で推奨している例外措置から逸脱した場 合 の罰 則 の適 用 が少 ないことがわかる．したがって仮 に例 外 措 置 から逸 脱しても抑 止 できる効 果 が例 外 規 程 に明 記 されていない組 織 が多 いと推 定 できる．
一方で例外規程を策定している組織では図 3-2 のような業務フローが整備されているものと考えられる．すなわち例外 規程の有無 から，組 織において手続 きの
体系化がなされているか判断できる．

- 69 -

（
件
）

4.3

2015 年度アンケート調査結果からの考察

以上 2015 年度アンケート調査について各想定に対する結果を表 4-3 に示す．
このうち，想定 2，3 及び 6 については，概ね実施されていることがわかった．
その一方で想定 1，4 及び 5 の 3 つについては，例外の活用に向けての課題であると考える．そこで本論文ではこの想定 1，4 及び 5 についてさらに取り上げる．
表 4-3 2015 年度調査における想定と結果
想 定（表 4-1 から要 約）
想 定 1：例 外 規 程 はある程
度 普 及している
想 定 2：内 部 規 程 にない例
外 措 置 は，経 営 判 断 だけ
で なく ， 現 場 判 断 で も 実 施できる
想 定 3：例 外 規 程 時 ，他 の先行 事例 等を参 考にしている
想 定 4：例 外 規 程 は，組 織によって異 なっている

結果・ 策 定している組 織と未 策 定の組 織 とで両 極 化 している．
・ 例 外 措 置 は，画 一 的 な管 理 部 門 主 導 タイプばかりだけ
ではなく，「現 場 組 織 の判 断 」が優 勢 される利 用 部 門 主導タイプで実 施 されることもある．
・ 外 部 事 例 を参 考 にす る 組 織 が 多 く ，特 に政 府 統 一 管
理 基 準を参 考にする組 織 も多い．
・ 部 門ごとにカスタマイズして策定 しているものは少 ない．
・ 多 くは専 門 部 門 において組 織 の統 一 管 理 基 準 で策 定している．

想 定 5：例外 規 程 は定期 的・ 事 象が起きたその都 度 例 外 措 置を実 施 している．

に見直 されている・ 必 要に応 じてその後 規程 として策 定／見 直 す．

想 定 6：例 外 措 置の実施 手
順 を 明 記 し ，特 に 罰 則 と セットにしている・ 例 外 規 程 を策 定 している組 織 では業 務 フローが整 備 されている．
・ 罰 則 の適 用 が少 ないことから，原 則 規 程 や例 外 措 置 への違反に抑 止 力が乏 しい．

ここで，この結果を 2.2.3 項で上げた観点に照らし合わせてみる．
組 織 で例 外 措 置 を実 施しているかについては，本 調 査 では直 接 的 に確 認 することはできなかったものの，想定 1（設問 14）の結果から少なくとも 42%の組織は例外措置を実施していることがわかる．例外規程を策定した上での管理・運用については，想定 1 の結果のとおり策定している組織と未策定の組織とで両極化している．組織において例外を管理・運用 している主体については，想定 2 の結 果 より，例 外 措 置 が画 一 的 に管 理 部 門 主 導 タイプばかりだけではなく，現 場組 織 の判 断 が優 先 される利 用 部 門 主 導 タイプでも実 施 されることもあることがわかった．
- 70 -

4.3.1 策定／未策定の両極化（調査結果 1 より）調査結果 1 から，情報セキュリティポリシーに対して，例外 規程がある組織とな
い組 織 とで両 極 化 していることが明 らかになった．例 外 規 程 がない理 由 としては
例 外 規 程 に対 する認 知 が薄 いか，もともと例 外 規 程 が必 要 と認 識 していない可能 性 がある．このことから今 後 ，例 外 規 程 がない組 織 に対 して普 及 を図 ることが必要と考える．
例 外 規 程 がなく情 報 セキュリティポリシーが原 則 規 程 のみの場 合 ，組 織 の現場 など利 用 部 門 がビジネスで必 要 と 自 己 判 断 し，原 則 規 程 を無 視 して管 理 部
門 に知 られないように水 面 下 で原 則 規 程 （つまり情 報 セキュリティポリシー）から逸脱するおそれもある．管理部門側も全面禁止として例外を認めない場合は，このような逸 脱を全く想 定していないか，もしくは逸脱を黙 認しているか，のいずれかが考えられる．
そこである事象に対して，原則規 程として情 報セキュリティポリシーに盛り込むのか，例外規程として一時的に例外措置をとるのか，あるいは例外措置もしないのか，といった対策が選択肢として考えられる．

4.3.2 専門部門への集中（調査結果 4 より）調査結果 4 から，部門ごとに例外 規程を策定して実施しているものは少なく，
多 くは専 門 部 門 において組 織 の統 一 管 理 基 準 で例 外 規 程 が策 定 されている．
また，例外 規 程・管 理 は，情 報セキュリティや情 報システムに関わる専 門的 知識のある情報系部門が多く，利用部門では少ない．
例 外 規 程 の管 理 ・運 用 主 体 については体 系 的 に「 管 理 部 門 主 導 タイプ 」と「利用部門主導タイプ」の 2 つに分けられると述べた（表 2-1）．アンケート調査の結果からも，多くの組織において情報系部 門からの管理部門 主 導タイプの規程策定がされていることがわかる．
すなわち部門ごとにカスタマイズして策定しているものは少なく，多くは組織の統一基準で例外規程の策定・例外措置の実施がされている．また，例外規程 の
管 理は，情 報セキュリティや情 報 システムに関 わる部 門が多 く，現 場からの 策 定は少ないことからも，同 じく管 理 部 門 主 導 タイプの策 定・管 理 ・運 用 となっていると考える．
例外規程の策定には，専門的な知識や経験などに基づく判断が必要であり，利用 部 門で策 定するのは難しい．管 理 部門 と利 用部 門 が協 調 する組 織体 制の構築などが求められると考える（5.2.1 項参照）．
また，情報セキュリティポリシーは，組織の運 営方 針，組 織風土 及 び情報セキ- 71 -

ュリティの特殊性を反映する必要がある．しかしながら情報セキュリティポリシーの策定にあたって「自社 のリスクは他社と共通 である」とみなして，外 部の雛形を安易にそのまま導 入するにとどまり，画 一的なものになっているのではないかとする
課題もある 72) ．
従 って情 報 セキュリティポリシーに付 随 する例 外 規 程 についても，組 織 ごとに異 なるものではなく，情 報 セキュリティポリシー同 様に画 一 的 なものになっている可能性があるため，組織に必要な例外規程とはなっていないものと考えられる．

4.3.3 必要に応じた都度ごとの見直し（調査結果 5 より）調査結果 5 からは「随時」見直ししている組織が多い一方，「実際に例外措置をすることが少ない（図 4-1）」，「見直し頻度もその都度（図 4-9）」，「例外 規程の策定はないが一時的に例外措置を実施した（後述 4.6.1 項の図 4-15）」の特徴を持つ組織が多くみられることもわかった．すなわち，多くの組織では，例外措置について事象が起きたその都度ごとに対応し，その後，必要に応じて規程として策定・見直ししているものと考える．
都度の対応では一時しのぎで例外措置を行うことになる．同じ事象が起きても組織が規 程として汎用的にルール化していないため，将来，同様な事件や事故が発生すると，再 度，同様 な一 時しのぎの例外 措 置を繰り返す可能 性が懸 念される．
例外措置は，原則規程から逸脱した事象が起きたときへの一時的な措置であり，措 置 の実 施 後 も同 様 の逸 脱 が想 定 できる場 合 には，もともとの情 報 セキュリ
ティポリシーに当 該 例 外 措 置 を原 則 規 程 として新 たに盛 り込 むのか，その事 象のみに限 定して引き続 き例 外 措 置 を実 施（望 ましくは例 外 規 程 として策 定 ）するのかなど，見直す必要があると考える．

72) 宇 崎 俊 介 , “第 1 回 ：情 報 セキュリティポリシーの現 状 , 【特 集 】スローポリシーのススメ, atmarkIT”,
2002/7/26. (オンライン). http://www.atmarkit.co.jp/fsecurity/special/27spolicy/spolicy01.html. ( アクセス日 : 2019 年 6 月 10 日 ).
- 72 -

4.4

2018 年度アンケート調査

本研究では，2015 年度のアンケート調査結果 に基づき，4.3 節で取り上げた
想定 1，想定 4 および想定 5 での考察から，4.6 節で取り上げる想定 7 も含め，例外措置の実態と効果について 2018 年度に改めて調査を実施した 73) ．

4.4.1 アンケート調査実施内容（全体）2018 年度のアンケート調査は，2018 年 8 月に当研究室から「情報セキュリテ
ィ調査」アンケート用紙 を郵送して実施した．対象は，2015 年度とほぼ同様，日
本国内のプライバシーマーク（以下，P マーク）取得組織，ISMS 認証取得組織，
CSMS 認証取得組織，官公庁，教育機関などから選んだ 4,500 組織(送達確認できたのは 4,233 組織)である．その結果 402 件（9.5％）の回答が得られた．なお，本 調 査 においては回 答 の未 記 入 及 び択 一 問 題 における重 複 回 答 等 の無効回 答は，無 回答 として計 上している 74 ) ．「例 外 規 程 」にかかわる設 問は当 該ア
ンケートの第 6 章として盛り込んでいる．

4.4.2 アンケート設問
調査結果 1,4 および 5 に基づいて作成したアンケートの設問を表 4-4 に示す．
本研究では全アンケート設問のうち「設問 34」から「設問 39」までが例外規程に関する設問である．なお，設問 38 及び設問 39 については，4.6 節で取り上げる．

73) 情 報 セキュリティ大 学 院 大 学 原 田 研 究 室 , “2018 年 度 情 報 セキュリティ調 査 ”, (オンライン).
http://lab.iisec.ac.jp/~harada_lab/survey.html. ( アクセス日 : 2019 年 6 月 10 日 ).
74) 李 哲 ほか, “2018 年 情 報 セキュリティ調 査 から見 えてくる企 業 ・組 織 における現 状 ”, 2019 年 暗 号 と
情 報 セキュリティシンポジウム講 演 予 稿 集 , 2019
- 73 -

表 4-4 アンケート設問（要約．参考文献 73 より一部加筆）[設問 34]

情報セキュリティに関 わる内部 規程全般において「例外措置」（想定 1）の項目の有無[設問 35]

例 外 規 程 は，組 織 全 体 での統 一 規 程 か，現 場 組 織 ごとの規（想定 4）

程か[設問 36]（想定 4）[設問 37]（想定 5）[設問 38]（想定 7）[設問 39]（想定 7）

例外規程と管理の事務処理する主体部門
例外規程の見直し頻度
具体的な業務上の事象において，例外規程 の有無
具体的な業務上の事象において，原則規程 か例外規程か- 74 -

4.4.3 調査結果 1：例外規程の有無（想定１，設問 34）
想定 1「例外規程の導入」についてアンケート調査の結果を図 4-11 に示す．
設問 34 では内部規程全般において「例外 規程」の項目の有無をたずねた．
0%

5%

20%

内部規程に全て明記している

3%

11%

内部規程に一部明記している
内部規程には明記していない
わからない・知らない
答えたくない

30%

その他

31%

無回答（12件）

図 4-11 情報セキュリティに関わる内部規程全般において「例外規程」の有無（択一，N=402）
図 4-11 から，例外規程が「内部規程に全て（79 件）もしくは一部（123 件）に明記されている」割合（51％）は半数を超え，「明記されていない（122 件）」割合（30％）より 21 ポイント高い回答となっていることがわかる．

- 75 -

4.4.4 調査結果 2：例外規程の策定部門（想定４，設問 35,36）
想定 4「例外規程」についてアンケート調査の結果を図 4-12 示す．まず設問
35 で，例外規 程が全 体で統一された内部 規程のみか現場組織 ごとにも策定 されているかをたずねた．

1%

10%

統一基準のみ
現場組織ごと

44%12%

統一基準と現場組織の両方
どちらもないわからない・知らない17%
その他
無回答（39件）
11%5%

図 4-12 例外規程は組織全体で統一されたものか，現場組織ごとにも策定されたものか（択一，N=402）
図 4-12 から，例外規程は「統一基準のみ（175 件）」策定されている組織が 4割を超え（44％），現場組織での策定（「現 場組織ごと（20 件，5%）」「統一基準と現場組織の両方（45 件，11％）」）は合わせても 1 割程度（16％）にとどまってい
ることがわかる．

- 76 -

次に，設問 36 の結果を図 4-13 に示す．本設問は，例外 規程を策定するにあたり，規 程 の策 定 と管 理 の事 務 処 理 する主 体 部 門 はどこであるかをたずねている．
情報セキュリティ担当部門

174 (43.3%)

情報システム管理部門

88 (21.9%)

総務部門

78 (19.4%)

社長室又は役員室

37 (9.2%)

企画部門

19 (4.7%)

コンプライアンス担当部門

18 (4.5%)

リスク管理担当部門

15 (3.7%)

情報システム開発部門

14 (3.5%)

法務部門

11 (2.7%)

人事部門

10 (2.5%)

事業/営業部門

8 (2.0%)監査部門

6 (1.5%)

経理部門

5 (1.2%)その他

19 (4.7%)

無回答（60件）

60 (14.9%)
0

50

100

150

200

図 4-13 例外措置を実施するにあたり，例外規程と管理の事務処理をする主体部門（択一，N=402，グラフ内の数値は回答数）
図 4-13 から，例外規程を策定するにあたり，規程の策定と管理の事務処理をする主体部門への設問に対しては，例外規程を策定する部門は赤色系の主に情報系部門（「情報セキュリティ担当部門（174 件，43.3%）」「情報システム管理部門（88 件，21.9%）」「総務部門（77 件，19.2%）」）を取扱う部門で他部門と比べ多いことがわかる．これは 2015 年度調査と同等の結果となった．

- 77 -（
件）

4.4.5 調査結果 3：例外規程の見直し頻度（想定５，設問 37）
想定 5「例外規程の見直し」についてアンケート結果を図 4-14 に示す．設問
37 では，例外規程の見直しの頻度についてたずねた．

随時

19%

～1年ごと
～2年ごと
～3年ごと
3年～ごと
その他

48%

9%

無回答（78件）
3%
1%

3%

17%

図 4-14 例外規程の見直し頻度（択一，N=402）
図 4-14 から，「随時（192 件，48％）」が半数近くを占め，例外 規程の見直し頻度 は，特に定 期 的 に実 施 しておらず，案 件 が発 生し実 施 した後 に見 直している組織が多いことがわかる．

- 78 -

4.5

2 つのアンケート調査結果の比較

以上，2018 年度調査の結果を受けて，想定 1，想定 4 および想定 5 について 2015 年度調査結果と比較して考察する．

4.5.1 例外規程の有無（想定 1）
2015 年度調査（4.2.3 項）の図 4-1 と 2018 年度調査（4.4.3 項）の図 4-11 とを比較する．
2015 年度 調査では「すべての内部規程にある（8％）」「一部の内部規程にある（34％）」の合計が 42％と，「内部規程にない」の 42％と同数で両極化していると述べた．一方で 2018 年度調査ではそれぞれ，20％＋31％＝51％と 30％と 21
ポイント増 加している．更に「すべての内 部 規 程にある」については，12 ポイント
増加している．このことからこの 3 年間で例外規程の策定が進んでいることが推定できる．

4.5.2 例外規程の策定部門（想定 4）
まず，2015 年度調査（4.2.6 項）の図 4-7 と，2018 年度調査（4.4.4 項）の図 412 とを比較する．
2015 年度調査での「統一基準のみ」が 55％であったのに対し，2018 年度調
査では 44％と 11 ポイント減少している．一方で，「現場組織ごと」「統一基準と現場組織の両方」については，それぞれ，3％＋10％＝13％と 5％＋11％＝16％で変化が少ない．さらに，2015 年度調査の「どちらもない」は 24％，2018 年度調査の「どちらもない（17％）」と「わからない・知らない（12％）」の合計 29％と，こちらも変化が少ない．このことから，統一基準のみの例外規程の策定が減少しているものの，現 場 組織での例外 規 程の策定が進 んでいないこと，さらに例外 規 程の管理自体も進んでいないことが推定できる．
次に，2015 年度調査 結果の図 4-8 と 2018 年度調査の図 4-13 とを比較する．
2015 年度 調査 での策定 ・管 理する部 門の上位３つは「情報セキュリティ部門（152 件，43.2％）」「総務部門（108 件，30.7％）」「情報システム部門（101 件，
28.7％）」であり，他の部門と比べて多いことがわかる．一方で 2018 年度調査ではそれぞれ，（174 件，43.3％），（77 件，19.2％），（88 件，21.9％）であった．いずれの年度も上位３部門が他の部門よりも多い傾向は変わらず，例 外規程や管理においては専 門 的 な知識や経 験が必 要 と考える．これは「総 務 部門」が 11.5
ポイント減少していることから，情報セキュリティポリシーに関わる管理・運用 は専
門部門が担うようになってきていることが推定できる．

- 79 -

4.5.3 例外規程の見直し頻度（想定 5）2015 年度調査（4.2.7 項）の図 4-9 と 2018 年度調査（4.4.5 項）の図 4-14 とを比較する．
2015 年 度 調 査 での「随 時 」が 40％であったのに対 し，2018 年 度 調 査 では
48％と微増している．また，1 年までの見直しが 14％から 17％，2 年までが 9％か
ら 3％となっており，大きな変化 はない．したがって，定期的な見直しが望ましいとする例外規程の運用が進んでいないものと推定する．

4.5.4 2 つのアンケート調査の比較から
以上，4.5.1 項から 4.5.3 項の結果をまとめる．
例外規程の策定（4.5.1 項参照）については，策定／未策定の割合が均衡か
らやや策 定に進んでいる傾 向 が見られた．このことは例 外 規 程 の普 及を検 討 する上で，活用 に向けての対策を促していけば，さらに活用 が進むのではないかと
期 待できる．一 方 で，例 外 規 程の策 定 部 門 （4.5.2 項 参 照 ）は管 理 部 門が主 体であることや，見直し頻度（4.5.3 項参照）はその都度行われているという実態に関 しては大 きな変 化 は見 られず，活 用 に向 けての課 題 と考 える．すなわち例 外規 程の策定 には，例 外 措 置を実 際に実 施 する利 用 部 門への関 わりは必要 である．また，例 外措 置を一時しのぎで実施するのではなく，例 外規 程 の策定によって管理・運用し，定期的に見直しをすることが求められる．

- 80 -

4.6

例外規程と原則規程の策定状況

本節ではアンケート調査のうち，具体的な管理策の事例に対して規程（原則・例 外）の有無 や例 外 措 置への策定 傾 向についてを，「想定 7」に基づいて述べる．ある管理策への措置（通常措置か例外措置のいずれか）が，原則規程 もしくは例外規程のいずれを策定するかを調べることは，組織がどの程度 例外を許容しているかを知る手掛かりとなり，例外措置を実施させるかどうかの判断につながる．
例えば，1.4.1 項で取り上げた USB メモリの管理策事例において，例外措置
として USB メモリを使用する場合は，あらかじめウイルススキャン済みであることを
条 件 の一 つとすることが考 えられる．この場 合 ，利 用 者 に対 し「あらかじめウイル
ススキャン済 み」を施 すといった要 件 が，逸 脱 に対 する許 容 要 件 （つまり許 容 範囲）となる．またシステム管 理 者に対しては，「対 象 システムを特 別 の監 視 対 象 として運用する」といった要件が，例外措置の対象となる．
組 織 においては，この許 容 範 囲 を「原 則 規 程 に盛り込 む」のか，「例 外 規 程 として策 定 する」のか，あるいは「全 く指 定 しない」のかについて，業 種 や 組 織 ，規模によっても異なってくるものと思われる．さらには，逸脱への許容 範囲を策定しない，すなわち例 外規 程を策定しない事 例 に限れば，逸 脱する事 例を全く想 定
していないのか，もしくはあえて逸脱に対して規程を策定しないのかの２つに分けられるものと考える．

4.6.1 アンケート調査実施内容（想定 7）
情 報 セキ ュリティ ポリシーか ら の逸 脱 と例 外 規 程 との関 連 性 に ついて，まず2015 年度調査の想定 7「原則規程か例外規程かのどちらを策定するかの傾向がわかる」に対応するアンケート設問 16 を用いて分析した．設問 16 では，2015年度調査内で使用した具体的な管理策の事例をもとに，表 4-5 に示すとおり 14の例外措置の具体的な管理策 を事例として設定した．

- 81 -

表 4-5 設問 16 で設定した具体的な管理策事例(1)

ウイルス対策ソフトウエアを導入していない PC を利用する(2)

サポート切れのソフトウエアを PC で利用する(3)

貴社管理外ソフトを利用する(4)

貴社管理外の PC を利用する(5)

私物可搬型デバイス（スマートフォン・タブレット等）を利用する(6)

可搬型メディア（USB メモリ，SD カードﾞ等）を利用する(7)

外部インターネットを利用する(8)プログラム保守のため外部からの一時的アクセスを許可する(9)

外部業者への特権 ID を付与する(10) 第三者認証のない外部クラウドを利用する(11) 日本国内法非準拠のクラウドを利用する(12) 個人で利用しているクラウドサービスを利用する(13) 個人で利用しているメールに社内メールを転送する(14) 公衆無線 LAN（暗号無し）を利用する
この表 5-1 において，（5）（6）（9）（10）（13）は 2018 年度調査の設問 38 に，また（2）（3）（7）（8）（11）（12）は同調査設問 39 でも実施している．
そして各具体事例への回答用に表 4-6 に示す選択肢を設定した．選択肢は「原則規程を策定」「例外規程を策定」「例外規程は未策定」の３パターンにそれぞれに具体的な措置の実施をたずねた．
表 4-6 設問 16 における選択肢一覧（一部，加筆修正）
規程別

選択肢
(1)

元来，通常措置としている(2)

例外措置から変更した(3)

例外規程に従い，例外措置をしている(4)

例外措置をしたことがない

例 外 規 程 は未 策

(5)

一時的措置をとったことがある

定(6)

例外措置をしたことがない

原則規程を策定
例外規程を策定

アンケート回答した単純集計結果を図 4-15 に示す．なお図 4-15 は表 4-6 の「原則規程に策定」「例外規程を策定」の合計の高い順に管理策を並べている．
また図 4-15 中の事例の記載は表 4-5 から一部省略している．
- 82 -

可搬型メディア35%

外部インターネット

1% 12%

40%

外部からの一時的アクセス

24%

私物デバイス19%

管理外ソフト

17%

3%

9%

32%

0% 7% 3% 5%
0% 10%

3%

36%

10%

3%

管理外PC

16%

1% 9%

外部業者への特権ID付与

15%

0% 7%

5%

4%

サポート切れソフトウェア

13%

1% 11%

2%

ウイルス対策ソフトウェア非導入

14%

1% 7% 4% 6%

社内メールの個人メール転送

14%

1% 6% 4%

公衆無線LAN

15%

0%3% 5% 3%

10%

44%

2% 8% 2% 9%
1% 10%

9%

10%

49%

10%

51%

9%

11%
11%

7%

9%

50%

57%
25%

9%
40%

9%

59%

9%

56%

10%

9%

64%

9%

65%

10%

個人利用のクラウドサービス

10% 0%4% 4% 7%

第三者認証無し外部クラウド

10% 0%
3% 5% 3%71%9%

国内法非準拠のクラウド

9% 0%
2% 5% 2%

71%

10%

0%

20%

40%

元来通常措置としている
規定に従い例外措置をしている
一時的措置をとったことがある
無回答

60%

80%

100%

例外措置から変更した
例外措置をしたことがない
例外措置をしたこともない

図 4-15 具体的な管理策における例外規程の有無（択一，N=352）
図 4-15 からは，「可搬型メディアの利用」「外部インターネットの利用」項目に
対し，表 4-6 に示す「原則規程を策定」「例外 規程を策定」への回答が多かった．
一方で，「個 人 利用のクラウドサービス」「第 三者 認 証無しの外部 クラウド」「日本国内法非準拠のクラウド」について回答を求めたところ，ともに 7 割以上において例外 規程がなく，例外 措置もとったことがないという結果になった．すなわち
図 5-1 からは，クラウドの利用については規程がない組織が多いことがわかった．
これについては以下の 2 点が考えられる．一つは全くクラウドを利用していな
い組織であること．もう一つは，情報システム部門や情報セキュリティ部門への申請・上 申 なしで現 場 組 織がクラウドを利 用している，すなわち規 程 が伴 わない現場判断での利用であること，である．なお後者は 2.3.2 項で述べた BYOD のケースと同様に，利用現場 に管理・運用 をまかせ，管理組織が知らない形をとっているとも考えられる．
一方，クラウド以外の管理策については，何らかの規程が策定済みであり，例
外 措 置 も実 施 されている可 能 性 が高 い．例 えば「外 部 インターネット」の利 用 については，原 則 業 務 上 不 必 要 なサイトへの閲 覧 を禁 止 している上 で，申 請 ・上申があれば，例外的に閲覧を許可しているものと考える．
- 83 -

また「可搬型メディア」の利用については，昨 今の情報セキュリティに関わる事
件・事故を受けて，業務上での利用を禁止・制限する動きがある一方で，使用を許 可 する旨 の例 外 規 程 があれば申 請 ・承 認 手 続 きをとるようにしていることが分かる．なお業 種 別 で回 答 の多 かった「情 報 通 信 業 」「サービス業 」「大 学 」「公 務（政府・自治体）」それぞれにクロス分析した結果を図 4-16 に示す．
情報通信業
(N=164)55

大学(N = 68)

1

17

サービス業
(N = 32)

0

10

5

1

0

公務
(N = 21)2320%
原 則 規 程 を策 定
例 外 規 程 を策 定
例 外 規 程 は未 策 定

13

55

6

4

10

26

1

11

0%

7

13

5

0

40%

8

3

0

2

60%

元来通常措置としている
規定に従い例外措置をしている
一時的措置をとったことがある
無回答

4

3

80%

2

100%

例外措置から変更した
例外措置をしたことがない
例外措置をしたこともない

図 4-16 業種別での具体的な業務上の事象における例外規程の有無（択一，グラフ中の数値は回答数）
公務では 68％，情報通信業では 53％が「原則規程を策定」「例外規程を策定」と回答したのに対し，大学では 33％と差があることがわかった．これは公務では USB メモリを利用制限が徹底されている反面，大学においては制限が少ない
傾向にあると考える．
その他イントラネット接続管理外や外部アクセスに関わる具体事例 では，概ね30～40％の割合で原則規程あるいは例外規程が策定されている．すなわち，具体的な管理 策それぞれに事前に規程がある組織については，組 織ガバナンス・
セキュリティマネジメントに活用しているものと推定する．
なお「サポート切 れのソフトウエアの利 用 」に対 する回 答 については他 の管 理
策 と異 なり特 殊 性 が見 られた．原 則 規 程あるいは例 外 規程 が策 定 されていない
ものの，実際に例外措置を一時的に実施した回答が 25％と，他の管理策と比べ極 端に多 い．これは大 手ソフトウエア会 社の OS（Operating System）のサポート
期限への対応が当該アンケート調査の回答時期（2015 年）と重なったことで，今- 84 -

回だけの特殊性と推定する．しかし各組織が今後も起こりうる OS サポート切れへの措 置には，例 外 規 程 あるいは原 則 規 程 として策 定 していくことが望 ましいと考える．
次に 2018 年度調査の結果を図 4-17 に示す．

42%

可搬型メディア（USBメモリ、SDカード等）を利用する※1

25%

私物可搬型デバイス（スマホ・タブレット等）を利用する

2% 15% 2% 8%

1% 12% 6% 6%

19%

11%

38%

11%

個人で利用しているメールに社内メールを転送する

21% 1%10% 6% 7%

44%

11%

外部業者への特権IDを付与する

18% 1%7% 7% 11%

45%

11%

16% 1%6% 9% 7%

49%

12%

第三者認証のない外部クラウドを利用する

0%原則規程に明記し通常措置としている
例外規程に明記し例外措置をしている
規程に記載なく一時的措置をとったことがある
無回答

20%

40%

60%

80%

100%

例外措置から変更し原則規程に明記した
例外規程に明記しているが例外措置をしたことがない
規程に記載なく例外措置をしたこともない

図 4-17 具体的な管理策における例外 規程の有無（択一，※１：N=349〔可搬型メディア～〕，その他の項目は N=402）
図 4-17 から，「可搬型メディアの利用（合計 213 件，61％）」においては，原則規程による措置が 42%と他の管理策事例と比べて差がある事がわかる．USB メ
モリの取 り扱 いにおいては１章でも述 べたように事 前に規 程を策 定しておく必 要があることが実態として現れている．また例外措置としてではなく，原則規程で 管理・運用する背景には，日常業務において USB メモリの取り扱いが通常措置として普及していることがわかる．
またその他の項目については，「規程になく例外措置をしたことがない」と回答したものが多いものの，2015 年度の結果から比較すると 30 ポイント程度減少し 5
割 以 下 となっている．情 報 セキュリティポリシーにおいて管 理 策 への取 り組 みが進んでいるものと考える．

- 85 -

4.6.2 原則規程と例外規程の策定状況の比較
図 4-15 の単純集計 結果から原則規程と例外規程状況のみを抽出し，原則規程の比率が高い順に示したものを図 4-18 に示す．
外部インターネット

142

32

可搬型メディア

125

51

私物デバイス74

37

公衆無線LAN55

28

外部からの一時的アクセス

85

46

社内メールの個人メール転送

5336

第三者認証無し外部クラウド

36

25

国内法非準拠のクラウド

34

24

ウイルス対策ソフト非導入

5338

外部業者への特権ID付与

55

40

管理外ソフト

62

45

管理外PC

57

44

個人利用のクラウドサービス

36

28

サポート切れソフトウェア

47
0%

20%
原則規程を策定

46
40%

60%

80%

100%

例外規程を策定

図 4-18 原則規程と例外規程との比率（2015 年度調査）（択一，グラフ内の数値は回答数）
図 4-18 より以下のことが考えられる．なおここでは管理策それぞれに対して，
原則規程・例外規程を問わず，規程が策定されていることを前提にしている．
4.6.1 項で述べたとおり「可搬型メディア」「外部インターネット」の利用については規 程 の策 定 が進 んでおり，ほぼ原 則 規 程 として策 定 されていることがわかる．
その他 の管 理 策 については，原 則 規 程 への策 定 が進 んでいるものの，例 外 規
程との差が少ない．これは組織が双方をうまく使い分けて，管理・運用しているためと考える．特に「サポート切れのソフトウエアの利用」については同 程度の 比率であり，当該管理策は例外規程として策定される傾向にあることがわかる．
次に 2018 年度調査結果を図 4-19 に示す．

- 86 -

外部からの一時的アクセス

68%

個人利用のクラウドサービス

23%

59%

9%

34%

7%

国内法非準拠のクラウド

44%

44%

12%

サポート切れソフトウエア

43%

49%

8%

管理外ソフト38%

外部インターネット

54%

24%
0%

7%

67%
20%

策定案１（原則規程）

40%

60%

策定案２（例外規程）

9%
80%

100%

無回答

図 4-19 具体的な管理策における原則規程か例外措置かの選択（2018 年度調査）（択一，N=402）
本設問は管理策それぞれに具体的な原則規程例と例外規程例 を選択肢として用意し，二者択一で回答してもらった．その結果，原則規程で策定されている
割 合 が高 かったのは「プログラム保 守 のための外 部 からの一 時 的 アクセス（ 275
件 ，68％）」と「個人で利用しているクラウドサービスの利用（237 件 ，59％）」であった．一方で，例外 規 程で策定されている割 合が高 かったのは「外 部インターネ
ットの使用（268 件，67％）」「自社が管理していないソフトウエアの使用（219 件，54％）」であった．
当該調査において具体的に原則規程例，例外規程例で回答してもらうと，通常措置で実施するもの，例外措置で実施するもの，あるいは双方均衡しているものなど，個々の管理策において特徴 をみることができた．
なお設問方式が 2015 年度調査と 2018 年度調査で異なるため，図 5-4 との単 純 比 較 は難 しいことは認 識 している．その上 で，業 務 上 での「外 部 インターネ
ットの使用」に関しては，2015 年度調査では原則規程，2018 年度調査は例外
規程がそれぞれ上 位 を占めるといった，相 反する結果を得 た．具 体的 な管 理策
へは，原 則 規 程よりも柔 軟に変 更できる例 外 規程 で対 応する組 織が増えているとも考えられる．

- 87 -

4.6.3 原則規程か例外規程かどちらを策定するかの考察
以上の調査結果・分析より，例外規程を活用する組織は，個々の管理策 において，原則規 程に基 づく通常措 置を実施 するか，例外措 置を実 施するかをまず
判 断 する．そのうえで例 外 措 置 を実 施 するのであれば，例 外 規 程 を策 定 す るで管理・運用 するものと考える．さらに例外規 程を策定する場合は，自組織における原則規程からの逸脱に対する許容範囲を判断しているものと推定する．
しかし図 4-15 に示すとおり，個々の具体的な管理策において例外措置の実施が異なるため，例外規程の活用状況については全体としては不十分であると考 える．特 にクラウド利 用 等 では例 外 規 程 が十 分 に活 用 されていないことが分かった．さらに可 搬 型 メディア等 に対 して利 用 方 法 がまだ定 まっていない組 織は，リスクが明 確 に把 握 できていないことから，管 理 策 として例 外 規 程 を策 定 してもリスクが低減できるかは不明である．
そこで組 織は，リスク分 析の結 果からリスク対 策が必 要 な管 理 策 については，
それらに対 応 する措 置 をはっきりと情 報 セキュリティポリシーに盛 り込 む ことが求められる．その一 方 でリスクが比 較 的 大 きくない管 理 策 については例 外 規 程 で対 応 するといった運 用 を行 う．このように情 報 セキュリティポリシーにおいて原 則
規 程 と例 外 規 程 とを 使 い分 けることで，現 時 点 ではリスク分 析 が不 明 の事 象 や
新 技 術 への導 入 ，早 急 に対 応 が求 められる事 象 等 にも即 応 し，組 織 の情 報 セキュリティポリシーの維持 管理・運用に柔軟に活用できるものと考える．

