SG｜情報セキュリティポリシーと諸規程をわかりやすく解説

情報セキュリティに関する文書には、「基本方針」「対策基準」「実施手順」「規程」「ガイドライン」など、似た名称が登場します。

重要なのは名称を暗記することではなく、その文書が何を決め、どの程度具体的に書くものかを判断することです。

この記事では、方針、対策基準、実施手順という一般的な三段階を軸に、承認、公表、見直し、版管理、例外管理までを整理します。

読み終えるころには、事例に出てくる記述がどの層の文書に書くべきものかを判断でき、上位文書と矛盾したときに独断で運用を変えず、どの手続で整合を回復するかを選べるようになります。

先に結論：上位の方向を、下位の基準・手順へ具体化する

文書の層	主な役割	記載例
情報セキュリティ方針・基本方針	組織の方向性・基本姿勢を示す	保護の目的、法令・契約の順守、継続的改善
情報セキュリティ対策基準・各種規程	組織として守る要求・判断基準を定める	アクセス管理、情報管理、事故報告などの基本ルール
実施手順・作業手順書	基準を実行する具体的方法を示す	申請、承認、設定、記録、報告の手順

上位文書ほど方向性・原則を示し、下位文書ほど具体的な行動へ落とし込みます。

方針で方向を示し、対策基準・規程で守るべき事項を定め、実施手順で実際の作業へ具体化します。

この三段階は、SGの問題を理解するために有効な一般的整理です。現行SGシラバスには「情報セキュリティ方針」「情報セキュリティ対策基準」は明示されていますが、「実施手順」という語は当該用語例に明示されていません。また、全ての組織へ同じ文書名・分冊構成を要求するものでもありません。

なお、「版管理」「版番号」「緊急権限」という用語名自体も、SGシラバスVer.4.1の当該用語例には明示されていません。本記事では、文書管理規程、例外の規程、規程の承認手続を理解するための関連知識として扱います。

1．「情報セキュリティポリシー」は文脈で範囲を確認する

「情報セキュリティポリシー」は、文脈によって使われ方が異なります。

組織の方向性・基本姿勢を示す上位方針を指す場合
方針、対策基準、規程、手順などを含む文書体系を広く指す場合

そのため、試験では「ポリシー」という語だけで判断せず、上位方針の話か、規程体系全体の話かを問題文から確認します。

SGシラバスVer.4.1も、この項目名を「情報セキュリティ諸規程（情報セキュリティポリシーを含む組織内規程）」としており、ポリシーを含む体系として整理しています。

2．方針・対策基準・実施手順を見分ける

三つの層は、名称ではなく、書く内容の抽象度で見分けます。

情報セキュリティ方針

情報セキュリティ方針は、組織の目的・事業方針に沿って、情報セキュリティへどのように取り組むかという方向性を示します。

トップマネジメントが方針を定め、承認し、組織内へ伝達します。方針に沿って、達成すべき情報セキュリティ目的も定めます。

具体的な画面操作や担当者ごとの作業手順まで書く文書ではありません。

情報セキュリティ対策基準・各種規程

対策基準・規程は、方針を実現するために、組織として守るべき要求や判断基準を定めます。

SGシラバスVer.4.1は、諸規程の例として次を挙げています。名称は組織によって異なりますが、どの規程が何を定めるものかは押さえます。

規程の例	何を定めるか	詳しく扱う記事
情報管理規程、秘密情報管理規程	情報の分類、取扱い、保管、持出し	情報資産と情報分類
文書管理規程	文書の承認、版管理、保存、廃棄	本記事の5
情報セキュリティインシデント対応規程	事象の報告、初動、エスカレーション	インシデント対応の記事
情報セキュリティ教育の規程	教育の対象、頻度、記録	組織的・人的対策
プライバシーポリシー（個人情報保護方針）	個人情報の取扱い方針	個人情報の取扱いルール
職務規程、罰則の規程	役割・責任と、違反時の措置	組織的・人的対策
対外説明の規程	外部への説明・公表の手順	本記事の4
例外の規程、規則更新の規程、規程の承認手続	例外の承認、見直し、承認手続	本記事の5・6
ソーシャルメディアガイドライン	業務でのSNS利用の指針	組織的・人的対策

