情報セキュリティポリシー：中小企業が最低限作るべき3文書とテンプレート
結論: 中小企業が最低限整備すべき文書は「基本方針・対策基準・実施手順」の3つです。まずA4×1枚の基本方針だけ作ることから始めてください。IPAの無料Wordテンプレート（付録2）で対応できます。
前任者が退職して情シスを引き継いだとき、「ウチにはセキュリティの文書が何もない」と気づくことは珍しくありません。
IT補助金の申請手続きで「SECURITY ACTION二つ星の宣言が必要です」と言われ、IPA（独立行政法人情報処理推進機構）のガイドラインページを開いたら付録が8種類・対策基準のWordファイルは59ページ——そこで手が止まる、というのはよくある状況です。
この記事では、IPAが無料配布しているテンプレートを使い、中小企業が最低限整備すべき3文書を、作成の優先順位と対応する付録とともに整理します。
セキュリティ文書がない会社の情シスが最初にぶつかる壁
「まず何を作ればいいか」がわからないまま、59ページのWordファイルと向き合うことが最大の障壁です。
東京都産業労働局の調査によると、セキュリティポリシーが文書化されている中小企業は13.5%です。約86%の中小企業が同じ出発点に立っています。文書ゼロという状況は例外ではなく、むしろ標準的な状態です。
最初の失敗パターンは、全部一気に作ろうとすることです。規程類を一度に整備しようとすると、どこから手をつければよいかわからなくなり、作業が止まります。本記事では優先順位をつけて、最初に作るべき文書を明確にします。
情報セキュリティポリシーの3層構造を5分で理解する
情報セキュリティポリシーは一般的に3層構造で設計します。
| 層 | 文書名 | 主な対象者 | 役割 |
|---|---|---|---|
| 第1層 | 基本方針 | 全社員・取引先 | 経営としての姿勢・理念の宣言 |
| 第2層 | 対策基準（セキュリティ規程） | 管理職・情シス担当 | ルール・基準の詳細 |
| 第3層 | 実施手順 | 現場の社員 | 具体的な操作手順・チェックリスト |
ITデバイス・SaaS管理サービスのジョーシスの解説によると、中堅企業では対策基準を10〜20本程度保持するケースが一般的です。ただし小規模企業の場合、第1層と第2層を一つの文書に統合して2層構造にすることも現実的な選択肢です。
この記事で対象にするのは、3層それぞれの最小版を1文書ずつ、合計3文書の整備です。
中小企業が最低限作るべき3文書（優先順）
文書1 — 情報セキュリティ基本方針（最初に作る）
基本方針は、経営者が「自社はセキュリティ対策に取り組む」と内外に示す宣言文書です。
IPAが配布する中小企業の情報セキュリティ対策ガイドライン第4.0版の付録2（Word・全1ページ）がそのまま使えます。記載すべき7項目は以下のとおりです。
- 情報セキュリティへの取り組み姿勢
- 情報資産の保護目的
- 法令・規制への準拠
- 従業員の教育・訓練の実施
- 情報セキュリティ事故への対応
- 継続的な改善への取り組み
- 代表者の署名・公開日
このA4×1枚の文書を策定・外部公開することが、SECURITY ACTION二つ星宣言の要件を満たします。
SECURITY ACTIONは、IPAが運営する制度で、中小企業が情報セキュリティ対策に取り組むことを自己「宣言」するものです。認定制度でも取得制度でもありません。二つ星の宣言ページに明記されているとおり、「基本方針を定め、外部に公開し、取り組むことを宣言する」ことが要件です。補助金申請書類に「SECURITY ACTION二つ星を取得」と記載するのは誤りですので注意が必要です。
IT導入補助金など多くの補助金でSECURITY ACTIONの宣言が申請要件になっているため、基本方針の整備は補助金スケジュールに合わせて優先することが実務上有効です。
文書2 — 情報セキュリティ対策基準（セキュリティ規程）
対策基準は、具体的なセキュリティ規則を記載した社内規程です。
IPAガイドライン第4.0版の付録5（Word・全59ページ）がテンプレートです。59ページを見て手が止まることがありますが、全部埋める必要はありません。自社に該当しない章は削除して問題ありません。