- 88 -

4.7

例外規程に関する想定と結論

以上，本章のまとめとして，例外規程に関する想定 1 から想定 7 までについて，アンケート調査結果に基づき表 4-7 でまとめる．また想定 8 については付録
A1 章を参照されたい．
表 4-7 例外規程に関する想定と結果（表 4-3 に加筆）
想定

結果

想 定 １：例 外 規 程 はある程
度普及している・策 定 している組 織 と未 策 定 の組 織 とで両 極 化 している・策定が進んでいる傾向も見られる

想 定 ２：内 部 規 程 にない
例 外 措 置 は，経 営 判 断 だ
けでなく，現 場 判 断 でも実施できる・例 外 措 置は，画 一 的に管 理 部 門 主 導タイプばかりだ
けではなく，「現 場 組 織 の判 断 」が優 先 される利 用 部門主導タイプで実施されることもある

想 定 ３：例 外 規 程 の策 定
時 は ，他 の 先 行 事 例 等 を参考にしている・外 部 事 例 を 参 考 にする組 織 が 多 く ，特 に 政 府 統 一
管理基準を参考にする組織も多い

想 定４：例 外 規程 は，組 織によって異なっている・部 門 ごとにカスタマイズして策 定 しているものは少 ない・多くは専門部門において組織の統一基準で策定

想 定 ５：例 外 規 程 は定 期
的に見直されている・事象が起きたその都度例外措置を実施している・必 要 に応 じてその後 規 程 として策 定 ／見 直 しして いる

想 定 ６：例 外 措 置 の実 施
手 順 を明 記 し，特 に罰 則とセットにしている・例外 規程を策定している組織では業 務フローが整 備
されている
・罰 則 の適 用 が少 ないことから，原 則 規 程 や例 外 規 程への違反に抑止力が乏しい

想 定 ７：原 則 規 程 か例 外規程かのどちらを策定する
かの傾向がわかる

・組 織 の多 くは管 理 策 の実 施 状 況 をもとに，原 則 規 程からの逸脱に対する許容範囲を判断している・組 織 はリスク 分 析 がはっ きりとされている措 置 から原則規程とする・原 則 規 程 と例 外 措 置 と 使 い分 けることで，柔 軟 な運用が可能である- 89 -

以下，各想定に対する結果 について説明する．
想定 1 の「例外規程はある程度普及している」に対する結果として「策定している組織と未策定の組織とで両極化している」とした．これは 4.5.1 項でも述べた通り，2015 年度調査では両極化していた一方で，2018 年度調査ではやや策定が進んでいることが考えられる．この傾向が進んでいくことに期待したい．
想定 2 の「非常時は，経営判断だけでなく，現場判断でも例外措置ができる」
に対する結果として「緊急 性 を要する例 外 措置は，画 一 的に管 理部 門 主導タイプばかりだけではなく，現 場 組 織 の判 断 が優 先 される利 用 部 門 主 導 タイプで実施されることもある」とした．例外措置の実施に留まらず，利用部門でも例外規程の策定まで担っていくことが望まれる．
想定 3 の「例外規程時，他の先行事例等を参考にする」に対する結果として「外 部 事 例 を参 考 にする組 織 が多 く，特 に政 府 統 一 管 理 基 準 を参 考 にする組織も多い」とした．他 組 織での例 外 規 程の事 例が増えることは，未 策 定である組
織 において例 外 規 程 を初 めから策 定 するといった負 担 の軽 減 につながるものと考える．更に 3.2 節で取り上げた政府統一基準群をもとに，自組織に適した例
外規程にカスタマイズできる環境になることが望ましい．
その一方で，想定 4 の「例外規程は，組織によって異なる」に対する結果として「部 門 ごとにカスタマイズして策 定 しているものは少 なく，多 くは専 門 部 門 において組織の統一基準で策定している」とした．これは 4.5.2 項でも述べた通り，統一 基 準のみの例 外 規 程の策 定が減 少しているものの，現 場 組 織 での例外 規 程の策定が進んでおらず，さらに例外規程の管理自体も進んでいないことからわかる．また，管 理 部 門 に集 中 する傾 向 があることがわかったことは，例 外 規 程 の策定には専門知識が必要と考える裏付けになった．そのため，想定 2 でも触れたが，利用部門でも例外規程が策定できる人材育成・組織作りが求められる．
想 定 5 について「例外措置は定期的に見 直されている」に対する結果として「事 象 が起 きたその都 度 例 外 措 置 を実 施 し，必 要 に応 じてその後 規 程 として策定／見 直ししている」とした．2.4 節でも述べたが，例 外 規程は原 則規 程を補完するのが主たる役割であるため，常に原 則規 程と照らし合わせて運 用しなくてはならない．定 常化する例外 規程であるならば，原 則規 程に盛り込むのか，あるいは削除するのかを定期的に見直すことが求められる．
想定 6 について「例外措置の実 施手順を明記し，特に罰則とセットにしている」
に対する結果として「例外規程を策定している組織では業務フローが整備されている．その一 方 で，罰 則 の適 用 が少ないことから，原 則 規 程 や例 外 規 程 への違反に抑止力が乏しい」とした．例外措置の申請・承認手続きについては，3 章の- 90 -

国内外の先行 事例でも例外措置を実 施している組織では普 及していることがわ
かっており，本アンケート調査でもその裏付けとなったと考える．一方で例外規程
において罰 則 の導 入 の明 記 が比 較 的 少 なかった．このことから，例 外 規 程 からの逸脱に対して罰則が抑止力となる有効手段 であると認識するものの，2.4 節及び 5.4.3 項で述べたとおり，必ずしも罰則ありきでの例外規程ではなく，罰則の適用を事前に防ぐ仕組みも必要であると考える．
最後に想定 7 について「原則規程か例外規程かのどちらを策定するかの傾向がわかる」に対 する結 果 として「組 織 の多 くは管 理 策 の実 施 状 況 をもとに，原 則
規 程 からの逸 脱 に対 する許 容 範 囲 を判 断 し，リスク分 析 がはっきりとされている
措 置 から原 則 規 程 に盛 り込 んでいる．そして，原 則 規 程 に盛 り込 まれない措 置の一部においては例外措置として実施できるように，原則規程と例外規程とを使い分 けることで，柔軟 な運 用が可 能である」とした．例 外 規 程を活 用することにより，現時点ではリスク分析が不明の事象や新技術への導入，早急に対応が求められる事 象 等に即 応し，組 織の情 報セキュリティポリシーの維 持管 理・運用に柔軟に活用できるものと考える．

- 91 -

小括
本章では，第 3 章の間隙を埋めるため，日本の組織を対象にアンケート調査を実施し，その結果を分析 した．
組 織 において例 外 措 置 を実 施 しているかについては，本 調 査 では直 接 的 に設問していないものの，例外規程を策定している組織が約 4 割程度あり，少なくとも当該組織は例外措 置を実施していることがわかった．また組織において例外規程を管 理・運用している主 体については，画一 的な管理 部 門主 導タイプばかりではなく，現 場 組 織 の判 断が優 先 される利 用 部 門 主 導 タイプでも例 外 措 置 が実施されていることがわかった．
さらにアンケート調査の結果から次の 3 つを課題として見出した．①例外規程
を持 つ組 織 と持 たない組 織 とが概 ね同 数 で両 極 化 している．②管 理 部 門 の統一的な基準を元に策定され，現場向けにカスタマイズしている例は少ない．③見直 しは定 期 的 ではなく必 要 に応 じて実 施 されている．これらの結 果 から例 外 規
程は十分に普及していないものと判断せざるを得ない．
また同 じアンケート調 査 で，原 則 規 程 と例 外 規 程 の策 定 状 況 について集 計 ・
分 析 した．その結 果 ，管 理 策 によっては「原 則 規 程 のみを策 定 し通 常 措 置 を実施 している」もの，「例 外 規 程 を策 定 し例 外 措 置 を実 施 している」もの，さらには「原則規程も例外規程 も策定していない」ものがみられるなど，一律でないことが分 かった．具 体 的 な管 理 策 においては，例 えば「可 搬 型 メディアの使 用 」や「外部インターネットの使 用」については，原 則 規 程 として策 定 しているという回 答 が多 い．一 方 で，「サポート切 れのソフトウエアの使 用 」では例 外 規 程 として運 用 しているものが比較的多い．しかし「日本国内法非準拠のクラウドの使用」や「第三者 認 証の無い外 部クラウドの使 用」などについては，多 くの管 理 策 において，原則規程，例外規程ともに策定されていないことが明らかになった．
本 アンケート調 査 の集 計 ・分 析 の結 果 から，例 外 規 程 を策 定 している組 織 に
おいては業務の効率化が図られていると推定する 75) ．しかし上述の 3 つの課題
から，必ずしも利用部門においての例外措置の実施が，現状に沿った例外規程の策定および管理・運用となっているとは限らないことがわかった．
本章と第 3 章の先行事例調査の結果から，例外規程のさらなる活用に向けての対 策 を検 討 する必 要 がある．次 章 では例 外 規 程 の活 用 に向 けての対 策 を例
外規程適用の限界も含め述べていく．
75) なお，付 録 A１で想 定 8 に対 する分 析 の結 果 では，例 外 規 程 を策 定 していることに安 心 ・満 足 している組 織 は約 8 割 になると推 測 している．満 足 ・安 心 への回 答 からは，業 務 の効 率 化 の対 する満 足 度
も含 まれるものと考 える．
- 92 -

5. 例外規程の活用に向けての対策
本 章 では，これまで本 論 文 で述 べてきたことを受 けて，例 外 規 程 の活 用 を考える上 でのポイントを整 理 し，それぞれについての見 解 を 述 べる．ポイントとしては，例外規程の策 定 主体と注 意点 ，例外 規程にすべきかどうかの考え方 ，利用部門で実際に活用できうる例外規程の捉え方の３点を取り上げる．さらに例外規程を適用しても越えられない限界について述べ，例外規程を活用する上での留意点として取り上げる．

- 93 -

5.1

例外規程を活用する意義

例 外 措 置 の実 施 が必 要 不 可 欠 であることは，これまで述 べてきたが，先 行 事
例調査やアンケートの結果からは，組織などでは例外の実施について，規程とまで明確かつ体系的に考えず場当たり的に必要なもののみ「例外」としての措置を個別に扱ってきたことが見て取れる．企業は例外を多数扱う中で，体系的に扱う必要性を感じて，例外 規程を策定するようになると考えられる．そこで，この実態を踏 まえて，例 外 規 程 に基 づいて例 外 措 置 を管 理・運 用 していく意 義を以 下 に示す．
2.3 節でも触れたように，例外 措 置を例外 規程によって汎用 的 にルール化することで，承 認 作 業 を可 能 な限り簡 便 化 ・省 力 化 できる．さらに例 外 規 程を情報
セキュリティポリシーの基 本 構 造 に則って原 則 規 程 および例 外 領 域 などとともに体系化・モデル化（図 2-1 および図 2-2 参照）することにより，管理・運用の可視化が期待できる．これらが例外措置を管理・運用していく上で，例外規程を策定する意義と考える．したがって，例外措置を講ずるための例外をいかに例外規程として策定するかがポイントとなる．
そこで本論文では第 4 章の結果も参考にして，以下の 3 つについて，例外規程の活用に向けて論じていく．
・ 例外規程の策定主体と注意点 （5.2 節）・ 例外規程にすべきかどうかの考え方 （5.3 節）
・ 利用者がもつ例外措置への阻害要因 （5.4 節及び付録 A3 章）
なお例外の取り扱いについては，例外規程を策定・承認・管理する管理部門
側 と，実 際 に例 外 措 置 を実 施 する利 用 部 門 側 とでそれぞれ分 けることが考 えられ，本 論 文 では管 理 部 門 側 を主 として取 り上 げる．これはこれまでの研 究 調 査の結果により，組織ガバナンスを中心に扱うのは管理部門側 だからである 76) ．
一 方 で，体 系 的 に管 理 部 門 がルール化 するのは負 担 が大 きい．そのため利用部門においても，情報セキュリティ対策などにおいては例外措置を相談するな
どしてルール化を担ってきた．利用部門が携わっていくについては，単独で実施
するよりも管理部門と相談することが慣習的と考えられる．したがって日本の組織においては，どちらかが一方的にすすめるよりも協調 してすすめるのが望ましいと考えられる．

76) しかしながら，管 理 部 門 での取 り組 みを知 ることは，利 用 部 門 においても参 考 になると考 える．これは5.2.1 項 でも触 れるが，例 外 規 程 の策 定 については，管 理 部 門 のみならず利 用 部 門 にも適 用 できる内容 であるからである．
- 94 -

5.2

例外規程の策定主体と注意点

例 外 規 程 の普 及 を図 るためには，例 外 規 程 そのものが作 りやすく，かつ利 用部門が利用しやすいものにする必要がある．本節では組織において実際に例外規程を取り扱う主体部門（1.5 節参照）に着目し，策定する上での組織体制の考
え方 について述 べる．さらに例 外 規 程 を策 定 する上 での注 意 点 として，強 行 法規との関係について触れる．

5.2.1 例外規程を取り扱う主体
例外規程はヒエラルキー（1.2 節参照）と利用部門への適用との特徴から，1.4
節にて，取り扱う主体部門によって，体系的に 2 つのタイプに分けられることを述べてきた．なお 5.1 節で述べた通り，例外の取り扱いについては，例外規程を策定・承認・管理する管理部門側と，実 際に例外措置を実施する利用部 門側とにそれぞれ分 けていることから，例 外 規 程 の策 定 を担 う主 体 部 門 も管 理 部 門 を前提とする．これは想定 4 での調査結果（4.3 節参照）から明らかである．したがって規程を策定する権限はもともと管理部門が持っているものと推定する．
(1) 管理部門主導タイプ（トップダウン タイプ ）管 理部門 主導タイプは，まず管理部門において，その組織の持つ情報セキュリティポリシーに則り，例 外への対 策 基 準 や管 理 策を明 示し，経 営 側にそれらを承 認させた上 で，例 外 規 程を策 定する．その後 ，定 期 的に例 外 規 程の改定を実施するタイプである．そのためトップダウンともいえる．
管 理 部 門 は情 報 セキュリティポリシーの策 定 や例 外 規 程 策 定 を取 り扱 う専
門 部 門 であることから，この分 野 においては精 通 していると推 定 する． 管 理 部
門主導タイプにおいて，例外規程を策定し管理する主体は管理部門である．
(2) 利用部門主導タイプ（ボトムアップ タイプ ）利 用 部 門 主 導 タイプの主 体 は利 用 部 門 である各 現 場 である．個 々の現 場
で用 いられている，もしくは個 々の現 場 独 自 の基 準 やガイドラインから例 外 規
程を策 定し，おのおの現 場で管 理する．これは現 場である利 用部 門の方が管理 部 門 より実 情 を直 に把 握 しており，例 外 規 程 策 定 ，承 認 ，運 用 または改 定
についても，それを反 映しやすい．また反映 することによりその現場 に応じた例
外規程が運用できる．これは(1)と逆の流れとなっており，ボトムアップといえる．
なお ISO では「マネジメントシステムを共通に構築して，分野ごとに必要な差分を追加する」というアプローチがあり，これに準じて考えることができる．さらにマネジメントシステム共通の構造が，ISO Directive ANNEX SL で規格化され- 95 -

ている 77 ) ．これを分 野が異 なる利 用 部 門 ごとの例 外 規 程 の策 定 に適 用 するのである．
補 足 ではあるが，このタイプは利 用 部 門 内 で例 外 規 程 を完 結 できる為 ，管理部門は原則規程のみの管理 ・運用となる．
これまで(1)管理部門主導タイプと(2)利用部門主導タイプの 2 つのタイプを紹介してきた．しかし本 研究では，不 確実 性 のある想 定外の事象 を扱うには，それらだけではなく，2 つのタイプを交えた施策も必要と思われる．例えば，例外規程
策定は個々の現場である利用部門が主体として担い，運用 する．その例外規程策定に対する承 認権 限は管理部 門が主 体 として担 い，例外 措置 実施後にはその運 用 報 告 を利 用 部 門 に課 して，蓄 積 ，分 析 し，例 外 規 程 の策 定 から例 外 措置の実施，改定までを管理部門が一限管理する（図 5-1 参照）．このように(1)，(2)の 2 つのタイプを程よく融合し，柔軟にそれらを活用することも，敢えて必要ではないかと考える．

管理部門

例外規程の策定を利用部門に委ねる

利用部門の責任範囲で例外規程を策定した説明責任

独自に例外規程を策定すると例外措置の実施の報告義務

例外措置を実施したことを記録を課す

し，例外規程の策定化につなげる

利用部門

図 5-1 管理部門・利用部門協調 による例外規程の策定への体系化
これは従 来 管 理 部 門 で策 定 される傾 向にあった例 外 規 程 を利 用 部 門 でも手掛けることにより，双方で例外規程を評価するといった PDCA の実現が可能と考えたからである．また 4.2.6 項の結果から，例外規程の策定は管理部門主導タイプである一方で，4.2.4 項の結果により承 認手段としては利用部門主導タイプで対応しているということからも推定できるからである．
また組織全体に共通する規程の策定 には，管理部門主導タイプを適用し，策77) 原 田 要 之 助 , “ＩＴシステムのリスクマネジメントの全 体 像 ”, 著 : 佐 々木 良 一 編 「ＩＴリスク学 」, pp.
pp122-138.
- 96 -

定 することが望 ましい．一 方 で個 々の利 用 部 門 に即 した措 置 を必 要 とする規 程については，その利用部門が主 体となる利用部門主導タイプが望ましいと考える．
現 在 は技 術 革 新 により，企 業 組 織 のあり方 や働 き方 に変 革 が起 きている．このような時 代 においては，例 外 措 置 が適 用 される事 象 が起 こりやすくなると考 えられる．この状況をサポートするためにも例外規程の策定と管理 ・運用 を滞りなく行 い，情 報 セキュリティ対 策 を柔 軟に対 応 させることが組 織 としては望ましい．これは例 外 措 置 を適 用 するなかで，管 理 部 門 と利 用 部 門 が互 いに手を携 え協 調
しながら，リスクの増 大 の抑 制 とその利 用の最 大 効 果 の恩 恵を得 ることにつながるからである 78) ．
なお管 理 部 門 ・利 用 部 門 が協 調 して実 施 するためには，利 用 部 門 において課題があると考える．ひとつは利用 部門の方が管 理を担う責 任 が重くなると考えられる点である．もうひとつは利 用 部 門が管 理 部 門 と比 べ，情 報セキュリティポリ
シーの策 定や例 外 規 程 策 定を取り扱う専 門 知 識は乏しいと考えられる 点 である．
これらの課 題 に対 処していくには，管 理 部 門 が利 用 部 門を支 援して，利 用 部 門が例外規程策定の主体部門 を担えるように導くことが必要 と考える 79) ．

5.2.2 強行法規への注意点
次 に例 外 規 程 を策 定 する上 での注 意 点 として，強 行 法 規 との関 連 について述べる．2 章で述べたが，例外規程と逸脱領域の境界線においては，法令や条例等で罰則が設定されている法定境界線（図 5-2 中の赤線）を決して超えてはならないと考える．そのため強行法規が例外 規程の策定および例外措置 の実施の上限である．
例 外 規 程 及 び例 外 措 置 の上 限 が強 行 法 規 であることは，情 報 セキュリティポ
リシーに関 するガイドラインのいくつかにおいて，個 人 情 報 保 護 法 や不 正 アクセス禁止法への法令遵守が記載されていることからも明らかである 80)81) ．
本来超えるべきではない法定境界線を越えて例外措置を実施することは避けるべきである．これは例外規程の限界の一つとみなせるが，この限界は組織が安心安全にビジネスを拡張・継続していくための必須条件と考える 82) ．
78) 日 本 規 格 協 会 , “JIS Q 31000,2010 リスクマネジメント － 原 則 及 び指 針 ”, 日 本 規 格 協 会 , 2010.
79) 管 理 部 門 主 導 タイプと利 用 部 門 主 導 タイプが融 合 したパターンは例 外 規 程 の策 定 と管 理 に関 する
主 体 部 門 が利 用 部 門 となるため，前 提 である「例 外 規 程 の策 定 を担 う主 体 部 門 は管 理 部 門 」と異 なってくる．本 章 では以 降 も管 理 部 門 向 けの対 策 を主 として取 り上 げていくため，管 理 部 門 が例 外 規 程 の
策 定 主 体 として述 べていく．
80) 情 報 セキュリティ対 策 推 進 会 議 ，“情 報 セキュリティポリシーに関 するガイドライン”, 首 相 官 邸 , 2000
81) 総 務 省 ，“地 方 公 共 団 体 における情 報 セキュリティポリシーに関 するガイドライン（平 成 27 年 3 月
版 ）”, 総 務 省 , 201582) 飯 田 によれば，「ルールはときに benevolence（著 者 は「温 情 」に近 いと解 釈 ）と対 立 する．ルールをそ- 97 -

法令違反領域
例 外 範囲法 定 境界 線

逸 脱 領域
原 則 規程図 5-2 原則規程と例外範囲，逸脱領域及び法定境界線構成図のまま適 用 すると妥 当 と思 えない結 論 が導 かれる場 合 ，私 たちはルールに反 した判 断 をすることがある．
もしルールを破 ることが benovolence に基 づいているのであれば，ルールを適 用 した際 の違 和 感 を正 面
から検 討 したり明 示 的 に考 慮 要 素 として取 り組 んだりすることがルールの発 展 に資 するだろう．」（飯 田
高 ，“リーガル・ラディカリズム連 載 第 1 回 ルールを破 って育 てる”，Quarterly Jurist 2018 Autumn
Norbember 27, pp100-107）
現 場 が，組 織 の業 務 効 率 を図 ることを目 的 に，あえて原 則 規 程 から逸 脱 する措 置 を実 施 しようとした
場 合 ，その考 えや行 為 は必 ずしも不 自 然 なものではなく，原 則 規 程 をよりよくするために検 討 した結 果であるべきとも捉 えられる．
一 方 で次 のように追 記 している．「ただし，（中 略 ）ルール破 りは予 想 もしていなかった結 論 を招 く危
険 性 もある．（中 略 ）そのため，ルールを構 造 化 するための理 論 が必 要 となり，それを通 じてルールは発展 していく．そして，ルールの再 構 造 化 は社 会 集 団 の再 構 造 化 でもあり，ルールを破 ることは，守 ることと同 じく，長 期 的 には社 会 集 団 を変 化 させる触 媒 として働 くかもしれない．」
すなわち例 外 規 程 を策 定 し原 則 規 程 を併 用 することで，業 務 効 率 化 を図 るために原 則 規 程 を逸 脱せざるを得 なかった措 置 を，例 外 規 程 によって補 完 する．この構 造 が，結 果 として情 報 セキュリティポリ
シーの発 展 につながることと考 えるにあたり，この論 説 は一 助 となる．
- 98 -

5.3

例外規程にすべきかどうかの考え方

次に具 体 的 な管 理 策 において，原 則 規 程 とするのか，例 外 規 程 とするのかといった，実 際 に例 外 規 程 を運 用 していくための方 法 について考 える．なお本 節
では，例 外 申 請 をする者 およびその部 門 を，申 請 者 および申 請 部 門 とし，例 外申請に対し承認する者およびその部門を承認者および承認部門と呼ぶことにす
る．一 般 には，申 請 者 および申 請 部 門 は利 用 者 および利 用 部 門 ，承 認 者 および承認部門は管理者および管理部門であると考えられる．
例外 措置 の運用には通常 ，申請 者あるいは申請 部門から提出された例外申請の内容を，承認者あるいは承認部門が既存の原則規程もしくは例外規程によって速やかに承認もしくは却 下 の「判 断」ができるかにかかっている．判 断 できな
い場 合 は組 織 にとって「想 定 外 」の申 請 となり，さらに新 たな例 外 措 置 の実 施 を
検 討 しなくてはならなくなる．承 認 部 門 が新 規 の例 外 措 置 の実 施 を承 認 するには，既 存 の原 則 規 程 と同 程 度 の効 用 対 リスク効 果 が期 待 できると「判 断 」できる
かに求められる．
そこでそのような判断 をするためには，組織毎のリスク分析が必要となる（4.6.3
項 参 照 ）．新 規 の例 外 措 置 の実 施 を承 認 するかにおいて，リスク分 析 の結 果 から，リスクは比較的大きくないと「判断」した場合は，例外措置の実 施内容および
適 用 範 囲 を指 示 した上 で実 施 を承 認 する．さらにその実 施 内 容 および適 用 範
囲 がルール化できるものであれば例外 規程として策定し，管 理・運 用する．一方
リスク分 析 の結 果 から，リスクは比 較 的 大 きいと「判 断 」し，リスク対 策 が必 要 だと「判断」した場合は，もはや旧来の原則規程と同程度の効用対リスク効果が期待できないため，例外措置として扱うことは難しいと考える．そのため原則規程を改定 し通 常 措 置 として実 施 を承 認 するか，あるいは却 下 するかの「判 断 」が求 められる．
この「判断」は当該組 織のリスク対策に基づくものであり，組織の目 的によって異 なってくる．したがって組 織 毎 のリスク対 策 への判 断 結 果 が例 外 措 置 の判 断基準となり，すなわち例外規程 策定の判断基準へとつながるものと考える．
以下，本節では 4 章のアンケート結果に基づき，図 4-18 における，2 位の「可搬型メディア」，3 位の「私物デバイス」，4 位の「公衆無線 LAN」及び 8 位の「国内法非準拠のクラウド」の 4 つを例に，具体的な管理策での例外規程 策定への判 断 基 準 を考 える．なおこれらは一 例 であり「リスク対 策 の内 容 」，および「例 外措 置 の実 施 内 容 および適 用 範 囲 」は一 意 でなく，様 々なケースが想 定 できる．
組織に適用できる例外措置および例外規程を得るには，例外 措置を実施し，そ- 99 -

の実 施 内 容 をルール化 することで例 外 規 程 を策 定 し，その例 外 規 程をもとに例
外措置の実施を管理・運用 していくという経 験を，組織が蓄積していかなければならないと考える．
外部インターネット

142

32

可搬型メディア

125

51

私物デバイス74

37

公衆無線LAN55

28

外部からの一時的アクセス

85

46

社内メールの個人メール転送

5336

第三者認証無し外部クラウド

36

25

国内法非準拠のクラウド

34

24

ウイルス対策ソフト非導入

5338

外部業者への特権ID付与

55

40

管理外ソフト

62

45

管理外PC

57

44

個人利用のクラウドサービス

36

28

サポート切れソフトウェア

47
0%

20%
原則規程として策定

46
40%

60%

80%

100%

例外規程として策定

図 4-18 原則規程と例外規程との比率（択一，グラフ内の数値は件数）（再掲）- 100 -

5.3.1 可搬型メディア
可搬型メディア（USB メモリーや SD カード等）の利用に対する管理策は，図4-18 の結果から原則規程の方が例外規程よりも多いことがわかる．ただし USB
メモリに対する利用制 限があるものの，完全 に禁止している組織 が少ない．小中高 学 校 や教 育 機 関 ，研 究 施 設 ，個 人 情 報 ・秘 密 情 報 を扱 う機 関 においては，
禁 止もしくは組織から支 給された可 搬 型メディアによる使 用に制 限 されている事例もある 83) ．
そこで管理 策 としての例外 規 程は，「業 務 上 取引 先からの指 示 等 やむを得ない場合は，予めウイルススキャン済みのものであれば使用許 可する」とする．これにより外 部 への機 密 情 報 の流 出 や漏 洩 を防 ぐことができ，かつ，業 務 効 率 の低下やウイルス感染の防止も計れ，日常業務としての対応が可能となる．
例 外 規 程 策 定 の主 体 のタイプは管 理 部 門 主 導 タイプと利 用 部 門 主 導 タイプ
が程よく融合したパターンを活用することにしたい．可搬型メディア使用は，全組織一律ではなく部 門ごとに使用状況が違うため，管理 部門と利 用 部 門 が協調して策 定するのがよいと考えたためである．また例外規程策定の意義においては，
原 則 規 程 で使 用 が禁 止 されているメディアであっても例 外 規 程 を策 定 しておけば，速やかにその使用が可能となり，日常業務が維持できるという点である．

83) 文 部 科 学 省 初 等 中 等 教 育 局 児 童 生 徒 課 , “学 校 における携 帯 電 話 の取 扱 い等 について（通 知 ）”,文 部 科 学 省 , 平 成 21 年 1 月 30 日 . (オンライン).
http://www.mext.go.jp/b_menu/hakusho/nc/1234695.htm. (アクセス日 : 2019 年 6 月 10 日 ).
- 101 -

5.3.2 私物デバイス
私 物デバイス（スマートフォンやタブレット等 ）の使 用 については，組 織が調 達に係る費用対効果を考慮しなくてはならない．そのため組織貸 与より私物デバイスの使用を認めるといった方向に進むものと推定 する 84) ．
そこで管 理 策 としての例 外 規 程 は，「私 物 デバイスの登 録 ，指 定 アプリのイン
ストール，業 務 使 用 手 引 きの励 行 及び誓 約 書の提 出による許 可 とする」とする．
それにより管 理 部 門が私 物デバイスの業 務 使 用への教 育を施し，私 物デバイス
でも管 理 可 能 となり，私 物 デバイスの業 務 使 用 が可 能 となる．そのことにより，シャドーIT の問題，ウイルス感染防止及び調達コスト削減等のメリットが期待できるものと考える．
例外規程策定の主体のタイプとしては，管理部門 主導タイプと利用部門 主導タイプが程よく融合したパターンを活用するのが望ましいとする．私物デバイスは個 人の所 有によるところが大 きいので，申 請 部 門，承 認部 門 双 方 で協 調し運 用するのが望ましいと考 える．例外 規 程策 定の意義については，原 則 規程で使用が禁止されている私物デバイスも例外 規程策定により，措置として迅速に運用が可能となり，業務効率の向上につながると期待できる．
なお私 物 デバイスについては，個 々の組 織 の状 況により原 則 規 程 とするか例
外 規 程 とするかの判 断 が異 なってくると考 える．組 織 全 体 で恒 常 的 に私 物 デバ
イスを使 用 していくのであれば，導 入 にあたりリスク分 析 を実 施 した上 で原 則 規
程 として策 定 すべきである 85 ) ．一 方 ，一 部 の組 織 で一 時 的 に使 用 するのであれ
ば，デバイスの組織貸与と同等のリスク低減が期待できるよう対策を講じた上で，例外措置を実施し例外 規程として管理運用していくのが望ましい．
私 物デバイスの業 務 使 用を禁 止する選 択 肢もあるが，その結 果 として安 全 性が担保されないまま隠れて使用され続けることが否定できない．すなわちリスクが可視化されないまま，より高いリスクにつながる可能性もあることを管理部 門は考慮すべきであると考える 86) ．

84) いわゆる BYOD の運 用 に関 わってくる85) 私 物 デバイスを使 用 する際 のリスクとしては，利 用 者 および組 織 の機 密 情 報 の漏 えい，業 務 上 の通信 費 用 に対 する不 正 課 金 ，攻 撃 者 によって踏 み台 とされ，第 三 者 を攻 撃 してしまうなど，ほとんどはア
プリの導 入 ・利 用 に起 因 するとした報 告 がある（KDDI 文 献 ）86) 高 槻 芳 , “公 私 混 同 のススメ ～今 どきの BYOD，クラウドが生 む BYOD 新 潮 流 ，日 経 コンピュータホ
ームページ 2012/09/24”, (オンライン).
http://itpro.nikkeibp.co.jp/article/COLUMN/20120920/423888/.
- 102 -