実施手順

実施手順は、対策基準・規程を実際の作業へ落とし込みます。

例えばアカウント削除なら、

誰が申請するか
誰が承認するか
誰が設定するか
どこへ記録するか
例外時に誰へ報告するか

まで具体化します。

下位文書は上位文書と整合させる

現場の事情に合わせて手順を具体化しても、上位の方針・規程と矛盾させてはいけません。

矛盾や実行困難が見つかった場合は、担当者が独断で運用を変えるのではなく、

正式な変更手続で手順を改定する
上位規程の見直しを提案する
一時的な事情なら正式な例外手続を利用する

といった方法で整合を回復します。

3．ポリシーの対象は情報システムだけではない

情報セキュリティは、コンピュータやネットワークだけを対象とするものではありません。

保護する情報には、例えば次があります。

システム・クラウド上のデータ
紙の契約書・申請書
会議・電話で扱う情報
印刷物・記憶媒体
従業者が業務上知り得た情報

また、その情報を守るためには、人、業務、施設、システム、委託先、外部サービスなども管理の対象になります。

ただし、「従業者や施設は必ず情報資産に分類する」と一律に考える必要はありません。資産分類そのものと、情報を保護するために管理すべき対象は分けて考えます。

4．基本方針の公表は一律に決めない

情報セキュリティ基本方針は、顧客・取引先などへ組織の取組姿勢を示すため、Webサイト等で公表される場合があります。

一方、システム構成、管理者権限、監視条件、内部連絡網などの詳細は、必要な関係者へ限定して管理することが一般的です。

したがって、

「基本方針は必ず社外秘」
「基本方針は必ずWeb公開」
「下位規程は絶対に外部へ提示しない」

のように、文書の階層だけで公開・非公開を決めるのは適切ではありません。

内容、利用目的、対象者、機密性、法令・契約上の要求から判断します。

5．規程は作成して終わりではない

文書は、承認して共有フォルダへ保存するだけでは適切に管理できません。

主に次を管理します。

文書の識別
所有者・管理責任者
作成者・確認者・承認者
適用範囲
制定日・改定日・施行日
版番号
周知方法
見直し時期・見直し契機
変更・廃止
保存・廃棄

見直し

規程は予定した間隔で見直すとともに、法令・契約、組織、業務、システム、脅威、インシデントなどに重要な変化があれば、必要に応じて臨時に見直します。

「定期見直しまで変更しない」のでも、「必要になった担当者が無承認で書き換える」のでもありません。

版管理

版管理では、現在の正式版を一意に識別し、必要な者が最新版を利用できるようにします。

版番号・施行日・承認状態を識別する
変更内容を記録する
配布済みコピーを更新する
旧版の誤使用を防ぐ
記録として残す旧版は区別して保管する

ファイル名に「最新版」と書くだけでは、正式版の管理として十分とは限りません。

6．例外を認める場合は正式に管理する

規程を守ることが原則ですが、業務上の事情やシステム移行などにより、一時的に基準を満たせない場合があります。

例外を認める場合は、少なくとも次を確認します。

どの要求の例外か
なぜ必要か
どの情報・業務へ影響するか
どのようなリスクがあるか
代替・補完する管理策は何か
誰が承認するか
いつまで適用するか
どのように記録・再評価するか

