情報セキュリティ方針は、何を守り、誰が決める？——方針・ISMS・ガバナンスの要点｜支援士解説1の1

この記事の重要度：Cランク（主に午前IIで問われる論点。午後では問題文の前提として読めれば十分）

この記事で分かること：

• 基本方針・対策基準・実施手順の役割の違い

• ガバナンスとマネジメント、ISMSと認証、修正と是正処置の区別

• 国・自治体・企業向けの公的資料の位置付け（シリーズ共通の解説）

シラバスとの対応：小項目1-1「情報セキュリティ方針の策定」。リスクの評価は支援士解説1の2、規程の整備は支援士解説1の4、監査は支援士解説1の5で扱います。

午後の試験で、方針の策定そのものが大問の主題になることはほとんどありません。一方、午前IIでは、方針の文書体系やISMSの用語の正誤がよく問われます。また、午後の問題文には「情報セキュリティポリシーに従って」「CISOに報告する」といった前提がよく出てきます。この記事では、それを迷わず読めるだけの要点に絞ります。

1. 方針は「何を守るか」を示し、決めるのは責任を持つ人

情報セキュリティ方針は、組織が何を守るために、どう取り組むかを示すものです。守る対象は、秘密の情報だけではありません。情報が正確であること、必要なときに使えることも含みます（機密性・完全性・可用性。詳しくは支援士解説1の2）。

方針の案は、情報システム部門やセキュリティ担当者が作るのが一般的です。ただし、案を作る人と、決定に責任を持つ人は別です。重要な業務をどこまで止めてよいか、どのリスクを組織として引き受けるかは、権限を持つ経営者や責任者が判断します。担当者は、そのための判断材料（目的、影響、選択肢、費用、残るリスク）をそろえます。

2. 基本方針・対策基準・実施手順

情報セキュリティポリシーは、次の三つの階層で整理するのが一般的です。

• 基本方針：組織としての方向性。何のために情報を守るか、適用範囲、責任体制、維持・改善の考え方を示す

• 対策基準：基本方針を実行するために、組織として共通して守る事項。例：利用者ごとに権限を割り当てる、不要な権限を取り消す

• 実施手順：対策基準を、個々の業務やシステムでどう実行するか。例：誰が、いつ、どの画面で権限を変更し、誰が結果を確かめるか

職員の異動に伴う権限の見直しで考えると、次のようにつながります（図1）。基本方針で「業務に必要な権限を管理する」と方向を示し、対策基準で「異動時に権限を見直し、申請・承認・変更を記録する」と共通のルールを定め、実施手順で「誰が申請し、誰が承認・変更し、誰が記録を確かめるか」を決めます。運用で分かった課題は、上位の文書へ戻して見直します。

押さえておきたい点が三つあります。

• 名前と構成は、適用する制度で確かめる。三層は整理の考え方で、すべての組織に同じ名前の三つの文書が必須とは限らない。たとえば総務省の自治体向けの指針では、基本方針と対策基準を合わせて「情報セキュリティポリシー」と呼び、実施手順をその具体化と位置付けている

• 公開の範囲は、文書の名前だけでは決まらない。基本方針を外部に示すことは取組の説明になるが、対策基準には公開すべきでない情報が含まれることがある。必要な人に必要な範囲を伝える

• 改定は、変更の影響範囲で判断する。管理画面が変わったなら手順を、事業の対象や責任体制が変わったなら基本方針を見直す

【図1】基本方針から、実行できる手順へ

3. 方針に反映する材料

方針は、次の材料を整理して作ります。

• 経営戦略・事業戦略：組織がどこへ向かうか。たとえばサービスのオンライン化を進めるなら、扱う情報や外部サービスとの関係が変わる

• 利害関係者のニーズと期待：顧客、住民、職員、委託先、監督する機関などが何を求めるか

• 法令・規制・契約・ガイドライン：根拠と適用の仕方がそれぞれ違う。ガイドラインに書かれているという理由だけで、すべての組織に同じ法的義務が生じるわけではない

• リスクと動向：攻撃の変化だけでなく、技術・働き方・制度の変化も含む。新しい言葉を方針に足すこと自体が目的ではない

法令や契約から生じる要求は、「法令を守る」と書くだけでは実際の仕事につながりません。要求ごとに、次の点を整理しておくと、規程や手順へ落としやすくなります。

• どの資料・条項・契約から生じる要求か

• どの組織・業務・情報に適用されるか

• 何を、誰が、いつまでに行う必要があるか

• 方針・基準・手順・契約のどこへ反映するか

• 満たしていることを、どの記録で確かめるか

要求どうしが衝突したとき（例：いつでも使えるようにしたいが、夜間の体制が限られる）は、担当者が複数の案と、その効果・費用・残るリスクを整理し、責任者が判断します。