たとえばクラウドサービスを一切利用していない企業であれば、クラウド利用に関する章は省略できます。自社の業務フローに合った文書を作ることが目的であり、テンプレートの全項目を埋めることが目的ではありません。
最低限含めるべき7項目は以下のとおりです。
- パスワードポリシー（セキュリティ専門のBTNコンサルティングでは最低12文字以上・多要素認証の必須化を基準として示しています）
- アカウント管理（入社時の発行・退職時の即日無効化）
- 端末・デバイスの管理ルール
- 外部記憶媒体（USBメモリ等）の利用制限
- 社外からのアクセスルール（VPN・リモートワーク）
- メール・インターネット利用のルール
- インシデント発生時の報告先と初動手順
退職者のアカウント管理については、退職者アカウントの即日無効化チェックリストで詳しく解説しています。対策基準に手順書のリンクや保管場所を明記しておくと、実際に参照される規程になります。
SmartHRの解説にもあるように、管理部門や情シスだけで作成すると現場の実態と乖離します。「クラウドストレージは一切禁止」のような代替案のない制限は、守られないルールの典型例です。作成時に現場の意見を取り入れることが、形骸化を防ぐための現実的な手順です。
文書3 — 実施手順（従業員向けハンドブック）
実施手順は、現場の社員が日常業務で参照する手順書・チェックリストです。
IPAガイドライン第4.0版の付録4（PowerPoint・全17ページ）がそのまま活用できます。PDFに変換して全社員に配布するだけで最低限の整備として機能します。
現場が参照する主な5項目は以下のとおりです。
- パスワードの設定・管理方法
- フィッシングメール・不審メールの見分け方と報告先
- 端末紛失・盗難時の初動手順
- クラウドサービスの共有設定の確認方法
- バックアップの取得方法と確認手順
インシデント発生時の具体的な対応手順については、セキュリティインシデント対応SOPで詳細を確認できます。付録4のハンドブックにそのリンクや保管場所を追記しておくと、現場が緊急時に参照できる形になります。
3文書の作成順序とIPA 4STEPの対応関係
IPAガイドライン第4.0版は、取り組みを4段階（4STEP）で示しています。
STEP 1: 情報セキュリティ6か条に取り組む
一つ星宣言ページに記載されている「情報セキュリティ6か条」への対応がスタートラインです。6か条の内容は以下のとおりです（ガイドラインv4.0で5か条から6か条に改訂・2026年3月）。
- OSやソフトウェアは常に最新の状態にする
- ウイルス対策ソフトを導入する
- パスワードを強化する
- 共有設定を見直す
- バックアップを取る
- 脅威や攻撃の手口を知る
STEP 2: 自社診断 → 基本方針の策定・公開 → 二つ星宣言
付録3「5分でできる！情報セキュリティ自社診断」（PDF・全8ページ）で現状把握を行い、付録2の基本方針を策定・外部公開します。この時点で二つ星宣言が可能になります。文書1（基本方針）だけで二つ星宣言まで到達できます。
STEP 3: 本格的な対策と規程の整備
付録5（59ページ）をベースに対策基準（文書2）を整備し、付録4のハンドブック（文書3）を全社員に配布します。
STEP 4: より強固な対策
STEP3が定着した後に取り組む段階です。専門機関によるリスクアセスメントや外部監査の検討が含まれます。
まず文書1（基本方針）の整備と二つ星宣言を優先し、その後STEP3に進む順序が現実的な進め方です。
やりがちな5つの失敗パターン
失敗1: テンプレートをそのままコピーして運用しない
ジョーシスが指摘するとおり、テンプレートのコピーのままでは現場で機能しません。自社の業務プロセス・組織構造・利用システムに合わせた調整が必要です。対策基準の審査時にも、実態と乖離していると指摘されるケースがあります。
失敗2: 禁止事項だけ書いて代替手段を示さない
SmartHRが指摘するように、「USBメモリは禁止」だけ書いてデータの受け渡し方法を示さないルールは、現場の反発を招いて形骸化します。禁止する場合は代替手段をセットで記載することが、実効性のある規程の条件です。
失敗3: 情シス担当者だけで作成する
