情報セキュリティ基本方針の作り方

経営者名義で公開できる方針文書の整備

メタディスクリプション情報セキュリティ基本方針は、取引先・顧客・従業員に対して、会社が情報をどのように守るかを経営者名義で示す重要文書です。SECURITY ACTION二つ星、補助金申請、取引先チェックシート、クラウド利用、個人情報保護、事故対応に使える方針文書の作り方を、企業法務とサイバーセキュリティの実務視点から解説します。

1. 情報セキュリティ基本方針は「社長の約束」である

情報セキュリティ基本方針とは、会社として情報を守る姿勢を、経営者名義で内外に示す文書です。

これは単なる飾りではありません。取引先からセキュリティチェックシートが届いたとき、補助金申請でSECURITY ACTION二つ星を宣言するとき、クラウドサービスを導入するとき、個人情報を扱う業務を受託するときに、最初に問われるのが「会社として情報管理の方針を持っているか」です。

IPAのSECURITY ACTION二つ星では、「5分でできる！情報セキュリティ自社診断」を実施し、「情報セキュリティ基本方針」を策定して外部公開した上で、情報セキュリティ対策に取り組むことを宣言するものとされています。IPAは、基本方針について、理念、指針、原則、目標等を表した方針書・宣言書等であり、自社Webサイト、会社案内、パンフレット等で外部公開する方法を案内しています。

つまり、情報セキュリティ基本方針は、技術担当者の内部メモではありません。社長が、顧客・取引先・従業員に対して「当社は情報を守る経営を行います」と宣言する文書です。

2. なぜ今、基本方針が必要なのか

サイバーリスクは、もはや大企業やIT企業だけの問題ではありません。IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスク、4位がシステムの脆弱性を悪用した攻撃とされています。これらはいずれも、中小企業のクラウド利用、外部委託、個人情報管理、AI利用、取引先対応に直結します。

特に中小企業では、情報管理が「担当者の経験」「社長の記憶」「外部ベンダー任せ」になりがちです。しかし、取引先から見れば、重要なのは「実際に何を決めているか」「誰が責任者か」「事故時にどう動くか」です。

IPAの中小企業向けガイドライン第4.0版は、中小企業・小規模事業者を対象に、経営者が認識し実施すべき指針と、社内で対策を実践する手順・手法をまとめたものです。2026年4月21日に最終更新され、第4.0版では情報セキュリティ6か条へのバックアップ追加や、サプライチェーン強化に向けた考え方も取り込まれています。

基本方針は、このような対策全体の出発点です。方針がなければ、規程も台帳も教育も事故対応も、場当たり的になります。

3. 情報セキュリティ基本方針と、よく混同される文書

3-1. 個人情報保護方針とは違う

よくある誤解が、「プライバシーポリシーを公開しているので、情報セキュリティ基本方針もある」というものです。

これは正確ではありません。IPAのFAQでは、SECURITY ACTION二つ星の申込時、ISMS基本方針を公開している場合は情報セキュリティ基本方針の公開とみなせる一方、個人情報保護方針は個人情報保護に限定するものであり、情報セキュリティに関する理念・方針・声明・宣言を示すものではないため、情報セキュリティ基本方針の公開とはみなせないと説明されています。

文書	主な目的	外部公開の性質
情報セキュリティ基本方針	会社の情報資産全般を守る経営方針	顧客・取引先・従業員に向けて公開
個人情報保護方針	個人情報の取扱方針を示す	個人情報保護法・Pマーク対応で重要
プライバシーポリシー	利用目的、第三者提供、開示請求等を説明	Webサイト・サービス利用者向け
情報管理規程	社内で守る具体的ルール	原則として社内文書
インシデント対応規程	事故時の初動・報告・復旧手順	通常は社内文書、一部概要のみ外部提示

情報セキュリティ基本方針は、個人情報だけでなく、顧客情報、取引先情報、営業秘密、契約書、見積情報、設計情報、認証情報、業務データ、クラウド上の情報、バックアップまで含めて考える文書です。

4. 経営者名義で公開する方針に入れるべき項目

公開できる基本方針には、細かな技術設定を書き込む必要はありません。むしろ、サーバ構成、IPアドレス、バックアップ保管場所、具体的な検知ルール、脆弱性の内容などを公開文書に書くのは危険です。