4. ガバナンスとマネジメント

• ガバナンス：組織が目的に沿って活動するよう、方向付け、評価、監督などを行う働き。情報セキュリティガバナンスの規格ISO/IEC 27014は、評価・指示・監視・コミュニケーションの考え方を扱う

• マネジメント：方針を受けて、計画・実行・管理・改善を進める働き

両者は、指示と報告でつながります。経営層が方向を示し、現場が実行して結果を報告し、経営層がそれを見て次の判断をします。

• ITガバナンス（ISO/IEC 38500）は、ITの利用全体を組織の目的に結び付ける統治を扱う。情報セキュリティガバナンスは情報の保護を扱い、紙や人の扱いも含むので、ITの管理だけには収まらない

• CISO（最高情報セキュリティ責任者）は呼称であって、権限や責任の中身は組織の規程で決まる。「CISOはマネジメントだけ、経営者はガバナンスだけ」と肩書きで機械的に分けない

• 体制は、役割・権限・資源・報告をそろえて初めて動く。責任者の名前を置いただけ、会議体を置いただけでは不十分

• 役割：誰が、何を実施・確認・承認するか

• 権限：実施に必要な情報や操作にアクセスできるか

• 資源：時間、人員、予算、能力、道具が確保されているか

• 報告：実施状況や判断が必要な事項を、誰へ伝えるか

• たとえば委託先の管理を担当部署に任せても、契約内容や作業記録を確認できる権利がなければ、監督は難しい。情報セキュリティ委員会のような会議体も、報告を聞くだけなのか、方針案を審議・決定するのかを明らかにする

5. ISMS：方針を継続して実行する仕組み

ISMS（情報セキュリティマネジメントシステム）は、方針・役割・計画・運用・評価・改善を関連付け、組織として情報セキュリティを管理する仕組みです。「システム」は製品の名前ではありません。

規格と認証を区別する

• ISO/IEC 27001（日本ではJIS Q 27001）は、ISMSが満たすべき要求事項を定める規格。具体的な製品や設定を指定するものではない

• ISMSは、組織全体ではなく、事業所・部門・業務などの適用範囲を決めて運用できる。認証も、その適用範囲について受ける

• ISMS認証は、定めた適用範囲について、規格への適合性を第三者の認証機関が審査する仕組み。ISMSを運用することと、認証を取得することは同じではない

• 認証は、製品に脆弱性がないことや、事故が起きないことの保証ではない。委託先の認証を確かめるときは、委託する業務や拠点が認証の適用範囲に入っているかを見る

管理策と適用宣言書（午前IIの定番）

• ISO/IEC 27001の附属書Aには、組織が選ぶ管理策の一覧がある。2022年の改訂で、組織的・人的・物理的・技術的の4つのテーマに再編され、管理策の数は114から93になった。項目がまとめられた結果で、内容が削られたわけではない。脅威インテリジェンス、クラウドサービスの利用、データマスキングなどの管理策が新しく加わった

• 適用宣言書には、選んだ管理策とそれを選んだ理由、実施状況、附属書Aの中で適用から外した管理策と、外すことが正当である理由を書く

方針と目的

• ISMSの方針には、組織の目的との整合、情報セキュリティ目的（またはそれを設定する枠組み）、適用される要求事項を満たすこと、継続的改善への約束が求められる。文書として利用でき、組織内に伝えられ、必要に応じて利害関係者が入手できるようにする

• 情報セキュリティ目的は、方針の方向に沿って何を達成するかを具体化したもの。実行できる場合は測定できる形にし、達成状況を確かめる。例：「異動・退職に伴う権限変更を、定めた期限内に処理できる運用を整える」

PDCAで回す

• 計画（Plan）：適用範囲・方針・目的を決め、リスクに応じた対策を計画する

• 実行（Do）：役割と資源を用意し、対策と教育を実施する

• 評価（Check）：測定、内部監査、マネジメントレビューで確かめる。マネジメントレビューは、トップマネジメントがISMSの状態と結果を確認し、改善に必要な判断をする活動

• 改善（Act）：不適合への処置と、その原因への対処を行う

修正と是正処置の違い（午前IIで問われやすい）

• 不適合：満たすべき要求を満たしていないこと

• 修正：見つかった不適合そのものを取り除く処置。例：退職者のアカウントが残っていたので無効にする

• 是正処置：不適合の原因を取り除き、再発を防ぐ処置。例：退職情報の通知対象から一部の要員が抜けていた原因を直し、同じ抜けがないかを確かめる

6. 策定・周知・見直しの流れ

策定は、次の順で進めるのが一般的です。

1. 対象と現状を確かめる：どの組織・業務・情報を対象にし、既存の方針や規程が何を定めているか

2. 要求事項と課題を整理する：事業の方向、利害関係者、法令・契約、リスク、監査や事故の結果

3. 関係部門と案を検討する：業務を実行する人、契約や人事の担当者にも、実行できるかを確かめる

4. 決定権限を持つ人が承認する

5. 周知し、実施し、確かめる

周知は、ポータルに掲載して終わりではありません。同じ方針から、役割ごとに守る事項と相談先を説明します。窓口担当には情報の渡し方と誤送信時の連絡先を、管理者には権限変更やログ確認の責任を、調達担当には委託先に求める条件と確認方法を伝えます。委託先には、必要な要求を契約や仕様書に入れます。文書を読んだ記録だけでは、理解や実行までは確かめられません。