5.3.3 公衆無線 LAN
職場を離れ出 張・外 勤先からインターネットを通じて自組織の基 幹システムにアクセスし，データの授 受が可 能 となることは，5.3.2 項の私 物デバイスと同 様 に
業務活動の幅が広がり，業務効率の向上が期待できる．特に無線 LAN は携帯
回線通信よりも大容量伝送が可能であり，2020 年のオリンピック・パラリンピックを控 え ，市 街 地 の施 設 や街 頭 で急 速 に利 用 が広 まっ ている．しか し ながら 無 線
LAN，特に公衆無線 LAN の多くは不特定多数の人々が容易に情報収集できるようパスワードフリーで設 定 しているものがあり，情 報 セキュリティ 上 業 務 として使 用 するには安 全 とはいえない．そこでこの場 合 の管 理 策 としての例 外 規 程 は設けない．したがって例外措置もない．
公衆無線 LAN 使用に関しては，その性質上サイバー攻撃の標的や踏み台となりやすく，自 組 織 の情 報 インフラに深 刻 な影 響 の出 るリスクがある．そこで，公衆無線 LAN 使用については原則規程のみの策定とし，その管理•運用を徹底する．通常，無線 LAN 使用については，多くの組織が原則規程として使用を禁止しているところが多いと思われる．しかしながら旧来の原則規程のままでは，昨今の業 務 活動 の広がりに対 処できず，業 務 の向 上が図 られない．その場 合 ，原則規程の改定を行うことが考えられる．
原則規程の改定とは 2.1.3 項で述べた通りである．改定後の新原則規程とは，この場 合 ，技 術 的 には「あらかじめ管 理 部 門 に VPN 接 続 申 請 の承 認を受 け，TSL や VPN 等暗号化した通信を行うのであれば作業許可する」，運用的には，「公共の場ではファイル共有機能を解除する，公衆無線 LAN サービスのログイ
ン画 面に電 子証 明 書 エラーが表 示されたら接 続しない」などであり，技 術 面，運用面の両方から現況に沿って入念に策定する 87 ) ．このような改定 を施すことにより，日常業務の安 全な維持が保たれ，業務向上に貢献できると考える．
これら原 則 規 程の管 理 主 体のタイプは管 理 部 門 主 導タイプが望 ましいと考える．特に，そのリスクにおいては影響が組織全体に及ぶ場合があるため，管理部門が一元的に受け持ち，その策定，運用，蓄積，分析，改定までを管理することが望ましい．
総務省では組織等が安心して無線 LAN を導入・運用するための手引きを提供 しており 88 ) ，導 入 に関 しては，原 則 規 程 として細 かく例 示 している．例 えば，「原 則 禁 止」としているのは「アドホックモードの制 限」など極 少 数で，利 用してい87) 総 務 省 , “一 般 利 用 者 が安 心 して無 線 LAN を利 用 するために”, 2012 年 11 月 2 日 . (オンライン). http://www.soumu.go.jp/main_content/000183224.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
88) 総 務 省 , “企 業 等 が安 心 して 無 線 ＬＡＮを導 入 ・運 用 するために”, 2013 年 1 月 30 日 . (オンライン). http://www.soumu.go.jp/main_content/000199320.pdf.
- 103 -

る場合は，厳密に説明（Comply or Explain）が求められるものと考える．

5.3.4 国内法非準拠のクラウド
本研究を始めた 2015 年当初，組織が業務として外部クラウドを利用する場合，利用契約が国内非準拠である海外企業のクラウドサービスが回避され，もっぱら国内法準拠のクラウドサービスが利用されていた．これはクラウドベンダー保有のデータセンターが海外 の非公開の場所に設 置されており 89 ) ，万が一 ，法的 対応をとる場 合 国 内 法 で対 処 することが難 しく，また解 決 には費 用 と時 間 がかかるというリスクがあったためであった．そのため国 内 法 非 準 拠 のク ラウドサービスは，機密情報等重 要なデータの保管や基幹システムとしての導入は避けられ，日本
国内での普及は進まなかった．
しかし現 在 では，海 外 のクラウドベンダーでもデータセンターを日 本 国 内 に設置するようになり，それに合 わせて利 用 契 約 も国 内 法 準 拠 で対 応 できるようになってきている．また組 織がグローバル企業 であるならば，あえて国 内 法 非 準拠 であっても契約を締結 することも推定 できる．現 在の社 会 市 場の傾 向 から鑑みると，クラウドの利用は一 般 的になりつつあり，経 営層もクラウドに対する信頼 性・利便性，さらにはリスクも認識するようになってきている．すなわちクラウドサービスの導入に関しては経営層の抵抗感も以前と比べれば減ってきているものと考える 90) ．
そこで管 理 策 としての例 外 規 程 は「あらかじめクラウドベンダーもしくは当 該 ク
ラウドの仲介業 者と個 別に国内 法 準拠の利 用契 約を締結すれば利用 許可する」とする．なおクラウドサービスの利用については，基幹システムとして常時使 用するのか，または一部の利用部門が一時的に利用するかにより，管理策が異なると考える．組織全体で常時使用するのであれば原則規程に盛り込むことが肝要であり，一 時 的 なものであれば例 外 規 程 を策 定 して措 置 することが望 ましい．また策 定 主 体 のタイプも組 織全 体での常 時使 用 であれば，管 理部 門がクラウド業者と包 括 契 約を結び，原 則 規 程として明確 に運 用する．一 部の一 時 的な，いわば個 別 利 用 であれば，管 理 部 門 主 導タイプと利 用 部 門 主 導タイプが程よく融 合したパターンを活用するのが望ましいと考える．その意義 （5.1 節参照）としては，原則 規 程 を改 定 するほどではないが，例 外 規 程 を策 定 することにより国 内 法 非 準
拠 クラウドへの承 認 が迅 速 に実 施 でき，業 務 上 の利 用 を促 進 することで業 務 効率の向上が期待できると考える．

89) 例 えば google map を利 用 したアプリケーションを作 成 しようとした場 合 ，このままでは入 力 した地 名や住 所 などキーワードがどの国 のサーバで管 理 されるかは明 らかでないものと推 定 する
90) 総 務 省 , 平 成 ２７年 度 版 情 報 通 信 白 書 , 2016.
- 104 -

5.3.5 例外規程にすべきかどうかの考え方への考察
以上，4 つの管理策での策定例について例外規程にすべきかどうかを述べた．
なお，参考として管理策項目ごとに，情報セキュリティポリシーにおける原則規程と例外規程例を表 5-1 に示す．また付録 A5 に補足資料を付加している．もともと表 5-1 は中小企業向けに例外措置の普及に向けての研究調査において提案してきたが（初出一覧（3）及び付録 A2 章参照），組織の規模に関わらず適用できるものと考える．また表中の管理策の一部については，2018 年度調査の設問に使用し，原則規程もしくは例外規程への適用について調査している（図 4-17，
図 4-19 参照）．
調査結果からは管理策によっては原則規程が多数を占めているもの，例外規程 が比 較 的 策 定 されているものとあった．このことより原 則 規 程 ，例 外 規 程 それ
ぞれに適 性があるものと推定 でき，それに応 じて例外 措置の承認 基準や手順を
カスタマイズすることが望ましいと考える．なお，例外措置が比較的策定されている管理策は，利用するデバイス・サービスが自組織の所有ではなく，管理対象外
であるものが多 くみられる．これは従 来，これらが組 織の原 則 規 程の適 用を受 けないことから起因するものと推定する．

- 105 -

表 5-1 各管理策における原則規程例 と例外規程例対比表
管理策

原 則 規程 例

外 部インターネット

許 可なく外 部 インターネ
ットの利 用は禁 止する

可 搬 型メディア（USBメモリ，SD カード等 ）ＵＳＢメモリの使 用は原則 禁 止とするプログラム保 守のための外部 からの一 時 的
アクセス

サポート切れのＯＳやソ
フトウエアの使 用は全 面
禁 止であるプログラム保 守による外部からのアクセスは事 前
承 認を要する

私 物デバイス（スマホ・タブレット等）

業 務 上必 要がない場 合は，原 則 使 用を禁 止

自 社が管 理 していな
い PC

自 社 以外のＰＣの持 ち
込みは原 則 禁 止
自 社 保有 ライセンス以 外のソフトウエアの利 用 は原 則 禁止サポート切れの OS
やソフトウエア

自 社が管 理 していな
いソフトウエアウイルス対 策 ソフトウ
エアを導 入 していな
い PC

利 用 禁止外 部 業者 への特 権
ID を付 与保 守による外 部 業者 への付与 は事 前 承認 を要する

個 人で利 用している
メールに社 内 メールを転送
公 衆 無 線 LAN（暗 号無 し）の利用個 人で利 用しているクラウドサービス（Dropbox 等 ）を利 用する

例 外 規程 例
業 務 上理 由がある場 合は，申 請の上 ，外部 インターネットの利 用を承 認する
取 引 先からの指 示 などやむを得ない
場 合は，予めウイルススキャン済みのものであれば使用 を承 認 する
完 全に外 部 ネットに接 続 しないレガシーシステムについては承 認することもある
一 時 的措 置が必 要と経 営 層が判 断した場合 は事 後申 請で構 わない
私 物デバイスの登 録 ，指 定アプリのインストール，業 務 使 用 手 引きの励
行および誓約 書の提 出により承 認
業 務 上理 由がある場 合は，申 請の上 ，持ち込みを承 認する
業 務 上理 由がある場 合は，申 請の上 ，利用 を承 認する
業 務 上理 由があり，全 く外 部ネットに
接 続しないレガシーシステムについては承 認することもある
一 時 的措 置が必 要であると経 営 層が判断 した場 合は事 後 申 請で構わない

原 則 禁止業 務 上理 由がある場 合は，申 請の上 ，転送 を承 認する禁止

例 外 無し原 則 禁止 とし，企 業が契約するクラウドを利 用 する

取 引 先からの指 示 などやむを得ない
場 合は，申 請の上 ，一 時 的に利 用 を承 認することもある

国 内 法非 準 拠のクラウドを利 用するクラウドの利用 契 約 は国内 法 準拠 とする

第 三 者認 証のない外部クラウドを利 用する

原 則 禁止- 106 -

クラウドベンダーもしくは当 該クラウドの仲介 業 者と個 別に国 内 法 準 拠の利 用 契約 を締 結すれば承 認する
取 引 先からの指 示 などやむを得ない
場 合は，申 請の上 ，一 時 的に利 用 を承 認することもある5.4

利用者がもつ例外措置への阻害要因

例 外 規 程 を策 定 し，例 外 措 置 を実 施 するにあたり，そもそも例 外 措 置 の適 用を受けようとする（あるいは受けようとしない）利 用 者がもつ例 外 措 置への阻 害 要
因 を把 握 した上 で，それらに対 する対 策 を検 討 する必 要 がある．本 節 では，利用 部 門・利 用 者 側 の立 場で例 外 措 置への阻 害 要 因を明らかにし，阻 害要 因 への対応策をもとに例外 規程を提言する．

5.4.1 例外措置の実施を阻害する３つの要因
原 則 規 程 から逸 脱 したもののうち，組 織 が「例 外 措 置 」として認 定 した措 置 であっても，利用 者がそれを守らないことが考 えられる．利用 者が例 外措置を遵 守することへの阻害要因としては以下の 3 つが挙げられる．（参考文献91に筆者加筆）（1） 例外措置の存在自体を知らない
まず決 められた例 外 措 置 を遵 守 するためには，これから行 おうとしている行
動が，原 則 規 程 はもちろん，例 外 措 置の範 囲 内 でもあるかどうかを知っているということが大前提である．これは，もし利用者が例外措置の存在を知らなければ，自 分 が行 おうとしている行 動 が原 則 規 程 から逸 脱 しているという認 識 があったとしても，それが例 外 措 置 の適 用 範 囲 からも逸 脱 するおそれがある「不 安全行動」であるのかどうかまで認識することができないからである．すなわち，利用 者 は逸 脱 した行 動 であるという自 覚 がなく，例 外 措 置 によって救 済 されるものかどうかも知らないことになる．
（2） 例外措置が存在することは知っているが，正確に理解していない
例 外措 置 が存 在することを知っていても，その背 景について正しく理 解していなければならない．その例外措置がなぜ策定 されているのか，またその例外
措 置 にはどういう意 味 があるのか，等 である．もしこのような背 景 についての知識がなければ，例外措 置の重要性についての認識を見誤り，規程 違反を犯しやすくなる．
（3） 例外措置が存在することは正確に理解もしているが，守らない
実務経験が豊富なベテラン担当者は，技術 も知識も十分に備わっているはずである．にもかかわらずリスクを十 分 に判 断 できずに（あるいは判 断 せずに）
実 際 には規 程 違 反 を犯 してしまう場 合 がある．規 程 や例 外 について熟 知 しているがゆえに，自分勝手な作業をし，結果的にリスクを招いてしまう．
このうち（1）及び（2）は，行為 者（利用 者）の例外措 置についての知識不 足が，91) 岡 部 康 成 , 事 故 や災 害 を防 止 するために,リスク・マネジメントの心 理 学 , 新 曜 社 ,pp.245-270, 2003.
- 107 -

規 程 違 反 を犯 す原 因 となっていることが分 かる．知 識 不 足 が原 因 である規 程 違
反であれば，これまでの知識教育を中心とした安全教育によって防止することができる．特にこれらの規程違反の防止には，徹底した「ノウ・ホワイ(Know why)教育」，つまり，ものごとの原 理 原 則 ・根 拠・背 景 などを理 解し，本 質 的 な問 題 点を
見 抜 き解 決 する力 を養 うことを目 指 し，体 験 学 習 や実 習 ・演 習 ・訓 練 を多 く取 り
入れるものが挙げられる 92) ．
しかし（3）は，知 識 教 育 を中 心 として行 ってきた安 全 教 育 では十 分 に防 止 することができない．また，例 外 措 置をよく理 解 して例 外 措 置を守らないという場 合には，例 外 措 置 からの逸 脱 行 動 がリスクをともなっていることを認 識した上 で，あえて危険な行動を選択しているのである．心理学でいう，リスク・テイキングである
93)．人間がリスク・テイキングしやすくなる状況として以下が挙げられる．
・ リスクに気が付かないか，主観的にリスクが小さいとき
・ リスクを犯してでも，得られる目標の価値が大きいとき・ デメリットが大きいと分 かっていても，どうしてもリスクを取らざるを得 ない場
合なお，上記の行 動は人間 行 動だけでなく組 織行 動にも当てはまる．即ち，現場担 当 者だけでなく，知識が十分にある現 場管 理 者や，組 織 全 体の経 営に携わる経 営 者 も陥 る可 能 性 のある「結 果 としての逸 脱 」であることは，人 間 本 来 の行動から来るものである．これは心理学では古くから指摘されている．リスクは目的・目標があってはじめて定義されるため，目標達成のためにリスクをあえてとる
基本方針をとるならば，おのずと例外措置の幅も広げざるを得ないものと考える．

5.4.2 守らない利用部門における組織性逸脱との関連性
前 項 でも触 れた「組 織 行 動 」における逸 脱 については，法 定 境 界 線 を越 え，
それでも法 を犯 してでも行 われてしまう組 織 不 正 もみられる．昨 今 の組 織 不 正（表 5-2 参照）は，組織が法定境界線を越えた結果であると考える．組織の非常事態への回避のため，不正と知りつつ組織 維 持のために逸脱行 為 をし，その場をしのぐことができれば，根本的な解決を先送りにして，その後も例外措置として継続していく．しかしその例外措置が新たな事態に対応しきれなくなり，やがては
不 正 行 為 が明 るみに出 る．例 外 措 置 が法 定 境 界 線 を超 えているため，捜 査 当局によって明らかになったのち，罰則を受けることにつながっていく．

92) 赤 崎 貫 志 , 新 林 栄 一 , “ヒューマンファクターの現 状 とヒューマンエラーのゼロ化 を目 指 してⅢ 化 学
プラントのヒューマンファクターと安 全 教 育 ”, 電 気 学 会 論 文 誌 D,vol.117, No.6, pp671-672, 1997.
93) 芳 賀 繁 , 違 反 と不 安 全 行 動 ，失 敗 のメカニズム, 角 川 ソフィア文 庫 ，pp.147-166, 2003 年 7 月 25日.
- 108 -

この要因 としては，本 間 氏らの「組 織性 逸 脱 行為」理論が参 考となる 94 ) ．組織性 逸 脱 行 為とは「集 団 的 効 果を目 的 として，集 団 内メンバーにより感 知され，違反の実 行 者を含 む複 数の直 接 的 ・間 接 的 関 与 者によって生じる一 般 社 会に照らして逸 脱 した行 為 であり，当 該 集 団 の外 の人 々に何 らかの悪 影 響 をもたらす
集 団 行 為 」である．従 来 ，組 織 体 犯 罪 ・組 織 体 違 反 行 為 ・ホワイトカラー犯 罪 などと呼ばれてきた 95) ．
表 5-2 平成以降の主な大企業による組織不正の一例 96)
年事件

平成 ９（1997）年

山一証券損失隠し隠ぺい

平成１２（2000）年

雪印乳業食中毒事件

平成１６（2004）年

三菱自動車リコール隠し

平成２３（2011）年

オリンパス損失隠し

平成２７（2015）年

東芝不正決算平成３０（2018）年

神戸製鋼検査データ改ざん

平成３０（2018）年

スルガ銀行不正融資

組織の不正行為の特徴としては，主に次の 4 つを掲げている．
・ 複数の成 員（組 織の構成 員）が集団 効果として組織利 益または組 織存 続を求めて行為に及ぶ．すなわち，組織内では成員は組織目標に向かっての協働作 業に従 事するため，組 織 目 標へ向かう行為は賞 賛され，それを拒む行
為は抑制され非難される傾向にある．
・ 不 正 行 為 に関 与 する成 員 は，実 行 犯 としての直 接 関 与 者 ばかりでなく，直接は関わらないが不正を容認する間接的関与者が存在する．
94) 本 間 道 子 編 著 ，“組 織 性 逸 脱 行 為 過 程 ”，多 賀 出 版 (2007)
95) この理 論 の目 的 は，社 会 心 理 学 的 視 点 から不 正 行 為 がなぜ生 じるかを組 織 の要 因 から解 明 することにある．そもそも違 法 行 為 を起 こした当 事 者 は，従 来 社 会 のルールに従 い，よき社 会 人 であり，往 々にして仕 事 熱 心 で仕 事 仲 間 の評 価 も良 い社 員 であった．本 間 らは，不 正 行 為 は，個 人 の資 質 やパー
ソナリティなど個 人 特 性 ではなく，むしろ状 況 ・組 織 環 境 などの影 響 があるのではないか，と指 摘 する．
そこで，集 団 あるいは組 織 体 という社 会 的 構 造 ・社 会 関 係 性 がこのような逸 脱 の生 起 を生 じ易 くさせたり，不 正 を促 していたりしているのではないかとする仮 説 をたて，組 織 ・集 団 心 理 学 に立 脚 した 組 織 犯
罪 のメカニズムを分 析 した
なお，組 織 性 逸 脱 行 為 と職 務 犯 罪 との違 いについては，以 下 の３点 を挙 げている．
・平 常 時 目 的 が個 人 利 益 ではなく，組 織 利 益 （集 合 効 果 ）である．
・複 数 の多 様 な関 わり方 による関 与 者 で成 り立 つ．
・間 接 関 与 者 の方 が，逸 脱 行 為 に心 理 的 影 響 を及 ぼす．
組 織 性 逸 脱 行 為 がいかに悪 質 であるか，さらに深 刻 な損 害 をもたらすことになるかが推 察 できる．
96) NHK スペシャル, “平 成 史 スクープドキュメント第 ２回 バブル終 わらない清 算 ～山 一 証 券 破 綻 の深層 ～”, 日 本 放 送 協 会 , (オンライン).
http://www6.nhk.or.jp/special/detail/index.html?aid=20181202. (アクセス日 : 2019 年 6 月 10 日 ).
- 109 -

・ 不正行為がいったん発生すると，それは当該組織ばかりでなく，一般社会に甚大な被害をもたらす可能性が高い．
・ 通 常 の個 人 犯 罪 と比 べて不 可 視 性 が高 く，加 害 者 と被 害 者 の関 係 が明 確にならず，その特定化も難しい．
これらのことから，情 報 セキュリティ施 策 においては，組 織 不 正 が本 来 の原 則
規 程の枠組みを超え，原則規程と法定境界線 の間の逸脱領域において行われていることが推定できる．
したがって組 織 内 の逸 脱 行 為 が法 的 逸 脱 に及 ばないために，例 外 措 置を実施することが求められ，さらに当該例外措置の管理・運用の可視化を図るために，
例外規 程を策定 する必要がある．これにより例外措 置への申請手 順を明確にし，
組 織 内 で周 知 徹 底 させることが予 防 の一 効 果 につながるものと考 える． 換 言 すれば，たとえ例 外 規 程 を策 定 したとしても，組 織 内 で活 用 できなければ，組 織 を
不 正 行 為 から防 ぐことはできない．このことは例 外 規 程 を運 用 していく上 での留意点となる．

5.4.3 組織の不正行為に関する先行研究から得られる考察
情報セキュリティポリシーを知っていても守らない組織の構成員や組織自体に対し，逸 脱 行 為を阻 止する対 策については，これまでいくつか先 行 研 究 が報 告されている．
ある事例では，逸脱防止への組織での対策 として，情報セキュリティ業務 の可視 化 を進 めることで，構 成 員 にとって分かりやすくし啓 発 を促 せるとしている．別の事例では従業員 の情報セキュリティへの取り組みへのモチベーションを上げる
ことで，逸脱への対策が心理的に受容されやすくなると考えている．さらに，情報システムが持つ安 全 性を示すことで構成 員 の業 務に対して情 報 セキュリティポリ
シーからの逸 脱 即 罰 則 とならない安 心 感 を与 えるといった事 例 や ，逸 脱 には罰則 が伴 うことを周 知 ・教 育 することで，逸 脱 行 為 ではなく例 外 措 置 を実 施 させ，逸脱行為による罰則適用から萎縮効果が期待できるとした報告がある．
その上で，最終手段として，佐藤 氏（3.2.1 項参照）が推奨している，例外措置と罰 則をセットとし，「罰 則を伴う逸 脱 」と「罰 則を免 除する例 外 規 程」との境 界を明確にすることは，一つの対応策の原点になると考える．
なお先行研究に関する詳細は事例については，付録 A3 もしくは初出一覧（8）及び（9）を参照されたい．

- 110 -

5.5

例外規程適用の限界への見解

以 上，本 章では例 外 規 程の活用について，活 用 する意 義，例 外 規 程の策定
主 体 と注 意 点 ，例 外 規 程 にすべきかどうかの考 え方 ，さらには利 用 者 が持 つ例
外 措 置 への阻 害 要 因 の捉え方 について述 べてきた．これらをもとに例 外 規 程 を
策 定 し管理・運用 していけば，例外規 程 の持つ効用を得ることが期待できる．すなわち業務の効率化が期待できる．
その一方 で，これらを講じて例 外 規程を活 用 したとしても，その適 用には限 界もあると考える．これは 2.4 節で述べたように，例外が本来持っている限界があり，それを認識したうえで例外措置の実施さらには例外規程の策定に結びついていることから明らかである．本 節 では例外規程 への活用を図っていく上での限界について考察する．

5.5.1 例外規程策定への限界（残余リスクとの関係）
まず例外規程を策 定 する上での限界について，例外が本来 持 つ残余リスクとの関係をもとに述べる．
特に天変地異の多い日本では，原則規程は基準ではなく標準とみなされ，絶対 的なルールではない．そのため根 本から揺らぎがある状 態の原 則 規 程と例 外
規 程の運 用には難しい面がある．これは例 外 規 程 及び例 外 措 置 がもともと原 則
規 程 にもとづいて策 定 ・実 施 されているためである．例 外 措 置 をどこまで認 めるべきかの限界については，特に例外措置の範囲やリスクを判断する管理部門側のスキルや経験などに左右される．
このように例外規程の管理・運用の徹底を図る必要性としては，例外措置がもつ残余リスクへの解釈に曖昧さがあり，それを考慮することに帰する．本来，情報
セキュリティポリシーが原 則 規 程 のみ（つまり，完 全 合 理 性 ）での 管 理 ・運 用 であれば，「残余リスク」は明確に把握することができる．しかしながら本研究では，情報セキュリティポリシーを原則規程のみで管理・運用することは困難であると述べてきた．そこで例外 措 置を実施することにより，柔軟に業務 を維持 することができるとも述べてきた．ただし不明瞭な例外措置の適用で管理・運用を緩和しすぎてしまうと，どこまでが残余リスクなのか把握できない状態に陥る可能性がある．
一方，2.4 節でも述べた Simon の限定合理性によれは，人間には，将来の不測事態をすべて予見 したり，最適な行動を計算に入れたりすることは出来ないという，知 的 能 力 の限 界 があることを指 摘 している．そして経 済 主 体 の行 動 として生 涯 効 用 の最 大 化 といった極 限 までの合 理 性を前 提 とせず，あらかじめ定 めた
限られた範囲での次善的な最適化に止めるべきと提言している．
- 111 -

このことから，例外規程自体も人間が作り出す規範であることから，同じく限定合 理 性 に留 意 し，できる限 り残 余 リスクに対 する一 時 退 避 を考 慮 した例 外 規 程の策 定が求められることになる．すなわち，情 報セキュリティポリシーが原 則 規程と例外規程とを併せ持ったとしても，限定合理性にもとづく残余リスクに対する限界があることを留意する必要がある．

5.5.2 例外規程運用への限界（技術進歩とのバランス等の配慮）
次 に例 外 規 程 を管 理 ・運 用 していく上 での限 界 について，2.3.3 項 で触 れた技術進歩と例外との関係について述べる．
組織活動において，組織の情報インフラ整備における技術進歩と原則規程とは整 合 性 が取 れない（合 致 しない）ことから，原 則 規 程 のみでの管 理 ・運 用 していくには限界がある．そこで例外 規 程を策 定しそれに基づいた例外 措 置を実 施することで，技 術 進 歩 との整 合性 が難しい原 則 規 程を補 完し，組 織の運 営に情報インフラを十分に利用できると考える．
しかしながら 5.4.3 項の組織性逸脱への関連性にも触れたが，組織内で能動的に運 用できる例外 規程でなければ，技術 進歩 とうまく整 合できず，かえって組
織 運 営 の弊 害 になる可 能 性 も否 定 できない．このことが例 外 規 程 の 管 理 ・運 用における限界の一つであると考える．

5.5.3 例外規程がもたらす業務効率化への限界（想定外などの概念との関係）
最 後 に，例 外 規 程 そのものの意 義 にもあたる「業 務 効 率 化 」への限 界 と情 報
セキュリティ業務で遭遇する想定外の事象に対する管理策について述べる．
5.5.1 項で述べた限定合理性にかかる解釈は，例外規程に限らず，情報 セキュリティポリシー全体にも及ぶものと考える．つまり 1.1 節で述べてきた不確実性（あるいは想定外）のマネジメントにも限界があると解釈 する．
すなわち，情 報 セキュリティポリシーそのものに不 確 実 性 ・想 定 外 への対 策 が必 要 とされているのであれば，それに基 づいて策 定 される原 則 規 程 と例 外 規 程においても，不 確 実 性 ・想 定 外への対 策が当 然 求 められる．しかしながら，特 に例 外 規 程 において，これらに留 意 して策 定 する事 は容 易 ではない．これを実 現するためには，原 則 規 程 と例 外 規 程 の策 定 にかかる専 門 知 識 が必 携 となる．また組織そのものの業務意識改善も要するものであると考える．
一方，業務意識改善において，Weick は「マインドフルネスな組織づくり」 97) を
97) 佐 藤 （3.2.1 項 参 照 ）は，K.E.Weick の日 本 語 版 著 書 「不 確 実 性 のマネジメント」への書 評 において，- 112 -

提唱し，マインドフルネスな組織化を実現するための要件を以下に掲げている．
・ 現状の予想に対する反復的チェック
・ 最新の経験に基づく予想の絶え間ない精緻化と差異化
・ 前例のない出来事を意味づけるような新たな予想を生み出す意志と能力
・ 状況の示す意味合いとそれへの対処法に対する繊細な評価
・ 洞察力や従来の機能の改善につながるような新たな意味合いの発見
しかしながらこれらを習得するにおいても，まずは業務上において相当な訓練と，経験に裏付けられた知識の獲得と意識改革が要求されることは推定できる．
Weick はさらにこれらを意識した上で，さらに不測の事態を予測し，「失敗にこだわる」「単純化を避ける」「オペレーションに敏感になる」の 3 点を認識することが望ましいと述べている．また不測の事態を抑制するために「レジリエンスを決意する」「専門知を重んじる」をさらに意識（あるいは決心）するべきと提言している．
なお最 後の専 門 知 においては，5.2.1 項で述べたように管 理 部 門 ・利 用 部 門 が程よく融合し柔軟に協調する体制により，各部門にて専門知識の獲得が期待できると考える．
このように不確 実性を伴う，想定 外な事 象への対策 に例 外規 程が適用 できるかどうかは，それを策定・運用していく組織の業務意識にも深く関わることが考えられる．言 い換 えれば，例 外 規 程 の効 用 が組 織 の意 識 内 にとどまってしまうことが，例外規程の限界 の一つであるとも考える．

次 のように不 確 実 性 のもとでの組 織 のマネジメントについて論 じている．
「確 かに昨 今 の企 業 が取 り組 む課 題 には，予 想 不 可 能 なことが多 くなっている．それが予 想 できないこと
により，自 信 を失 うこともあるのではないだろうか．しかし，そもそも予 想 できないも のは仕 方 ないという姿
勢 で取 り組 む場 合 もある．不 確 実 な事 象 をマネジメントするために確 実 なものにするという発 想 ではなく，それらを不 確 実 なままでマネジメントしようという観 点 が求 められる．計 画 的 な手 順 の大 切 さとともに，
本 来 ，それとは矛 盾 する計 画 外 の事 象 への取 り組 み方 との関 係 を整 理 していく．これら２つの位 置 づけ
を理 解 して設 計 することで，それぞれの効 果 が最 大 化 することの意 味 を知 ることができる」．

- 113 -

小括
本章では，第 3 章および第 4 章までの調査分析を受けて，例外規程の活用に向けての対策を述べた．
例外規程を適用する意義は，例外措置を汎用的にルール化することで，承認
作 業 を可 能 な限 り簡 便 化 ・省 力 化 でき，業 務 効 率 が図 れることにある．さらに例
外規程を体系化・モデル化することにより，管理・運用の可視化が期待できることにある．
例外規程の活 用を考えるポイントは，例外 規程 を策定する主体 部門の在り方 ，
原則規程からの逸脱 行為のうちどのような態様のものを例外規程にすべきかどうかの判断基準，そして利用者がもつ例外措置への阻害要因の 3 点がある．例外
規程の策定主体については，策定自体は利用部門が担い，策定 に対する承認
権 限 は管 理 部 門 が担 うとした，管 理 部 門 主 導 タイプと利 用 部 門 主 導 タイプとを程よく融 合し柔軟に活 用することを提 案する．例外 規 程にすべきかどうかについては，新 規 の例 外 措 置 の実 施 によるリスクが比 較 的 大 きくないと判 断 し，その実
施内容および適用範囲がルール化できるものであれば例外規程として策定する．
さらに利 用 部 門 が持 つ例 外 措 置 への阻 害 要 因 を把 握 し，それらに対 する対 応措置を考える必要がある．
さらにこの章では，例 外規 程を適用しても超 えられない限界についても述べ，
例外規程を活用する上での留意点とした．
例 外 規程 策 定については，出 来る限り残 余 リスクに対する一 時 退 避を考 慮した例外規程の策定に努力する必要がある．また組織内で活用できうる例外規程
でなければ，かえって阻 害 要 因 となる可 能 性 も否 定 できない．さらに不 確 実 性 ・
想 定 外 への対 策 が求 められるため，原 則 規 程 と例 外 規 程 の策 定 にかかる専 門
知識と，組織の業務改善への意識が必要となる．
次 章 では結 言 として，例 外 規 程 を活 用 していく上 での提 言 とビジネス展 開 への期待について述べる．

- 114 -

6. 結言以 上 ，本 論 文 では，例 外 措 置 を実 施 し，例 外 規 程 を策 定 することで管 理 ・運用することが日常 業 務 への負 担軽 減 につながり，結 果として業 務 の効率 化 が図れるのか，また原則規 程からどの程度の逸脱した事象（もしくは行 為）なら，許容範囲として例外の適用 を認め，業務を継続していくことができるのか，という疑問について探 求 してきた．そして内 外 の先 行 事 例 調 査 及 びアンケート調 査 を通 じて分 析 ・考 察 を重 ねることで例 外 の必 要 性 と限 界 について認 識し，例 外 規 程 の活用に向けての対策を論じてきた．
本章では結言として，例外規程の策定及び例外措置の実施に向けたポイントを示し，普及に向けての提言 及び今後の展望について述べていく．

6.1

これまでの各章のまとめ

まず，これまで第 1 章から第 6 章までで述べてきた内容をまとめてみる．
第 1 章「研究の背景・動機・目的」では，まず研究をはじめた時代背景と，個人的動機について述べた．
2014 年から 2017 年にかけて情報システム部門に在籍していた筆者は，例外措置に関する申請 窓 口で「例外」を運 用することになったのがきっかけとなり，例外 の存 在 意 義 ，必 要 性 ，煩 雑 性 ，運 用 の在 り方 について興 味 と疑 問 を持 つに至った．
情 報セキュリティ施 策 はその性 質 上 不 確 実 性が伴うため，想 定が難しい問 題や事象に対しては「例外」を考えざるを得ない．これが例外の必要性である．また
例外に対して何らかの措置をする場合，それぞれの事象に対して個別事情を考慮した対応を考えなくてはならないため，「判断」という作業が伴う．これが例外の煩雑性につながる．したがって例外にかかる措置を例外規 程として策定することで，一 般 化 と個 別 事 情 への配 慮 という，相 反 する目 的 間 のバランスをとることができると考える．
また例外は，常に原則 と密接に関係して考える必要がある．例 外はあくまでも
例 外であり，例 外は原 則に対 する逸 脱 であることは避けられない．そこで情 報セキュリティポリシーから逸 脱 している行 為 に関 して，それを例 外 としてどの程 度 まで容認するのか，またそれを容認することによって新たに生ずるリスクが容認するメリットを上回らないか（効用対リスク効果），という判断が求められる．
さらに例外の適用には「管理部門主導タイプ」と「利用部門主導タイプ」の 2 種類あり，組織がそのどちらを使うかにより，組織の運用姿勢が把握できるものと考- 115 -

