【情報セキュリティマネジメント】組織的・人的対策、ルールを日常の行動へつなげる｜クリアデスク・秘密保持契約・啓発・セキュリティクリアランス

情報セキュリティ対策は、規程を作ったり契約を結んだりしただけでは機能しません。

机上に重要書類が残り、離席中の画面が開いたままであれば、ルールが存在していても情報は守られていないからです。秘密保持契約や教育も、アクセス制御、点検、日常の行動と組み合わせる必要があります。

この記事では、組織が定めた仕組みを人の行動へつなげる観点から、クリアデスク・クリアスクリーン、秘密保持契約、教育・啓発、セキュリティクリアランスを整理します。

読み終えるころには、事例の対策が定めた段階で止まっているのか、実際の行動として定着しているのかを切り分けられるようになります。

先に結論：一つの対策だけで完結させない

科目Bでは、「定めた」「締結した」「一度実施した」という事実だけで十分と判断していないかを確認します。

1．組織的管理策と人的管理策の位置付け

SGシラバスでは、ISMSの情報セキュリティ管理策として、組織的管理策・人的管理策・物理的管理策・技術的管理策の四つが挙げられています。

組織的管理策は、方針、規程、役割、責任、手続、委託先管理など、組織として管理を動かす仕組みです。

人的管理策は、人に関わるリスクを低減する管理策です。SGシラバスの「人的セキュリティ対策」では、情報セキュリティ啓発、情報セキュリティ訓練、認証情報の割当て及び管理、セキュリティクリアランス、秘密保持契約・誓約書などが用語例として挙げられています。

一方、クリアデスク・クリアスクリーンは、SGシラバスでは物理的セキュリティ対策の用語例です。ただし、実際に機能させるには、規程、教育、点検、人の習慣なども関係します。

本記事では、分類上は物理的対策であることを明確にしたうえで、人的な日常運用との接点を扱います。

2．クリアデスク・クリアスクリーンを習慣にする

クリアデスクは、重要書類や記録媒体などを机上へ放置せず、必要に応じて施錠できる場所へ保管する運用です。

クリアスクリーンは、離席時に画面をロックするなど、表示内容を第三者に見られたり端末を無断操作されたりしない状態にする運用です。

次の対応は不十分です。

• 書類を裏返して机上へ置く
• 来訪者の入室を制限しているので、書類を片付けない
• 短時間の離席なので画面をロックしない
• 書類は片付けるが、画面表示は業務効率のため残す

書類を裏返しても持ち去りは防げません。入室管理を行っていても、従業員、派遣社員、委託先要員など、内部で活動する人による閲覧や持出しの可能性があります。

退社時だけでなく短時間の離席にも適用し、印刷物、USBメモリ、認証トークン、会議資料なども確認します。

規程があることと、守られていることは別

「クリアデスクを規程に定めている」という記述は、対策が機能している証拠ではありません。

必要なのは、実行しやすい保管場所、自動画面ロック、注意喚起、点検などを組み合わせ、日常の行動として定着させることです。

3．秘密保持契約だけでは漏えいを防ぎ切れない

秘密保持契約や誓約書は、秘密情報の範囲や守秘義務、利用・開示に関する条件などを明確にする重要な対策です。

ただし、契約書そのものには、不正なダウンロードを遮断したり、誤送信を止めたりする機能はありません。契約違反が起きた後の責任追及や抑止には役立ちますが、事故の発生そのものを完全に防ぐものではありません。

そのため、次の対策と組み合わせます。

• 重要情報を必要な者だけへ開示する
• アクセス権を業務上必要な範囲に限定する
• 情報の分類と取扱方法を教育する
• 重要な操作を記録し、必要に応じて確認する
• 契約や業務の終了時に、情報資産の返却・消去を確認する

IPAの内部不正防止ガイドラインでも、派遣労働者へ秘密保持義務を課すだけでなく、開示する重要情報を必要最小限にし、必要な教育訓練を行う考え方が示されています。

科目Bで「秘密保持契約を締結済みなので、アクセス制御やログ取得・確認などの対策は不要」とする選択肢は適切ではありません。

4．教育・啓発は一度で終わらせない

情報セキュリティ啓発は、資料、社内メール、動画、注意喚起などを通じて、必要な知識と行動を繰り返し伝える取組です。

入社時に一度説明しただけでは不十分です。

• 新しい攻撃手口が現れる
• システムや業務手順が変わる
• 規程や連絡先が更新される
• 時間の経過によって記憶や注意が薄れる
• 職務や権限によって必要な知識が異なる

