情報セキュリティポリシーの作り方【2026年】雛形・例文付き

「ポリシーを提出してください」と言われる場面が増えている

情報セキュリティポリシーは、少し前まで大企業や官公庁のものでした。ところが最近は、中小企業でも次のような場面で「お持ちですか」と聞かれることが増えています。

• 取引先から、セキュリティ対策状況のチェックシートが届いた

• 補助金の申請で、IPAの「SECURITY ACTION」の宣言が必要になった

• 大手の発注元から、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）への対応を求められた

いずれも、自社がどんな方針でどんな対策をしているかを、文書で説明できるかが問われています。この記事では、情報セキュリティポリシー（セキュリティポリシー）の構造、作る手順、そのまま書き換えて使える雛形、社内への浸透のさせ方、生成AIの利用ルールを組み込む方法を順に解説します。内容は2026年11月時点の情報に基づいています。

---

情報セキュリティポリシーとは

会社として「どの情報を、どんな脅威から、どうやって守るか」を定めた文書の総称です。一般に、次の3層で構成されます。

| 階層 | 内容 | 誰が決めるか | 変更の頻度 | 分量の目安 | |---|---|---|---|---| | 基本方針 | 会社としてセキュリティに取り組む姿勢と原則 | 経営者 | ほとんど変えない | A4で1枚 | | 対策基準 | 基本方針を実現するために守るべきルール（何をするか） | 責任者・担当者が作り、経営者が承認 | 年1回程度見直す | 10〜数十ページ | | 実施手順 | 対策基準を実行する具体的な手順（どうやるか） | 各部署・担当者 | 必要に応じて随時 | 業務ごとのマニュアル |

上の層ほど抽象的で長く変わらず、下の層ほど具体的で頻繁に変わります。この分け方には実務上の理由があります。ツールやサービスを入れ替えるたびに経営者の承認が必要な文書を書き直していたら、運用が回らないからです。

なお、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」のように、基本方針と対策基準だけを「情報セキュリティポリシー」と呼び、実施手順は別扱いにする整理もあります。どちらの呼び方でも、3つの層を分けて作るという考え方は同じです。

IPAのサンプルとの対応関係

中小企業がゼロから書く必要はありません。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）の付録に、そのまま使える素材がそろっています。

| 3層 | 対応するIPAの付録 | 形式 | |---|---|---| | 基本方針 | 付録2「情報セキュリティ基本方針（サンプル）」 | Word | | 対策基準 | 付録5「情報セキュリティ関連規程（サンプル）」 | Word（約60ページ） | | 実施手順（従業員向け） | 付録4「情報セキュリティハンドブック（ひな形）」 | PowerPoint | | 対象範囲の把握 | 付録6「資産管理台帳（サンプル）」 | Excel |

どのサンプルも、赤字を自社の役職名や担当者名に書き換え、青字の選択肢から自社に合う文言を選ぶ形式です。ガイドライン全体の読み方は中小企業のセキュリティ対策ガイドで解説しています。

---

中小企業はどこまで作ればよいか

会社の状況によって、必要な範囲は変わります。

| 会社の状況 | 作る範囲 | |---|---| | まずSECURITY ACTION二つ星を宣言したい | 基本方針（＋自社診断） | | 取引先から対策状況の説明を求められている | 基本方針＋対策基準（主要な項目） | | SCS評価制度やISMS認証を目指す | 基本方針＋対策基準＋実施手順、記録の運用まで |

SECURITY ACTIONの二つ星は、「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を定めて公開することが要件です。宣言の流れはセキュリティアクションの解説にまとめています。SCS評価制度についてはSCS評価制度の解説を参照してください。

