情報セキュリティ実施手順書の作成・維持管理手順

情報セキュリティ実施手順書の作成と維持管理

   前回は「情報セキュリティポリシー」の作成・維持管理手順を説明した。情報セキュリティポリシーには具体的な対応手順が明確に記載されているわけで はないため、情報セキュリティポリシーに従い情報セキュリティ対策として遵守すべき事項を、「情報セキュリティ実施手順書（以下、実施手順書という）」に 定める必要がある（図1）。

図1：情報セキュリティ管理に関連する文書の体系（再掲）

   情報セキュリティの具体的な対応方法を知るために参照する必要な文書は実施手順書であるため、実施手順書の出来栄えが、組織の情報セキュリティ対策を適切に実施するための鍵を握る。

   なお、実施手順書は、「情報セキュリティポリシー」を構成する「基本ポリシー」「対策基準」とは違い、部署や業務の数が多い企業などでは、組織全体で1つとしてではなく複数整備することとなる。

   では、以降より実施手順書の作成と維持管理の手順を説明する。

1. 既存の情報セキュリティに関連する手続類の調査

   情報セキュリティに関連する手続類を調査し、何を対象（業務／従業者／拠点／システムなど）として、どのような種類の手続があるといった概要を把握する。

2. 実施手順書の整備体系の検討

   実施手順書と既存の関連する手続類との統合や、関連する手続類の改訂や廃止なども考慮にいれ、実施手順書の整備体系を検討する。

   情報セキュリティポリシーとは異なり、実施手順書の整備体系は組織によって大きな違いがあらわれる。

   実施手順書の整備体系を検討する際の切り口を表1に示す。