経営者の承認を得ないまま情シス担当者だけで作成した文書は、組織的な拘束力が弱くなります。基本方針には代表者の署名が必要です。対策基準の策定にも、現場部門の意見を取り入れる機会を設けることが、後の運用定着につながります。
失敗4: 周知を1回で終わらせる
IPA 2024年度調査によると、セキュリティ対策をルール化して従業員に明示している中小企業は39.2%にとどまります。また、緊急時の体制整備や対応手順を作成している企業は39.8%、新たな脅威情報を社内共有する仕組みを持つ企業は37.9%です。文書を作成しても周知・教育が伴わなければ機能しません。入社時研修や年1回の全社周知を定例化することが必要です。
失敗5: 作成後に見直しを行わない
ツギノジダイ（朝日新聞社）によると、ランサムウェアはIPAの「情報セキュリティ10大脅威2026」で5年連続1位の脅威です。また、サイバー攻撃を受けた中小企業の約7割が取引先にも影響が及んだと報告されています。作成時点の規程を更新しないままにすると、現実の脅威への対応が遅れます。年1回の定期見直しを基本とし、組織変更・システム変更のタイミングでも見直しを行うことが有効です。
59ページのWordファイルを一人で読み込みながら、自社の業務に合わせた規程を整備する作業には相応の時間がかかります。骨格を持ち込んで運用が回る形にするという選択肢もあります。
作ったら終わりではない：PDCAで回す最低限の運用
文書の整備はスタートラインです。
総務省のサイバーセキュリティサイトは、情報セキュリティポリシーのPDCAサイクルを4段階で示しています。
- Plan（計画）: 情報資産を洗い出し、リスク・課題を整理して組織の状況に合ったポリシーを策定します
- Do（導入・運用）: 策定したポリシーを全社員に周知し、必要に応じて集合研修などの教育を実施します
- Check（点検・評価）: 定期的に対策の実施状況を確認します
- Act（見直し・改善）: 点検の結果や環境の変化に応じてポリシーを改定します
IPA 2024年度調査では、セキュリティ体制が整備されている企業の59.8%が「取引につながった」と回答しています。一方、体制が整備されていない企業では24.2%にとどまります。セキュリティの取り組みは、取引先・顧客からの信頼に直結します。
年1回の定期見直しを起点に、組織変更・システム変更・法令改正のタイミングでも見直しを行うことが、実効性のある運用につながります。
よくある質問
Q: SECURITY ACTION二つ星の宣言に必要な文書は何ですか？
A: 付録3「5分でできる！情報セキュリティ自社診断」（PDF・全8ページ）を実施した上で、付録2「情報セキュリティ基本方針（サンプル）」（Word・全1ページ）を策定・外部公開することが要件です。IPA SECURITY ACTION二つ星ページで要件の詳細を確認できます。SECURITY ACTIONは「宣言」制度であり、認定や取得を意味するものではありません。
Q: 付録5（59ページ）の対策基準は全部埋める必要がありますか？
A: 全部埋める必要はありません。自社に該当しない章は削除して問題ありません。クラウドサービスを利用していない場合のクラウド関連章など、実態と合わない部分は省略し、自社の業務フローに合わせた文書にすることが目的です。
Q: 基本方針はどこで公開すればよいですか？
A: 自社のWebサイト上に掲載することが一般的です。専用ページを設けるか、会社情報やプライバシーポリシーのページに掲載する例が多く見られます。外部から閲覧できる状態にすることが要件です。
Q: 3文書の整備にどれくらいの時間がかかりますか？
A: 文書1（基本方針）はIPAの付録2を活用すれば数時間で完成します。文書2（対策基準）は自社の業務プロセスへの当てはめと現場担当者との確認が必要なため、数日から数週間を要するケースが多いです。文書3（ハンドブック）は付録4のPDFをそのまま配布することで最低限の整備として完了します。
Q: 文書を作成した後、どのくらいの頻度で見直せばよいですか？
A: 総務省のガイダンスでは定期的な見直しを推奨しています。BTNコンサルティングでも年1回の定期見直しが基準とされています。実務上は年1回の定期見直しを基本とし、組織変更・システム変更・法令改正のタイミングでも随時見直しを行うことが有効です。