セキュリティ、いまさら聞いてもいいですか？（6）：なぜ、「セキュリティポリシー」が必要なの？――自社のセキュリティポリシーを一度も読んだことがない方へ (1/4)

セキュリティ関連のキーワードについて、とことん基礎から解説する本連載。第6回のテーマは、「セキュリティポリシー」です。「人的要因」によるセキュリティ事故を防ぐためのポリシーの策定・運用・変更のポイントについて解説します。

連載目次

自社の「セキュリティポリシー」、読んだことありますか？

　多くの企業では「セキュリティポリシー」が定められています。経済産業省と情報処理推進機構（IPA）が策定した「サイバーセキュリティ経営ガイドライン」においても、「経営者がセキュリティポリシーを策定し、組織の全ての構成員に周知すること」が求められています。

　しかし、残念ながら、セキュリティポリシーをせっかく定めても、一度も読んだことがないという従業員が少なくないのが実情のようです。読者の皆さんは、自社のポリシーを読んだことがあるでしょうか？ 「書いてある内容が難しい」と感じるかもしれませんが、ざっとでもよいので、ぜひ一度は目を通してみることをお勧めします。

　企業のWebサイトなどで公開されているセキュリティポリシーを見たとき、「当たり前のことが書いてあるだけ」という印象を持つ人も多いかもしれません。実際、公開されているセキュリティポリシーはどの組織もおおむね似たようなものです。

　しかし、多くの会社が外部に公開しているのは、セキュリティポリシーの中でも「基本方針」と呼ばれる部分だけです。セキュリティポリシーにはそれ以外にも「対策基準」「実施手順」などがあります。

　基本方針は多くの会社で似ているため、それだけを見ても具体的なセキュリティ運用のイメージは持てないでしょう。具体的な運用を知るには、まず「対策基準」を見てみてください。そこには多くの場合、「パスワードの文字数は何文字以上にするか」といった具体的な方針が書かれているはずです。

　また「実施手順」には、さらに具体的な対策の手順が記載されています。これらの詳細なセキュリティポリシーは、公開することでセキュリティ上の問題が起きる可能性があるため、一般に社外には公開されていないのです。