このページでは、前回の情報セキュリティ対策の取り組み事例に引き続き、情報セキュリティ対応方針の定め方についてテンプレート付きで解説いたします。
このシリーズは、ＩＰＡの「中小企業の情報セキュリティ対策ガイドライン」に基づき、中小企業が実施すべきセキュリティ対策について、順番に解説しています。
（目次）
テンプレート
（ＩＰＡ「中小企業の情報セキュリティ対策ガイドライン」をもとに作成しています。）
情報セキュリティ対応方針とは？
情報セキュリティ対応方針とは、情報セキュリティ対策を組織的に実施する意思を従業員や関係者に宣言するための基本方針書です。
整備が必要な文書の最上位文書！
情報セキュリティ対策で整備が必要な文書は以下のようなものがあります。
セキュリティ対応方針は、すべての文書の上位書類となり、このセキュリティ対応方針がすべての対策のベースとなります。
具体的な対策レベルや対応手順は別の文書で記載しますので、セキュリティ対応方針は、会社としてセキュリティ対策をどう扱っていくのか大きな目線で書いていきます。
対応方針に記載する項目例
対応方針の例を以下に示します。もちろん、その他にも会社として大事にしたいことがあれば、追加して頂いて大丈夫です。
１）経営者の責任
経営者自らが責任を持って推進していく意思を示しましょう。
２）社内体制の整備
セキュリティを推進する組織・体制を設置すること、及び、正式な社内規則を作って取り組んでいくことを示しましょう。
組織は専任部署のほうが望ましいです。兼務だとセキュリティが後回しになるケースが多々あります。
３）従業員の取り組み
従業員全員がセキュリティに対する意識をしっかり持ち、確認に実行していくことを示しましょう。
４）法令及び契約の遵守
セキュリティに関する法令や契約条件に謡われている条項を遵守していくことを示しましょう。
５）違反及び事故への対応
セキュリティに関する事故や、なにかしらの違反行為が発覚した場合は、真摯に対応し、再発防止策も責任を持って実施していくことを示しましょう。
情報セキュリティ対応方針の定め方は以上です。
次は、セキュリティ対策に関する予算・人員確保に関して、説明していきます。
