作成負担の大きい情報セキュリティの規程一式を、ひな形から整備

この企業は、取引先から預かる情報や顧客の個人情報を扱いながら事業を営んでいます。事業が広がるにつれて、取引の開始や契約の更新の際に、情報をどのように管理しているかを文書で示すよう求められる場面が増えてきました。

同社は、情報セキュリティにかかわる規程を一式そろえ、社内での運用と取引先への説明の両方に使える形に整えることを決めました。作成の負担が大きい規程の整備を、ひな形をもとにどのように進めたのか、その流れをご紹介します。

取引先からの確認で浮かび上がった規程の不足

企業が取引先と新たに取引を始める際や、業務の委託を受ける際には、情報の管理体制について確認を受けることが一般的になっています。確認の内容は、情報セキュリティの基本方針や管理の体制、個人情報の取り扱い、委託先の管理、クラウドサービスの利用の方針などにおよびます。質問票に回答するだけでなく、根拠となる規程の提出を求められることもあります。

同社でも、こうした確認を受ける機会が増えていました。日々の業務の中では、情報の扱いについて一定のルールを守ってきたものの、そのルールの多くは文書として体系的に定められていませんでした。確認を受けるたびに、担当者が実際の運用を説明する文章をその都度用意していたのです。

この方法では、説明の内容が担当者によって異なり、取引先ごとに少しずつ違う文書ができてしまいます。また、規程として定められていないルールは、社内で守られているかを確かめる基準もはっきりしません。取引先に対して、根拠のある形で情報管理の体制を示すには、規程を正式に整える必要がありました。

さらに、個人情報の保護に関する法律や、いわゆるマイナンバー法による特定個人情報の取り扱いなど、情報の管理には法令で求められる事項も含まれます。社内のルールとして定めるだけでなく、法令の内容に沿っていることを確かめておくことも欠かせませんでした。

一から作るには重すぎた規程一式

同社が整備すべきと判断した規程は、一つや二つではありませんでした。情報セキュリティの基本となる規程に加え、個人情報の取り扱い、特定個人情報の取り扱い、秘密情報の管理、クラウドサービスの利用にかかわる規程が必要です。あわせて、就業規則や旅費の規程、役員にかかわる規程など、会社の基本となる規程も見直しの対象に含めました。

これらの規程を一から作るには、まず関係する法令やガイドラインを調べる必要があります。個人情報や特定個人情報の取り扱いには、法令で定められた安全管理の措置があり、それを規程の条文としてどう表現するかを考えなければなりません。情報セキュリティやクラウドサービスの利用についても、公的な機関が示す指針を踏まえて内容を検討することになります。

規程の整備を担っていたのは、ほかの業務と兼務する担当者でした。法令の調査、条文の作成、社内での確認という作業を、規程の数だけ繰り返すことは、大きな負担となります。規程どうしの用語や構成をそろえることにも気を配らなければならず、作業がなかなか進まない状況が続いていました。

規程を作った後の管理も課題でした。規程の数が多くなれば、どれが最新の版か、いつどこを改めたのかを把握し続けることが難しくなります。作成した規程を文書ファイルとして保存しておくだけでは、改定のたびに同じ悩みを抱えることが予想されました。

ひな形から書き始め、そのまま管理までつなげる

同社は、規程の整備の方法として、いくつかの選択肢を比較しました。外部の専門家に作成を依頼する方法は、内容の確かさが期待できる一方で、規程の数が多いため費用と期間がかかります。インターネットで公開されている書式をもとに表計算ソフトや文書作成ソフトで作る方法も考えられましたが、作成した後の版の管理や改定の手続きは、別に考えなければなりません。

規程ログを選んだ理由は、ひな形をもとに規程の下書きを作成し、作成した規程をそのまま同じ仕組みで管理できる点でした。ひな形には規程の基本的な構成と条文がそろっているため、白紙から書き始める必要がありません。担当者は、同社の実態に合わせて条文を修正することに集中できます。

作成から公開、改定までを一つの仕組みで扱えることも重視しました。下書きとして作成した規程は、内容を確かめてから公開し、公開後は版として管理されます。規程を改める際にも同じ仕組みで改定の手続きを進められるため、作成した後の管理の方法を別に用意する必要がありません。

法令チェックの機能があることも決め手の一つでした。ひな形をもとに作成した規程であっても、同社の事情に合わせて修正すれば、法令との関係を改めて確かめる必要があります。条文を現行の法令や改正の内容と照らし合わせて確かめられることは、法令の専門家ではない担当者にとって心強い点でした。

導入初日に 9 本の下書きをそろえる

導入した初日に、同社はひな形をもとに 9 本の規程の下書きを作成しました。情報セキュリティにかかわる規程、個人情報と特定個人情報の取り扱いにかかわる規程、秘密情報の管理にかかわる規程、クラウドサービスの利用にかかわる規程に加え、就業規則、旅費の規程、役員にかかわる規程などです。