える．
第 2 章「例外の定義と研究対象，必要性と限界」では，本論文における例外の用 語 と研 究 対 象 について定 義 し，例 外 の必 要 性 と限 界 の基 本 的 な考 えを述べた．
例外 措 置とは，原 則に対する逸脱において，その逸 脱の内 容・範囲 を 把握 し，
原則規 程もしくは通常 措置と同 程度の効用 対 リスク効果が期待できるとして，承認権限者から許可を得た措置であると定義 する．実務的にいえば，例外 措置は，原則規程をすぐに改定できず，通常措置として対応しきれない状態 もしくは通常
措置そのものがない状 態において，利用 部 門の判 断や管 理部 門 での承認 に基づいて一時的に実施される措置である．
例 外 規 程 は例 外 措 置 の根 拠 規 程 として，同 一 もしくは類 似 する例 外 措 置 の
適 用 が多 い状 況 において，代 替 手 段 の導 入 も含 め，例 外 措 置 の根 拠 を規 程 として策 定 したものとして定 義 する．言 い換 えれば例 外 措 置 を管 理 ・運 用 していく
ための，措 置 の申 請 ，承 認 ・許 可 ，実 施 ，報 告 ，さらには見 直 し等 といった手 続
きやその内 容 について明 確 に策 定 した根 拠 規 程 で あり，組 織 はこれらを記 録 し
保 存 していく．これは業 務 の効 率 化 に直 結 することから，例 外 措 置 をできる限 り
例外規程として策定 し管理・運用していくよう，組織は努めるべきである．
本論文では，「平常時」のもので，情報セキュリティポリシーの 3 層構造のうち「対 策 基 準」における例 外 規 程 及 び例 外 措 置 に絞って研 究 を行 った．これは対策 基 準 が基 本 方 針 と比 べ日 常 業 務 に直 結 し，組 織 のリスク対 策 の変 化 などに
柔軟かつ定期的に対 応しなければならないことや，平常時は非常時と比べ見直し頻度が高く，かつ長 期間 運 用され，管理 部門により原 則 規程からの逸 脱程 度の判断や評価が定期的に管理されるため，定式化しやすいと考えたからである．
例 外 には業 務 の効 率 化 が図 れるなどの効 果 が期 待 できる一 方 で，例 外 がもつ残余リスクや，利用部門における心理的作用などに起因する行為や措置などへの留意点も考慮しなくてはならない．これらを理解したうえで例外を適用することが望ましい．
第 3 章「例外の先行事例」では，例外の実態を把握するために，研究対象である「平 常 時 の対 策 基 準 における例 外 」に関 する先 行 事 例 （国 内 事 例 ，国 際 規
格事例，海外事例）の調査結果を紹介した．
本論文において最も参考としたのが例外措置を体系的に記述している NISCの統 一 管 理 基 準 である．これをもとに日 本 では省 庁 や関 連 組 織 だけでなく，金- 116 -

融機 関等の民間 企業 の一部 で例外 措置 が実施されていることがわかった．またISMS 認定を受けている組織であれば，例外措置の導入が不可欠であると考える．さらに国 際 規 格 や海 外 の企 業 の事 例 では，一 部 の組 織 がすでに例 外 規 程を導入し，例外措 置の申請・承認・運用がなされている．さらに事前の例外申請がない逸 脱 行 為は違 反 と認 定 され罰 則の対 象 と明 記している組 織が多 いことも
興味深い．
しかし，先 行 事 例 の多 くは申 請 手 続 きに関 するものが多 く，組 織 が例 外 規 程を策 定して例 外 措 置 を実 施しているかどうかについては判 定 することはできなかった．また管理・運用の主体部門については，管理部門 が多いと推定できないものの断定はできなかった．さらにどのような原則規程からの逸脱行為が例外措置とされているかについては，多 くの組 織 が不 明 であった．例 外 規 程 や例 外 措 置の実態に関する包括的な統計資料を取り扱った文献もなかった．
先 行 事 例 調 査 から，例 外 措 置 を実 施 しているだけでなく，例 外 規 程 によって管 理 ・運 用 している組 織 では，業 務 の効 率 化 が図られているものと推 定 する．しかし直 接 的 に公 表 されているわけではないことから明 確 に判 定 することはできな
かった．
第 4 章「例外措置の実態の把握」では，第 3 章の間隙を埋めるため，日 本の組織を対象にアンケート調査を実施し，その結果を分析 した．
組 織 において例 外 措 置 を実 施 しているかについては，本 調 査 では直 接 的 に設問していないものの，例外規程を策定している組織が約 4 割程度あり，少なくとも当該組織は例外措置を実施していることがわかった．また組織において例外規程を管 理・運用している主 体については，画一 的な管理 部 門主 導タイプばかりではなく，現 場 組 織 の判 断が優 先 される利 用 部 門 主 導 タイプでも例 外 措 置 が実施されていることがわかった．
さらにアンケート調査の結果から次の 3 つを課題として見出した．①例外規 程を持 つ組 織 と持 たない組 織 とが概 ね同 数 で両 極 化 している．②管 理 部 門 の統一的な基準を元に策定され，現場向けにカスタマイズしている例は少ない．③見直 しは定 期 的 ではなく必 要 に応 じて実 施 されている．これらの結 果 から例 外 規
程は十分に普及していないものと判断せざるを得ない．
また同 じアンケート調 査 で，原 則 規 程 と例 外 規 程 の策 定 状 況 について集 計 ・
分 析 した．その結 果 ，管 理 策 によっては「原 則 規 程 のみを策 定 し通 常 措 置 を実施 している」もの，「例 外 規 程 を策 定 し例 外 措 置 を実 施 している」もの，さらには「原則規程も例外規程 も策定していない」ものがみられるなど，一律でないことが- 117 -

分 かった．具 体 的 な管 理 策 においては，例 えば「可 搬 型 メディアの使 用 」や「外部インターネットの使 用」については，原 則 規 程 として策 定 しているという回 答 が多 い．一 方 で，「サポート切 れのソフトウエアの使 用 」では例 外 規 程 として運 用 しているものが比較的多い．しかし「日本国内法非準拠のクラウドの使用」や「第三者 認 証の無い外 部クラウドの使 用」などについては，多 くの管 理 策 において，原則規程，例外規程ともに策定されていないことが明らかになった．
本 アンケート調 査 の集 計 ・分 析 の結 果 から，例 外 規 程 を策 定 している組 織 に
おいては業務の効率化が図られていると推定する．しかし上述の 3 つの課題か
ら，必ずしも利用部門においての例外措置の実施が，現状に沿った例外規程の策定および管理・運用となっているとは限らないことがわかった．
第 5 章「例外規程の活用に向けての対策」では，第 3 章および第 4 章までの調査分析を受けて，例外規程の活用に向けての対策を述べた．
例外規程を適用する意義は，例外措置を汎用的にルール化することで，承認
作 業 を可 能 な限 り簡 便 化 ・省 力 化 でき，業 務 効 率 が図 れることにある．さらに例
外規程を体系化・モデル化することにより，管理・運用の可視化が期待できることにある．
例外規程の活 用を考えるポイントは，例外 規程 を策定する主体 部門の在り方 ，
原則規程からの逸脱行為のうちどのような態様のものを例外規程にすべきかどうかの判断基準，そして利用者がもつ例外措置への阻害要因の 3 点がある．例外
規程の策定主体については，策定自体は利用部門が担い，策定 に対する承認
権 限 は管 理 部 門 が担 うとした，管 理 部 門 主 導 タイプと利 用 部 門 主 導 タイプとを程よく融 合し柔軟に活 用することを提 案する．例外 規 程にすべきかどうかについては，新 規 の例 外 措 置 の実 施 によるリスクが比 較 的 大 きくないと判 断 し，その実
施内容および適用範囲がルール化できるものであれば例外規程として策定する．
さらに利 用 部 門 が持 つ例 外 措 置 への阻 害 要 因 を把 握 し，それらに対 する対 応措置を考える必要がある．
さらにこの章では，例 外規 程を適用しても超 えられない限界についても述べ，
例外規程を活用する上での留意点とした．
例 外 規程 策 定については，出 来る限り残 余 リスクに対する一 時 退 避を考 慮した例外規程の策定に努力する必要がある．また組織内で活用できうる例外規程
でなければ，かえって阻 害 要 因 となる可 能 性 も否 定 できな い．さらに不 確 実 性 ・
想 定 外 への対 策 が求 められるため，原 則 規 程 と例 外 規 程 の策 定 にかかる専 門
知識と，組織の業務改善への意識が必要となる．

- 118 -

本章「結言」では，第 1 章から第 5 章までの議論を総括した上で，例外規程の普及に向けての提言，および可能性について述べる.

- 119 -

6.2

例外規程の普及に向けての提言

本節では，5 章での例外規程の活用に向けての対策をもとに，例外規程の策定及び例外措置 の実施に向けたポイントをまとめながら，本論 文としての例
外規程の普及に向けての提言を述べる．

6.2.1 情報セキュリティポリシー基本構造ごとに例外規程を策定する
例 外 規 程 は，情 報 セキュリティポリシーの基 本 構 造 を構 成 する基 本 方 針 ，対策基準，及び実施手順それぞれに策定されているのが望ましい．特に対策基準での例 外 規 程 は，組 織 全 体 に共 通 したものである必 要 はなく，対 象 部 門 ごとに策定・実 施してもよい．セキュリティリスクを低 減させたり，リスクレベルを維持 させたりするために，日常業務に沿った部門ごとの例外措置を実施して，セキュリティ
上の見落としや脆弱性がないかのチェックを常に行うべきである．

6.2.2 例外規程を予め策定する
情 報 セキュリティポリシーが完 全 に確 定 した段 階 で情 報 セキュリティ業 務 を運用することは難しい．そこで情報セキュリティポリシーに基づく原則規程が維持できないときに用いる例外措置は，業務継続のためのバッファのようなものである．
例 外 規 程 を予 め策 定 しておくことは，例 外 措 置 が必 要 と思 われる事 象 が起 きた時に，迅速かつ客観的に措置に移行できる利点 がある．
本学原 田研 究室での 2015 年度のアンケート調査の結果では，例外 規程は組 織によって導入 程 度が異なっており，全 体では十 分に進んでおらず，例外 措置が活用されているとはいえないことを示した．その一方で，情報 技術への依存
度 の高 い情 報 通 信 業 やサービス業 ではそれら半 数 に活 用 され，また政 府 や自治体では統一管理基準の例外措置を推進してきた．さらに 2018 年度アンケート調 査 結 果 でも，徐 々に例 外 措 置を活 用 する組 織 が増えてきていることが窺 われる．
一 方 で例 外 規 程 に予 め策 定 しておくことで，情 報 セキュリティポリシーの維 持にどの程 度 貢 献 できているのかを知 る必 要 がある．具 体 的 には，例 外 を可 視 化
できなくては，規 程策 定に向けての事 務 手 続・承 認・運 用が普 及 することは難し
い．すなわち，例外規程があることで，セキュリティ上どの程度，安心・満足できるのかについて数値化して示すことができれば至便である．
本研 究では，例 外規 程と例 外措 置の実 施 の効果を，原 則規 程との逸脱程 度と例外措置との関係（想定 7，第 4 章参照），及び例外規程に伴う例外措置への評価基準（想定 8，付録 A1 参照）を用いて検証している．その結果，原則規- 120 -

程と例外規程とのバランスや定量的評価の提示が重要であると考える．

6.2.3 例外措置の許容範囲を決めておく
例外措置は，原 則規 程から逸脱した事象をすぐに違反として懲罰 するのではなく，日 常 業 務を運 用 するに許 容 できる範 囲 及び条 件 に当 てはまると承 認 者 が判断できるならば，一時的に原則とは異なる措置を承認することができる．これにより，業務の停滞や停止を迅速に回避する効用が期待できる．
そのため例外規程は，情報セキュリティポリシーからの逸脱に対する許容範囲を明確に判断し，情報 セキュリティポリシーの定期的な見直しとともに策定することが求められる．本 来 これらは，各 組 織 で実 際にリスク分 析して管 理 策を情 報セキュリティポリシーとして策 定 するか，例 外 措 置 を実 施 して，組 織 内 での適 用 事
例を増やしていくことが重要である．
例 外 措 置 は原 則 規 程 と同 等 のリスク低 減 を備 え，原 則 規 程 では逸 脱 する事象に対して即座に対応できる効果が求められるだけでなく，利用者にとって使いやすい効 果も求 められる．アンケート調 査からは例 外 措 置を必 要としていなかったり，知らなかったりしている可 能 性もあることが分かっている．これらのことから，
例外措 置をどの程度，どのくらいの頻度で講 じるべきか，また例外規程をどの範囲内で策定するべきかについては，重要な要素である．
さらには，的確に例外措置を実施できるだけの素質 （6.2.5 項参照）が利用者
および利 用 部 門に求 められる．申 請 内 容 と素 質を照らし合 わせて，例 外措 置 の承認にランク付けする仕組みが必要と考える．

6.2.4 例外規程の策定には例外措置の信頼性を求める
例外措置があることで，情報セキュリティポリシーやそれに基づいて策定される原則は例外の相互補完によって，それ自身 変更の少ない運用が期待できる．そのためには，例 外措置 に対する信頼性が求 められる．具 体的には，例外 規程を策定することが有効であるかどうかの評価を定量的に明示化することで，セキュリ
ティ上，どの程度安心・満足できるが分かりやすくなると考える（付録 A1 参照）．
これによって例外措置の効果を可視化し，常に見直しの参考にすることにもつながるものと考える．また利用者 側が本来 抱いている例外措 置への阻害要 因への対策（5.4 節参照）についても，分析して対処していく必要がある．
今後，例外措置の蓄積による多様化も踏まえ，6.2.5 項のレベル別 例外措置を取り入れた例外規程により，利用者 あるいは利用部門のスキル等でランク付けされた例 外 規 程で，管 理 部 門による例 外 措 置への承 認および利 用 部 門 での実施が有効であると考える．
- 121 -

6.2.5 申請者の資質でレベル別に例外措置を承認する
5.4 節（併せて付録 A3 参照）では，これまでの先行事例をもとに逸脱行為への対策について，罰則 の適用も含め述べた．本節では申請者（利 用者）もしくは
申 請 部 門（利用部門）のスキルや経験 に応じてレベル別 に例外措 置を承認する
考え方を述べる．
承 認 可 否 の判 断 の 時 間 短 縮 を目 的 に，従 来 の手 順 を省 略 する例 外 措 置 を認 めるためには，過 去 の例 外 措 置 への実 績 と，例 外 措 置 を実 施 できるだけのスキルを持ち合わせているかが問われる．この点を例外措置適用への承認判断に
利 用 する．すなわち例 外 措 置 を，申 請 者 あるいは申 請 部 門 のスキルや経 験 ，また例 外 措 置 それ自 体 が持 つリスクにそれぞれ条 件 化し，それら条 件に見 合ったレベルの例 外措 置を適用 させるという，いわば「レベル別 例外 措 置 」の活 用を検討課題として提議する．
このレベル別 例 外 措 置の導 入 は，例 外 措 置 と申 請 者 あるいは申 請 部 門 の持
つ適 性 度 を示 すことにつながり，例 外 措 置 の承 認 判 断 の基 盤 とな って，判 定 基
準 （バロメーターあるいは目安 ）となる．例えば「可搬 型メディア使用 への対策」と「国 内 法 非 準 拠 のクラウド使 用 への対 策 」とでは，例 外 措 置 申 請 の 対 象 媒 体 が全く違い，それぞれの環境で，もとは原則規程として策定されていたものなのか，
それとも例 外 規 程 を策 定 して対 策 したいものなのか，また各 々の利 用 頻 度 やセキュリティ対策等においても，適性度が異なるものと考える．さらには申請者や申請部門によっても，それらが持つ「スキル（作業処理 能力 ）」，「経験 」，「資格」および「権限」により，適性度は異なってくるものと考えられる．
そしてそれら資 質 と例 外 措 置 においてのリスク回 避 の難 易 度 とを組 み合 わせることでレベル別 例 外 措 置 とし，迅 速 で的 確 な判 定 を促 し，業 務 効 率 の向 上 につながるものと考 える．したがって例 外 措 置 は，画 一 的 に実 施 するのではなく，各 々の適 性 を鑑 みた上 で例 外 規 程 を策 定 ・管 理 し，措 置 を行 うことが必 須 であると考える．
例 として 5.3.1 項 の「可 搬 型メディア」での USB メモリの使 用 を取り上 げる．
USB メモリのリスクとしては「外部への機密情報の流出や漏洩」があり，例外措置として「あらかじめ取引先でウイルススキャン済みの USB メモリを受領するのであれば作業許可する」とする．これにより申請者は USB メモリに機密情報を格納した業 務 で使 用 することが可 能 となる．ここで「レベル別 例 外 措 置 」の活 用 した場
合 ，IPA の情 報 処 理 技 術 者の資 格の有 無 や高 度 情 報 処 理 技 術 者レベルの保有スキルによって，USB の種類や格納する情報の制限を設定することができる．
すなわち申請者もしくは申請部門の責任者が無資格者であれば 300 ギガバイト- 122 -

までの容量で機密情報の格納は不可とし，基本情報処理者であれば 1 テラバイ
トまでの容 量 で機 密 情 報 の格 納 は可 能 とし，情 報 処 理 安 全 確 保 支 援 士 など高度 情 報 処 理 技 術 者 レベルであれば容 量 及 び情 報 の種 類 は無 制 限 とする，というようなレベル別もしくはスキルに見合った例外措置が可能となると考える．
このようにレベル別 例 外 措 置を導 入 することで，承 認 者 は客 観 的 に申 請 者 が例 外 措 置 を実 施 するに十 分 な資 質 を有 すると判 断 できる．それと同 時 に，実 施そのものに対する権利と義務を付与することで，「例外措置があるとわかっているのに守らない」利用者への管理が可能となる．

6.2.6 例外規程を管理部門と利用部門が協調して策定・運用する
例 外措 置は各 組織 で実 際に実 施して経 験 を積まなければ，その効 果の程 度をはかることは難 しい．一 方 ，例 外 規 程 を策 定 し管 理 しているのは，情 報 システ
ム・情 報 セキュリティを専 門 とする情 報 系 部 門に集 中 していることも明らかになった．情 報 セキュリティに関 する規 程 が全 ての組 織 において必 須 施 策 の 一 つである昨今では，各組織それぞれに適 応した例外措置の導入も検討していく必要がある．
しかしながら例外規程の実態を見る限り，当該組織のリスクに適応する例外措置の獲 得とその効 果 を得ることは十 分 に進 んでいないと考える．また，個々の組織において個別に情 報セキュリティポリシーや例外規 程を策定することは難しいのが現状である．
そこで，NISC の統一管理基準が広く活用されているように，まずは社会全体
や業界ごとで統 一的 に使える例外 措置を盛り込んだ基準が必 要と考える．個々の組 織 は，この基 準 を参 考 にして，個 別 の具 体 的 な例 外 措 置 を構 築 することで適切 な対 応をとることができるものと期待 される．さらに，例 外 措 置については組
織を超えて全ての組 織で活用できるような体制 作りなどを検 討 していく必要があると考える．
そして 5.2.1 項で述べたように，例外規程の策定主体 は，管理部門 主導タイプと利 用 部 門 主 導 タイプを程 よく融 合 し，それらを柔 軟 に活 用 することで，例 外を取り扱っていくことが期待できる．

- 123 -

6.3

例外規程によるビジネス展開の期待

原 則 規 程は，原 則であるゆえに保守 的な規 程 にならざるを得ない．一方 組織
によっては，基 本 方 針 での原 則 規 程 の範 囲 を狭 くし，ビジネス展 開を狙 う目 標 ・
目的をもつために，例外 規程を広げて例外措置を位置付けることもできる．
つまり例外措置により，リスクに対して積極的にリスク・テイキングする業務を遂行することもできる．この場合，基本方針にて例外措置を承認し，例外措置が持つリスクをしっかり受 け止 めて，業 務 拡 大 を進 めることも可 能 と考 える．例 えば，
新規デバイスの導入を積極的に実施 していくといった内容の例外規程を予め策定し，それに基づいた例外措置を実施していく．
一 方 ，日 本 社 会 においては，契 約 書 に明 記 されていない事 項 については双方紳士的に話し合いで解決することが慣習的である 98) ．転じて，決められていな
いことは，その場で関係者が集まり，とにかく一時措置を決めて実施する．あるいは責 任 者 の判 断 で実 施 する．規 程 の策 定 はその後 で決 めることが一 般 的 に行われている．この慣習を，例外規程を策定する機会をとらえ，「決められていない」
一時措置をできる限り例外措置に転用 できるかどうかの調整の場 として活用していくことが求められる．
なおビジネス展開においては，付録 A2 章では，ケーススタディとして中小企業を取り上げた．中小企業こそ例外規程を活用することでビジネス展開が図れる
可能性があるものと考える．
さらに例 外措 置 の活 用においては，情 報セキュリティポリシーに直 接 的あるいは間 接 的 に関 連 する他の分 野 でも期 待できる．例 えば，情 報 セキュリティシステ
ムへのアジャイル開 発 99 )100 ) や，人 工 知 能（ＡＩ）・ロボット開発 101 ) において，開 発
設 計 段 階 で想 定 できない開 発 要 素 ・工 程 への修 正 対 策 などを，例 外 措 置 を用いて柔軟に対応することが期待できる．

98) 明 確 に例 外 規 程 を策 定 しなくても明 示 的 に例 外 を許 容 でき，罰 則 の適 用 を避 け，説 明 責 任 も明 確にできる．あえて例 外 を特 別 視 しなくても，何 とか業 務 を継 続 することができていたことが，例 外 措 置 策
定 の普 及 を難 しくしているのではないかとも考 えられる．
99) James R. Fitzer, “Agile Information Security”, BookBaby, 2015100) 情 報 処 理 推 進 機 構 , “アジャイル開 発 の進 め方 ”, 2018 年 4 月 . (オンライン).
https://www.ipa.go.jp/files/000065606.pdf. ( アクセス日 : 2019 年 6 月 10 日 ).
101) 村 﨑ほか, “テレビを一 緒 に視 聴 するロボットの開 発 ガイドライン策 定 に向 けての一 考 察 ”, 情 報 処
理 学 会 研 究 報 告 ,vol.2017-EIP-78, No.14, 2017.
- 124 -

6.4

おわりに

博士前期課程修了後の 2017 年 6 月，筆者は組織内定期異動のため，情報システム部 門 から研 究 開 発 部 門 に移 った．情 報 セキュリティポリシーを策 定 ・管理する立場から，利 用 ・遵守する立 場に変 わった．そして担 当していた業務から離れて，今度は例外申請 をすることになった．
利用・遵守する立場 で例外措置を扱ってみて，例外規程の策定をより客観的にみることができるようになった．例 えば，外 部 クラウドの例 外 申 請 については，
管理 部門の立 場ではクラウドベンダーへの調査 依頼や運 用マニュアルの作成，
上長への承認印の受領などを当たり前のように指示していた．しかしながらこれらの申 請 書 類 の提 出 が実 に煩 雑 なものであると実 感 した．一 方 ，例 外 規 程 があることで，例外 申請への審査に必要な事務 処理における，申請者との個別面談や上 司への相 談が簡 便 化・省 力 化できていた．これはすなわち業 務 効 率 があったものだと感じている．
さらに，技 術 進歩 により原 則 規 程の適 用が困 難になり，例 外 規 程 の適 用を実体験できた．USB メモリである．USB メモリは情報システム部門在籍中では全面
禁 止 とされ例 外 措 置 は認 めてこなかった．それが可 搬 型 媒 体 を管 理 できるシステムを導入したことで，USB メモリのシステム管理が可能 となり，例 外措 置として使 用 が認 められることになった．この情 報 インフラ整 備 では，逆 のケースもある．
例えば IBM では当該企業管理下のファイル共有システムを導入したことで，原則許可されていた USB メモリの全面禁止に踏み切ったという報告がある 102) ．このように，進 化 する情 報 インフラは，本 論 文 に述 べているとおり，組 織 の規 程 の
見 直 し（技 術 進 歩 を取 り入 れるための原 則 規 程 との整 合 ）が必 要 となることが確認できた．
また，管理部門の申請窓口業務で経験したことを振り返ってみると，例外措置の取り扱いは，例外規程がないのとあるのとでは承認作業の時間 と手間に，第１章 でも述 べたとおり大 きな差 がある．すなわち，もともと例 外 措 置 の承 認 作 業 に
例外規程がなければ，管理部門においてはかなりの業務負担につながる．現場の立場からは，個々の審査・承認あるいは上長へのエスカレーションの利用は避けたい．そもそも原則 規程 が厳密であれば，認めないと明確に指示できる．原則
規 程 が曖 昧 で都 度 例 外 措 置 を実 施 するようになると，管 理 業 務 は承 認 行 為 が増えて煩雑となり，水面下での逸脱が起きることにもつながり，組織のガバナンスにも影響が出る可能性もある．
102) IBM の記 事 については例 えば，Tech Target Japan の 2018/11/7 の記 事 ：(オンライン).
https://techtarget.itmedia.co.jp/tt/news/1811/07/news04.html (アクセス日 : 2019 年 6 月 10 日 ).
- 125 -

では，例 外 規 程・例 外 措 置は利 用 部門 には有 用であり，結 局のところ管 理 部
門には有用ではないと断定できるものか？筆者は否と考える．それは，例外措置
が多かれ少なかれ情報セキュリティポリシーにおいて対応せざるを得ない実態 であることを，本 研究 で明らかにしたからである．どれだけ情 報セキュリティポリシー
とそれに基 づく原 則 規 程を確 立 しようとしても，技 術 進 歩 ，法 改 正 への対 応 ，働き方改 革などによる仕 事環 境や仕 事のやり方の変 化などから，業 務・ビジネスでのリスクが大きく変化 するため整合できなくなる．したがって原則規程に明記していない事 象 への対 応 が余 儀 なくされる．ここにおいて，例 外 措 置 （あるいは例 外措置とは呼称しないまでも，本論文で述べた例外措置の概念に基づいて実施される行為）を実施することにつながる．例外措置は管理部門では承認・管理せざるを得ない業務 実態であるならば，あらかじめ例外規程を策定しておくことは，有用であると考える．
次に組織経営の面から考えてみる．例外措置（あるいは例外措置の概念に準じた措置 ）は，情 報セキュリティポリシーを策 定している組 織であれば，必須の措置と考えるが，その一方で，例外措置を明文化するかどうか，すなわち例外規程を策 定 するべきかどうかは組 織 の判 断 に委 ねられている．むしろ政 府 統 一 管 理
基 準 によって官 公 庁 等 が導 入 を義 務 付 けていないのであれば，例 外 規 程 の導入 は自 由 である．あるいは「例 外 規 程 」という名 称 でなくとも，部 門 毎 で策 定 している規 程 等において例外 措 置を明記している事 例もあろう 103 ) ．いずれもしても，これからの組織運 営には例外措置に関して，なんらかの規程が事前 に導入されており，常に見直しを行うことが求められる．
筆 者 は，例 外 規 程 と運 用 が，組 織 での情 報 セキュリティの方 針 を示 す情 報 セキュリティポリシーに基づいていることから，この例外措置の実施状況を把握する
ことは，組織の情報セキュリティマネジメントに対する経営側の考え方を知る手がかりの一つになると考 える．ただし例外 措 置 を実施しているのは一 部の組 織にとどまっていることから，経 営 層 に対 して例 外 の必 要 性 を知 らせる必 要 がある．な
ぜなら経営層が関わることについては，NISC の統一管理基準で例外措置の管理台帳を CISO が担っている事例（3.2.1 項参照）があることからも明らかである．
例外の必要性については 2.3 節でも述べたが，さらには，情報セキュリティポリシーがもつ逸脱領域との境目のゆらぎを，自由度がある例外により許 容範囲 として103) 初 出 一 覧 にて議 論 となってきた，例 外 規 程 も明 文 化 されればそれは規 程 であるから原 則 規 程 ではないか？と寄 せられた指 摘 の根 本 的 な理 由 である．本 研 究 では本 論 文 で述 べてきたとおり，例 外 はあくまで例 外 であって原 則 でなりえない．この概 念 のもと，それぞれ明 文 化 されているとはいえ，措 置 の実 施
内 容 と承 認 ・管 理 手 続 き等 ，さらに心 理 的 影 響 への観 点 から，原 則 と例 外 とで区 別 するべきと主 張 してきている．勿 論 ，組 織 それぞれの仕 組 みや方 針 ，観 点 等 から今 後 も議 論 すべき論 点 であるとも認 識 している．
- 126 -

カバーできる点 ，さらに原 則 規 程 と例 外 規 程 との調 和 をとることで業 務 を遂 行していくことができる点 が考 えられる．例 外 措 置 が日 常 業 務 に組 み込 まれることで業務継続が容易となり，いわゆる事業継続にも貢献できるようになる．これらの効果 としては，まず例 外 措 置 への実 行 処 理 速 度 を早 くすることが，結 果 的 にコスト削減につながる可 能 性がある．また措 置内 容に属 人 的な判 断が少なくなり，より客観的に判断・審査・承認を進めることができる．
繰り返しになるが，例外措置は各組織で実際に規程を策定して措置を経験し，自組織での事例を増やし，組織学習をしていかなければ，当該組織に適応する
例 外 措 置 の獲 得 とその効 果 を得 ることは難 しい．社 会 全 体 や業 種 ごとにおける具体的な例外措置の共有化など，全ての組織で例外措置 の活用 を見据えた体制作りなど，今後検討していく必要があると考える．
最後に，当 初，本研 究 テーマを半信 半疑で指導教 官はじめ何人 かの先生方やゼミ内で相談したことの印象を今でも忘れない．それは，筆者自 身，「例外」が研究テーマとして受理されるとは，「想定外」であったからである．しかし相談を受けていただいた先 生 方 ・学 生 ・客 員 研 究 員 からは，ほぼ肯 定 的 な意 見 を頂 いた．
とても意 外 であった．しかも情 報 セキュリティマネジメントの初 心 者 であった筆 者に，先生方から研究方針や方法を懇切にご助言していただき，とても励みになったことを覚えている．
その一 方 で，「例 外 規 程 」の在 り方 を学 内 外 で広 め，認 知 していくことは相 当
難しいということもわかり，これは現在に至っている．初出文献での査読論文をはじめ，これまでも様々な専 門家や先 達の方 々からご意見・ご助 言 を頂き，時には議論してきた．それだけ情報セキュリティマネジメントにおいて「例外」を研究する
ことは新奇性があり，あるいは「例外」「想定外」だったのもしれない．
本研究に従事し，本論文を執筆するにあたって，「例外」といえども曖昧 ・適当に扱うことは，情 報セキュリティマネジメントにのみならず，どの分 野 においても許されない時 代 になってきていると実 感する．そして例 外 につながる考え方 やその規 程 の策 定 ，それに基 づく例 外 措 置 の実 施 がその補 完 手 段 の一 つであると筆者は考える．
例 外を研 究 ・探 求 してきたことが，組 織 や人 々の活 動 への一 助 になれば幸 いである．

- 127 -

- 128 -（付録）A1 例外規程策定への定量的評価の試み
例 外 規 程 を予 め策 定 し，例 外 措 置 を実 施 することが有 効 かどうかを判 断 するためには，なんらかの指 標 により評 価 する必 要 がある．そこで，本 研 究 では 例 外
措 置 の許 容 範 囲 を検 証 するにあたり，例 外 規 程 の策 定 に対 する効 果 への満 足度を評価する試みを行った．
本章では 2015 年度アンケート調査 の結果 から，主観評価実験手法に基づく
定 量的 評価を用いて述べる．なお本章の内容は，初出一覧（10）の学会発表予稿をもとにしている．

A1.1 例外規程における具体的効果に関する調査（想定 8）
本調査では 4.1 節の想定 8「例外規程への評価を定量的に明示化でき，セキ
ュリティ上の満足度が分かりやすくなる」に基づいて設問 23 を設定し質問した．
設問 23 は例外規程による効果に対して，主観的にどの程度満足・安全に感じているかをたずねている（表 4-2 参照）．具体的には表 A1-1 に示す設問肢それぞれに対 して「とても満 足 ・安 心 」から「とても不 満 ・不 安 」までの６段 階 評 価 で回答を求めた（表 A1-2 参照）．なお例外 規 程による具体的効 果 についての設問肢は，他の設問で使用した設問肢や 3 章の先行事例のなかから，を列挙した．
表 A1-1 設問 23 における設問肢一覧（例外規程による具体的効果）(1)

迅速に業務手続きで業務停止を防ぐ(2)

通常手続きに係る時間・コストが節約でき，機会損失・被害を未然に防ぐ(3)

現 時 点 では想 定 外 で，通 常 手 続 きに書 いていない事 象 にも，予 め審 議体制を確立できている(4)

規程違反として罰則適用を未然に防ぐ(5)

次期規程策定への参考，事例となる(6)

内部・外部監査への適用しやすくなる(7)

経営ガバナンスに貢献できる(8)

ISMS 等第三者認証の更新が容易になる(9)

情報セキュリティ関連 規程全体に効果がある- 129 -

表 A1-2 回答選択肢
規程別

選択肢

満足・安全圏

不満・不安圏(1)

とても満足・安全

(2)

満足・安全

(3)

どちらかといえば満足・安全(4)

どちらかといえば不満・不安

(5)

不満・不安

(6)