基本方針に入れるべきなのは、次のような「会社としての約束」です。

項目	記載する内容
目的	顧客・取引先・従業員・会社の重要情報を守ること
対象情報	個人情報、顧客情報、取引先情報、営業秘密、契約情報、認証情報、業務データ
経営者の責任	経営者が情報セキュリティを経営課題として扱うこと
法令・契約遵守	法令、契約、社内規程、取引先要求事項を守ること
安全管理措置	アクセス管理、ウイルス対策、MFA、バックアップ、クラウド管理等
従業員教育	情報管理、誤送信、不審メール、生成AI利用等の教育・注意喚起
委託先管理	外部委託先・クラウドサービスの確認、契約、事故報告
事故対応	漏えい、不正アクセス、紛失、ランサムウェア時の初動・報告・再発防止
継続的改善	定期的な点検、見直し、改善
制定日・代表者名	経営者名義での制定・改定履歴

ISMSでは、情報セキュリティを機密性・完全性・可用性、いわゆるCIAを守るための体系的な仕組みと捉え、技術的対策だけでなく、従業員教育・訓練、組織体制の整備も含むものとされています。基本方針も、この「技術だけではなく、組織として守る」という考え方を反映させる必要があります。

5. 作成前に確認すべき5つのこと

基本方針は、テンプレートを貼り付けるだけでは不十分です。作成前に、最低限次の5点を確認します。

1. 会社が守るべき情報は何か

社員10名の会社でも、次の情報は守るべき対象になります。

情報の種類	具体例
個人情報	顧客名簿、問い合わせ情報、採用応募者情報、従業員情報
顧客・取引先情報	契約書、発注書、見積書、納品情報、取引条件
営業秘密	価格表、原価情報、営業戦略、技術資料、ノウハウ
認証情報	ID、パスワード、APIキー、管理者アカウント
業務データ	会計、給与、勤怠、CRM、EC、予約、請求データ
クラウド情報	SaaS上のファイル、チャット履歴、Web会議録画、AI入力情報

2. どこに保存されているか

情報は、社内サーバだけでなく、クラウド、メール、チャット、会計ソフト、スマートフォン、外部委託先にもあります。方針の前提として、クラウド/SaaS台帳、個人情報管理台帳、委託先台帳を整える必要があります。

3. 誰が責任者か

基本方針に「適切に管理します」と書いても、責任者がいなければ機能しません。中小企業では、社長、総務責任者、情報管理責任者、外部保守会社の役割を簡潔に決めます。

4. 事故時に誰が判断するか

誤送信、紛失、不正アクセス、ランサムウェア、クラウド誤公開が発生したとき、誰が取引先へ連絡し、誰が個人情報漏えい報告の要否を確認し、誰が復旧優先順位を決めるかを整理します。

5. 外部にどこまで公開するか

基本方針は外部公開して構いません。しかし、詳細なネットワーク構成、製品名、設定値、バックアップ保管場所、脆弱性の有無などは公開しません。公開するのは「方針」であり、「攻撃者に役立つ詳細情報」ではありません。

6. 経営者名義で公開できる文案例

以下は、中小企業がそのまま骨子として使いやすい、公開用の情報セキュリティ基本方針の文案例です。実際には、業種、取扱情報、クラウド利用、委託業務、Pマーク・ISMS対応状況に応じて調整します。

情報セキュリティ基本方針

当社は、事業活動において取り扱う顧客情報、取引先情報、個人情報、営業秘密、契約情報、認証情報その他の重要情報を、会社の重要な資産として認識し、これらを適切に保護するため、以下の方針に基づき情報セキュリティ対策に取り組みます。

1. 経営者の責任

当社は、情報セキュリティを経営上の重要課題として位置付け、経営者の責任の下で必要な体制を整備し、継続的に改善します。

2. 法令・契約等の遵守

当社は、情報セキュリティに関係する法令、契約上の義務、取引先との合意、社内規程その他の要求事項を遵守します。

3. 情報資産の保護

当社は、取り扱う情報資産の重要度に応じて、アクセス制御、アカウント管理、多要素認証、ウイルス対策、バックアップ、クラウド利用管理、持出し管理、廃棄管理等の安全管理措置を講じます。