最初から完璧な対策基準を目指すと、何か月たっても完成しません。基本方針を先に出し、対策基準は優先度の高い章から埋めていくのが現実的です。

---

情報セキュリティポリシーの作り方（7ステップ）

ステップ1：責任者と適用範囲を決める

誰がポリシーの責任者か（社長、または総務・管理部門の責任者）、どの範囲に適用するか（全社か、特定の拠点・部署か、派遣社員や業務委託先を含むか）を決めます。

ステップ2：守るべき情報資産を洗い出す

顧客情報、取引先から預かった情報、設計図面、会計データ、従業員の個人情報など、守るべき情報と、それが保存されている場所（パソコン、ファイルサーバー、クラウドサービス、紙）を一覧にします。IPAの資産管理台帳のサンプルを使うと漏れが減ります。

ステップ3：現状とリスクを把握する

IPAの「5分でできる！情報セキュリティ自社診断」（25項目）で、今できていること・できていないことを確認します。「わからない」と答えた項目は、ルールを決める前に実態を調べます。

ステップ4：基本方針を作る

経営者の言葉で、会社としての姿勢を1枚にまとめます。下の雛形を参考にしてください。

ステップ5：対策基準を作る

IPAの関連規程サンプルを土台に、自社で実際に守れる内容に書き換えます。「やっていないこと」を書くと、文書と実態がずれて、かえって信用を落とします。今できていない対策は、実施予定日を決めてから書き込みます。

ステップ6：実施手順とハンドブックを作る

従業員が日々参照するのは、対策基準ではなく実施手順やハンドブックです。パスワードの作り方、メール誤送信の防止、私物端末の扱い、インシデント時の連絡先など、従業員向けの内容は短くわかりやすくまとめます。

ステップ7：承認・周知・見直し

経営者が承認し、制定日を入れて周知します。見直しの時期（年1回など）と、見直しのきっかけ（新しいツールの導入、インシデントの発生、法改正など）もあらかじめ決めておきます。

---

情報セキュリティポリシーの雛形

以下は、IPAのサンプルの構成を参考に、中小企業向けに整理した雛形です。コピーして、自社の実情に合わせて書き換えて使ってください。条文の詳細は、IPAの付録2・付録5の原文も確認しながら整えると作業が速く進みます。

雛形1：情報セキュリティ基本方針

# 情報セキュリティ基本方針

株式会社○○○○（以下、当社）は、お客様からお預かりした情報および当社の情報資産を、
事故・災害・犯罪などの脅威から守り、お客様ならびに社会の信頼に応えるため、
以下の方針に基づき全社で情報セキュリティに取り組みます。