とても不満・不安設問 23 における単純集計結果を図 A1-1 に示す．なお設問肢は表 A1-2 に示す「満足・安全圏」の合計の多い順に並べている．図 A1-1 からは，9 つの例
外 規 程 の具 体的 効果 のうち，「次期 規 程の見直し」「手続きの迅 速化」「時間・コスト削減への効果」において満足・安心圏が 50％から 60%の範囲であることが分
かる．
次期規定策定への参考、事例となる 2% 11%

46%

12% 1%
1%

26%

迅速に業務手続きで業務停止を防ぐ 4%

14%

39%

13% 2%
1%

27%

通常手続きに係る時間・コストが節約でき、
3%
機会損失・被害を未然に防ぐ

13%

40%

14% 3%
1%26%

内部・外部監査への適用しやすくなる 3% 10%

41%

16% 4%1%

26%

規定違反として罰則適用を未然に防ぐ 3% 11%

40%

13% 6%1%

26%

現時点では想定外で、通常手続きに書いていない事象
2% 12%にも、予め審議体制を確立できている

39%

17%

4%1%

25%

情報セキュリティ関連規定全体に効果がある 2% 11%

38%

18%

4%1%

26%

経営ガバナンスに貢献できる 2% 8%

39%

16%

6%1%

27%

ISMS等第三者認証の更新が容易になる 2% 11%

33%

20%

7%2%

26%

とても満足・安全
どちらといえば不満・不安
無回答

0%
20%
満足・安全
不満・不安

40%

60%
80%
100%
どちらといえば満足・安全
とても不満・不安図 A1-1 具体的な目的や効果に対する主観的評価（択一，N=352）- 130 -

また無回答を除き，単純に「満足・安全圏」と「不満・不安圏」とで区分けしたものを図 A1-2 に示す．図 A1-2 からは，すべての設問肢において，満足・安全圏
が不満・不安圏を上回ることがわかった．
次期規定策定への参考、事例となる

211

49

迅速に業務手続きで業務停止を防ぐ

203

56

通常手続きに係る時間・コストが節約でき、機会損失・被害を未然に防ぐ

198

62

内部・外部監査への適用しやすくなる

191

72

規定違反として罰則適用を未然に防ぐ

191

70

現時点では想定外で、通常手続きに書いていない事象にも、予め審議体制を確立できている

187

76

情報セキュリティ関連規定全体に効果がある

180

81

経営ガバナンスに貢献できる

175

82

159

100

ISMS等第三者認証の更新が容易になる

0%
満足・安心圏

20%

40%

60%

80%

100%

不満・不安圏図 A1-2 満足・安心圏－不満・不安圏別グラフ（択一，グラフ内の数値は回答数）

A1.2 二重刺激劣化尺度法による主観評価分析
図 A1-2 の示すように，満足・安心圏が不満・不満圏を上回った点をさらに分析するために，図 A1-2 の結果を二重刺激劣化尺度法（以下，分析法） 104) を用いた主 観 評 価 分 析 を行 った．この分 析 法 は主 に画 質 ・音 質 劣 化 の主 観 評 価 に利 用されており，本研究ではこれにより，例外規程の有無による情報セキュリティ
ポリシーなどへの満足度を評価した．
まずデータの前処理として，アンケート設問 23 中の 6 段階回答選択肢と，分析法の 5 段階評価点との互換をとった（表 A1-3 参照）．具体的にはアンケート
回答選択肢の「とても満足・安全」と「満足・安全」は，分析法の評点 5「気にならない」に属するものとみなして互換を図った．
前処理で回答選択肢と評価点との互換をとった上で，設問肢ごとの累積評点を求 め（図 A1-3 参 照 ），さらに設 問 肢 間 での累 積 評 点 の相 関 を分 析 した（表A1-4）．表 A1-4 からは設問肢間の相関が強く，それぞれの傾向に依存性がある
ことがわかった．
104) ITU-R, “ITU-R 勧 告 ”,Methodology for the subjective assessment of the quality of television
pictures”，BT500-11”, 2006
- 131 -

表 A1-3 主観評価点の互換一覧
評点

5

4

3

2

1

アンケート

とても満足・
安全／満足・
安全

どちらかといえば満足・安
全

どちらかと
いえば不
満・不安

不満・
不安

とても不
満・不
安

どちらかといどちらかとえば気になら

いえば気

気にな

とても気

ない

になる

る

になる

回答選択
肢
二重刺激
劣化尺度

気にならない

法回答選
択肢
120%
100%
80%
60%
40%
20%
0%
5

4

3

2

1

評点

次期規定策定への参考、事例となる
迅速な業務手続きで業務停止を防ぐ
通常手続きに係る時間・コストが節約でき、機会損失・被害を未然に防ぐ
内部・外部監査への適用しやすくなる
規定違反として罰則適用を未然に防ぐ
現時点では想定外で、通常手続きに書いていない事象にも、予め審議体制を確立できている
情報セキュリティ関連規定全体に効果がある
経営ガバナンスに貢献できる
ISMS等第三者認証の更新が容易になる

図 A1-3 設問肢別累積評点- 132 -

表 A1-4 設問肢間での累積評点の相関（表中の「問」は文中の「設問」を指す）
相関

問1

問2

問3

問4

問5

問6

問7

問8

問1

1.00

問2

0.99

1.00

問3

0.99

0.99

1.00

問4

0.99

0.99

0.99

1.00

問5

0.99

0.99

0.99

0.99

1.00

問6

0.99

0.99

0.99

0.99

0.99

1.00

問7

0.98

0.99

0.99

0.99

0.99

0.99

1.00

問8

0.98

0.99

0.99

0.99

0.99

0.99

0.99

1.00

問9

0.97

0.98

0.98

0.99

0.99

0.99

0.99

0.99

設9

1.00

次に図 A1-3 の設問肢 ごとの累積評点の平均 から許容限を求めた．その結果を図 A1-4 に示す．図 A1-4 中の平均値から近似式を求めた結果，評点 3.5 で求める許容限は 83.4（単位％），ならびに 4.5 で求める検知限は 49.2 となった．
このことから回答者の 8 割以上が，自組織の情報セキュリティポリシーにおける例
外規程に対して「満足・安心」していることが推定できる．すなわち当該主観評価
手 法を用 いることで，組 織の満 足度を数 値 化（定 量 化）して理 解 する手がかりの一つになると考える．

100%

許 容 限： 83.4％

80%
60%
40%

検 知 限： 49.2％

20%
0%
5.0

4.0
4.5

3.0

2.0

3.5

図 A1-4 主観評価分析結果- 133 -

1.0

評点

A1.3 主観評価分析結果へのヒアリング調査
本研究ではさらに，上述の許容限 83.4 について直観的な感想や意見を得るために，情報セキュリティ大学院大 学内でヒアリング調査を試みた．
本調査は，2016 年２月 26 日に開催された 2015 年度 ISS Square シンポジウ
ム (http://iss.iisec.ac.jp/)でのポスター発 表 （内 容 は非 公 開 ）の会 場 で，口 頭 で行った．ヒアリング内容については，「自組織の情報セキュリティポリシーにおける例外規程の「満足・安心」度は 80％である」ことを想定してもらい，直観的に，「安心を感じる／安全と思う」か，「不安を感じる／危険と思う」か，のいずれであるかをたずねた．
その結果を図 A1-5 に示す．なお回答者は学内 の教官，連携教官ならびに学生・卒業生の 15 名で，サンプル数が少なく，情報セキュリティを専門とする者からの回答であったため，図 A1-5 の結果を単純に一般社会への評価にすることは難しい．

図 A1-5 許容限（％）に対するアンケート結果（択一，N=15）
しかしながら，12 名（80％）が「不安を感じる／危険と思う」と回答した．その主な理 由 として，「情 報 セキュリティポリシーの重 要 性 を認 識 している立 場 では，８割 程 度 の満 足 ・安 全 度 では納 得 できず，楽 観 的 な傾 向 が見 られる」などの意 見が多 く寄 せられた．その一 方 で，「安 心 を感 じる／安 全 と思 う」と回 答 した理 由 としては「より客 観 的に考えれば８割 強の評 価は十 分 な結 果 ではないか 」とする意
見が少数だが寄せられた．

- 134 -

このヒアリング調査は，さらに 2018 年 12 月 19 日で発表した博士研究発表会において，同様の質問を聴講 生にも行った．その結果を図 A1-6 に示す．
「安心を感じる／安全と思う」への回答が 8 件，「不安を感じる／危険を感じる」
への回答が 9 件と，ほぼ同数であった．このことから情報セキュリティポリシーにおける例外規程の満足度が約 80％というのは楽観的であるともいえないことがわかった．

8
安心を感じる／安全と思う

11

不安を感じる／危険と思う
無回答

9
図 A1-6 許容限（％）に対するアンケート結果（択一，N=28）
これらのヒアリング調査は，サンプル数が少ないことから参考情報程度にとどまったものの，情報セキュリティへの満足度 について議論する機会となった．

A1.4 例外規程策定済組織における例外規程の定量評価
続 いて本 研 究 では，実 際 に例 外 規 程 を策 定 している組 織 が，例 外 規 程 を満足しているかどうかを分析した．本節では，表 4-2 の設問 16 の結果を示す図 415 において，表 4-6 の「例外規程を策定」（「(3)例外規程に従い，例外措置をしている」と「(4)例外措 置をしたことがない」を合わせたもの）の割合の高かった「可搬型メディア」（11.6%+2.8%=14.4%）と，低かった「日本国内法非準拠のクラウド」（2.0%+4.8%=6.8%）を取り上げる．それぞれ図 A1-7 及び図 A1-8 に設問 23 の各項目の満足度（図 A1-2 での満足・安心圏）を分析した結果を示す．

- 135 -

次期規定策定への参考、事例となる

41

7

迅速に業務手続きで業務停止を防ぐ

38

9

通常手続きに係る時間・コストが節約でき、機会損失・被害を未然
に防ぐ

38

10

内部・外部監査への適用しやすくなる

35

12

38

規定違反として罰則適用を未然に防ぐ

8

現時点では想定外で、通常手続きに書いていない事象にも、予め審議体制を確立できている33

14

情報セキュリティ関連規定全体に効果がある

35

12

経営ガバナンスに貢献できる

35

13

26

ISMS等第三者認証の更新が容易になる

0%
満足・安心圏

20

20%

40%

60%

80%

100%

不満・不安圏図 A1-7 例外措置を実施している組織における満足度（可搬型メディアを利用する，グラフ内の数値は回答数 ）19

次期規定策定への参考、事例となる

1

17

迅速に業務手続きで業務停止を防ぐ
通常手続きに係る時間・コストが節約でき、機会損失・被害を未然
に防ぐ

3

16

4

15

内部・外部監査への適用しやすくなる

516

規定違反として罰則適用を未然に防ぐ
現時点では想定外で、通常手続きに書いていない事象にも、予め審議体制を確立できている

4

14

6

情報セキュリティ関連規定全体に効果がある

18

3

経営ガバナンスに貢献できる

18

3

13

ISMS等第三者認証の更新が容易になる

0%
満足・安心圏

20%

7
40%

60%

80%

100%

不満・不安圏図 A1-8 例外措置を実施している組織における満足度（日本国内法非準拠のクラウドを利用する，グラフ内の数値は回答数 ）各項目でばらつきはあるものの，いずれも満足度（満足・安心圏）が 50％を超えていることがわかる．したがって例 外 規 程 を実 際 に策 定 している組 織 では，例外 規 程 を策 定 する目 的 ・効 果 それぞれに対 して満 足 ・安 心 に感 じていると推 定する．多 かった項 目 としては「次 期 規 程 策 定 への参 考 ，事 例 となる」「迅 速 に業- 136 -

務 手 続 きで業 務 停 止 を防 ぐ」があげられ，例 外 規 程 がもつ特 徴 に対して評 価 が高いものと考える．一方「ISMS 等第三者認証の更新が容易 になる」については他の項目と比べて低くなっている．ISMS（3.3.1 項参照）では例外措置が明記されているものの，実 際 には満 足 ・安 心 と感 じられるには至 っていないということが
わかった．

小括
以上，本章では，例外規程 の策定における具体的効果への評価を定量的に明示し，その満足度について分析した．
アンケート紙 面 上で主 観評 価 実験を行い，単純 集 計結 果から二 重刺 激 劣化
尺度法を応用し，許容限を求めた結果 ，アンケート回答者の 8 割程度が例外規
程 に満 足 であると試 算 した．さらにこの試 算 結 果 を 情 報 セキュリティに精 通 した者からヒアリングした結果，当該許容限の結果では満足できるものでないとする j
評価を得ることができた．
また実際に例外規程を策定している組織から，例外規程への満足・安心度が高いことも明らかになった．このことから組織 では，例外 規程の効 果を理解したう
えで例外措置を実施しているものと推定する．

- 137 -

A2 例外措置の普及に向けての実践と拡張
本 章では例外措置の普及に向けて，中小 企業を例にケーススタディを述べる．
情報セキュリティマネジメント体制の確立は，中小企業においても必須の課題である．サイバー攻撃 など情報セキュリティに関わるリスク対応のため，中小企業でも情 報 セキュリティポリシーを 策 定 し，それに則 った原 則 規 程 に従 って，日 常
業務を管理・運用している．
昨今，社会情 勢や技 術革新に伴い，時々刻々と変化するリスクや新規デバイ
スに対 応していくなかで，原則 規 程やそれに関わる管理 基 準・運 用 手順 に基づいた措 置 も，迅 速 かつ柔 軟 に変 更 していく対 応 が求 められている．しかしながら
予 め原 則 規 程 にはない措 置 への一 律 的 な管 理 策 はなく，逸 脱した措 置 への解釈・対応には日常業務へのリスクが存在すると考える．
本論文では，比較的規模が小さい企業 が例外措置を活用することで，情報セキュリティポリシーを経営戦略に柔軟に適合させ，新たなビジネスチャンスにつなげていくという効果が期待できることを述べる．
なお本 章 の内 容については，初 出 一 覧 （3）の学 会 査 読 論 文をもとにしている．

A2.1 中小企業における例外措置
中 小 企業 においても，情 報セキュリティポリシーを管 理・運 用 する上 で例 外規
程 を策 定 し，想 定 外 の事 象 にも対 応 できるようにすることが望 ましい．このことは2015 年度及び 2018 年度アンケート調査結果を分析した結果 からも，中小企業を含む一部の組織が例外規程を実際に策定していることが明らかになった．

A2.2 例外措置の実態
アンケート調 査 では，例 外 措 置 を実 施 する際 の判 断 ・決 定 において，原 則 規
程 からの逸 脱 の程 度 が「例 外 措 置 としてどの程 度 許 容 されるものであるか」を調べている．具体的には，個々の管理策に対し「原則規程 を策定」「例外規程を策定」あるいは「例外規程は未策定」の何れかを尋ね，その結果を公表している．
本節では，さらに中 小 企業における例 外 措 置の実 態について分 析した．その結果を図 A2-1 に示す．なお本研究では，中小企業を従業員数 300 人以下の組織とみなした 105) ．
105) 中 小 企 業 庁 , “中 小 企 業 ・小 規 模 企 業 者 の定 義 ”, 中 小 企 業 庁 , (オンライン).
http://www.chusho.meti.go.jp/soshiki/teigi.html. (アクセス日 : 2019 年 6 月 10 日 ).
- 138 -

図 A2-1 からは，「可搬型メディアの利用」項目に対し，「原則規程に設定」「例外 規 程に設定 」（凡例 中の実線枠）の回答が多い．すなわち，「可搬型メディア」の利用については，昨 今の情 報セキュリティに関わる事件・事故を受けて，業務
上 での利 用 を禁 止 ・制 限 する動 きがある．その一 方 で，使 用 を許 可 する例 外 規
程を策 定 して，リスクを認 識 させて使 用 させるという「例 外 措 置 」がとられていることも分かる．
なお「可 搬 型メディアの利 用 」項 目 については業 種 別 に分 析を行 い，このうち回答数が比較的多い「情報通信業」「サービス業」を図 A2-2 に示す．

外部インターネット

40%

可搬型メディア

0% 6% 2% 5%33%

外部からの一時的アクセス

22%

0% 8%

1%

11%

3%

11%

4%

37%

8%

9%

35%

8%

46%

8% 2% 8%8%

私物デバイス

20%

2%

50%

8%

管理外ソフト

18%

1 8%

2%

9%

51%

10%

管理外PC

18%

1% 7%

4%

8%

53%

9%

ウイルス対策ソフト非導入

17%

0% 6% 3% 4%

公衆無線LAN

16%

0%3% 5% 2%

社内メールの個人メール転送

15%

0% 6% 4%

サポート切れソフトウェア

14%

1% 9%

外部業者への特権ID付与

14%

0%5% 4% 5%

2%

60%

9%

65%
10%

9%
56%

19%

9%
46%

8%

62%

9%

65%

9%

個人利用のクラウドサービス

11% 0%5% 4% 6%

第三者認証無し外部クラウド

10% 0%2% 4% 2%

72%

8%

9% 0%
2% 4%2%74%9%

国内法非準拠のクラウド
0%20%

原則規程を策定
例外規程を策定
例外規程は未策定

図 A2-140%60%

元来通常措置としている
規定に従い例外措置をしている
一時的措置をとったことがある
無回答

80%

例外措置から変更した
例外措置をしたことがない
例外措置をしたこともない

中小企業における具体的な業務上の事象における例外規程の有無 （択一，N=249）- 139 -

100%

情報通信業

55

1

23

7

13

55

10

N=164

サービス業

10

0

4

1

5

8

4

N=32
0%

20%

40%

60%

80%

原 則 規 程 に策 定

元来通常措置としている

例外措置から変更した

例 外 規 程 に策 定

規定に従い例外措置をしている

例外措置をしたことがない

例 外 規 程 は未 策 定

一時的措置をとったことがある

例外措置をしたこともない

100%

無回答

図 A2-2

業種別での可搬型メディアに対する例外措置の有無（択一，グラフ中の数値は回答数）

図 A2-2 からは，情報通信業では「原則規程に設定」と「例外規程 に設定」の合計が 52％（55+1+23+7=86 件）と，「例外 規程が未策定」の 42％（13+55=68件）より 10 ポイント程 度多い．一方で，サービス業においてはそれぞれ 42％（15件），40％（13 件）とほぼ同様な結果 となっている．この結 果から可 搬型メディアの利 用 制 限 が原 則 規 程 もしくは例 外 規 程 として徹 底 されている中 小 企 業 とそうでない中小企業とで両極化されていることがわかる．

A2.3 原則規程と例外規程との関連性
図 A2-1 の単純集計結果から原則規程と例外規程状況のみを抽出し，原則規程の比率が高い順に示したものを図 A2-3 に示す．各管理策に対して原則規程もしくは例外規程が策定されている中小企業について以下のことが考えられる．
まず，具 体 的な管 理 策それぞれについて，例 外 規程を策 定しているものが最も多いものでも 50％を超えていない．このことから例外規程があまり活用されていないことがわかる．例 外 規 程を策 定しない理 由 としては，例 外 措 置 そのものを必要としていない，あるいは情報セキュリティポリシーや原則規程の策定において，
例 外の策定 が想起されていないようにも考えられる．これは，中小 企業 が情報セ
キュリティポリシーを策定するにあたり，NISC のガイドラインを活用していなかった
り，また，中 小 企 業向 けのガイドラインには例 外規 程の策 定が記 載されていないことなどが理由として考えられる．

- 140 -

101

外部インターネット

21

可搬型メディア

8437

私物デバイス

56

26

公衆無線LAN4020

外部からの一時的アクセス

56

29

社内メールの個人メール転送

38

25

第三者認証無し外部クラウド

26

16

国内法非準拠のクラウド

24

14

ウイルス対策ソフト非導入

44

23

外部業者への特権ID付与

36

23

管理外ソフト

48

27

管理外PC

46

27

個人利用のクラウドサービス

28

21

サポート切れソフトウェア

39

28

0%

20%

原則規程を策定

40%

60%

80%

100%

例外規程を策定

図 A2-3 中小企業における原則規程と例外規程との比率（択一，グラフ内の数値は件数）
個 別 にみると「外 部 インターネット」「可 搬 型 メディア」の利 用 については，多 くの中小企業でほぼ原則規程が策定され通常措置として運用されている．一方で，その他 の管 理 策 については，原 則 規 程 で対 応 する中 小 企 業 が多 いものの， 例
外規程を策定している中小企業との差が少ない．これは中小企業において原則
規 程と例 外 規 程 とを組 み合 わせて，情 報セキュリティポリシーの維 持 管 理・運 用を進めているためと考える．
さらには例 外 規 程を適 用する際には，具 体 的 な事 象によって対 応が変 わるこ
とも考えられる．例えば，USB メモリの外部持ち出し，BYOD の許可，外部クラウドの活 用 などの具 体 事 例 では，実 際 に原 則 規 程 もしくは例 外 規 程 がされている
中小企業がある一方で，全く規程を策定しない中小企業もある．
以上，アンケート結果をまとめると以下のとおりとなる．
・ 例 外 規 程 は，策 定 している中 小 企 業 と，していない中 小 企 業 とで両 極 化 している．
・ 同 じ管 理 策 への対 応 でも，業 種 によって例 外 規 程 を策 定 していたり，策 定- 141 -

していなかったりしている．
・ 中小企業によっては例外措置を不要もしくは例外措置を想定していない可能性もある．
・ 原 則 規程 と例 外規 程 と区 別して，情 報セキュリティポリシーの維 持 管 理・運用を進めている中小企業もあると考える．

A2.4 中小企業における例外措置の限界
A2.3 節では中小企業における例外措置の実態と，原則規程と例外規程との関連性について考察 した．この中小企業について，IPA の「中小 企業の情報セ
キュリティ対 策ガイドライン」等 によれば 106 )107 ) ，昨 今の中 小 企 業 は，取 引 先から
ISMS や P マークの取得などの第三者認証の取得を要請されたりするなど，情報セキュリティ対策が必須となっている傾向がみられる．
しかし，同じく IPA の「2016 年度中小企業における情報セキュリティ対策の実
態 調 査 報 告 書 」 108 ) では，中 小 企 業 では大 企 業 に比べて担 当 者 が少 ないことから，本 来 業 務 と兼 務 で担 当していることも多 いと考 えられ，リスクの変 化を捉 えてきめ細かな情報セキュリティ対策を実施するのが難しいとも報告している．
本 節 では，このような中 小 企 業 における，例 外 の措 置 を実 施 する場 合 での 限界について述べる．

A2.4.1 例外を認める判断と適切な措置・リスク対応への限界
例外措置の適用については，まず例外をどの程度まで認めるのかについての「判 断 」が必 要 である．しかしながらある時 点 で逸 脱した事 象に対して，「具 体 的にどの範囲までの逸脱を容認して例外措置とするのか」あるいは「（一般的には，リスク分析を行わずにリスク増加を受容することはできないが）例外措置を容認することで起 こりうるリスクを受 容 できるのか」を判 断 することは難 しい．そして，この判断は中小企業ごとに経営者が決めなければならない．
一方で IPA の調査結果（文献 107）から，「企業規模が小さいほど情報セキュ
リティ対 策 の専 門 部 署 を設 置 できておらず，また，組 織 的 なセキュリティ対 策 が106) 情 報 処 理 推 進 機 構 , “中 小 企 業 の情 報 セキュリティ対 策 ガイドライン”, 情 報 処 理 推 進 機 構 セキュリ
ティセンター, (オンライン). http://www.ipa.go.jp/files/000014017.pdf. (アクセス日 : 2019 年 6 月 10日 ).
107) 情 報 処 理 推 進 機 構 , “中 小 企 業 における組 織 的 な情 報 セキュリティ対 策 ガイドライン”, 独 立 行 政
法 人 情 報 処 理 推 進 機 構 セキュリティセンターホームページ, (オンライン).
http:/ww.ipa.go.jp/files/000014023.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
108) 情 報 処 理 推 進 機 構 , “2016 年 度 中 小 企 業 における情 報 セキュリティ対 策 の実 態 調 査 報 告 書 ”, 独立 行 政 法 人 情 報 処 理 推 進 機 構 セキュリティセンターホームページ, (オンライン).
https:/ww.ipa.go.jp/security/fy28/reports/sme/index.html. (アクセス日 : 2019 年 6 月 10 日 ).
- 142 -

実施されていない中小企業も多い」「情報セキュリティ担当者の設置やセキュリティポリシーの策 定 は実 施 率 が低 い」などが挙 げられている．すなわち一 般 に，中小 企 業では人 的なリソースの不 足から，情 報 セキュリティポリシーにもとづく原 則
規程自体が管理面でのリスクに対して，より保守的になりがちである．その結果として原則規程が厳しいものになることが多いと考える．
これは原則規程からの逸脱について，特に中小企業の場合，インシデントやリスクを正しく評価することが人的なリソースの不足から困難であると想定する．さらには，例 外 を認 めたことで管 理 側 の責 任 も発 生 するため，どうしても保 守 的 になり，リスクを高く評価しがちになる．その結果，例外措置についても厳しいものとな
り，担当者の要望と乖離する事が考えられる．
したがって，中小企業が例外措置を考える場合，経営者は情報セキュリティの管理部門が保守的にならずに例外措置 がとれるように，例外措置におけるリスク判断や残余リスクの受容を柔軟に判断できるような体制を整備する必要がある．

A2.4.2 措置が持つ緊急性の判断への限界
USB メモリの例はデータ利用が緊急性を伴うのであれば，時間制約を理由に例外 措 置が原 則 規程 よりも優 先される．一 方 ，平 常時 であれば，原 則規 程に従って例外措置がとられる．このように対応する事象の特殊性に応じて例外措置を適切に実施・管理しなくてはならない．
事象には予め原則規程では措置できないもののうち，例外として措置する（できる）ものと，想 定 外のため措 置 されない（できない）ものがある．そして前 者は継続 して規 律 を維 持 することができるが，後 者 はルールや規 程 を見 直 すために規律 を維 持 できないおそれもある．規 律 を維 持 できない後 者 の場 合 においては，
日常業務に影響がでる可能性もある．
すなわち，予 め例 外 措 置をする（できる）ようにし，それに沿って申 請を受 理 し
適切に手続きを進めることで業務を滞りなく継続することが重要であると考える．

- 143 -

A2.5 中小企業の例外措置の活用に向けて
A2.4 節を受け，本 節では中小企業を対象に，例外措置の活用とその対策について述べる．

A2.5.1 企業規模の違いにおける例外措置の考え方
ある特定の事象に対する措置においても，業種ごと・組織ごと・部門ごとに，それぞれリスクが異なる．例えば可 搬 型メディアの使 用についても，情 報 通 信業では，禁止とする規程や例外規程として規制がある一方で，サービス業では，使用が緩和されているなど異なる措置が取られている（図 A2-2 参照）．
中小企業ではそれぞれの業務において，主に緊急性を要する事象を取り扱うのか，平 常 的 なものとして取 り扱 うのかで例 外 措 置 が異 なってくる．即 ち中 小 企
業 ごとに例 外 規 程 を策 定 させるには，現 場 責 任 者 への権 限 委 譲 ，例 外 措 置 についての教 育 が必 要 となる．一 方 で，一 般 社 会 における市 場 動 向 や中 小 企 業の経営方針，今後の IoT 等技術の進歩に伴い，例外措置が適 用される事態が
起 こりやすくなると考えられ，例 外 措 置を柔 軟 に変 化 ・対 応 させることがより必 要になると考える．
これは例外 措 置 に関 わる事 象が起こりやすくなるということが，リスクも起こりやすくなるということと同 じであることを表す．そしてリスクは，それが起こりうる事象とその結 果 ，またはそれらの組 み合 わせにより特 徴 づけられる．したがって，例 外
措 置は，見 直すまでは一 時 的 な措 置 であり，定 常 的 な原 則 規 程 でない限 り，措置も変化し，見直しを経て，例外措置も変化する必要があると考える．
中 小 企 業の場 合 ，リスクが発 現した場 合においても，その経 営 体 制 が持 つ敏
捷 性のある意 思 決 定 により，直 ぐにリスク対 応を行うことで，被 害 を最 小にすることも可能である．
また規模が比較的 小さいことで，経営者を含め「従業員の顔が見える」環境にあり，経営者から従業員に例外措置を直接，迅速に伝えて実施するだけでなく，従業員からもまた，経営者に対し現場で即 座に必要とされる例外措置を直接提案することができる．仮に，策定した例外措置がその中小企業に適合しないと判断したときには，直ぐに当該例外措置を見直すこともできる．
これは例 外 措 置 を適 切 に判 断 する体 制 づくりや 緊 急 性 を要 する例 外 措 置 について，「企 業 規 模が小 さいことが有 利に働 く」可 能 性があることを示すものと考える．

- 144 -

A2.5.2 競争優位に繋がる例外措置の可能性
一 部 の中 小 企 業 は，他 社 と差 別 化 を図 るために，いち早 く新 規 のデバイスやサービスを導入し事業を効率的に進めようといった戦略的な経営を進めている．
これらのデバイスやサービスがもたらす，想 定されなかったインシデントやリスクについて，事 前にリスク評 価して規 程を策 定 する必 要がある．そしてその結 果を反映したセキュリティ対策を策定することが原則である．
これらについて大企業などでは，十分に検討して対策を実施している．そのため，セキュリティ対 策 を厳 しくするあまり，デバイスを持 ち出 せない，あるいはBYOD を禁止することにつながる．
一方，中小企業では以下の施策が考えられる．
まず類 似 の規 程 をもとに例 外 規 程 を策 定 してデバイスなどを使 ってみる．
併せて，例外措置を運用しながらリスクや，追加が必要な管理策 についての経験を積み重ねる．この過程で，どの程 度・どの頻度で例 外 措置 を講じるべ
きか，その範囲をどうするべきかの経験を積んでいく．
その結 果として，迅 速 に行動し，素 早くフィードバックすることで，新し いセキュリティデバイスやサービスなどにおいて，動きに時間がかかる大企業に対して競争優位に立つことが可能となる．
このように例外措置を活用することで，中小企業 を競争優位に繋げることが期
待 できる．しかし，例 外 措 置の経 験 の少 ない中 小 企 業 が，例 外 措 置を実 施 する
際は，間違った運用（逸脱）とならないよう気を付けなくてはならない．

A2.5.3 例外措置と監査・外部認証
企 業 規 模 が小 さい場 合 ，例 外 措 置 が影 響 する範 囲 も限 定 されるので，例 外措 置 が逸 脱 にならないための最 低 限 の仕 組 みが必 要 となる．これには，幾 つか
種 類 があるが，既 に企 業 内 部 にある監 査 などの仕 組 みを活 用 するのがよいと考える．具 体 的 には，リスクの高 い分 野に絞り込 んで重 点 的に実 施 するのがよいと考える．内部の監査であれば，中小企業の特殊性やどの領域が逸脱になるかについても理解できているので，問題が起きたときに適切に対応できると考える．
この よう な柔 軟 な体 制 と管 理 の 仕 組 みを 構 築 し て管 理 できれば， 将 来 的 にISMS や P マークの外部認証への対応も可能になるものと考える．また中小企業
は当該企業が取引している業者に対しても，例外措置の運用も含めた監査を定期的に受けていることで，「例外措 置はいい加減なルール」と思われないような運用と管理をしていると主張できる．

- 145 -

A2.6 例外措置を前提としたセキュリティポリシーの提案
本節では，中 小企 業 に適した情報セキュリティポリシーについて提案し，一例として，図 A2-1 で上位にあった「可搬型メディア」と BYOD の具体的な管理策をもとに，例外措置を前提とした情報セキュリティポリシーについて述べる．
管理外 PC，スマートフォン，USB メモリに対する利用制限はあるものの，完全に禁 止 している中 小 企 業 では少 ない．一 方 で，特 に教 育 機 関 や研 究 施 設 ，個
人情報・秘密情 報を扱う中小企業においては，禁止もしくはその企業から支給された可搬型メディアによる使用に限定されている．
これらから見て取れるのは，USB メモリは原則使用禁止，PC は中小企業が貸与するといった原則規程の策定を前提とし，必要に応じて，例外措置として一部を緩和する方法が考えられているということである．
一方，IPA の調査結果などから，スマートフォンの貸与については中小企業における費用 対 効 果の考 慮から，使 用 禁止でも企業 貸 与のいずれでもなく，私 物
スマートフォンの使用を認める BYOD の方向に進む可能性が高いと考える．したがって，BYOD の例外措置は中小企業の多くが必要としており，例外規程は必須の施策であると考える．
具体的な案としては以下のとおりである．
まずスマートフォンなどの私物端末の業務 利 用は現時点では原則 禁止であることを周知する．
そのうえで管理部門は，希望する利用部門や利用者からその事由や利用方法についてヒアリング等を行い，「接続してもよいクラウドやネットワーク，利用できるデータや業務 の種類 」 といった例外 規程を策定 し，これと遵守できる利用申請について認めることにする．
さらに従 業 員 に対 し明 確 に周 知 徹 底 を図 り ，例 えば「どういった使 い方 をすると危険なのか（リスクに繋がるのか）」などについての教育を受けさせる．
また利 用 が増 えてきた場 合 は，例 外 措 置 ではなく原 則 規 程 とするべきか検討を始める．
この場合 BYOD を禁止する選択肢もあるが，その結果として管理部門が把握できない部 分 で「シャドーIT」が蔓 延 してしまうおそれがある．その結 果 ，リスクが見 えにくく潜 在 化 することでより高 いリスクにつながり，インシデント対 応 が難 しくなる．一方，例外措置でむしろ BYOD のリスクを顕在化させておくことでリスクが可 視 化 でき，インシデント発 生 にも対 応 しやすいものと期 待 できる．監 査 の場 合にも，管 理 部 門 が例 外 措 置 の実 施 状 況 という形 でリスクの程 度 を確 認 できる効果も期待できる．
- 146 -