4. 従業員教育

当社は、役員及び従業員に対し、情報セキュリティに関する教育及び注意喚起を行い、不審メール、誤送信、紛失、漏えい、生成AI利用等に関する適切な行動を周知します。

5. 委託先及び外部サービスの管理

当社は、外部委託先及びクラウドサービス等を利用する場合、取り扱う情報の内容に応じて、必要な確認、契約、権限管理、事故時の連絡体制を整備します。

6. 事故対応

当社は、情報セキュリティ事故又はそのおそれを認識した場合、被害拡大の防止、関係先への連絡、原因調査、復旧、再発防止に速やかに取り組みます。

7. 継続的改善

当社は、情報セキュリティ対策の実施状況を定期的に確認し、事業内容、法令、技術、脅威の変化に応じて、本方針及び関連する社内ルールを見直します。

制定日：〇年〇月〇日会社名：〇〇株式会社代表者：代表取締役　〇〇〇〇

この文案では、外部に公開しても差し支えない範囲で、経営者の責任、法令・契約遵守、技術的対策、教育、委託先管理、事故対応、継続的改善を示しています。

7. 業種別に追加したい文言

基本方針は、業種に合わせて少し調整すると説得力が上がります。

業種・業態	追加するとよい観点
士業・コンサル業	顧客相談内容、契約書、許認可資料、本人確認資料の管理
EC・小売	顧客情報、注文情報、決済情報、配送委託先の管理
製造業	設計図、工程情報、品質情報、サプライチェーン情報の管理
医療・介護・福祉	要配慮個人情報、利用者情報、委託先、クラウドの厳格管理
人材・採用	応募者情報、履歴書、職務経歴書、選考記録の管理
IT・Web制作	顧客システムの認証情報、ソースコード、脆弱性情報、保守権限の管理
建設・不動産	施主情報、図面、契約書、現場写真、入退室情報の管理
教育・スクール	生徒情報、保護者情報、成績情報、受講履歴の管理

例えば、IT保守会社であれば「顧客システムの認証情報及び保守権限を厳格に管理する」といった一文を入れるべきです。EC事業者であれば「決済情報は自社で保持しない運用」「委託先との責任分担」を方針または下位文書で明確にする必要があります。

8. 公開版に書いてはいけないこと

情報セキュリティ基本方針は外部公開できますが、公開しすぎは危険です。

公開版に書かない方がよい情報	理由
詳細なネットワーク構成	攻撃経路の把握に悪用されるおそれ
管理者ID、IPアドレス、VPN情報	不正アクセスに悪用されるおそれ
セキュリティ製品の詳細設定	防御回避に使われる可能性
バックアップの具体的保管場所	ランサムウェア攻撃時の標的になり得る
脆弱性診断結果の詳細	未修正箇所が外部に漏れるリスク
ログ保存場所や監視条件	攻撃者が痕跡回避に利用する可能性

公開版は、あくまで「方針」です。取引先から詳細確認を求められた場合は、NDAや目的外利用禁止を確認した上で、概要資料、証跡サマリー、セキュリティチェックシート回答として提供するのが実務的です。

9. 基本方針とセットで整えるべき社内文書

基本方針だけ作っても、現場は動きません。基本方針は、下位文書とセットで機能します。

文書・台帳	役割
情報管理規程	顧客情報、契約書、営業秘密、認証情報の扱いを定める
個人情報保護規程	個人情報の取得、利用、保管、委託、第三者提供、開示請求、漏えい対応を定める
クラウド/SaaS利用基準	利用承認、MFA、ログ、共有リンク、退会時削除を定める
アカウント管理ルール	ID、パスワード、MFA、管理者権限、退職者アカウントを定める
生成AI利用ルール	入力禁止情報、利用可能業務、出力確認責任を定める
インシデント対応手順	誤送信、紛失、不正アクセス、ランサムウェア時の初動を定める
個人情報管理台帳	個人情報の取得元、利用目的、保存場所、委託先、保管期間を管理する
クラウド/SaaS台帳	利用サービス、保存データ、管理者、MFA、ログ、契約状況を管理する
委託先台帳	委託先、取扱情報、再委託、契約、事故連絡先を管理する
教育・点検記録	従業員教育、権限棚卸し、共有リンク確認、復元テストの証跡を残す

IPAの中小企業向けガイドライン第4.0版も、付録として情報セキュリティ基本方針のサンプル、自社診断、情報セキュリティハンドブック、リスク分析シート、クラウド安全利用の手引き、インシデント対応の手引きなど、実務に使える資料群を整理しています。