1. 経営者の責任
   当社は、経営者主導で組織的かつ継続的に情報セキュリティの改善・向上に努めます。

2. 社内体制の整備
   当社は、情報セキュリティの維持・改善のための体制を整え、
   情報セキュリティ対策を社内の正式な規則として定めます。

3. 従業員の取り組み
   当社の従業員は、情報セキュリティに必要な知識と技術を習得し、
   日々の業務で確実に実践します。

4. 法令および契約上の要求事項の遵守
   当社は、情報セキュリティに関わる法令、規制、規範、
   契約上の義務を遵守し、お客様の期待に応えます。

5. AIなど新しい技術の安全な活用
   当社は、生成AIなどの新しい技術を業務に活用するにあたり、
   情報の取り扱いに関するルールを定め、安全に利用します。

6. 違反および事故への対応
   当社は、情報セキュリティに関わる法令違反、契約違反および事故が発生した場合には
   適切に対処し、再発防止に努めます。

7. 継続的な改善
   当社は、本方針および関連する規程を定期的に見直し、改善します。

制定日：2026年○月○日
株式会社○○○○
代表取締役 ○○○○

1〜4と6はIPAのサンプルの項目に沿っています。5と7は、生成AIの業務利用が広がった現状を踏まえて追加した例です。

雛形2：対策基準（情報セキュリティ関連規程）の目次

IPAの関連規程サンプルは、組織的・人的・物理的・技術的の4分類で構成されています。その構成に、生成AIの利用に関する章を加えた目次例です。

# 情報セキュリティ関連規程

## 第1章 組織的対策
1. 情報セキュリティのための組織（責任者、担当者、連絡体制）
2. 情報セキュリティ取り組みの点検・監査
3. 情報セキュリティに関する情報共有
4. 情報セキュリティ基本方針の制定・管理
5. 情報資産・IT資産の管理（分類、管理責任者、保管先、社外持ち出し）
6. アクセス制御および認証（多要素認証、アカウント管理、特権アカウント）
7. インターネットの利用（オンラインサービス、SNS、電子メール、ウイルス感染の防止）
8. 生成AIの利用（承認ツール、入力情報の区分、生成物の確認、AIエージェントの権限）
9. 委託管理（委託先の選定基準、契約、評価、再委託）
10. 情報セキュリティインシデント対応および事業継続管理

## 第2章 人的対策
1. 雇用条件（秘密保持の誓約）
2. 従業員の責務
3. 雇用の終了（アカウント削除、貸与物の返却）
4. 情報セキュリティ教育
5. テレワークにおける対策

## 第3章 物理的対策
1. 入室権限およびセキュリティ領域
2. 設備の管理
3. クリアデスク・クリアスクリーン
4. 廃棄・返却・譲渡

## 第4章 技術的対策
1. IT機器の利用（OS・ソフトウェアの更新、ウイルス対策）
2. IT基盤の運用管理（ネットワーク機器、ログ）
3. バックアップ
4. リストア手順
5. システム開発および保守

## 附則
制定日・改定履歴・見直し時期

対策基準を書くときのポイント

• アクセス制御：社外からクラウドサービスにアクセスするのが当たり前になった今、「社内ネットワークの中は安全」という前提は通用しにくくなっています。重要なサービスには多要素認証を必須にし、誰がどこから何にアクセスできるかを明記します。この考え方を突き詰めたものがゼロトラストです

• バックアップ：取得の頻度、保管場所、復元テストの頻度まで書きます。ランサムウェアに備えて、バックアップの一部は社内ネットワークから切り離して保管するルールにします

• インシデント対応：連絡先は本文ではなく別紙にして、担当者が変わってもすぐ更新できるようにします

雛形3：実施手順として用意するもの

実施手順は1冊の文書にまとめる必要はありません。業務単位で、次のような短いマニュアルを用意します。

| 手順書 | 主な内容 | |---|---| | アカウント管理手順 | 入社・異動・退職時のアカウント発行と削除、権限の見直し | | パスワード・多要素認証の設定手順 | 推奨する長さ、パスワード管理ツールの使い方、認証アプリの設定 | | バックアップ・復元手順 | 取得の方法、保管先、復元の確認方法 | | インシデント発生時の対応手順 | 最初に連絡する相手、やってはいけないこと、報告の書式 | | 生成AI利用ガイドライン | 承認ツール、入力してよい情報の区分、生成物の確認ルール | | 従業員向けハンドブック | 上記から従業員に関係する部分を抜き出した要約 |

---

生成AIの利用ルールをポリシーに組み込む

IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の3位に初めて選ばれました。一方で、IPAの関連規程サンプルには、生成AIに関する条文はまだ含まれていません。今ポリシーを作るなら、自社で書き足す必要があります。

おすすめは、3層それぞれに役割を分けて入れる方法です。

| 階層 | 書く内容 | 例 | |---|---|---| | 基本方針 | 新しい技術を安全に活用する姿勢を1文で | 「生成AIなどの新しい技術を活用するにあたり、情報の取り扱いに関するルールを定め、安全に利用します」 | | 対策基準 | 守るべきルールの骨格 | 会社が承認したツールのみ利用する／個人アカウントで業務情報を扱わない／入力情報の区分に従う／社外に出す生成物は人が確認する／AIエージェントに与える権限は必要最小限にする | | 実施手順 | 具体的な運用 | 承認ツールの一覧と契約プラン、入力可否の区分表、確認フロー、誤入力時の報告方法 |