さらに BYOD の禁止 は従業員への監視を強化することなどが必要となり，より
管 理 部 門 の負 担 が増 えることにつながる．中 小 企 業 の情 報 セキュリティポリシー
については，例外措置を含んだ柔軟な形で規則を策定することが，より現実的と考える．
なお管理策 項目ごとに，情報セキュリティポリシーにおける原則 規 程と例 外規程例の表 A2-1 を再掲する．中小企業では，これを利用して具体的な例外規程を策定すればよいと考える．なお管理策項目は 2015 年度アンケートの設問 16を参照している．さらに表 A2-1 の一部を 2018 年度アンケートの設問 38 及び設問 39 に用いて調査した．その結果 から中小企業を抽出したものを図 A2-4 及び図 A2-5 に示す．アンケート調査で集計したところ，図 A2-4 の傾向は組織全体を示す図 A2-1 と同様 であると推定できる．
図 A2-4 の結果では，「可搬型メディアの利用（「原則規程に策定」と「例外規程に策定」合計 127 件，62％）」が他の項目と比べて差がある．その他の項目については，「規程に記載なく例外 措置をしたことがない」と回答したものが多い．
図 A2-5 の結 果 では，「プログラム保 守 のための外 部 からの一 時 的 アクセス
（158 件 ，66 ％）」や，「個 人 で利 用 し ているクラウド サービスの利 用 （ 139 件 ，58％）」である．一方で，例外措置で策定されている割合が高いのは「外部インタ
ーネットの使用（162 件，67％）」「自社が管理していないソフトウエアの使用（131件，54％）」であった．
中 小 企 業 においても，原 則 規 程 で通 常 措 置 を実 施 するもの，例 外 規 程 で例
外 措 置 を実施するもの，あるいは双方 区別して実施しているものなど，個々の具体的な管理策において特徴が表れている（A2.3 節参照）．

- 147 -

表 A2-1 情報セキュリティポリシーと例外措置対比表（例）（表 5-1 再掲）
管理策

原 則 規程 例

外 部インターネット

許 可なく外 部 インターネ
ットの利 用は禁 止する

可 搬 型メディア（USBメモリ，SD カード等 ）ＵＳＢメモリの使 用は原則 禁 止とするプログラム保 守のための外部 からの一 時 的
アクセス

サポート切れのＯＳやソ
フトウエアの使 用は全 面
禁 止であるプログラム保 守による外部からのアクセスは事 前
承 認を要する

私 物デバイス（スマホ・タブレット等）

業 務 上必 要がない場 合は，原 則 使 用を禁 止

自 社が管 理 していな
い PC

自 社 以外のＰＣの持 ち
込みは原 則 禁 止
自 社 保有 ライセンス以 外のソフトウエアの利 用 は原 則 禁止サポート切れの OS
やソフトウエア

自 社が管 理 していな
いソフトウエアウイルス対 策 ソフトウ
エアを導 入 していな
い PC

利 用 禁止外 部 業者 への特 権
ID を付 与保 守による外 部 業者 への付与 は事 前 承認 を要する

個 人で利 用している
メールに社 内 メールを転送
公 衆 無 線 LAN（暗 号無 し）の利用個 人で利 用しているクラウドサービス（Dropbox 等 ）を利 用する

例 外 規程 例
業 務 上理 由がある場 合は，申 請の上 ，外部 インターネットの利 用を承 認する
取 引 先からの指 示 などやむを得ない
場 合は，予めウイルススキャン済みのものであれば使用 を承 認 する
完 全に外 部 ネットに接 続 しないレガシーシステムについては承 認することもある
一 時 的措 置が必 要と経 営 層が判 断した場合 は事 後申 請で構 わない
私 物デバイスの登 録 ，指 定アプリのインストール，業 務 使 用 手 引きの励
行および誓約 書の提 出により承 認
業 務 上理 由がある場 合は，申 請の上 ，持ち込みを承 認する
業 務 上理 由がある場 合は，申 請の上 ，利用 を承 認する
業 務 上理 由があり，全 く外 部ネットに
接 続しないレガシーシステムについては承 認することもある
一 時 的措 置が必 要であると経 営 層が判断 した場 合は事 後 申 請で構わない

原 則 禁止業 務 上理 由がある場 合は，申 請の上 ，転送 を承 認する禁止

例 外 無し原 則 禁止 とし，企 業が契約するクラウドを利 用 する

取 引 先からの指 示 などやむを得ない
場 合は，申 請の上 ，一 時 的に利 用 を承 認することもある

国 内 法非 準 拠のクラウドを利 用するクラウドの利用 契 約 は国内 法 準拠 とする

第 三 者認 証のない外部クラウドを利 用する

原 則 禁止- 148 -

クラウドベンダーもしくは当 該クラウドの仲介 業 者と個 別に国 内 法 準 拠の利 用 契約 を締 結すれば承 認する
取 引 先からの指 示 などやむを得ない
場 合は，申 請の上 ，一 時 的に利 用 を承 認することもある可搬型メディア（USBメモリ、SDカード等）を利用する※1

44%

私物可搬型デバイス（スマホ・タブレット等）を利用する

21%

2% 14%

個人で利用しているメールに社内メールを転送する

21%

1% 11%

外部業者への特権IDを付与する

3% 12% 3% 6%

8% 7%

第三者認証のない外部クラウドを利用する

14% 1%5% 13% 3%0%20%

原則規程に明記し通常措置としている
例外規程に明記し例外措置をしている
規定に記載なく一時的措置をとったことがある
無回答

10%

44%

10%

49%

9%

54%
40%

11%

38%

8% 5%

15% 1% 7% 11% 7%

20%

10%

60%

80%

100%

例外措置から変更し原則規程に明記した
例外規程に明記しているが例外措置をしたことがない
規定に記載なく例外措置をしたこともない

図 A2-4 具体的な管理策における例外措置の有無（図 4-17 参照）（択一，N=203〔可搬型メディア～〕，その他の項目は 241）

外部からの一時的アクセス

66%

個人利用のクラウドサービス

26%

58%

国内法非準拠のクラウド

37%

42%

サポート切れソフトウエア

48%

46%

管理外ソフトウエア
外部インターネット
0%

7%

54%

24%

7%

67%
20%

策定案１（原則規程）

40%

9%

60%

策定案２（例外規程）

80%
無回答

図 A2-5 具体的な管理策における原則規程か例外規程かの選択（図 4-19 参照）（択一，N=241）- 149 -

5%
10%

47%

39%

9%

100%

小括
本 章 では，例 外 措 置 の普 及 に向 けてのケーススタディとして，中 小 企 業 における例外措 置の導入 を提案した．人的資金 的にリソース不足である中小企 業が
大 企 業と対 峙していくための方 法の一つとして，例 外 措 置の特徴 を有 効に生かし，ダイナミックにビジネス展開する手法が挙げられる．
また具体的な管理策において，原則規程 例 と例外 規程例を例示し，2018 年
度 アンケート調 査 で集 計 した，「プログラム保 守 のための外 部 からの一 時 的 アクセス」「個 人 利 用 のクラウドサービスの業 務 使 用 」においては原 則 規 程 で策 定 されている割 合 が高 いことがわかった．一 方 で「外 部 インターネットの使 用 」「自 社が管理していないソフトウエアの使用」では例外 規程が策定されている割合が高
いこともわかった．通 常 措 置 で実 施 するもの，例 外 措 置 で実 施 するもの，あるいは双 方 区 別 して実 施 するものなど，個 々の具 体 的 な管 理 策 において特 徴 が表れている．
リスクが様々に変 化する中で，組 織にとって，情 報セキュリティポリシーを完 全に確 定した状 態で情 報セキュリティマネジメント体 制を確 立することは難しい．そのため，中 小 企 業 も含 め組 織 の一 部 では，アンケート調 査 にもあるとおり，原 則
規程及びリスクに対応して例外 規程に基づいた措置を講じてきている．
一 方 ，例外 規 程は，情報セキュリティポリシーに基づく原則規程が維持できないときに，日 常 業 務を継 続するためのバッファのようなものである．すなわち例外
規程を予め策定しておくことは，例外措置が必要と思われる事象が起きた時に，迅速かつ客観的に措置できるメリットがある．リスク変化の激しい環境では，頻繁に原 則規程を見直すことは難しく，そのため例外 規程を用いて柔軟に例外措置を実施するほうが効果的である．
中小企業では，人的リソースが不足しており，情報セキュリティポリシーや原則規程を頻繁に見直すことが難しい．一方，新しいデバイスなどの影響については，規模が小さいが故に限定的であることから，例外措置についても容易に扱える．
すなわち中 小 企 業 においては，リスクに対 してきめ細 かく情 報 セキュリティポリシ
ーを見直すことよりも，新しいデバイスなどを戦略的に利用できるよう例外 規程を
策 定 し，例 外 措 置 によっていち早 くそれらを利 用 することで，大 企 業 に対して差別 化 をする．中小 企業 がこの機会をとらえ，例外措置に基づき新 しいデバイスを
先 行 的 に利 用 することで，リスクや問 題 点 の経 験 や知 識を素 早 く入 手 していく．
最終的には，これを情報セキュリティポリシーに反映することで，リスクを的確にコントロールしていく．こうして中 小 企 業では，例 外 措 置を活 用することで，現 実 的に可能 な情 報セキュリティマネジメントの運 用 が可能 となり，結 果として適 切な情- 150 -

報セキュリティ対策を実施できるといえよう．

- 151 -

A3 例外措置の利用者側による実施阻害要因及び対応
本章では，5.4.3 項の補足として，例外措置の普及を図るうえで組織の構成員や組 織 自 体 における意 識 や行 動 に要 因 があることに注 目 し，特 に 例 外 措 置 の利用 者 である構 成員 における逸脱 行 為の傾向 と，逸 脱に関わる社会 ・組 織との関 係 ，さらにはこれらの逸 脱 行 為への対 策 案について先 行 研 究 を調 査した．対策案については，罰則の適用への利用と照らし合わせて紹介する．
なお本 章 の内 容 については，初 出 一 覧 （8）及 び（9）の学 会 研 究 会 発 表 論 文をもとにしている．

A3.1 利用者における逸脱行為の傾向
逸 脱 行 為 に対 して利 用 者 はどのような背 景 と傾 向 があるのか． 本 節 ではこれについての先行研究を取り上げる．

A3.1.1 利用者のセキュリティ対策におけるレベルの違い
利 用 者 のセキュリティ対 策 は，そのセキュリティ知 識 とこれまでの経 験 に大きく影響を受けているとされており，また個人と仕事との責任分界への認識が対策にも影響があるという報告がある 109) ．これらの相互作用は，利用者がセキュリティ対策に関与する程度にも影響し，以下のとおり異なるレベルでの対策につながっていることが明らかになっている．
（1） 様々なセキュリティ対 策が，様 々な要 因・程 度で動 機 付けされるため，情報
セキュリティポリシーへのコンプライアンスが複雑化している．
（2） 利 用 者 は，セキュリティ対 策 が自 分 たちの仕 事 の環 境 を維 持 するために，
職 務の一環として強化 していると，組織 /管理 者から知らされていないため，
セキュリティへの対策労力は不要であると認識している．
（3） 同 じオフライン業 務 ・オンライン業 務 であっても，利 用 者 それぞれセキュリテ
ィに対する脅威を受け止める感受性が異なる．
（4） 利用者がセキュリティタスクの責任を認識し，そのうちのいくつかは責任を受け入れ，他は組織に分散させる，リスク・テイキングへの理解が足りない．
（5） 利 用 者 の個 人 と仕 事 との責 任 分 界 のあいまいさが職 場 での脆 弱 性 につな
109) J. Blythe, L. Coverntry , L. Little, “Unpacking security policy compliance”, The motivators andbarriers of employees' security behaviors, 2015 Symposium on Usable Privacy and Security,
pp.103-122, 2015.
- 152 -

がる．特に BYOD 等の使用については影響を受けやすい．

A3.1.2 リスクとベネフィットとの関係
リスク・テイキングは不 安全行動の一 種として，リスクの認知やベネフィットの認
知からの影 響を単独 もしくは相 互 連 動して影 響を受ける 110 )111 )112 ) ．なお，ここでのベネフィットとはメリット（利点）によりもたらされる利益・利得を指す．
森 泉氏 らの研究によれば，「リスク受容においてこのベネフィットを主体に意思決定を行うことは，リスクレベルに関わらず，非合理 的なリスク受容 判断につながる可能性がある．ベネフィットの大きさと敢行傾向は比例関係にあるが，状況によってはベネフィットの物理量が小さくとも高 い認知が得られることがある．すなわち小さいベネフィットを得ることに慣れ，それを行い続けると，さらに大きなベネフィッ
トが期待できる場合 には，リスク・テイキングしやすくなる．そのため次第に大きい
ベネフィットを受 容する傾向 にあり，ベネフィットの物理量の単純な増加のみでな
く損 失 を回 避 することで，リスクに対 する弁 明 ができると考 えてしまう．したがって状況に応じてしばしばリスクを冒す傾向にある利用者は，違反を敢行しやすいことが明らかになっている．」としている．
これをコスト面 から考えてみると，この研 究からベネフィットを得るためにかかるコストが大きい状況にも関わらず，リスク予防 が留意されなくなることが示唆され，さらに大 きなコストがかかる状 況 を経 験 すればするほど，リスク回 避 が機 能 しなくなる傾 向 にあると推 定 できる．すなわちリスクを伴う意 思 決 定においてリスク回 避が反 映 されにくくなるため，ベネフィットを得 るためのコストが小 さい場 合 でも，大きいコストと同等のリスク選考を行 ってしまい，絶えずベネフィットを優先してしまうものと考える．
そのため，リスクを実 際 に被 る可 能 性 があること自 体 を行 為 者 に知 覚 させることが，違反を抑制することにおいて役立つ．

A3.1.3 利用者における時間リスクと逸脱
前項において，ベネフィットを得るためのコストが特に時間的コスト（待機時間）を伴う場合，すなわち必要な手続 きを行うのに時間的 負 担が大きいと，個 人のリ
スクへの認知が低くなる．これは手続きに関する問い合わせ先を認識していない／しないなど逸脱を抑止できない原因になる．したがって業務優先等のためにセ110) 森 泉 慎 吾 , 臼 井 伸 之 介 , “リスク傾 向 が違 反 敢 行 に及 ぼす影 響 ”, 日 本 心 理 学 会 第 75 回 大 会 ,2011.
111) 森 泉 慎 吾 , “リスク受 容 に伴 うベネフィットがリスク受 容 判 断 の合 理 性 に及 ぼす影 響 ”, 産 業 ・組 織
心 理 学 会 第 32 回 大 会 発 表 論 文 集 ，193-196, 2016.
112) 森 泉 慎 吾 , 臼 井 伸 之 介 , “時 間 的 コスト認 知 とリスク受 容 に関 する心 理 的 要 因 の関 係 ”, 産 業 ・組
織 心 理 学 会 第 33 回 大 会 発 表 論 文 集 , 2017.
- 153 -

キュリティルールを逸 脱 し，本 人 の意 図 に反 して情 報 漏 えいにつながってしまう
113)．

さらには組 織 における情 報 漏 えいは内 部 者 に起 因 するものが多 い 114 ) ．情 報
漏 えいの原 因 となる違 反 行 為 の一 つとされる「職 場 からの許 可 のない情 報 持 出
行 為 」については，例 えば「早 急 に対 応 する必 要 がある」などの時 間 的 なプレッシャーに曝 されることにより，逸 脱 行 為 につながることが，根 本 的 な原 因 となると考える．
なお岡野氏の研究（文献 113）によれば，「時間的リスクに伴う逸脱行為を行う
人 は，自 分の人 事 評 価を気 にする人ほど起 こしやすく，情 報 セキュリティに関 わる知識が高いほど起こしにくい」ことがわかっている．そのため研修等の教育に頼るだけでは防ぎきれはしないものの，持出行動が原因で引き起こされる漏えい事
故によって，どのような損害が組織に及ぶかを認知させることが重要と考える．

A3.1.4 利用者における情報セキュリティ被害傾向
逆に，情報セキュリティ被害の経験を 4 種類（ウイルス感染，不正利用被害，
プライバシー漏えい，詐欺被害）に分け，それぞれに属する質問の影響度などを分析することで，セキュリティ対策への許容の度合いをみた報告がある 115) ．
寺 田 氏 らの研 究によると，「セキュリティ対 策 への心理 負 担の度 合 いが多いほど被 害 が少 ない．セキュリティ対 策 は面 倒 であり負 担 に感 じつつあるものの，対策を実施することで被害を少なくする傾向がある」ということがわかっている．利用者 が例 外 措 置 を実 施 する際 に，例 外 措 置 から逸 脱 したと管 理 部 門 が判 断 した場 合は，利 用 者 に対 し罰 則を適 用 する．これにより，例 外 措 置を承 認 されたこと
で心理的負担が軽減された利用者に対し，管理部門が改めて心理的負荷が加わることで，利用者自身 が情報セキュリティ意識が再認識され，被害を受けることを抑える効果が期待できる．
一方で，セキュリティ対策へのコスト認知 が低く，かつ，ベネフィット認知が高い
場 合 には，対 策 費 用 をかけて情 報 インフラ整 備 や利 用 者 教 育 を充 実 させること
で，おおむねセキュリティ被害 を減らす方向に作用しているものとみられる．

113) 岡 野 裕 樹 , 奥 山 浩 伸 , “セキュリティルール違 反 行 動 の抑 止 に関 する一 考 察 ”, 情 報 処 理 学 会 論
文 誌 Vol.58, No.1, pp,258-268, 2017.
114) NPO 日 本 ネットワークセキュリティ協 会 , “2017 年 情 報 セキュリティインシデントに関 する調 査 報 告
書 【速 報 版 】”, (オンライン).
https://www.jnsa.org/result/incident/data/2017incident_survey_sokuhou_ver1.1.pdf. (アクセス日 :2019 年 6 月 10 日 ).
115) 寺 田 剛 陽 , 津 田 宏 , 片 山 佳 則 , 鳥 居 悟 , “ＩＴ被 害 に遭 いやすい心 理 的 ・行 動 的 特 性 に関 する
調 査 ”, マルチメディア，分 散 ，協 調 とモバイル（DISCOMO2014）シンポジウム, 2014.
- 154 -

A3.2 逸脱に関わる社会・組織との関係
A3.1 節では主に利用者が逸脱行為を起こすための背景と傾向について述べた．一方で利 用者，特 に「例外措 置を知っていても守らない」傾向にある利用者の逸脱行為 は，利用 者個人に起因する面 もありつつ，利用者が構成員として所属する組織，さらには生活している社会全般の環境においても起因することが知られている．そこで本 節では逸 脱に関わる組 織 及 び社 会における関 係について
先行事例・先行研究を述べる．

A3.2.1 社会規範と市場規範
一 般に「規 範」というものには「社 会 規 範 」と「市 場 規 範」の２種 類 があるといわれているが，このうち社 会 規 範 は組 織 内 の信 頼 性 および連 携 を維 持 することが重要であるといわれている．
これは Ariely の文献 116,117において，「双方は織り交ぜて扱うべきではなく，別々に取り扱うべきとしている．社会規範から一旦，市場規範へ変更してしまうと，
二 度 と社 会 規 範 に戻 るどころか，社 会 規 範 で維 持 していたルールや秩 序 からさらに悪 くなる傾向にある」と記 述されている．このことから規範を考 えていくにあたり，客 観 的 でビジネスライクな行 動 をとるときは，市 場 規 範 が優 先 しているように思えるが，一 方 で組 織 への忠 誠 心を与える役 割 は社 会 規 範にあるものと考える．

A3.2.2 個人重視と組織重視
さらに Ariely の文献 118,119では，「組織のように集団で仕事をすることは，協働 で経 済 行 動 や意 思 決 定 をすすめることにつながる．プロジェクトを組 んで大 きな仕事を達成するためには不可欠である」としている．
しかし一方で，「個人 の利益だけでなく，パートナーやグループ全 体の利 益につながるのであれば，いささかの不正行 為をしてしまう傾向がある．特にパートナーと親しい付き合いをしているかどうかで，その傾向は全く異なる実験結果もある」
とも述 べている．通 常 の生 活 の中 でも人 はわずかな不 正 行 為 を気 づかずにしてしまう傾向があり，それは全体の大勢を占めるため，大きな不 正を犯す少 数 派よりも累計すると損害が大きくなることもある．
Ariely によれば，「対 策については集 団 内 での監 視 体制の強 化が挙げられているが，集団内での親密性がここにも影響が出てくる」としている．このことか
116) D. Ariely, A Taste of Irrationality, HarperCollins e -books, 2010.
117) ダン・アリエリー, 予 想 どおり不 合 理 , 早 川 書 房 , 2010.
118) D. Ariely, The Honest Truth About Dish onesty, Harper; Reprint, 2013.
119) ダン・アリエリー, ずる, 早 川 書 房 , 2014.
- 155 -

ら，個人重視より組織重視に組織経営が委ねられ，それは組織の決定を掌握する経営者の意向に基づいて構成員が逸脱 行動を起こしやすいものと考える．

A3.2.3 集団的防護動機理論
一 方 ，情 報 セキュリティ対 策 行 為 に導 くために，対 策 を実 行 する意 思 に影 響を与 える要 因 を，集 団 的 防 衛 動 機 理 論 というものに基 づいて検 討 した事 例 もある 120) ．
浜 津氏 らによるこの理 論は，多 くの人が集 団 的にセキュリティ対 策 を実施することで脅威を低減できるとした理論である．この理論では，8 つの規程要因（深刻さ認 知 ，生 起 確 率 認 知 ，コスト認 知 ，実 行 能 力 認 知 ，効 果 性 認 知 ，責 任 認 知 ，実行者割合認知，規範認知）と，これに 3 つの潜在変数（ウイルス感染経験，IT知 識 ，IT スキル）を階 層 的 に組 み合 わせた「対 策 実 行 意 思 モデル」を考 案 し，Web アンケート調査と，仮想的なウイルス感染を体験できる評価実験の両方により調査している．
評価実験の結果から，対策を実行する意思には，8 つの規程要因のうち，「深刻さ認知」，「効果性 認知」，「生起確率認 知」が影響していることがわかり，特に「深 刻 さ認 知 」は，「ウイルス感 染 の恐 怖 」「感 染 による被 害 の深 刻 さ」「不 実 施 リ
スクを考慮した対策行動への実行」への理解が高いことが報告されている．
つまり深 刻 さを強 調 することにより，組 織 の構 成 員 や組 織 自 体 がセキュリティ対策への実施を促される可能性があることを示している．

A3.2.4 組織文化・風土との関係
情 報 セキュリティ対 策 の実 効 性 を高 めるためには，画 一 化 された対 策 だけではなく，情報セキュリティポリシーが守 られやすいような運営を行うと同時に，様々な組織風土や組織文化を考慮し，それに合った対策を実施する必要がある．
どのような組織 においても画一的なルールを策定し遵守するのではなく，以下
3 つの想 定 をたてて，集 団 主 義 における情 報 セキュリティポリシーからの逸 脱を報告した事例がある 121) ．
（1） 情 報 セキュリティポリシーへの逸 脱 行 為 の程 度 は，情 報 セキュリテ ィに関する画一的な対策が実施されているかに影響を受ける．
（2） 情 報 セキュリティポリシーへの逸 脱 行 為 の程 度 は，画 一 的 な対 策 だけでなく，上司の態度や職場の雰囲気といった形式化できない組織的な要因
120) 浜 津 翔 , 栗 野 俊 一 , 吉 開 範 章 , “集 団 的 防 護 動 機 理 論 に基 づく情 報 セキュリティ対 策 実 行 意 思
モデルの提 案 とその活 用 ”, 情 報 処 理 学 会 論 文 誌 Vol.56, No.12, pp,2200-2209, 2015.
121) 浜 屋 敏 , 山 本 哲 寛 , “日 本 企 業 における情 報 セキュリティ逸 脱 行 為 と組 織 文 化 ・風 土 との関 係 ”,
富 士 通 総 研 研 究 レポート, No.373, 2011.
- 156 -

に影響を受ける．
（3） 組織的な要因は「集団主義」に代表される組織文化・組織風土に影響を受ける．
浜屋氏の研究では，これらについてのアンケート調査によるデータ分析 を行い，いずれの想定も成り立 つことを証明している．すなわち，情報セキュリティ対策は，
画 一 的な情 報セキュリティポリシーの策 定だけではなく，組 織 文 化 ・組 織 風 土にあった対策を柔 軟に行う必 要があるとしている．この考えは，例 外 規 程 を管 理 部門のみに策定・管理 させるだけでなく，利用部門でも可能にするための組織づくりの根幹になると考える．

A3.2.5 情報漏えいにつながる行動に関して
実は組織の構成員が「情報漏えいにつながる行動」を起こす原因として「不正容認風土」が最も大きな直接的な影響を与えることが明らかになっている 122) ．
竹 村 氏 の研 究 では，その中 で「低 い情 報 リテラシー」「ルールの不 認 知 」については，「不 正 容 認 風 土」「抵 抗 感のなさ」と比べるとそれほど大 きな影 響を与えないことも確 認 している．そこでこれらから情 報 漏 えい防 止 には，職 場 環 境 の改
善 とともに従 業 員 の満 足 度 向 上 策 の実 施 や，コンプライアンス教 育 の実 施 が求められると述べている．
このことは情 報 セキュリティポリシーからの逸 脱 行 為 にも影 響 があると考 える．
組 織 における情 報 セキュリティを維 持 する上 でも，例 外 措 置 を用 いることで，逸脱行為を抑制することが期待できる．

A3.3 逸脱行為への対策案
これまで，情報セキュリティポリシーを知っていても守らない組織の構成員や組織自 体の実態について述べてきた．本 節ではこれらを踏まえて，個人もしくは組織が逸脱行為を阻止する対策について述べる．

A3.3.1 構成員のリスク行動に対する組織の取り組みモデル
組織的違反は，構成員は個人よりも組織を優先するという善意のもとにおいて，違反に対する罪 悪感 が薄れてしまうことが考 えられる．すなわち，組 織の構 成員
が，自分の意 志に基づいて組織のためにあえて規則に反するようなリスク行動をとってしまう傾向がある．

122) 竹 村 敏 彦 , 三 好 祐 輔 , 花 村 憲 一 , “情 報 漏 えいにつながる行 動 に関 する実 証 分 析 ”, 情 報 処 理
学 会 論 文 誌 Vol.56, No.12, pp,2191-2199, 2015.
- 157 -

これについて構 成 員 のリスク行 動 に対する組 織 の取り組 みモデルが提 案 されている 123 ) ．大 和 田 氏 らの研 究 では「教 育 を中 心 としたリスク認 知 能 力 の向 上 施
策 」，「情 報 セキュリティマップの作 成 」そして「リスク顕 在 化を想 定 した未 然 防 止策」の 3 つモデルをあげている．そしてこれらの対策を連携することで，リスク行動
に対する相乗的な効果があるとしている．
情 報セキュリティマップの作 成は，情 報セキュリティポリシーの 可 視 化 にも通 じるものと考 える．例 外 措 置 が必 要 なのかどうかなど俯 瞰 的 かつ客 観 的 にとらえることが可能となる．例外規程を予め策定する際などに利用できると考える．

A3.3.2 モチベーションマネジメントの適用
組 織 の構成員 にとっては，情報セキュリティ対策は「やらされ感」を感じやすい
ことから，管 理 部 門が情 報セキュリティ対 策 への動機 付 け（モチベーション）を与えることで，自 発 的 な行 動 を活 性 化 させようとする考 え方 がある．これは「モチベーションマネジメント」と呼ばれており，従来，製造業等に導入されてきているものである．この手法を情報セキュリティ分野に取り入れることが提案されている 124) ．
頼 永 氏 による研 究 では，「情 報 セキュリティ対 策においてシステム化 で対 応 できるもの以外については，情報セキュリティポリシーやルール及び操 作手 順の策
定 ，過去の失敗事例の精査，罰則の付加が対策として挙げられる．しかしながらこれらを社員教育 によって対策するには限界があり，そのため構成員に対してモ
チベーションが与 えられるようなマネジメント手 法 の導 入 が考 えられる．一 例 として情報セキュリティマネジメントシステム（ISMS）での管理・運用をあげる．通常であればルーチン業 務と捉えられている項 目を，他の項目 と合 わせもつことで「クリエイティブ業 務 」へと進 化 させる．これによって，構 成 員 に情 報 セキュリティ対 策へのモチベーションを持たせ，ルーチン業務に伴いがちな「やらされ感」から由来
するミスを減 らし，引 き起 こされるインシデント発 生 の低 減 を図 ることができる．また「自律」「熟 達」「目 的」それぞれのポイントごとにモチベーションを管理すること
により，「やらされ感 」の低減を図ることができる．さらにはセキュリティ対策の実態を知る構成員 がモチベーションを持つことにより，自発的にセキュリティ対策 に取り組むことも期待できる．これは実態に合わなくなったルールがあれば，自らの権限ですばやく修正できるといった効果につながるものと考える．」
この先行研究からは，構成員にインセンティブを感じさせることが，煩雑に感じる情 報 セキュリティ対 策 を前 向 きにとらえることができるとし，これにより構 成 員 お123) 大 和 田 竜 児 , 内 田 勝 也 , “従 業 員 のリスク行 動 に対 する企 業 の取 り組 みモデルの提 案 ”, 情 報 処
理 学 会 研 究 報 告 , Vol.2010-CSEC-48, No.52, pp.1-6, 2010.
124) 頼 永 忍 , “モチベーションマネジメントの情 報 セキュリティマネジメント分 野 への適 用 の提 案 ”, 情 報
処 理 学 会 研 究 報 告 , Vol.2010-CSEC-51, No.7, pp.1-6, 2010.
- 158 -

よび組織による逸脱行為を防ぐ働きにつながるものと考えられる．

A3.3.3 構成員への安心感の提供
構成員の中には，情報セキュリティへの知識がない上に，情報セキュリティポリ
シーを逸脱する者も存 在すると考える．こうした場合，情報セキュリティ対策は構成 員 に対し，安 全 目 的だけでなく，安 心 も提 供 する目 的 をもって情 報インフラを提 供 する必 要 があるとされる 125 ) ．西 岡 氏 らの研 究 では，アンケート調 査 結 果 の
因 子 分 析 を通 じて，情 報 セキュリティに関 する知 識 のない構 成 員 が求 める安 心
感の要因を抽出することを検討している．
安 心 感 の因 子 としては，「認 知 的 トラストにおけるコンピテンス （有 能 感 ）」「親切さ」「親しみ」「知名度」の 4 つにまとめられている．このうち認知トラストとはコン
ピテンス，誠実，善意を含み，特にコンピテンスについて「ユーザが個人情報などを漏えいされない能力 ．このコンピテンスを事業者やシステムが持っていると構成員が判断できれば，“安心する”」重要な要因として解釈している．
この知見に基づくのであれば，組織が情報セキュリティ対策 に対応できる十分な情 報 インフラや情 報 システムを保 有 することで，構 成 員 は安 全 な日 常 業 務 ができると実感でき，あえてリスクをもって逸脱するような行為も防げるのではないかと考える．

A3.3.4 罰則の適用の利用
さらには，「例外措置を理解していても守らない」阻害要因への対策としては，
利 用 部 門 における例 外 措 置 から逸 脱 した行 為 に対 し，管 理 部 門 によって罰 則
規程を適用することが考えられる．
逸脱・違反を防止するには，例外措置を逸脱し危険行動を行った場合に，危険行動の経験を，不快な出来事として記憶させることが必要である．しかし，そのために事件・事故を起こさせるということは避けなくてはならない．そこで不快な出来事 として記憶 させるためにも，例 外措 置 違 反 に対しては罰 則を設け，時 として実際に罰を与えることも必要とする考えである．
なお統 一 管 理 基 準 では，例 外 措 置 が罰 則 規 程 と合 わせて記 載 されている．
違反は事象の一つであるが，その結果責任が明確になることが重要である．しかし，実 務 上 は悪 意 のない違 反 などについて責 任 があいまいになることがある．そこで例 外 規程 を策定して事前に例外措置の承認を得ることで，同 じ逸脱行為で125) 西 岡 大 , 藤 原 康 宏 , 村 山 優 子 , “情 報 セキュリティに関 する知 識 のないユーザを対 象 とした安 定
感 の要 因 抽 出 のための Web 調 査 の実 施 ”, マルチメディア，分 散 ，協 調 とモバイル(DICOMO2011)シンポジウム, pp151-160, 2011.
- 159 -