ただし、全ての要求で例外を認める必要はありません。法令・契約等により例外を認められない場合もあります。

緊急時に通常の事前承認が難しい場合でも、「緊急だから承認も記録も不要」とするのではなく、事前に定めた緊急権限、事後承認、記録、期限、レビューの仕組みに従います。

7．科目Bでの使われ方

科目Bでは、規程の名称ではなく、その対応が定められた手続に沿っているかを判断する材料として使われます。

事例文の合図	確認すること
手順が実態に合わないので担当者が運用を変えた	正式な変更手続を経ているか
急ぎだったので承認を取らずに例外扱いにした	緊急時の権限・事後承認・記録の定めがあるか
共有フォルダの「最新版」を見て作業した	正式版が版番号・施行日・承認状態で識別できるか
方針に書いていないので判断できない	対策基準・規程・手順のどの層を見るべきか

担当者としては、上位文書と矛盾する運用を見つけても独断で変えず、変更手続・見直し提案・正式な例外手続のどれで整合を回復するかを選びます。判断に迷う場合や、定められた基準を超える場合は、所定の上位者へ報告します。

8．判断の順序

組織の方向性を示す文書か

情報セキュリティ方針・基本方針を考えます。

守るべき要求・判断基準か

対策基準・各種規程を考えます。

担当者が行う具体的作業か

実施手順・作業手順書を考えます。

上位文書と整合しているか

矛盾があれば正式な変更・例外手続で解消します。

適切に承認・周知・版管理されているか

文書を作っただけでは不十分です。

通常ルールから外れる必要があるか

例外を認められる事項かを確認し、正式に管理します。

よくある取り違え

誤った理解	正しい整理
三階層はJISが指定する唯一の文書構成である	SG学習で有用な一般的整理であり、名称・構成は組織によって異なる
方針へ具体的な操作手順を書く	方針は方向性を示し、具体的な作業は手順へ落とし込む
実施手順は現場が自由に変更できる	上位文書と整合させ、定めた変更手続を使用する
ポリシーの対象は情報システムだけ	紙、会話、人、施設、委託先なども情報保護に関係する
基本方針は必ず公開又は必ず非公開	内容・対象者・目的・機密性から判断する
規程は一度承認すれば変更しない	定期的・必要時に見直し、正式な手続で変更する
「最新版」というファイル名だけで版管理できる	版番号、施行日、承認状態、旧版管理などが必要
例外は全て禁止するのが最善	認められない要求と、正式に例外管理できる要求を区別する
緊急時は承認・記録を省略できる	緊急時用の権限・事後承認・記録・期限を定める

まとめ

情報セキュリティポリシーは、文脈によって上位方針又は規程体系を指す
方針、対策基準、実施手順は、上位から下位へ具体化する一般的な整理
現行SGシラバスは情報セキュリティ方針・情報セキュリティ対策基準を明示している
下位文書は上位文書と整合させる
ポリシーは情報システム以外の情報・人・施設・委託先などにも関係する
公開範囲は文書名だけでなく、内容・利用目的・機密性で判断する
規程は承認、周知、見直し、変更、版管理まで含めて運用する
例外を認める場合は、理由、リスク、代替策、承認者、期限、記録を管理する

C3-T01：情報セキュリティガバナンスと組織体制
C3-T03：ISMSとJIS Q 27001・27002
C3-T05：ISMSのPDCAと運用
C3-T06：内部監査とマネジメントレビュー
C4-T01・C4-T02：情報資産・情報分類
C5-T04：組織的・人的対策
C6-T01・C6-T02：インシデント対応規程の具体的運用
C8-T02：個人情報の取扱いルール

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
JIS Q 27001:2023「情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティマネジメントシステム―要求事項」
JIS Q 27001:2023/AMENDMENT 1:2025「要求事項（追補1）」
ISO/IEC 27001:2022「Information security, cybersecurity and privacy protection — Information security management systems — Requirements」
ISO/IEC 27001:2022/Amd 1:2024「Amendment 1: Climate action changes」
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」

【情報セキュリティマネジメント】情報セキュリティポリシーと諸規程、分かれ目は「どこまで具体的に書くか」｜方針・対策基準・実施手順