こうしておけば、ChatGPTやClaudeのプラン変更、新しいAIツールの追加があっても、実施手順（ツール一覧）を更新するだけで済みます。基本方針や対策基準を毎回改定する必要はありません。

実施手順にあたる「生成AI利用ガイドライン」の具体的な条文例と区分表は、生成AIガイドラインの作り方とひな形にまとめています。社員が会社の把握していないAIツールを使うシャドーAIへの対策も、このガイドラインとセットで考えると漏れが減ります。

---

作ったポリシーを社内に浸透させる方法

ポリシーは、作って共有フォルダに置いただけでは誰も読みません。よくある失敗は「立派な文書があるのに、現場は何も変わっていない」状態です。

経営者が自分の言葉で説明する

基本方針の発表は、メールで回すよりも、朝礼や全体会議で経営者が直接話すほうが伝わります。なぜ今これをやるのか（取引先から求められている、同業者が被害に遭った、など）を具体的に話してください。

従業員にはハンドブックだけ渡す

対策基準をそのまま全員に読ませるのは無理があります。従業員に関係するルールだけを抜き出したハンドブックを配り、30分程度の説明会でOK例・NG例を見せます。

入社時と年1回の教育に組み込む

入社時の説明と秘密保持の誓約、年1回の研修を仕組みにします。研修の実施日と参加者を記録しておくと、取引先への説明や認証取得のときの根拠になります。

基本方針は社外にも公開する

基本方針は自社のWebサイトに掲載します。SECURITY ACTIONの二つ星の要件でもあり、取引先や顧客へのアピールにもなります。対策基準や実施手順は社内向けで構いません。

違反を責めるより、報告を歓迎する

誤送信や誤入力をした従業員が報告しにくい雰囲気だと、問題が隠れて対応が遅れます。「すぐに報告したことは評価する」と明記しておくと、インシデントの早期発見につながります。

---

よくある失敗

他社のポリシーをそのまま流用する

業種も規模も違う会社の文書を流用すると、自社にない設備や体制が書かれたままになります。取引先の監査で「この規程の運用記録を見せてください」と言われたときに説明できません。

対策基準に「理想」を書いてしまう

実際にはやっていない対策を書くと、文書と実態がずれます。できていないことは「いつまでにやるか」を決めてから書きます。

見直しの時期を決めていない

クラウドサービスやAIツールの入れ替えは頻繁に起きます。少なくとも年1回、新しいツールの導入時やインシデント発生時にも見直すルールにします。

---

まとめ

• 情報セキュリティポリシーは「基本方針」「対策基準」「実施手順」の3層で作る

• 中小企業は、IPAの付録（基本方針サンプル、関連規程サンプル、ハンドブックひな形）を土台にすると早い

• まず基本方針を作って公開し、対策基準は優先度の高い章から埋める

• 生成AIの利用ルールは、3層それぞれに役割を分けて組み込む

• 浸透させるには、経営者の説明、短いハンドブック、定期的な教育、報告を歓迎する文化が必要

---

情報セキュリティポリシーの策定はSwaaabにご相談ください

Swaaabでは、IPAのガイドラインに沿った情報セキュリティポリシーの策定から、生成AIの利用ガイドラインの組み込み、従業員向けハンドブックの作成、社員研修までを支援しています。AIツールやAIエージェントを実際に開発・導入している立場から、「AIをどこまで使ってよいか」を現場で判断できるルールに落とし込みます。脆弱性診断などの技術的な検査が必要な場合は、提携する専門会社と連携して手配します。

• ポリシー策定とAIの安全な利用の仕組みづくりはAIセキュリティ対策

• 「IPAのサンプルを自社向けに直したいが、どこまで書けばいいかわからない」といったご相談も歓迎です

まずはお問い合わせからお気軽にどうぞ。