前回は、情報セキュリティ基本方針を具体化する「情報セキュリティ対策基準」について確認した。今回は、情報セキュリティポリシーの3階層構造の最下層にあたる「情報セキュリティ対策実施手順」を取り上げ、あわせて3階層構造全体のまとめを行う。
実施手順は現場が実際に行う作業マニュアル
情報セキュリティ対策実施手順は、対策基準で定められたルールを、日々の業務の中で誰が読んでもそのとおりに実行できるレベルまで具体化した、実務的な作業マニュアルである。3階層構造の中では最も具体性が高く、操作手順・作業手順そのものが記載される。
代表的な例としては、次のようなものが挙げられる。
- ウイルス対策ソフトの定義ファイル更新手順
- パスワード変更の具体的な操作手順（対象システムの画面操作を含む）
- 入退室時のICカードによる認証手順
- 情報資産の廃棄・データ消去の作業手順
- インシデント発生時の初動対応手順（誰に、どのように報告するか）
対策基準が「パスワードは○文字以上、○日ごとに変更する」というルールを定めるのに対し、実施手順は「実際の画面でどのボタンを押し、どの項目に何を入力するか」という具体的な操作まで踏み込んで記載する点が特徴である。
策定・実行の主体は現場の担当者
実施手順は、各業務・各システムの実態に即して、現場の担当者や情報システム部門の実務担当者が中心となって作成する。対象読者も、実際にその作業を行う一般の従業者であり、基本方針・対策基準と比べて、より具体的で分かりやすい表現が求められる。
PDCAサイクルによる継続的な見直し
情報セキュリティポリシーの3階層は、一度作成して終わりではなく、環境変化や新たな脅威の出現に応じて、継続的に見直す（PDCAサイクル）必要がある。特に実施手順は、使用するシステムやツールの変更に伴って改訂される頻度が高い階層である。
3階層構造のまとめ
ここまで3回にわたり解説してきた内容を、以下に整理する。
| 階層 | 策定主体 | 抽象度 | 公開範囲 |
|---|---|---|---|
| 情報セキュリティ基本方針 | 経営陣 | 高い（宣言レベル） | 社外にも公表されることが多い |
| 情報セキュリティ対策基準 | 管理者層 | 中程度（ルールレベル） | 社内文書（非公開） |
| 情報セキュリティ対策実施手順 | 現場担当者 | 低い（操作レベル） | 社内文書（非公開） |
この3階層の役割分担と関係性を正しく整理しておくことが、情報セキュリティマネジメント試験における頻出テーマへの対策となる。
試験対策のポイント
- 実施手順は、対策基準をさらに具体化した現場向けの操作マニュアルである
- 策定・実行の主体は現場の担当者である
- 環境変化に応じて継続的に見直す（PDCA）ことが前提となる
- 3階層それぞれの「策定主体」「抽象度」「公開範囲」の違いを整理しておこう
コメント