あっても申 請していた者 としなかった者との間で逸 脱に対 する責 任が切り分 けられ，むしろマネジメントの観 点からは，効 果 的 な面もあると考える．また例 外 措 置の記録は，リスク管 理 と見 直しの観 点からも，現 状 把握に役 立てることができる．
例外措置の有無により違反であるか否かが明確になるため，例外措置 の手順に則っていれば故意の違反・逸脱ではないことが立証できる．
一 方 で，罰 則を伴う規 程は，例 外 規 程 策 定 時より事 前に策 定 しなければならない．これは，法 制 度 が参 考 となる，刑 法 の前 提 となる「罪 刑 法 定 主 義 」が貫 かれ，規程がないままに処罰が科されてはならない大原則に基づくためである 126) ．
罰則を伴う規程を策定するにおいても，必ず事前に根拠を示し，周知することが求められる．すなわち例外 措 置を逸 脱することは社 会 規範から外 れた危 険行 為であり，それに対する制 裁・罰 則を事 前に作っておくことが不 可 欠である．さらに事 前 に罰 則 の規 程 範 囲 を明 確 にすることで，例 えば例 外 申 請 をせずに利 用 部
門 が行った逸 脱 行 為 の責 任を管 理 部 門 は負 わない，など管 理 部 門 における例
外措置への有効性が担保できる．
近 藤 氏 らの研 究 によれば，具 体 的 な罰 則 規 程 の策 定 については，各 組 織 の
就 業 規 則 や服 務 規 律 に準 拠 し，その内 容 を懲 戒 処 分 の規 程 などとして具 体 的に盛 り込 む必 要 があるとしている．したがって，情 報 系 部 門 のみならず，法 務 部門や総務 部門，さらには外部の弁護士などと連携した規程づくりが必要と考える．
罰 則 を実 際 に適 用 することの意 味 と効 果 については，情 報 セキュリティポリシ
ー及び組織の綱紀の維持，セキュリティ確保への手段 のほか，利 用部門への教育・啓蒙への効果も期待できる．したがって，単に組織に対する影響から罰則を適用するだけでなく，利用部 門・利用者 自 身の遵法・倫理 意識 への向上につながるものであることが望ましいと考える．

126) 近 藤 佐 保 子 ほか, “ネットワーク利 用 に関 する学 内 罰 則 規 程 のあり方 ”, 電 子 情 報 通 信 学 会 技 術
研 究 報 告 ，FACE99-38,pp.17-22, 1999.
- 160 -

小括
本章では，5.4.3 項の補足として，例外の普及を図るうえで構成員や組織における意識や行動に要因があることに注目し，特に利用者（構成員）における逸脱行為の傾向と，逸脱に関わる社会・組織との関係，さらにはこれらの逸脱行為への対 策 案について先 行 研 究を調 査した．本 調 査を通じて，情 報セキュリティポリ
シーにおける例 外 について，その普 及 への課 題 のひとつと考えられる利 用 者 側の阻害要因に対応するための手 法がいくつか提案 されてきていることがわかった．
情 報 セキュリティポリシーや原 則 規 程 をあえて逸 脱 しようとする個 人 や組 織 の実態やその対策を知ることは，例外措置を実施していくうえで参考になると考える．

- 161 -

A4 「例外規程」と法律の「例外規定」との関連
本章 では例外規程の説明を補足するために，法律で用いられる例 外規定 127)について取り上げ，情 報セキュリティポリシーの例外 規 程との関連 性について述
べる 128) ．法律が定める例外規定の例として，特許法第 30 条を本章では取り上げる 129 ) ．なお同 条 は筆 者 が以 前 所 属 していた知 財 部 門 で扱 っていた，特 許 法の重要な条文の一つであると考える．

A4.1 特許法の例外規定
特 許 法第 30 条は，発明の新規性喪失の例外規定について定めている．日本の特許制度では，特許出願より前に公開された発明は原則として特許を受けることはできない．しかし特許庁は，刊行物 への論文発表 等によって自らの発明を公開した後に，その発明について特許 出 願をしても特許を受けることができな
いことは，発明者にとって酷な場合もあり，また産業の発達への寄与という 点でも特許法の趣旨にもそぐわないと考える 130) ．
この観点から特許法では，「特定の条件の下で発明を公開した後に特許出願した場合には，先の公 開によってその発明の新規性が喪失しないものとして取り扱う」として，発明の新規性喪失の例外を設けている．これが特許法における「例外規定」である．
この発明の新規性喪失の例外の適用を受けるための条件は，（1）

発明の公開日から 1 年以内に特許出願すること．

（2）

特 許 出 願 と同 時に，発 明の新 規 性 喪 失 の例 外 規 程 の適 用を受 けようとする旨を記載した書面を提出する．
（3）

特許出願から 30 日以内に，発明の新規性喪失の例外規程の適用の要件を満たすことを証明する書面を提出する．
証明する書 面：「公開 の事実」及び「特許を受ける権 利の承継 等 の事実」
127) 組 織 が個 々に定 める「例 外 規 程 」よりも, 法 律 の「例 外 規 定 」の方 が, 強 制 力 が強 いと考 える.
128) 企 業 などの組 織 は，内 部 規 程 を策 定 して事 業 を円 滑 に実 施 する自 由 がある（私 的 自 治 の原 則 ）が，日 本 国 で事 業 活 動 を行 う場 合 は日 本 法 が適 用 される．情 報 セキュリティも例 外 ではなく，情 報 セキュリティポリシー策 定 の自 由 があるからといって，その内 容 が日 本 法 の法 規 に（少 なくとも強 行 法 規 に当たる部 分 では）反 することはできない．その意 味 では情 報 セキュリティポリシーに関 する例 外 規 程 も ，法律 の定 めの範 囲 内 でなけれならない．
129) なお知 的 財 産 制 度 は，「発 明 」や「創 作 」といった知 的 生 産 物 に有 体 物 の所 有 権 に類 似 の排 他 性を政 策 的 に付 与 するものであるから，原 則 と例 外 の関 係 が分 かり易 い．注 25)で述 べた著 作 権 のケースも併 せて参 照 されたい．
130) 特 許 庁 , “平 成 30 年 改 正 法 対 応 ・発 明 の新 規 性 喪 失 の例 外 規 程 の適 用 を受 けるための出 願 人の手 引 き”, 平 成 30 年 6 月 . (オンライン).
http://www.jpo.go.jp/shiryou/kijun/kijun2/files/hatumei_reigai/h30_tebiki.pdf. (アクセス日 : 2019 年
6 月 10 日 ).
- 162 -

とある 131 ) ．すなわち例外 規程の条件が法律によって確定されていることを示 している．具 体 的 には，申 請 手 続 きに関 する条 件 において，公 開 した方 法 （学 会 発
表，Web 公開，集会，展示や販売等）を明記 した「証明する書面」の提出などが義務付けられている．
この申 請 過 程 や申 請 書 類 の内 容 についての例 外 は認 められない．さらに，この例外 規 定にも残余リスクがあり，猶予 期 間 内でも同 内容を独自 に第三 者が発明し出願した場合は例外規定の適用はなくなる．
特許法第 30 条（発明の新規性の喪失の例外）
第三十条 特許を受ける権利を有する者の意に反して第二十九条第一項各号のいず れ か に 該 当 す る に 至 つ た 発 明 は ，そ の 該 当 す る に 至 つ た 日 か ら 一 年 以 内 に その者がした特許出願に係る発明についての同項及び同条第二項の規程の適用に つ い て は ，同 条 第 一 項 各 号 の い ず れ か に 該 当 す る に 至 ら な か つ た も の と み な
す．
２ 特許を受ける権利を有する者の行為に起因して第二十九条第一項各号のいず
れ か に 該 当 す る に 至 つ た 発 明（ 発 明 ，実 用 新 案 ，意 匠 又 は 商 標 に 関 す る 公 報 に掲 載 さ れ た こ と に よ り 同 項 各 号 の い ず れ か に 該 当 す る に 至 つ た も の を 除 く ．）
も ，そ の 該 当 す る に 至 つ た 日 か ら 一 年 以 内 に そ の 者 が し た 特 許 出 願 に 係 る 発 明
についての同項及び同条第二項の規程の適用については，前項と同様とする．
３ 前項の規程の適用を受けようとする者は，その旨を記載した書面を特許出願と 同 時 に 特 許 庁 長 官 に 提 出 し ，か つ ，第 二 十 九 条 第 一 項 各 号 の い ず れ か に 該 当するに至つた発明が前項の規程の適用を受けることができる発明であることを 証 明 す る 書 面 （ 次 項 に お い て 「 証 明 書 」 と い う ．） を 特 許 出 願 の 日 か ら 三 十
日以内に特許庁長官に提出しなければならない．
４ 証明書を提出する者がその責めに帰することができない理由により前項に規定 す る 期 間 内 に 証 明 書 を 提 出 す る こ と が で き な い と き は ，同 項 の 規 程 に か か わ
ら ず ，そ の 理 由 が な く な つ た 日 か ら 十 四 日（ 在 外 者 に あ つ て は ，二 月 ）以 内 でその期間の経過後六月以内にその証明書を特許庁長官に提出することができる．

131) 平 成 30 年 の特 許 法 改 正 によって発 明 の新 規 性 喪 失 の例 外 期 間 が 6 か月 から 1 年 に延 長 された．原 則 として，出 願 日 が平 成 30 年 6 月 9 日 以 降 である特 許 出 願 が，平 成 30 年 改 正 後 の特 許 法
第 30 条 の適 用 対 象 となる．
- 163 -

A4.2 例外規程と例外規定との関連性
前 節 の特 許 法 での例 外 規 定 をふまえ，本 節 では情 報 セキュリティポリシーでの例外規程との関連性について述べる．
特 許 法第 30 条では，特許法 の適用範囲と例外適用範囲との境界は，立法によって明確に定められている．したがって特許法の例外適用は，どの組織でも共 通 であり，法 改 正 されない限 り変 更 されない．また法 改 正 は頻 繁 にされることがないため，例外規定を改定することは難しい．
一 方 で情報セキュリティポリシーでは，組織 における原則規程 と例 外規程 との
境 界，すなわち原 則 規 程とすべきか例 外 規 程とすべきかは，情 報セキュリティポ
リシーにおける例 外 措 置 の程 度 や頻 度 によって，組 織 ごとの判 断 となる．したがって例外規程は社会全体で法律のように一律ではなく，組織ごとに異なっている．
さらには組織の情報セキュリティ対策の変化に応じて，例外規程も柔軟に見直されなくてはならない．これはサイバー攻撃の深化や新規デバイスの導入等のよる
リスクの変化に対応するためである．したがって原則規程の改定を待たずに例外
措 置 を柔 軟 に実 施 するのが望 ましい．すなわち例 外 規 程 は時 間 的 にも一 律 ではなく変化するものと考える．
これらを図 A4-2 で示す．図中左側の特許 法 では特許法適用 範囲と例外 適
用 範 囲 との境 界 が明 確 である一 方 ，右 側 の情 報 セキュリティポリシーの原 則 規
程と例外規程との境界は組織ごと・時間ごとに柔軟に変化するため，確定されているわけではない．この点が法 律 である特 許 法 の例 外 規 定 と異 なるところである．
情 報 セキュリティポリシー

特許法
逸脱領域
（特 許 法 適 用
外領域）

逸脱領域

例外適用範囲

例外規程

特許法適用
原則規程

範囲

境 界 が柔 軟 に変 化

境 界 が明 確

図 A4-2 特許法と情報セキュリティポリシーにおける例外領域の比較- 164 -

小括
以 上 ，本 章 では例 外 規 程 の説 明 を補 足 するために，法 律 で用 いられる例 外規定について取り上げ，情報 セキュリティポリシーの例外規程 との関連性について述べた．
特 許 法 も情 報 セキュリティポリシーも 双 方 とも原 則 からの逸 脱 に対 し，一 部 を
例 外によって取り扱う点で類似 している．このことから情報セキュリティポリシーにおける例外規程を策 定していく上では，法律上の解釈や形 式が参考になると考える．したがって例 外 規 程を策 定 ・運 用 する部 門は情 報 系部 門 のみならず法 務
部門とも連携して策定していくことが望ましい．

- 165 -

A5 各管理策における原則規程と例外規程（解説）
外部インターネットの組織内利用
通常，従業員が組織内でインターネット利用する場合は，組織内イントラネット
を経由してインターネットに接続するのが一般的である．この場合，組織でのイン
ターネット利 用 ガイドライン等 の原 則 規 程 が策 定 されており，従 業 員 はそれに則って利 用する．組織 内 での機 密 保 持及 び，社 内環 境の保 護 ，情 報 資源 の有 効活用を目的に，インターネットの利用 と管理を行うわけである．
しかしながら，情 報 収 集やネットワーク上の実験 ，公衆 向 けサービスへの展開などの業 務 上 の理 由 から，外 部 インターネットの利 用 を求 める場 合 がある．その場合は原則規程に則り，当該情報インフラと切り離して，外部インターネットを利用しなければならない．
この場 合 業 務 上 の情 報 であれば，外 部 インターネット上 で取 り扱 うものであったとしても，組織内イントラネットで取り扱うものと同様に，組織のインターネット利
用 ガイドライン等 の原 則 規 程 に則 る必 要 がある．しかし厳 密 には，外 部 インター
ネットにおける利用ガイドラインが必ずしも策定しているわけではない．
したがって外 部 インターネットを利 用 する場 合 は，取 り扱う情 報 を自 組 織 内 での取り扱 いと同 等にすることによって，原 則 規 程 と同 程 度 の効 用 対 リスク効 果 が期待できる例外措置によって利用することが可能となる．
策定の一例
原則

許可なく外部インターネットの利用は禁止する．

例外

業務 上 理由がある場 合は，申請の上，外 部 インターネットの利用を
許可する．

参考文献
（「インターネット利用に関する標準 0.9 版」日本ネットワーク・セキュリティ協会（JNSA）,2001 年）
２章 「外 部 ネットワーク接 続 セキュリティ方 針 」，４章 「インターネット利 用 に関する標準」

- 166 -

可搬型メディア（USB メモリ，SD カード等）の業務利用
可搬型メディアは低価 格化と大 容量化に伴 い，情報を取り扱う上 での利便 性の高いデバイスである．その一方，容易に組織外に情報を持ち出すことも可能となり，取 り扱 いを厳 格 にしなければ情 報 漏 えいにつながることは，近 年 の事 件 ・
事故において明確である．さらには USB メモリによってマルウエア感染につながる事例も見られる．
そのため，管理のための技術進歩やクラウドによる情報運搬の代替手法により，業務での USB メモリの使用を禁止する組織も現れた．しかしながらこうした対策を持たない組織において，USB を例外措置なしで全面禁止するのは難しいと思われる．
Sky 株式会社のホームページからの抜粋 によると，「ただ，いきなり USB メモリを一律に使用禁止にすると，業務に大きな影響が出ることも考慮する必要があります．また，私物の使用 禁止など一部の禁 止 であっても，それまでは問題なく使えていた物が使えなくなると，正しいことだと理解していても心理的な反発が生まれ，運用がうまくいかないことも多いと言われます．適切な利用を定 着するためには，
利用者自身が，USB メモリ本体の物質的価 値ではなく，その中に保存されている情報の価 値や重 要 性を認識することが大 切です．しかし，わかってはいるけれ
ど「今 回だけは—」「このくらいなら—」という気持 ちもあり，利用 者 の情報 セキュリ
ティ意 識はすぐに変えられるわけではありません．適 切に扱うための利 用 ルール
を定めて周 知 徹底 すると同時 に，必 要に応 じて管 理ツールなどを活 用して制御することも有効です．」とされている．
管 理 策を柔軟に策定して管理・運用 の面で工夫する必要があると提案している（1.4.1 項参照）．
策定の一例
原則

USB メモリの使用は原則禁止とする

例外

取 引 先 からの指 示 などやむを得 ない場 合 は，予 めウイルススキャン
済みのものであれば使用を承認する

参考文献「利便性を犠牲にしない USB メモリの管理方法とは」SKYSEA Client View ホームページ，https://www.skyseaclientview.net/column/device/usb01/- 167 -

サポート切れの OS やソフトウエアの利用
サポート切れの OS やソフトウエアを業務で利用することは，セキュリティ確保の面で，禁止とするのが原則である．
キャノン IT ソリューションでは，サポート切れの OS 利用は延命措置としての例外措置であるとし，下記のように述べている．
「やむを得ない事情で「延長サポート」終了時に移行が間に合わないこともあります．その場 合 はセキュリティ対 策 ソフトを利 用 したり，脆 弱 性 攻 撃 を防 ぐ「仮 想パッチ技術」を活用したりすることで，被害を少しでも抑えるようにします．ただし，これらの対策は一時的な延命措置に過ぎません．速やかに新 OS へ移行することを強く推奨します．」
一方で，トレンドマイクロによれば，「サポート終了を迎えた OS の継続利用停
止 には長 時 間 を要 することが あるため，移 行 完 了 までの全 対 象 期 間 を計 画 に
含 める必 要があります．公 式のサポート終 了 から 9 カ月 近 く経過 しても，多 くのサーバは引 き続 き稼 働 しており，移 行 が完 了 するまで，まだしばらく時 間 を要 す
ることが 最近の業界調査で明らかになっています．」と述べている．
このことから財政的・技術的な制約によって，サポート切れの OS やソフトウエ
アを引き続き利用する組織が多いことが問題となっている．
策定の一例
原則

サポート切れの OS やソフトウエアの使用は全面禁止である．

例外

完全に外部ネットに接続しないレガシーシステムについては承認す
ることもある．

参考文献「SECURITY Q&A」，マルウエア情報局，キャノン IT ソリューションズホームページ，https://eset-info.canon-its.jp/malware_info/qa/detail/150416_1.html「サポート期間が終 了 するソフトウエアに注 意」，総 務 省ホームページ，総務 省
安心してインターネットを使うための国民のための情報セキュリティサイト「 サ ポ ー ト 終 了 後 の OS や ソ フ ト を 使 い 続 け て は い け な い 2 つ の 理 由 」
2014/03/14,インターネットセキュリティナレッジ，トレンドマイクロホームページ，
https://is702.jp/column/1537/- 168 -

プログラム保守のための外部からの一時的アクセスの許可
組織のオンプレミス環 境にあるサーバの保守 は，保守契 約に基づく請負業 者のプログラム保 守を目 的 とした，外 部からの一 時アクセス（リモートアクセス）の承認が必要となる．
リモートアクセスについては，IPA が手引きを発行しており，接続に必要な技術的基礎知識や環境整備について提言している．請負業者による一時的なアクセスの場合は，例外規程によって運用することが考えられる．
策定の一例
原則

プログラム保守による外部からのアクセスは事前承認を要する．

例外

一 時 的 措 置 が必 要 と経 営 層 が判 断 した場 合 は事 後 申 請 で構 わない．

参考文献「リモートアクセス環境におけるセキュリティ」平成１９年１１月，独立行政法人情報処理推進機構

私物デバイス（スマートフォン・タブレット等）の使用「可搬型メディア」に類似する管理策であるが，USB メモリと異なり，BYOD が普及しつつあるなかで，私物 デバイスの業務 利用が常態 化に向けて整備されてきている．またセキュリティ対策も MDM の普及によって，デバイスの盗難紛失やOS・アプリケーションのバージョン管理など，利用リスクを低減することが可能となってきた．
またスマートフォンやタブレットは通 信 連 絡 手 段 を有 していることから，組 織 によっては全 従 業 員 を対 象 に利 用 を促 すこともある．この場 合 は原 則 規 程 にて管理 ・運 用 されるべきである．一 方 で，対 象 者 を限 定 するのであれば，例 外 規 程 として利用することが望ましいと考える．
策定の一例
原則

業務上必要がない場合は，原則使用を禁止

例外

私 物 デバイスの登 録 ，指 定 アプリのインストール，業 務 使 用 手 引 きの励行および誓約書の提出により承認- 169 -

参考文献
「BYOD (私物端末の業務利用 ) 最新事情とセキュリティ対策」，グローバルサ
インブログ，GMO インターネットグループホームページ，
https://jp.globalsign.com/blog/articles/byod_181128.html

自社が管理していない PC の組織内利用「私物可搬型デバイス」と異なり，PC は組織が従業員に貸与していることが多いほか，管 理 方 法 についてもウイルス管 理 ソフトウエアなど技 術 的 に進 化 ・普 及
していることから，組織外で利用することが多くなっていると考える．一方で，自社が管理していない，従業員の私物 PC や外部業者の PC をそれぞれ持ち込んで組織のイントラネットに接続する場合もある．
この場合，組織がガイドラインに則って導入 している管理用ソフトウエアが予め導入 されているとは限 らないため，組織 内 利 用については例 外 措 置が必 要 と考
える．
策定の一例
原則

自社以外のＰＣの持ち込みは原則禁止

例外

業務上理由がある場合は，申請の上，持ち込みを承認する

自社が管理していないソフトウエアの利用
基 本 的 には「自 社 が管 理 していない PC」と同 等 の管 理 策 になるが，加 えて，
無 償 でダウンロード可 能 な，フリーソフトウエアのインストールへの対 策 が求 められる．
インストールできる権限の付与を従業員に対して与えるかどうかにも関わるが，権限を従業員に付与する場合は，自社が保有するソフトウエアライセンスに限定して許可する必要がある．
策定の一例
原則

自社保有ライセンス以外のソフトウエアの利用は原則禁止

例外

業務上理由がある場合は，申請の上，利用を承認する- 170 -

ウイルス対策ソフトウエアを導入していない PC の利用
今や，業 務においてウイルス対 策ソフトの導 入は必 須 条 件である．したがって
多 くの組織 は原 則 規 程として当 該ソフトのインストールは必 須 としており，導 入 していない PC をイントラネットに接続させることは認めないとしている．
その一方で制御系システムの PC ではレガシーシステムが導入されている事例も少なくない．これらにウイルス対策ソフトをインストールすることで，従来のパフォーマンスが得られない場 合 は，当 該 ソフト導 入を見 送 ることも考 えられる．したがってこのような場合は，当該 PC を全く外部ネットに接続させないなど，例外措置
によって代替手段を用いることが望ましい．
策定の一例
原則

利用禁止

例外

業務上理由があり，全く外部ネットに接続しないレガシーシステムについては承認することもある

外部業者への特権 ID を付与する
特権 ID とは，組織内のオンプレミスでも外部クラウドでも，システム管理上必要となる強力な権限を持つ，管理者向けのアカウント ID である．システムそのものの起 動 や停 止 のほか，アプリケーションのインストールや削 除 もでき，システム
を管理・運用していくうえでは必ず必要となる．一方，大きな権限を持つがゆえにシステムの改変や機密情報の持ち出し，不正なアカウントの登録といった不正行為も容易である．
多くの組織では規模の大小に関係なく，特権 ID の管理の難しさから，適切な管 理が課題とされている．一方でシステム管理にはメンテナンスに関わる作業 量の多いく専門 知識を要することから，外部委託によって作業者を確 保するケースも多い．こうした外部業者が作業するにあたっては，組織の管理者と同等の特権
ID を予め付与する必要がある．したがって外部業者への特権 ID を付与する場
合は，例 外 規程 ではなく原則 規 程として厳 格に管理することが望 ましい．当 然，
作業内容や作業する日時も異なるため権限に応じた期限付きの特権 ID を個別に付与するべきである．
しかしながら，突発的な故障などで，早急のシステムメンテナンスが必要となった場合も想定できる．したがって，非 常措置が必要であると経営者が判断した場
合の例外申請は事後 報告で構わないとする例外規程も必要と考える．
- 171 -

策定の一例
原則

保守による外部業者への付与は事前承認を要する

例外

非 常 措 置 が必 要 であると経 営 層 が判 断 した場 合 は事 後 申 請 で構
わない

参考文献
「特権 ID の適切な管理方法について」，マルウエア情報局，キャノン IT ソリューションズホームページ，
https://eset-info.canon-its.jp/malware_info/special/detail/190205.html，

2019.2.5

個人で利用しているメールに社内メールを転送する社 内メールには，組 織 の機 密 情 報 などが含 まれることがあり，そのまま個 人 用
メール（社外メール）に転送するのは，情報の持ち出しにつながる場合がある．個
人用メールアカウントは，組織の管理下にないため，セキュリティ保護やガバナンスの対 象からも外 れているため，業 務 利 用 はコンプライアンス規 程 違 反 と解 釈 されることが多 い．また個 人 用 アカウントのメールが組 織 内 サーバ上 に格 納 されていないためリスクにさらされることにもなる．その一方で，外部からのメール閲覧を希望したり，BYOD の普及で個人用メールでの利用を求めたりするケースもある．
したがって組 織は，外 部でのメール閲 覧ができる情 報インフラ整 備 が必 要 となる
一方で，それまでの過渡期において，一切禁止とするか，転送もやむを得ないとの判断が必要となる．
策定の一例
原則

原則禁止

例外

業務上理由がある場合は，申請の上，転送を承認する

参考文献「個 人 用 メールアカウントを業 務 利 用 することのリスク」2015-3-6，バラクーダホームページ，https://www.barracuda.co.jp/column/detail/402「Gmail を仕 事 で使 っても大 丈 夫 ？」 2013-4-30，Kaspersky ホームページ，
https://blog.kaspersky.co.jp/is-gmail-safe-for-work/739/- 172 -

公衆無線 LAN（暗号無し）の業務利用
総務省は「無線 LAN ビジネスガイドライン（第 2 版）」を２０１６年に発行し，その中 で，適 切 な情 報 セキュリティ対 策 として，暗 号 化 及 び認 証 の情 報 セキュリティ
方 式に対 応したアクセスポイントの設 置を指 導している．このことから，暗 号 化や
VPN 接続ができない公衆無線 LAN の業務利用は厳格に禁止するべきと判断
する．
策定の一例
原則

禁止

例外

例外無し

参考文献
「 無 線 LAN ビ ジ ネ ス ガ イ ド ラ イ ン （ 第 2 版 ） 」 2016-9-23 ， 総 務 省 ，
http://www.soumu.go.jp/main_content/000444788.pdf

個人で利用しているクラウドサービス（Dropbox 等）を利用する「個人で利用しているメールに社内メールを転送する」と同等の管理策と考える．
スターティアホールディングス株式会社による「業務におけるオンラインストレージの利用実態調査第 4 弾（2018 年版）」の結果によると，業務上で利用される個人契約のオンラインス トレージの利用者が存在することが見て取れる．
クラウドストレージは，取引 先 と大 容 量の業 務データを円 滑にやり取りしたいときなどに役立つ．このようなクラウドサービスはクラウドベンダー側でセキュリティ対策が取られてはいるものの，利用者が取り扱い操作を誤る事により、外部 への情報漏えいにつながりやすい恐れがある．組織において法人契約のクラウドサービ
スを利 用するのか否か，の判 断 により，個 人 契 約 のクラウドサービスの業 務 利 用が可能かを考える必要がある．そして利用する場合は例外措置が望ましい．
策定の一例
原則

原則禁止とし，企業が契約するクラウドを利用する

例外

取 引 先からの指 示 などやむを得 ない場 合 は，申 請の上 ，一 時 的 に利用を承認することもある- 173 -

参考文献
「業務におけるオンラインストレージの利用実態調査第 4 弾（2018 年版）」
2018-11-28，スターティアホールディングス株式会社，
https://www.startiaholdings.com/dcms_media/other/2018_onlinestorage_relea
se.pdf「私 用のクラウドサービスを勝 手に業 務で利 用してはいけません」 2017-11-16，
トレンドマイクロホームページ，https://www.is702.jp/manga/2236/

日本国内法非準拠のクラウドを利用する
以前は，大 手の外 部クラウド（AWS，MS Azure，Google Cloud）のデータセン
ターは国外に設置されており，準拠法も日本国内法ではないこともあり，これらに
不 安 を持 つ組 織 においては利 用 を見 送 るケースがあった．近 年 はデータセンタ
ーを日本国内に設 置 し，日本国内法 準拠 に応じる外部クラウドが増えたことで，利用へのハードルが低くなったと考える．
一方で，GDPR や個人情報保護法への対応に伴い，外部クラウドを利用した
組 織への個人情報・機密情報の取り扱い厳格化が進む中，あらためてデータセ
ンターの所在や国内法準拠の有無 の確認 など，利用時の原則規程の策定が求められる．そして国内法非準拠クラウドを利用 する場合は，クラウドベンダーもしくは当該クラウドの仲介 業者と個別に国内法 準拠の利用契約を締結 するとした例
外措置により，承認することが望ましい．
策定の一例
原則

クラウドの利用契約は国内法準拠とする

例外

クラウドベンダーもしくは当該クラウドの仲介業者と個別に国内法 準
拠の利用契約を締結すれば承認する

参考文献「GDPR，個人情報保護法…クラウドサービスを取り巻く国内外の法規制とリスク対応」2018-7-31，EnterpriseZone ホームページ，
https://enterprisezine.jp/article/detail/10993- 174 -

第三者認証のない外部クラウドを利用する
クラウドサービス事業者のセキュリティ対策 の現状を評価する手段として，その利 用 組 織 が直 接 監 査 を実 施 することは，費 用 ・時 間 の面 において無 理 がある．
そのためクラウドサービス事 業 者 のセキュリティ対 策 の確 認 手 段 として，第 三 者
認 証 が一 般 的 には活 用 されており，多 くのクラウドサービス事 業 者 が第 三 者 認証を取得している．利用者は外部クラウドを選定する際は，クラウドサービス事業者が第三者認証を取得しているか否かを確認 し，第三者認証を受けていない外部クラウドの利用は原則禁止することが望ましいと考える．
しかしながら，利用したい外部クラウドサービス事業 者 が第三 者 認 証を取得していないケースも考えられる．その場 合は例 外措 置 を用いる必 要 があると考える．
（1.4.2 項参照）
策定の一例
原則

原則禁止

例外

取 引 先からの指 示 などやむを得 ない場 合 は，申 請の上 ，一 時 的 に利用を承認することもある

参考文献「クラウドサービス利 用 における第 三者 認 証 制 度の考 察」，佐 藤 栄 城 ，原田 要之助，情報処理学会研究報告，Vol.2013-EIP-59，No.1(2013)「クラウド・コンピューティングにおける非 対 称 情 報 の解 消 について」，栗 田 克己，樋口 清秀，情報通信学会誌，2012 年 30 巻 1 号 p．1_15-1_26「 ク ラ ウ ド 環 境 に お け る 第 3 者 認 証 制 度 」 2019-2-8 ， ビ ジ ネ ス on IT ，
https://www.business-on-it.com/1002-cloud-security-3rd-pty-certification/- 175 -

A6 用語集【あ】逸脱
本研究では，原則規程（通常措置）を破る行為や措置を指す．
➢

逸 脱の範 囲は，原則 規 程の限 度 域との境 界から法 令 違反 領 域 との境 界までの間の領域とする．

➢

是正あるいは非難の対象になり得る．

【か】

原則規程
組織が定めた情報セキュリティポリシーに基 づき，情 報セキュリティに向けた体制，運用規程・対策基準などを具体的に記載された内部規程．
日常 業 務において定 常的に実施 されるべきリスク低 減措 置としてまとめられ，関係者が合意して策定 する．（参考：通常措置）

原則と例外の相互補完
予 め原 則 として措 置 できない事 象 への対 策 を，例 外 として措 置 できることにより，例 外 が原 則 を補 うことによって，組 織 の情 報 セキュリティ対 策 を維 持 していること．

原則と例外の代替関係
原 則では措 置 できない事象 への対 策を，例 外としてルールや規 程そのものを抜本的に見直すことによって，組織の情報セキュリティ対策を維持すること．

【さ】

残余リスク
組織において内部統制を整備・運用しても依然として残されるリスク．

- 176 -

➢原 則 規 程 においても，元 々残 余 リスクが含 まれていることから，原 則 規 程 を
策 定 する段 階 においてリスク分 析 を行 い，対 応 後 の残 余 リスクの内 容 や対処を十分理解しておく．

➢

残余リスクという考え方自体が，将来の不測 事態をすべて予見したり，最適
な行 動 を計 算 に入 れたりすることは出 来 ないという，人 間 の知 的 能 力 の限界を考慮した「限定合理性」を前提にしている

情報インフラ
本 論文で情報インフラは組織が業務上保有している情報システム機器やデバイスを指す．
➢参考：品質マネジメントシステム（Quality Management System ; QMS）の国
際規格である，ISO9001:2015 の「7.1.3 インフラストラクチャ」において「組織は、プロセスの運用に必要なインフラストラクチャ、並びに製品及びサービスの適合を達成するための必要なインフラストラクチャを明確にし、提供し、維持しなければならない。」の記載がある．

➢

さらに同 項 の注 記 には「インフラストラクチャとしては次を含 めることができる
a)建物及び関連するユーティリティ b)設備。これにはハードウエア及びソフ
トウエアを含む c)輸送のために資源 d)情報通信技術」の記述がある．

➢

b)および d)の記載は，本論 文の情 報インフラの定義に参考 になるものと考える．

情報セキュリティポリシー
企業などの組織が取り扱う情報やコンピュータシステムを安全に保つための基 本 方 針 や対 策 基 準 などを定 めたもの．広 義 には、具 体 的 な規 約 や実 施 手順、管理規定などを含む場合がある．
➢

組 織 のセキュリティ対 策 を効 率 よく、効 果 的 に行 うための指 針 であり、恒 久
的にセキュリティを維持するための仕組み．

➢

情 報 セキュリティポリシーには，情 報 セキュリティに関 する組 織 全 体 の方 針が定められている．

➢

組織全体のルールとして「どのような情報を，どのような脅威から，どのように守 るのか」といった基 本 方 針 とともに，情 報 セキュリティを守 るための体 制 ，運用規程・対策基準などが具体的に記載されている．

- 177 -

組織性逸脱集団的効果を目的として，集団内メンバーにより感知され，違反の実行者を
含 む複数の直接 的・間接 的関 与者によって生じる一般 社会に照らして逸 脱した行為（参考：逸脱）．
➢

当該集団の外の人々に何らかの悪影響をもたらす集団行為．

➢

従来 ，組 織 体犯 罪・組 織体 違 反行 為・ホワイトカラー犯罪 などと呼 ばれてき
た．

【た】

通常措置
原 則規程（即ち情報セキュリティポリシー）に則って，管理策それぞれに対し，日常業務において定常的に実施されている措置．
➢ 通常措置は原則規程によって明文化・可視化された措置．

統一管理基準各 府省 庁の情 報セキュリティ対 策 内 容の整 合 化・共 通 化を促 進 するために，各府省庁がとるべき情報セキュリティ対策を NISC によって定めたもの．