見直し（今も適切かを確かめること）と改定（文書を変えること）は別です。定期的な確認に加えて、組織の改編、重要な契約の変更、技術や制度の変化、重大な事故などをきっかけに見直します。

例外は、黙認せずに管理します。通常の基準をそのまま適用できない場面のために、申請の窓口、審査、承認、期間、代わりの対策、終了時の確認を決めておきます。ただし、組織内で例外を承認しても、法令や契約の義務まで免除できるわけではありません。同じ例外が繰り返されるなら、基準が実態に合っていない可能性を疑います。

7. BCMSとの関係

• BCP（事業継続計画）は、業務が中断したときに重要な業務をどう継続・復旧するかの計画。BCMS（事業継続マネジメントシステム）は、計画を作るだけでなく、体制・資源・訓練・評価・改善を続けて、継続と復旧の能力を保つ仕組み（規格はISO 22301）

• ISMSは機密性だけでなく完全性・可用性も扱う。BCMSは情報システムだけでなく、人員・施設・取引先も含めて継続を考える。「ISMSは秘密、BCMSは稼働」という分担ではなく、重なりながら目的と範囲が違う

• 二つの方針が矛盾しないように確かめる。例：事業継続計画で「緊急時は私物端末で業務を行う」とあるのに、セキュリティ規程が一律に禁止していると、現場は迷う

業務影響度分析（BIA）、目標復旧時間（RTO）、目標復旧時点（RPO）、バックアップの方式は、支援士解説3の3で扱います。

8. 午前IIで正誤を見分けるポイント

• 「基本方針には具体的な操作手順まで書く」→ 誤り。手順は実施手順に書く

• 「ISMS認証を取得すれば、事故は起きない」→ 誤り。認証は適用範囲の仕組みの適合性を審査するもの

• 「認証を取得した後は、評価や改善は不要」→ 誤り。継続的改善が求められる

• 「是正処置は、見つかった不適合を直すこと」→ 誤り。それは修正。是正処置は原因を取り除くこと

• 「マネジメントレビューは担当者が行う日常の点検」→ 誤り。トップマネジメントが行う

• 「適用宣言書には、採用した管理策だけを書けばよい」→ 誤り。適用から外した管理策と、その正当な理由も書く

• 「ガバナンスとマネジメントは、必ず別の人が担う」→ 誤り。小さな組織では同じ人が複数の役割を担うこともある

• 「ISMSの適用範囲は、必ず組織全体にしなければならない」→ 誤り。事業所・部門・業務などの範囲を決められる

• 「内部監査は、外部の認証機関が行う」→ 誤り。内部監査は組織が自ら（客観性と公平性を保てる人が）行う。認証機関が行うのは認証審査

• 「方針は毎年必ず全文を改定する」→ 誤り。見直し（今も適切かを確かめる）と改定（文書を変える）は別

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　文書の役割

情報セキュリティポリシーの文書体系の説明として、最も適切なものはどれか。

• ア：基本方針に、すべての製品の設定手順をまとめる

• イ：基本方針で方向性を、対策基準で共通の遵守事項を、実施手順で業務・システムごとの実行方法を示す

• ウ：実施手順があれば、対策基準は不要である

• エ：文書の名前が同じなら、どの組織でも公開範囲は同じである

正解：イ。アは方向性と操作手順を混同しています。ウは共通の判断基準を欠きます。エは、公開範囲が制度や情報の性質で決まることを無視しています。

問2　ISMS認証

ISMS認証の説明として、最も適切なものはどれか。

• ア：認証を取得した組織の製品には、脆弱性がない

• イ：認証は、定めた適用範囲について、規格への適合性を第三者が審査するものである

• ウ：委託先が認証を取得していれば、委託業務が適用範囲に入っているかを確かめる必要はない

• エ：認証を取得するまでは、ISMSを運用することはできない

正解：イ。認証は製品の無欠陥の保証ではなく（ア）、適用範囲の確認は必要です（ウ）。ISMSの運用と認証の取得は別で、認証なしで仕組みを整える組織もあります（エ）。