10. Pマーク・ISMSとの関係

ISMSとの関係

ISMS認証を取得している企業では、すでに情報セキュリティ方針を策定・公開している場合があります。この場合、SECURITY ACTION二つ星の情報セキュリティ基本方針として扱える可能性があります。IPAのFAQも、ISMS基本方針の公開は二つ星の取組みに該当すると説明しています。

ただし、SECURITY ACTIONは自己宣言であり、ISMS認証は第三者認証です。ISMS認証は、認証機関がISO/IEC 27001に基づいて適切に運用管理されているかを審査・証明する制度であり、顧客や取引先に客観的に示す仕組みです。

Pマークとの関係

プライバシーマークの個人情報保護方針は重要ですが、情報セキュリティ基本方針とは対象範囲が異なります。Pマーク付与事業者は、個人情報事故等が発生した場合、漏えい、紛失、滅失・き損、改ざん、目的外利用・提供、不正利用、これらのおそれ等について、PMK500に基づく報告、本人通知、公表、調査、一時停止・取消し等のリスクもあります。

したがって、Pマーク企業であっても、個人情報保護方針とは別に、顧客情報、営業秘密、クラウド、委託先、バックアップ、事故対応を含む情報セキュリティ基本方針を整えるべきです。

11. 取引先から求められる基本方針の説明方法

取引先に提出・提示する場合は、次のように説明すると分かりやすくなります。

説明例

当社は、経営者名義で情報セキュリティ基本方針を制定し、外部公開しています。同方針に基づき、顧客情報、個人情報、契約情報、認証情報その他の重要情報を管理対象とし、アクセス管理、多要素認証、ウイルス対策、バックアップ、クラウド利用管理、従業員教育、インシデント対応体制の整備に取り組んでいます。

また、方針の運用状況を確認するため、クラウド/SaaS台帳、アカウント台帳、個人情報管理台帳、委託先台帳、教育記録、バックアップ復元テスト記録を整備しています。

この説明のポイントは、「方針を公開しています」で終わらせないことです。取引先が本当に確認したいのは、方針の下に台帳・記録・運用があるかです。

12. 基本方針作成でよくある失敗

1. テンプレートをそのまま貼り付ける

IPAのサンプルは有用ですが、自社の業務、クラウド利用、個人情報の有無、委託先、事故対応に合わせて編集しなければ、実務では使えません。IPAも、サンプルを自社の事情に応じた内容に書き換えることで作成できると説明しています。

2. 「完全に防止します」と書く

サイバー事故を完全にゼロにすると約束する表現は避けるべきです。適切な表現は、「リスク低減に取り組みます」「事故発生時には被害拡大防止と再発防止に努めます」です。

3. 社長名義なのに、社長が内容を知らない

取引先から質問されたときに、経営者が「担当者に任せています」と答える状態では、方針として弱いです。最低限、社長は何を守る方針なのか、事故時に誰が判断するのかを理解しておく必要があります。

4. 個人情報保護方針だけで済ませる

個人情報保護方針は、情報セキュリティ基本方針の代わりにはなりません。営業秘密、契約書、認証情報、クラウド、バックアップ、委託先管理、事故対応まで含めた方針が必要です。

5. 公開後に見直さない

基本方針は、制定して終わりではありません。クラウド導入、AI利用開始、委託先追加、個人情報取扱業務の開始、事故発生、法令・制度変更、取引先要求の変更があれば見直します。

13. 委託先に基本方針や認証を求める場合の注意

自社が発注者側として、委託先に「情報セキュリティ基本方針を作ってください」「SECURITY ACTION二つ星を宣言してください」「ISMSを取得してください」と求める場面があります。これは、サプライチェーン管理として必要な場合があります。

しかし、委託先に新たなセキュリティ対応を求める場合は、費用・工数・納期への影響を無視してはいけません。2026年1月1日から、従来の下請法は中小受託取引適正化法、通称「取適法」として新たに施行され、適用対象となる取引や事業者の範囲が拡大され、中小受託取引の公正化と受託側中小企業の利益保護が強化されています。

旧下請法ガイドブックでも、親事業者が下請事業者にISO認証取得を要請し、その取得費用を考慮せず一方的に従来どおりの下請代金を据え置く事例は、買いたたきの観点で問題になり得るものとして示されています。セキュリティ方針や認証取得を求める側も、仕様、費用負担、協議経緯、契約条件を文書で残すべきです。