下書きを一度にそろえたことで、規程全体の構成を早い段階で見渡せるようになりました。どの規程にどの事項を定めるのか、規程どうしで内容が重なっている箇所はないかを、全体を見ながら整理できます。一本ずつ時間をかけて作っていく方法では、こうした全体の見通しを得るまでに長い期間がかかっていたはずです。

下書きを作成した後は、同社の実態に合わせて条文を修正していきました。情報を取り扱う部署や管理の責任者、利用しているクラウドサービスの範囲など、ひな形では一般的に書かれている箇所を、同社の体制に合わせて具体的に書き改めています。

修正にあたっては、規程どうしで用語をそろえることにも気を配りました。たとえば、秘密情報や個人情報の定義、管理の責任者の呼び方が規程ごとに異なっていると、運用の際に混乱を招きます。ひな形をもとにしたことで、もともと規程どうしの構成や表現がそろっており、整合を取る作業も進めやすくなりました。

法令チェックで確かめる個人情報と特定個人情報の条文

条文の修正と並行して、同社は法令チェックで規程の内容を確かめました。法令チェックでは、規程の条文を現行の法令や改正の内容と照らし合わせ、確認が必要な箇所を把握できます。とくに、個人情報や特定個人情報の取り扱いにかかわる規程は、法令で求められる事項が多いため、重点的に確かめています。

法令チェックで示された箇所については、関係する法令の条文を確かめたうえで、修正が必要かどうかを判断しました。ひな形の条文を同社の実態に合わせて書き改めた箇所では、表現を変えたことで法令の求める内容から外れていないかも確認しています。

法令の改正は、規程を作った後も続きます。個人情報の保護にかかわる法令は、社会の状況の変化にあわせて見直しが重ねられてきました。規程を作った時点で確かめるだけでなく、今後の改正に応じて見直す際にも法令チェックを使えることは、規程を長く運用していくうえでの安心につながっています。

特定個人情報の取り扱いについては、取り扱う事務の範囲や担当者、保管と廃棄の方法など、規程で具体的に定めておくべき事項が多くあります。同社は、法令チェックで示された箇所を手がかりに、従業員の番号を扱う事務の流れを社内で改めて確認し、実際の運用と条文の内容がずれていないかを確かめました。規程を整える作業が、日々の事務の進め方を見直すきっかけにもなっています。

規程を扱う画面そのものの安全を確保する

情報セキュリティの規程を整備する以上、規程を管理する仕組みそのものの安全にも配慮する必要がありました。規程ログの管理画面では、規程の作成や公開、改定を行います。規程の内容を書き換えられる画面に、第三者が入り込むことがあってはなりません。

同社は、管理画面へのログインにパスキーを設定しました。パスキーは、端末に保存された認証の情報を使ってログインする方式で、パスワードを入力する必要がありません。パスワードの使い回しや、偽のサイトへの入力による漏えいといった心配を抑えられます。

情報セキュリティの規程の中でも、システムへのアクセスの管理は重要な事項の一つです。規程で定めた考え方を、規程を管理する仕組みの運用でも実践できることは、取引先に体制を説明するうえでも筋の通ったものとなっています。

パスキーの設定は、規程の整備を始める前の段階で済ませました。規程の下書きを作り始めてからではなく、最初にログインの方法を整えておいたことで、作成の途中にある規程も含めて、管理画面への入り口を安全に保ったまま作業を進められています。

整ったものからの公開と、PDF・Word での提出

内容を確かめた規程は、整ったものから順に公開しています。すべての規程がそろうのを待たずに公開を進めることで、社内での運用を早い段階から始められるようにしました。公開した規程は版として管理され、改定の際には同じ仕組みで新しい版を作成できます。

取引先への提出や社内での配布には、規程を PDF と Word の形式で出力しています。取引先から規程の提出を求められた場合には、PDF で出力した規程をそのまま提出できます。社内の会議で内容を確かめる場合や、さらに文案を検討する場合には、Word の形式で出力して使い分けています。

以前は、取引先から確認を受けるたびに説明の文章を用意していましたが、規程が整ったことで、根拠となる規程を示しながら体制を説明できるようになりました。説明の内容が担当者によって異なることもなくなり、取引先ごとに同じ規程をもとに回答できます。

同社は今後、下書きを作成したすべての規程の公開を進めていく予定です。整えた規程は、社内への周知に活用するとともに、取引先への説明の根拠として使っていきます。

規程を公開した後も、法令の改正や事業の変化に応じて見直しが必要になります。その際には、改定の手続きで新しい版を作成し、法令チェックで内容を確かめながら規程を改めていく方針です。作成から改定までを一つの仕組みで扱うことで、情報管理の体制を継続して説明できる状態を保つことを目指しています。

規程の整備は、取引先の求めに応じるためだけのものではありません。社内で情報の扱い方をそろえ、従業員が同じ基準で業務を進められるようにすることが、同社が目指す情報管理の姿です。ひな形から始めた規程の整備は、その土台づくりとして進んでいます。