全員に共通する基本事項に加え、管理者、経理担当者、開発者、特権利用者など、役割に応じた内容を伝えます。

本記事で確認するのは、教育・啓発を継続し、変化へ対応させる必要があることまでです。訓練の実施計画、結果分析、効果測定と改善は、教育と訓練を扱う記事の範囲です。

5．セキュリティクリアランスで取扱者を限定する

SGでいうセキュリティクリアランスは、組織の基準に基づき、重要情報を扱わせる前に、その人を取扱者として認められるかを確認する考え方です。

目的は、情報の重要度に応じて取扱者を限定することにあります。

次の二つを区別します。

• セキュリティクリアランス

その人へ重要情報の取扱いを認められるかを確認する

• アクセス権の設定

認められた人が、具体的にどの情報や機能を利用できるかを設定する

クリアランスを得たからといって、全ての重要情報へ自由にアクセスできるわけではありません。実際の職務に必要な範囲へ権限を限定します。

また、退職者のアカウントを削除する手続をセキュリティクリアランスとは呼びません。アカウント削除は、アクセス権のライフサイクル管理に当たります。

本記事では、SGシラバスの用語例としての基本的な区別を扱い、特定のセキュリティクリアランス制度の詳細には踏み込みません。

6．科目Bでの使われ方

本記事の論点は、次のような形で事例へ現れます。

• 規程にはクリアデスクがあるが、机上に顧客情報が放置されている
• 秘密保持契約は締結しているが、委託先へ広いアクセス権を与えている
• 入社時教育は実施したが、その後の啓発を行っていない
• クリアランスを確認したため、全ての情報へアクセスできるようにした

いずれも、最初の対策だけで完了と考えている点が問題です。

1. 規程と実際の行動が一致しているか
2. 契約だけに頼らず、権限管理やログ取得・確認などを組み合わせているか
3. 教育・啓発が継続されているか
4. 取扱者としての確認と具体的なアクセス権を区別しているか

規程が既に存在する場面で、同じ内容の規程を追加するだけでは解決しません。実行を妨げる原因を確認し、定着、点検、環境整備へつなげます。

担当者としては、規程の有無ではなく実際の状態を確認します。守られていない場面を見つけた場合は、保管場所が遠い、自動ロックが設定されていない、周知されていないといった原因を確かめ、上位者や管理責任者へ報告して対応を相談します。委託先の要員に関わる場合は、契約担当者と協力して開示範囲とアクセス権を確認します。

よくある取り違え

まとめ

• SGシラバスでは、情報セキュリティ管理策を組織的・人的・物理的・技術的という四つの領域から整理している
• 人的セキュリティ対策の用語例には、情報セキュリティ啓発、情報セキュリティ訓練、セキュリティクリアランス、秘密保持契約・誓約書などがある
• クリアデスク・クリアスクリーンは、SGシラバスでは物理的セキュリティ対策の用語例
• 物理的対策も、規程、教育、点検、人の習慣がなければ十分に機能しない
• 秘密保持契約は、アクセス制御、教育、ログ取得・確認などと組み合わせる
• 情報セキュリティ啓発は、脅威、規程、役割の変化に応じて繰り返す
• セキュリティクリアランスと、具体的なアクセス権の設定を区別する
• 科目Bでは、一つの対策だけで十分と判断していないか、規程と実態が一致しているかを見る

関連記事

• C3-T02：情報セキュリティポリシーと諸規程
• C3-T04：管理策の3つの軸を整理する
• C1-T11：内部不正のメカニズム
• C5-T05：物理的対策
• C5-T06：アクセス制御と権限管理
• C7-T02：委託契約とセキュリティ要求事項
• C7-T07：情報セキュリティ教育と訓練
• C7-T08：内部不正防止

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• IPA「組織における内部不正防止ガイドライン 第5版」
• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

関連する問題

• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 択一式（応用） 第11問〜第15問
• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 一問一答 第11問〜第15問
• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 一問一答 第16問〜第20問
• 情報セキュリティマネジメント 情報セキュリティ管理・ISMS 一問一答 第6問〜第10問