14. 30日で作る実務ロードマップ

第1週：守るべき情報を洗い出す

顧客情報、個人情報、契約書、見積書、請求書、営業秘密、認証情報、クラウド上のデータを一覧化します。完璧な棚卸しでなくても構いません。まず「何を守るのか」を明確にします。

第2週：基本方針の骨子を作る

目的、対象情報、経営者の責任、法令・契約遵守、安全管理措置、教育、委託先管理、事故対応、継続的改善を盛り込んだ文案を作成します。業種に合わせて必要な文言を追加します。

第3週：社内ルール・台帳と整合させる

基本方針に「クラウド管理」と書くならクラウド/SaaS台帳を作ります。「バックアップ」と書くならバックアップ管理表を作ります。「従業員教育」と書くなら教育記録を残します。方針と実態がずれないようにします。

第4週：経営者承認・公開・記録

経営者が内容を確認し、制定日、会社名、代表者名を入れて公開します。自社Webサイトに掲載するほか、会社案内、パンフレット、問い合わせ時に提供可能な状態でも外部公開として扱われる例があります。IPAのFAQも、外部公開はWebサイト掲載に限らず、会社案内・パンフレットへの記載、問い合わせ時にメール添付で提供可能な状態などを例示しています。

15. 公開前チェックリスト

No.	チェック項目	確認
1	経営者名義になっているか	□
2	制定日・改定日があるか	□
3	個人情報だけでなく、顧客情報・営業秘密・認証情報も対象にしているか	□
4	法令・契約遵守を明記しているか	□
5	アクセス管理、MFA、ウイルス対策、バックアップ等の基本対策に触れているか	□
6	従業員教育を明記しているか	□
7	委託先・クラウド管理を明記しているか	□
8	事故対応・再発防止を明記しているか	□
9	「完全防止」「絶対安全」など過剰表現を避けているか	□
10	攻撃に悪用される詳細情報を書いていないか	□
11	社内規程・台帳・記録と矛盾していないか	□
12	公開場所・公開日を記録したか	□

16. 山崎行政書士事務所が支援できること

山崎行政書士事務所では、行政書士として対応できる範囲で、情報セキュリティ基本方針の作成と、それに連動する社内文書・台帳・取引先説明資料の整備を支援します。

支援内容	具体例
基本方針作成	経営者名義で公開できる情報セキュリティ基本方針の作成
SECURITY ACTION対応	二つ星に必要な自社診断、基本方針、外部公開文言の整理
規程整備	情報管理規程、クラウド利用基準、生成AI利用規程、事故対応手順
台帳整備	個人情報管理台帳、クラウド/SaaS台帳、アカウント台帳、委託先台帳
取引先対応	セキュリティチェックシート回答根拠、提出用セキュリティ概要資料
契約連動	秘密保持契約、業務委託契約、個人情報取扱覚書、事故報告条項
公開文案	Webサイト掲載文、会社案内掲載文、社内掲示用文書

技術的な脆弱性診断、EDR/MDR導入、SOC運用、フォレンジック調査等が必要な場合は、IT専門事業者や情報処理安全確保支援士等と連携します。紛争性のある損害賠償交渉、訴訟対応、法的代理が必要な場合は、弁護士と連携します。

17. まとめ：公開できる基本方針は、会社の信用を支える

情報セキュリティ基本方針は、単なる形式文書ではありません。

経営者が、会社として何を守るのか、どのような姿勢で対策するのか、事故時にどう動くのかを、社内外に示す文書です。

特に重要なのは、次の5点です。

1. 経営者名義で制定する

2. 個人情報だけでなく、顧客情報・営業秘密・認証情報・クラウド情報まで含める

3. 法令・契約遵守、安全管理措置、教育、委託先管理、事故対応を入れる

4. 外部公開しても安全な範囲で書く

5. 方針の下に、規程・台帳・記録を整える

SECURITY ACTION二つ星、補助金申請、取引先チェックシート、個人情報保護、クラウド利用、事故対応のすべてに共通する土台が、情報セキュリティ基本方針です。

山崎行政書士事務所では、この基本方針を「テンプレートの穴埋め」ではなく、実際の業務、契約、個人情報、クラウド、委託先、事故対応とつながる文書として整備し、中小企業が取引先・顧客に説明できる情報管理体制づくりを支援します。