情報セキュリティポリシーとは、企業などの組織で行う情報セキュリティ対策の方針や行動指針のことを意味します。
情報セキュリティポリシーには、主に以下のことを記載します。
情報セキュリティに関する社内全体のルール・運用規定
保護対象となる情報資産
考えられる脅威（リスク）から情報資産を守る方法・方針
情報セキュリティを確保するための体制　など
情報セキュリティポリシーに決まったルールはなく、社内で抱える情報資産や組織の体制などによって異なります。
情報セキュリティポリシーの一番大切な目的は、社内の情報資産を情報セキュリティの脅威から守ることです。
そのためには、社内の情報セキュリティ担当者だけが知識をつけ、対策をするだけでは不十分といえます。
情報資産を取り扱う全ての社員がリスクを理解し、情報セキュリティを運用することが重要です。
ここからは、情報セキュリティポリシーの内容について見ていきましょう。
先ほど少し説明したとおり、情報セキュリティポリシーの内容は企業によって異なります。しかし、大まかな枠組みは存在しており、「基本方針」「対策基準」「実施手順」で構成されています。
「基本方針」で定めたことを実践するために「対策基準」を決め、実際の対策を行うための手順やマニュアル、規則の対象者などを示したのが「実施手順」であり、以下の画像のようなイメージで構成されるのが一般的です。
それぞれの概要を説明します。
「基本方針」として、情報セキュリティに対する企業（組織）の基本的な考え方を記載します。
代表者による「情報セキュリティが必要な理由」「情報セキュリティに対する方針」「情報資産の取り扱い方」などといった宣言も含まれます。
「対策基準」として「基本方針」を実践し、社内の情報資産を守るために実際にどのような対策をするのか、その規定を記載します。
「実施手順」として、先ほどの「対策基準」で定めた情報資産を守るための対策を、具体的にどのように行うのか、その手順（手続きなど）を記載します。
実際に情報セキュリティポリシーを策定するには、どのように進めればいいのでしょうか。流れとポイントをまとめました。
情報セキュリティポリシーの策定にあたって重要なことは「体制を整えること」と「手順を明確にしておくこと」です。
情報セキュリティポリシーの策定は、以下の流れで進めるのが基本です。
１．情報セキュリティポリシー策定のチームを作る（責任者、担当者を選出する）
２．情報セキュリティポリシー目的、情報資産の対象範囲、運用期間、役割分担などを決める
３．情報セキュリティポリシー策定スケジュールを決める
４．情報セキュリティポリシーの基本方針を策定する
５．対象となる情報資産の洗い出し、リスク分析とその対策を練る
６．リスクの対策基準と情報セキュリティポリシーの実施内容を決める
特に重要なのは１の組織・体制作りです。責任者を明確にすることはもちろん、組織の代表者や幹部を巻き込んだ体制作りを行いましょう。
情報セキュリティポリシーは組織の代表者が取り決め、代表者を含めた組織として実行していくのが基本です。そのため、代表者や幹部が情報セキュリティポリシー策定に関われる体制作りが欠かせません。
どのような体制が適切かは、組織によって異なります。「情報セキュリティーポリシーを策定するのが初めてで、効果的な体制作りの方法が分からない」という場合は、外部のコンサルタントなどに相談するのも１つの手段です。
情報セキュリティポリシーの策定にあたっては、以下の点に注意をしましょう。
できるだけ具体的に記述する
情報セキュリティーポリシーによって守る情報資産を明らかにする
情報セキュリティーポリシーの対象者の範囲を明らかにする
社内の状況を踏まえ、実現可能な内容にする
情報セキュリティーポリシー運用や維持体制を配慮しながら策定する
情報セキュリティーポリシーに違反した際の罰則を明記する（本来の意義を失わないために）
情報セキュリティポリシーを策定したら、その内容を社員に順守させることが必要です。
先ほども少し触れたとおり、社内全体で情報セキュリティ対策を徹底するには、担当者だけ対策するのでは不十分です。情報資産を取り扱う社員全員が情報セキュリティポリシーで定めた内容を遵守できるように教育を行い、意識の向上を図ります。
場合によっては「社員に情報セキュリティポリシーの同意書にサインしてもらう」「ポリシーに違反した場合の規定を設ける」ことなども必要です。

カテゴリ: 社内規定
質問: 情報セキュリティポリシーとは、何ですか。
回答: 情報セキュリティポリシーとは、企業などの組織で行う情報セキュリティ対策の方針や行動指針のことです。

カテゴリ: 社内規定
質問: 情報セキュリティポリシーの目的は何ですか。
回答: 目的は、社内の情報資産を情報セキュリティの脅威から守ることです。

カテゴリ: 社内規定
質問: 情報セキュリティポリシーの「対策基準」には、何を記載しますか。
回答: 「対策基準」には、「基本方針」を実践するためにどのような対策をするのかという規定を記載します。

カテゴリ: 社内規定
質問: 情報セキュリティポリシーを策定したあと、何をする必要があり、そのために、何を行いますか。
回答: 情報セキュリティポリシーを策定したあとは、情報セキュリティポリシーで定めた内容を社員に順守させる必要があります。そのためには、情報資産を取り扱う社員全員が内容を遵守できるように教育を行います。