【な】
【は】

法定境界線
逸脱領域の限度域と法令違反領域の間にある境界➢

例 外 措 置 を伴 わない逸 脱 行 為 のうち，法 定 境 界 線 を超 えるものは法 令 違反の対象となる．

➢

逸脱領域の内側にある原則規程における法律上の限界を表す．

➢

逸脱領域に存在する例外措置も法定境界線が限界となることを示す．

【ま】- 178 -

【や】
【ら】

例外
逸脱のうち，通常措置からの逸脱程度が小さく，組織からの承認・許可が許容される可能性のある行為や措置．
➢（参考：広 辞 苑）通 例 の原則にあてはまっていないこと。一般の原 則の適 用を受けないこと．

➢

情 報 セキュリティを守 るための管 理 手 順 が定 められていることを前 提 に，原則とは違った手続きが必要な場 合の要件を定めた規則，あるいは定められた手続きそのものを指す．

➢

原 則を補 完 するために「例 外 」として認 知 されたり（相 互 補 完 ），場 合 によって原 則に取って代わったり（代 替関 係）するなどの有 効 性が認められるもの，
いわば「原則の予備軍」である．

例外規程
例 外 措 置 の根 拠 規 程 ．同 一 もしくは類 似 する例 外 措 置 の適 用 が多 い状 況において，代 替 手 段 の導 入 も含 め，例 外 措 置 の根 拠 を規 程 として策 定 したもの➢ 例 外 措 置 を管 理 ・運 用 していくための，措 置 の申 請 ，承 認 ・許 可 ，実 施 ，報告，さらには見直し等といった手続きやその内容について明確に策定した根拠規程．

例外措置
原 則 規 程 に対 する逸 脱 行 為 において，その逸 脱 の内 容 ・範 囲 が，原 則 規
程もしくは通常措置と同程度の効用対リスク効果が期待できると組織が判断した措置．
➢ 実 務 的 にいえば，例 外 措 置 は，原 則 規 程 をすぐに改 定 できず，通 常 措
置 として対 応 しきれない状 態 もしくは通 常 措 置 そのものがない状 態 において，利 用 部 門 の判 断 や管 理 部 門 での承 認 に基 づいて一 時 的 に実 施される措置である．
➢ （参 考：H24 政 府 統 一 管 理 基 準から加 筆 ）利 用 者がその実 施に責 任を- 179 -

持つ原 則規 程を遵 守 することが困 難な状 況 で，業 務の適 正な遂 行を継続 するため，遵 守 事 項 とは異 なる代 替 の方 法 を採 用 し，又 は遵 守 事 項を実 施 しないことについて合 理 的 理 由 がある場 合 に，そのことについて申請し許可を得た上で適用する行為

レベル別例外措置
申請者あるいは申請部門のスキルや経験，また例外措置それ自体が持つリ
スクにそれぞれ条 件 化 し，それら条 件 に見 合 ったレベルに適 用 させる例 外 措
置．

【わ】- 180 -

参考文献（文中より）
2)
3)
5)
8)
9)
10)
11)
12)
13)
16)
18)

19)
20)

21)

22)
24)
25)
28)

厚 生 労 働 省“「働 き方 改 革」の実 現に向 けて”, 2018, (オンライン). (オンライン).
https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/0000148322.html. ( アクセス
日 : 2019 年 6 月 10 日 ).
内 閣 府 ,“Society5.0”,内 閣 府, (オンライン).https://www8.cao.go.jp/cstp/society5_0/index.html. (アクセス日 : 2019 年 6
月 10 日 ).
沼 上 幹 ，“組 織 戦 略の考 え方－ 企 業経 営の健 全 性のために－”,ちくま新 書,2003 年.
情 報 処 理 推 進 機構 , “内 部 不正による情報セキュリティインシデント実 態 調 査”,(オンライン). https://www.ipa.go.jp/files/000051140.pdf. ( アクセス日 : 2019 年
6 月 10 日 ).
日 経 NETWORK, “企 業セキュリティ調 査 Part2USB メモリ編 ”, 日経
NETWORK, 第 7 月 号, pp. pp.42-44, 2012
栗 田 克 己 , 樋 口 清 秀 ，“クラウド・コンピューティングにおける非 対称 情 報 の解消について”，情 報通 信 学 会 誌，2012 年 30 巻 1 号 p. 1_15-1_26
佐 藤 栄 城 ，原田 要 之 助 ，“クラウドサービス利 用における第 三 者認 証 制 度の考察”，情 報 処 理学 会 研 究 報 告 ，Vol.2013-EIP-59，No.1(2013)
ビジネス on IT，“クラウド環 境における第 3 者 認 証 制 度”，2019-2-8，
https://www.business-on-it.com/1002-cloud-security-3rd-pty-certification/
総 務 省 , “情 報セキュリティポリシーの概要 と目的 ”, (オンライン).
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/executive/0
4-2.html. (アクセス日 : 2019 年 6 月 10 日 ).
The Cybersecurity Strategic Headquarters, “Common Standards for
Information Security Measures for Government Agencies (FY2016)”, 2016.
内 閣サイバーセキュリティセンター, “政 府の情 報 セキュリティの基 本 的な考 え方,情 報セキュリティポリシーに関するガイドライン H14”, 内 閣サイバーセキュリティセンター, (オンライン).
http://www.nisc.go.jp/active/sisaku/2002_1128/ISP_Guideline_20021128.html.
(アクセス日 : 2019 年 6 月 10 日 ).
総 務 省 , “地 方 公 共 団 体における 情 報セキュリティポリシーに関するガイドライン(平 成 27 年 3 月 版)”, 総 務 省ホームページ, (オンライン).
http://www.soumu.go.jp/main_content/000348656.pdf.
総 務 省 , “情 報セキュリティポリシーの内容 ”, 総 務 省ホームページ, (オンライン).
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/executive/0
4-3.html. (アクセス日 : 2019 年 6 月 10 日 ).
情 報 処 理 推 進 機構 , “情 報セキュリティポリシーの策定 ，情 報セキュリティマネジ
メントと PDCA サイクル”, 2016. (オンライン).http://www.ipa.go.jp/security/manager/protect/pdca/policy.html. ( アクセス
日 : 2019 年 6 月 10 日 ).
金 融 情 報 システムセンター, “金 融 情 報 システムセンターガイドライン検 索 システム”，(オンライン).
金 融 情 報 システムセンター, “金 融 機 関 等におけるセキュリティポリシー策 定のための手 引書 (第２版 )”, 金 融 情報 システムセンター,
2008.https://www.fisc.or.jp/guideline/. (アクセス日 : 2019 年 6 月 10 日 ).
平 木 健 士,原 田 要 之 助, “業 務 利 用のスマートデバイスのマネジメントについて”, システム監 査 学 会 2013 年 度 第 27 回 研 究 大 会, 2013 年 6 月 7 日
内 閣 官 房 情 報セキュリティセンター, “政 府 機 関の情 報セキュリティ対 策のための統一 管 理 基 準（平 成 24 年度 版 ）解説 書 「1.2.1.3 違反 と例 外 措 置 」”, (オンライン). http://www.nisc.go.jp/active/general/pdf/K304 -111C.pdf. (アクセス日 :2019 年 6 月 10 日 ).
- 181 -

29)

30)

31)
33)
35)

36)
37)
38)
41)
42)

44)

45)

46)
47)
48)
49)
50)
51)

内 閣サイバーセキュリティセンター, “スマートフォン等の業 務利 用における情 報
セキュリティ対 策の実施 手 順 策 定手 引 書 ”, 2015 月 5 月 21 日. (オンライン).http://www.nisc.go.jp/conference/cs/taisaku/ciso/dai02/pdf/02shiryou0305.
pdf. (アクセス日 : 2019 年 6 月 10 日 ).
遠 藤 宗 正, “シャドーIT とはこれでおさらば!? 企 業をむしばむ無断 使 用ツールを「断 捨 離」する 3 つのステップ, “シャドーIT”との向き合い方”, IT Media ニュース, 2015. (オンライン).
http://www.itmedia.co.jp/news/articles/1501/27/news045.html. [ アクセス日 :2018 年 12 月 21].
佐 藤 慶 浩 ，“政 府 機 関の情 報セキュリティ対 策のための統 一基 準 ”, (オンライン).http://yosihiro.com/speech/presenter/2006-08-02/index.html (アクセス日 :2019 年 6 月 10 日 ).
H.A.Simon”,意 思 決 定と合 理 性”,ちくま学 芸 文 庫 ,2016
情 報セキュリティ政 策 会 議 , “政 府 機 関の情 報セキュリティ対 策のための統 一 基
準（平 成 26 年 度 版）”, 平 成 26 年 5 月 19 日. (オンライン).
http://www.nisc.go.jp/active/general/pdf/kijyun26.pdf. (アクセス日 : 2019 年 6
月 10 日 ).
日 立グループ, “情 報セキュリティ報 告 書 2018”, 2018 年 9 月 . (オンライン).
http://www.hitachi.co.jp/sustainability/download/pdf/securityreport.pdf. ( アクセス日 : 2019 年 6 月 10 日 )東 京 海上リスクコンサルティング, “金融 機 関の情 報 セキュリティポリシー策 定 のためのアイディア・ヒント集 （V1.0）”, 東 京 海 上リスクコンサルティング, 2014.
経 済 産 業 省, “平 成 28 年 度 情報 セキュリティ監 査 企 業台 帳 , 経 済 産 業 省ホームページ”，(オンライン). https://www.meti.go.jp/policy/netsecurity/is -kansa/.
(アクセス日 : 2019 年 6 月 10 日 ).
佐 藤 慶 浩, “企 業における情 報セキュリティ対 策の実 務”, (オンライン).
http://yosihiro.com/speech/present-er/2014-11-29b/data/resources/2014-1129b-enPit.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
内 閣 官 房 情 報セキュリティセンター, “政 府 機 関 統 一 基 準適 用 個 別マニュアル
群 DM2-04”, 内 閣サイバーセキュリティセンター, 2011 年 4 月. (オンライン).
https://www.nisc.go.jp/active/general/kijun_man_index.htm. ( アクセス日 : 2019年 6 月 10 日 ).
サイバーセキュリティ戦 略 本 部 , “政 府 機 関の情 報セキュリティ対 策のための統
一 基 準（平 成 28 年 度 版）”, 平 成 28 年 8 月 31 日 . (オンライン).https://www.nisc.go.jp/active/general/pdf/kijyun28.pdf. ( アクセス日 : 2019年 6 月 10 日 ).
サイバーセキュリティ戦 略 本 部 , “政 府 機 関の情 報セキュリティ対 策のための統
一 基 準（平 成 30 年 度 版）”, 平 成 30 年 7 月 25 日 . (オンライン).
https://www.nisc.go.jp/active/general/pdf/kijyun30.pdf. ( アクセス日 : 2019 年 6
月 10 日 ).
ISO/IEC JTC, “ISO/IEC27001:2013”
ISO/IEC JTC, “ISO/IEC27002:2013”日 本 規 格 協 会, “JIS Q 27001,2014（ISO/IEC27001,2013）,情 報 技 術―セキュ
リティ技 術―情報セキュリティマネジメントシステム－要 求 事項 ”, 日 本 規格 協 会,
2014.
中 尾 康 二 編, ISO/IEC27001:2013 情 報セキュリティマネジメントシステム要 求 事
項の解 説 , 日 本 規 格 協 会, 2014.
日 本 規 格 協 会, “JIS Q 27002,2014（ISO/IEC27002,2013）,情 報 技 術―セキュ
リティ技 術―情報セキュリティ管 理策の実 践のための規範 ”, 日 本 規格 協 会 ,2014.
中 尾 康 二 編, ISO/IEC27002:2013 情 報セキュリティ管 理 策の実 践のための規範, 日 本規 格 協 会 , 2015.

- 182 -

52)
53)
54)
55)
56)
58)
59)
60)

61)
62)

63)
64)
65)
66)

67)
69)
70)
72)

73)

NIST, “SP800・FIPS”, (オンライン).
http://csrc.nist.gov/publications/PubsSPs.html. ( アクセス日 : 2019 年 6 月 10日 ).
NIST, “Information Security Handbook: A Guide for Managers”, NIST
Special Publication 800-100, 2006.
NIST, “Information Security Guide For Government Executives”, NISTIR
7359, 2007.
NIST, “Guide for Security-Focused Configuration Management ofInformation Systems”, NIST Special Publication 800 -128, 2011.
NIST, “Guide to General Server Security”, NIST Special Publication 800 -123,2008.
山 内 達 夫, “コーポレートガバナンス・コードの基 本 的な考 え方 （案）の解 説”,
テクニカルセンター 会 計 情 報, vol.463, 2015.
European Medicines Agency, “Requesting and recording of exceptions andnon-compliance events, Standard”, European Medicines Agency Standard
operation procedure, 2018.
Children’s Healthcare of Atlanta, “Information Management, Administrative
and Operational Policies and Procedures”, (オンライン).
https://www.choa.org/~/media/files/Childrens/research/it -technologyacceptable-use-form.pdf?la=en/ (アクセス日 : 2019 年 6 月 10 日 ).
Inforsec Institute, “Exception Management - InfoSec Resources” - (オンライン). https://resources.infosecinstitute.com/exception-management/#gref. (アクセス日 : 2019 年 6 月 10 日 ).
Birmingham and Solihull Mental Health NHS Foundation Trust, “information
systems security policy (issp)”. (オンライン).
https://www.bsmhft.nhs.uk/EasysiteWeb/getresource.axd?AssetID=4448&type=full&servicetype=Attachment. (アクセス日 : 2019 年 6 月 10 日 ).
Georgia Institute of Technology, “Policy Exceptions”, (オンライン).
https://policylibrary.gatech.edu/information -technology/policy-exceptions. (アクセス日 : 2019 年 6 月 10 日).
University of Louisville, “Policy Exception Process”, (オンライン).https://louisville.edu/security/policies/policy-exception-process. (アクセス日 : 2019 年 6 月 10 日 ).
The University of Nottingham, “Information Security Policy 2015/16”, (オンライン).https://www.nottingham.ac.uk/legalservices/documents/informatio nsecurity-policy.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
Youngstown state university, “Overview of IT Security Waivers andExceptions”, (オンライン).https://cms.ysu.edu/administrative-offices/itsecurity-services/overview-it-security-waivers-and-exceptions. (アクセス日 :2019 年 6 月 10 日 ).
VAMK(University of applied sciences), “Information Security Policy”, (オンライン). http://www.puv.fi/en/study/it-basics/rules/policy/. (アクセス日 : 2019 年
6 月 10 日 ).
情 報セキュリティ大 学 院 大 学 原田 研 究 室 , “2015 年 度 情報 セキュリティ調 査” ,(オンライン). http://lab.iisec.ac.jp/~harada_lab/survey/2015.html.
村﨑康 博 ほか，“2015 年 情 報セキュリティ調 査から見えてくる企業 ・組 織における現 状”, 2016 年 暗 号 と情 報セキュリティシンポジウム講 演 予稿 集 , 2016
宇 崎 俊 介, “第 1 回：情 報セキュリティポリシーの現 状 , 【特 集】スローポリシーの
ススメ, atmarkIT”, 2002/7/26. (オンライン).
http://www.atmarkit.co.jp/fsecurity/special/27spolicy/spolicy01.html . (アクセス日 : 2019 年 6 月 10 日 ).
情 報セキュリティ大 学 院 大 学 原田 研 究 室 , “2018 年 度 情報 セキュリティ調 査”,(オンライン). http://lab.iisec.ac.jp/~harada_lab/survey.html. (アクセス日 : 2019年 6 月 10 日 ).
- 183 -

74)
77)
78)
80)
81)
83)

86)
87)
88)
90)
91)
92)
93)
94)
96)

99)
100)
101)
102)
104)
105)
106)
107)

李 哲 ほか, “2018 年 情 報セキュリティ調 査から見 えてくる企 業・組 織における現状”, 2019 年 暗号 と情報 セキュリティシンポジウム講 演 予稿 集 , 2019
原 田 要 之 助, “ＩＴシステムのリスクマネジメントの全 体 像”, 著 : 佐 々木 良 一 編「ＩＴリスク学 」, pp. pp122-138.
日 本 規 格 協 会, “JIS Q 31000,2010 リスクマネジメント － 原 則 及び指 針 ”,
日 本 規格 協 会 , 2010.
情 報セキュリティ対 策 推 進 会 議，“情 報セキュリティポリシーに関するガイドライン”, 首相 官 邸 , 2000
総 務 省 ，“地 方 公 共 団 体における情 報セキュリティポリシーに関するガイドライン（平 成 27 年 3 月 版）”, 総 務 省, 2015
文 部 科 学 省 初 等中 等 教 育 局 児童 生 徒 課 , “学 校 における携帯 電 話の取 扱 い等について（通 知）”, 文 部 科 学省 , 平 成 21 年 1 月 30 日 . (オンライン).
http://www.mext.go.jp/b_menu/hakusho/nc/1234695.htm. ( アクセス日 : 2019 年
6 月 10 日 ).
高 槻 芳 , “公 私 混 同のススメ ～今どきの BYOD，クラウドが生む BYOD 新 潮
流 ，日経コンピュータホームページ 2012/09/24”, (オンライン).
http://itpro.nikkeibp.co.jp/article/COLUMN/20120920/423888/.
総 務 省 , “一 般 利 用 者 が安心 して無 線 LAN を利 用するために”, 2012 年 11
月 2 日. (オンライン). http://www.soumu.go.jp/main_content/000183224.pdf.
(アクセス日 : 2019 年 6 月 10 日 ).
総 務 省 , “企 業 等が安 心 して 無線 ＬＡＮを導入 ・運 用するために”, 2013 年 1
月 30 日 . (オンライン). http://www.soumu.go.jp/main_content/000199320.pdf.
総 務 省 , 平 成２７年 度版 情 報 通信 白 書 , 2016.
岡 部 康 成, 事 故や災 害 を防 止するために,リスク・マネジメントの心 理 学 , 新 曜社,pp.245-270, 2003.
赤 崎 貫 志, 新 林 栄一 , “ヒューマンファクターの現 状とヒューマンエラーのゼロ化
を目 指 してⅢ 化 学 プラントのヒューマンファクターと安 全 教育 ”, 電 気 学会 論 文
誌 D,vol.117, No.6, pp671-672, 1997.
芳 賀 繁 , 違 反と不 安 全 行 動 ，失 敗のメカニズム, 角 川ソフィア文庫 ，pp.147166, 2003 年 7 月 25 日 .
本 間 道 子 編 著，“組 織 性 逸 脱行 為 過 程 ”，多 賀 出 版 (2007)
NHK スペシャル, “平 成 史スクープドキュメント第２回 バブル終わらない清 算～山 一 証 券 破綻の深 層 ～”, 日 本 放 送 協 会, (オンライン).
http://www6.nhk.or.jp/special/detail/index.html?aid=20181202. ( アクセス日 :2019 年 6 月 10 日 ).
James R. Fitzer, “Agile Information Security”, BookBaby, 2015
情 報 処 理 推 進 機構 , “アジャイル開 発の進め方 ”, 2018 年 4 月. (オンライン).
https://www.ipa.go.jp/files/000065606.pdf. (アクセス日 : 2019 年 6 月 10 日).
村﨑ほか, “テレビを一 緒に視 聴 するロボットの開 発 ガイドライン策 定に向けての一 考 察”, 情 報 処 理学 会 研 究 報告 ,vol.2017-EIP-78, No.14, 2017.
Tech Target Japan の 2018/11/7 の記 事：(オンライン).
https://techtarget.itmedia.co.jp/tt/news/1811/07/news04.html ( アクセス日 : 2019年 6 月 10 日 ).
ITU-R, “ITU-R 勧 告 ”,Methodology for the subjective assessment of thequality of television pictures”，BT500-11”, 2006
中 小 企 業 庁, “中 小 企 業・小 規 模 企 業 者の定 義 ”, 中 小 企 業 庁, (オンライン). http://www.chusho.meti.go.jp/soshiki/teigi.html. ( アクセス日 : 2019 年 6 月
10 日 ).
情 報 処 理 推 進 機構 , “中 小 企業の情 報セキュリティ対 策ガイドライン”, 情 報 処
理 推 進機 構セキュリティセンター, (オンライン).
http://www.ipa.go.jp/files/000014017.pdf. (アクセス日 : 2019 年 6 月 10 日).
情 報 処 理 推 進 機構 , “中 小 企業における組 織 的 な情報セキュリティ対 策 ガイドライン”, 独 立 行 政法 人 情 報 処理 推 進 機 構セキュリティセンターホームページ,- 184 -

108)

109)
110)
111)
112)
113)
114)

115)
116)
117)
118)
119)
120)
121)
122)
123)
124)
125)
126)
130)

(オンライン). http:/ww.ipa.go.jp/files/000014023.pdf. (アクセス日 : 2019 年 6 月
10 日 ).
情 報 処 理 推 進 機構 , “2016 年 度 中 小 企 業における情 報セキュリティ対 策の実
態 調 査報 告 書 ”, 独立 行 政 法 人情 報 処 理 推 進 機 構セキュリティセンターホーム
ページ, (オンライン).
https:/ww.ipa.go.jp/security/fy28/reports/sme/index.html. (アクセス日 : 2019 年
6 月 10 日 ).
J. Blythe, L. Coverntry , L. Little, “Unpacking security policy compliance”,
The motivators and barriers of employees' security behaviors, 2015 Symposium
on Usable Privacy and Security, pp.103-122, 2015.
森 泉 慎 吾 , 臼 井 伸 之 介, “リスク傾向が違 反 敢 行に及 ぼす影 響”, 日 本 心 理
学 会 第 75 回 大 会, 2011.
森 泉 慎 吾, “リスク受 容 に伴うベネフィットがリスク受 容 判断の合 理 性に及 ぼす
影 響”, 産 業・組 織 心 理 学 会 第 32 回 大 会発 表 論 文 集 ，193-196, 2016.
森 泉 慎 吾 , 臼 井 伸 之 介, “時 間 的コスト認知 とリスク受 容に関する心 理 的 要
因の関 係 ”, 産 業・組 織 心 理 学会 第 33 回大 会 発 表 論 文集 , 2017.
岡 野 裕 樹 , 奥 山 浩 伸, “セキュリティルール違反 行 動の抑 止に関する一 考察”, 情 報 処 理 学 会論 文 誌 Vol.58, No.1, pp,258-268, 2017.
NPO 日本 ネットワークセキュリティ協 会 , “2017 年 情 報セキュリティインシデント
に関する調 査報 告 書 【速 報 版】”, (オンライン).
https://www.jnsa.org/result/incident/data/2017incident_survey_sokuhou_ver1.1.pdf. (アクセス日 : 2019 年 6 月 10 日 ).
寺 田 剛 陽, 津 田 宏, 片 山 佳 則 , 鳥 居 悟, “ＩＴ被 害に遭いやすい心 理 的・行
動 的 特性に関する調 査 ”, マルチメディア，分 散 ，協 調とモバイル（DISCOMO2014）シンポジウム, 2014.
D. Ariely, A Taste of Irrationality, HarperCollins e -books, 2010.
ダン・アリエリー, 予 想 どおり不 合 理, 早 川 書 房 , 2010.
D. Ariely, The Honest Truth About Dishones ty, Harper; Reprint, 2013.
ダン・アリエリー, ずる, 早 川 書房 , 2014.
浜 津 翔 , 栗 野 俊 一 , 吉 開 範 章, “集 団 的 防護 動 機 理 論に基づく情 報セキュリ
ティ対 策実 行 意 思モデルの提案 とその活 用”, 情 報 処 理学 会 論 文 誌 Vol.56,
No.12, pp,2200-2209, 2015.
浜 屋 敏 , 山 本 哲 寛 , “日 本 企業における情 報セキュリティ逸 脱 行 為と組 織 文
化・風 土との関 係”, 富 士 通 総 研研 究 レポート, No.373, 2011.
竹 村 敏 彦, 三 好 祐輔 , 花 村 憲一 , “情 報 漏えいにつながる行 動に関する実証 分 析”, 情 報 処 理学 会 論 文 誌 Vol.56, No.12, pp,2191-2199, 2015.
大 和 田 竜 児 , 内 田 勝 也, “従 業 員のリスク行 動 に対する企 業の取 り組みモデルの提 案”, 情 報 処 理 学 会 研 究報 告 , Vol.2010-CSEC-48, No.52, pp.1-6,
2010.
頼 永 忍 , “モチベーションマネジメントの情 報セキュリティマネジメント分 野への適用の提 案 ”, 情 報処 理 学 会 研 究 報 告 , Vol.2010-CSEC-51, No.7, pp.1-6, 2010.
西 岡 大 , 藤 原 康 宏 , 村 山 優 子, “情 報セキュリティに関する知 識のないユーザ
を対 象とした安 定 感の要 因 抽 出のための Web 調 査の実 施 ”, マルチメディア，
分 散 ，協 調とモバイル(DICOMO2011)シンポジウム, pp151-160, 2011.
近 藤 佐 保 子ほか, “ネットワーク利 用に関する学 内 罰 則規 程のあり方”, 電 子 情
報 通 信学 会 技 術 研 究 報 告 ，FACE99-38,pp.17-22, 1999.
特 許 庁 , “平 成 30 年 改 正 法 対応 ・発 明の新 規 性 喪 失の例 外 規 程の適用 を受けるための出 願 人の手 引 き”, 平 成 30 年 6 月 . (オンライン).
http://www.jpo.go.jp/shiryou/kijun/kijun2/files/hatumei_reigai/h30_tebiki.pdf.
(アクセス日 : 2019 年 6 月 10 日 ).

- 185 -

- 186 -謝辞
本研究を進めるにあたり，研究の方向性や内容，論文執筆の基本に至るまで，
終 始 温かいご指 導 と励 ましを賜 りました，情 報 セキュリティ大 学 院 大 学 の原田要之助名誉教授に心から感謝の意を表します．原田先生は，筆者が 2014年 10 月の博士前期課程入学から 2016 年 9 月の修了まで，および 2018 年 4月の博士後期課程入学から定年退官された 2019 年 3 月までの指導教官として，情 報セキュリティマネジメントについて全くの初 学 者だった筆 者 を，情 報セキ
ュリティ監 査 人 補 の資 格 取 得 や博 士 号 取 得 までに導 いてくださいました．また「例外」を研 究テーマに決めた際も，先生には一番にご理 解いただき，また後押しいただきました．旧 原 田 研 究 室 で数 多 く学 外 発 表 ができたことも ，ひとえに原田先生のご指導によるものです．
林紘一郎元学長には，2018 年度の本論文の主査として，また 2019 年度上
期 の副 査 としてご指 導 とご鞭 撻 を賜 りました．林 先 生 からはセキュリティマネジメ
ントの観 点 から執 筆 してきた本 論 文 を，法 学 ・経 済 学 ・経 営 学 の観 点 から 広 くご
助 言 を頂 き，社 会 科 学 分 野 での博 士 論 文 の執 筆 方 法 や表 現 の工 夫 等 を ご教授頂きました．
後藤厚宏学長には，2018 年度の本論文の副査として，また 2019 年度からは
本 論 文 の主 査 ならびに指 導 教 官 としてご指 導 とご鞭 撻 を賜 りました．後 藤 先 生
からは自然科学の観点から多々ご助言頂き，また他分野の専門家に理解してもらう ことの重 要 性 を 教 え ていた だきまし た ． 第 18 回 情 報 科 学 技 術 フォーラ ム（FIT2019）への投 稿 （初 出 一 覧 (12)）を承 認 頂 き，その結 果 学 会 発 表 で初 めてFIT 奨励賞を受賞できたことは，後藤先生のおかげであります．
また副査として審査いただきました湯淺懇道教授・学長補佐には，日頃より情報 セキュリティに関 する情 報を交 換 させて頂 き，本 研 究に限 らず，幅 広 く有 益 な
ご助言を賜りました．さらに松井俊浩教授並びに稲葉緑准教授には博士演習セ
ミナーを通じて本研究をさらに深めるための手法をご教授いただき，電子情報通信学会総合大会（初出一覧 (11)），情報処理学会セキュリティ心理学とトラスト研
究 会 （初 出 一 覧 (9)）で報 告 する機 会を得 ることができました．厚 く御 礼 申 し上 げます．
また本研究において，直接の動機となりました本学講義「企業における情報セ
キュリティ対策の実務 (2014 年 11 月 29 日開催)」で登壇されました佐藤慶浩氏に厚 く御 礼 申 し上げます．この講 義 で政 府 の統 一 管 理 基 準 並 びに例 外 措 置 について受講していなければ，当時筆者が業務で取り扱っていた「例外」を本研究- 187 -

のテーマにする事は到底思いつかなかったことと考えます．
さらに原 田 先 生から学 術 交 流 の場として推 薦して頂 き，発 表 ・参 加をして参 りました，情報処 理学 会 電子化 知的財 産・社 会基盤 研究会 並びにセキュリティ心理 学 とトラスト研 究 会 ，電 子 情 報 通 信 学 会 技 術 と社 会 倫 理 研 究 会 ，システム監
査 学 会 に御 礼 申し上 げます．学 会 活 動 を通じて日 本 大 学 危 機 管 理 学 部
小 向 太 郎 先 生 ，同 じく日 本 大 学 商 学 部 堀 江 正 之 先 生 ，名 古 屋 市 立 大 学
金子格先生，佛教大学社会学部吉見憲二先生，徳島文理大学総合政策学部
橋本誠志 先生，新 潟 大学法学 部須川 賢洋 先生他多 数の先生方 と本研究について議 論 をさせて頂 いたことは望 外の喜 びでした．また東 京 電機 大 学の猪俣 敦夫 先生には，博士 後期 課程 入学のきっかけの一つを与えて頂きました．
御 礼申し上げます．先 生より情 報 処理 学 会 への論 文投 稿 (初 出 一 覧 (2))を勧めて頂かなければ，当該 論文の採録もなく，原 田先生より博士後 期 課程入 学を勧めていただくことも，あるいはなかったかと思います．加えて情報セキュリティ大学
院 大 学 の教 授 各 位 ，在 学 生 ・客 員 研 究 員 各 位 とは輪 講 発 表 やゼミでの議 論 を通じて，研究のヒントとなる助言・提案をいただくことができました．特に旧原田研
究 室 で客 員 研 究 員 として在 籍 されていた久 保 知 裕 氏 ，根 岸 秀 忠 氏 には，博 士
前 期 課 程 から英 訳 支 援 を通 じ，研 究 テーマについて助 言 をいただきました．御礼申し上げます．さらには本学事 務局の皆 様にも，書 類手 続きや機材 設営など様々な件でお世話になりました．感謝致します．
あわせて調査研究のため情報セキュリティに関するアンケートへの回答にご協力を頂 きました企 業や団 体，組 織の皆 様に感 謝します．また，アンケートの封 入，
データ入力に多大な協力をいただいた，神奈川県立麻生養護学校
元 石 川 分 教 室 ， 神 奈 川 県 立 高 津 養 護 学 校 川 崎 北 分 教 室 ，
神奈川県立鶴見養護学校岸根分教室，神奈川県立みどり養護学校
新 栄 分 教 室 ，川 崎 市 立 中 央 支 援 学 校 ，外 １校 （以 上 ， 2015 年 度 協 力 ）及 び，
神奈川県立みどり養護学校新栄分教室，神奈川県立麻生養護学校
元 石 川 分 教 室 ，外 1 校 （以 上 ，2018 年 度 協 力 ）（五 十 音 順 ）の皆 様 に感 謝
します．
また情報セキュリティ分野での人材育成・確保を主な目的に，2014 年に本学博士前期課程への国内派遣の機会を与えてくださった日本放送協会
情 報 システム局 在 籍 当 時 の上 司 ，小 林 和 正 氏 ，長 村 中 氏 ，山 本 秀 人 氏 ，
浅 川 玲 氏 ，土 生 尚 氏 ，増 子 明 洋 氏 ，中 島 陽 一 郎 氏 ，新 見 琢 司 氏 ，熱 海 徹 氏 ，
有 馬 伸 一 郎 氏 ，宮 崎 洋 光 氏 ，六 山 浩 一 氏 ，赤 木 慎 司 氏 ，池 田 有 里 氏 （以 上 ，- 188 -

当時および現在の所属・役職を省略）ほか関係者各位，並びに 2018 年，個人として入学した博士後期課程における，勤務外での研究活動・論文執筆に対するご配 慮 をいただきました，同 協 会 放 送 技 術 研 究 所 ネットサービス基 盤 研 究 部の中 川 俊 夫 部 長 （現 デジタルセンター専 任 部 長 ），石 川 清 彦 部 長 ，山 本 正 男
上 級 研 究 員 ，大 竹 剛 副 部 長 ， 上 原 道 宏 上 級 研 究 員 （現 情 報 シ ステム局 ），藤 井 亜里砂上級研究員，金子豊主任研究員，小川一人上級研究員及び関係各位に厚く御礼を申し上げます．
そして最後に，学業を本当に支えてくれた家族に深謝します．特に，日頃から筆者を心身ともに支援 し続け，さらに博士請求論文審査 に向けて本論文への加筆・修正 作業が山 場を迎えた 2019 年の夏は，本研究への予 備 知識を持 つ余
裕 のない状 態 で，かつ自 身 の余 暇 や睡 眠 を割 いてまで，本 論 文 の校 正 作 業 に
適 切 かつ熱 心 に支 援 してくれた，図 書 館 司 書 でもある妻 村 﨑亜 希 世 に深 く感謝します．

- 189 -