問3　修正と是正処置

退職者のアカウントが残っていた。調べると、退職情報の通知対象から一部の委託要員が抜けていた。是正処置に当たるものはどれか。

• ア：残っていたアカウントを無効にする

• イ：通知対象の範囲と照合の手順を直し、同じ抜けがないかを確かめる

• ウ：全職員に注意喚起のメールを送る

• エ：当該アカウントの利用記録を削除する

正解：イ。原因を取り除き、再発を防ぐ処置です。アは見つかった不適合そのものへの修正です。ウは原因に対応していません。エは調査に必要な記録を失わせます。

問4　マネジメントレビュー

マネジメントレビューの説明として、最も適切なものはどれか。

• ア：システム管理者が毎日行うログの点検である

• イ：外部の認証機関が行う審査である

• ウ：トップマネジメントが、ISMSの状態と結果を確認し、改善に必要な判断を行う活動である

• エ：内部監査を行えば、マネジメントレビューは不要である

正解：ウ。日常の点検（ア）や外部審査（イ）とは別の活動で、内部監査の結果も材料の一つにします（エ）。

問5　ガバナンスとマネジメント

ガバナンスとマネジメントの関係について、最も適切なものはどれか。

• ア：CISOという肩書きの人がいれば、権限や責任を定めなくてもよい

• イ：経営者が方針を指示した後は、実施状況を確かめる必要はない

• ウ：方向付け・評価・監督の働きと、計画・実行・管理の働きを区別し、指示と報告でつなぐ

• エ：ガバナンスとマネジメントは、必ず別の人が担当しなければならない

正解：ウ。アは肩書きだけで体制が成り立つと考えています。イは指示した後の確認を欠きます。エは、小さな組織で同じ人が複数の役割を担う場合を考えていません。

実務と国・自治体では

このシリーズの各記事で触れる国・自治体・企業向けの公的資料は、対象と位置付けが違います。ここで一度だけ整理し、ほかの記事からはここを参照します。

• 地方自治法 第244条の6：地方公共団体の議会・長などの執行機関に、管理する情報システムのサイバーセキュリティを確保する方針を定め、それに基づく措置を講じ、方針を遅滞なく公表することを求めている。この部分は令和8年4月1日に施行された。地方自治法 第244条の6

• 総務大臣指針（令和8年4月1日通知）：既存の情報セキュリティポリシーの基本方針を、必要に応じて見直したうえで、法に基づく方針と位置付けることを認めている。対策基準には詳細な技術情報など公表すべきでない情報が含まれ得るので、法に基づく方針には含めないと整理している。複数の機関による共同策定も認めているが、その場合も誰の方針かという責任主体を確かめる。総務省「地方公共団体におけるサイバーセキュリティを確保するための方針の策定又は変更に関する指針」

• 総務省の自治体向けガイドライン：「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、自治体がポリシーを定めるときの例文と解説を示す資料。例文や解説は、各団体が自ら定めるポリシーや契約とは区別して読む

• 政府機関等の統一基準群：統一規範・統一基準・ガイドラインからなり、対象は政府機関等。統一規範（令和7年6月27日改定）は、責任者や会議体などの体制、基本方針と対策基準、評価と見直しなどを定めている。国の規範にある役職や文書を理由に、自治体や企業に同じ直接の義務があると説明しない。国家サイバー統括室「統一規範」

• サイバーセキュリティ経営ガイドライン Ver.3.0（経済産業省・IPA）：経営者が認識すべき原則と、担当幹部に指示すべき重要項目（経営者の認識と行動）を整理した資料。法律ではなく、方針・体制・資源の確保を経営者が主導するための参考資料。経済産業省「サイバーセキュリティ経営ガイドライン」

各記事で国・自治体の資料に触れるときは、どの主体に、どの版の、どの条項が適用されるかを区別して読んでください（図2）。

【図2】公的資料は、対象と位置付けを分ける

まとめ

• 三層は「方向性・共通ルール・実行方法」。 名前や公開範囲は、適用する制度で確かめる。

• 案を作る人と決める人は別。 担当者は、責任者が判断できる材料をそろえる。

• ISMSの運用と認証は別。修正と是正処置も別。 午前IIの定番の正誤ポイント。

• 公的資料は対象と位置付けを分ける。 法律、指針、政府機関等の基準、企業向けガイドラインを混同しない。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• ISMSの要求事項と附属書Aの管理策、認証の審査の流れを、規格に沿って図で確かめられる

関連記事

• 次に読む：そのリスク対応をなぜ優先するのか？｜支援士解説1の2（リスクアセスメント）

• あわせて読む：そのルールでセキュリティ担当者は動ける？｜支援士解説1の4（規程・手順書の整備）

• あわせて読む：バックアップがあれば業務は戻る？｜支援士解説3の3（BCP・RTO・RPO）

2026年10月改訂：午前IIの要点と、シリーズ共通の公的資料の整理に絞って構成を見直しました。