情報セキュリティポリシーの作り方 — 中小企業向けの手順・ひな形・費用【2026年版】

情報セキュリティポリシーとは、会社として情報をどう守るかを文書にして、全員が同じルールで動けるようにしたものである。 大企業だけのものと思われがちだが、取引先から「ポリシーはありますか」と問われる場面は、従業員が数人の会社でも増えている。IT担当者がいなくても、IPA（情報処理推進機構）が公開している無料のひな形を使えば、最初の版は数日から数週間で作れる。本記事では、ポリシーの構造（基本方針・対策基準・実施手順の3層）、必要になる理由、IPAのガイドラインと付録の使い方、最低限決めるべき項目、作成の6ステップ、自作・専門家支援・コンサル依頼の費用の目安、形骸化させない運用を、経営者や総務の担当者向けに整理する。費用は「一般的な相場の目安」であり、実際の金額は会社の規模や依頼先で変わる。

情報セキュリティポリシーは、一般に次の3つの層で考える。全部を一冊にまとめる必要はなく、中小企業では層ごとに分量を変えて、できるところから整える。

たとえば「パスワードは使い回さない」は②の基準にあたる。「どのツールで、誰が、どう管理するか」を具体的に書くのが③である。①があると、②③を作るときの判断がぶれにくい。IPAのガイドラインも、基本方針を経営者が示し、そのうえで具体的な規程や手順に落とす流れを想定している。

「うちは小さいから狙われない」という考え方は、2026年時点では通用しにくい。必要になる理由は、大きく4つある。

1つ目は、取引先からのセキュリティチェックシートである。 大手企業や官公庁との取引では、情報セキュリティの管理体制について、書面で回答を求められることがある。質問の多くは「情報セキュリティポリシーはありますか」「従業員教育を行っていますか」「事故時の連絡体制はありますか」といった内容で、文書が一式あるかどうかで回答の説得力が変わる。取引先の要求に応えられずに口座開設や契約更新で不利になる例は、珍しくない。

2つ目は、プライバシーマーク（Pマーク）やISMSなどの認証取得である。 これらの認証は、ポリシーや規程の整備が前提になる。認証まで進むかどうかは別として、先にポリシーを整えておくと、後の負担が軽くなる。費用と判断のポイントはPマーク・ISMS取得の費用ガイドにまとめている。

3つ目は、サイバー保険の申込みや更新である。 保険会社によっては、加入時に、セキュリティ対策の実施状況に関する質問票への回答を求められる。MFAの導入、バックアップ、従業員教育などを問われることがあり、ポリシーに沿って運用していると答えやすい。具体的な条件は保険会社と商品によって異なるため、個別に確認してほしい。

4つ目は、生成AIの利用である。 社員が業務で生成AIに顧客情報や社内資料を入力してしまう問題は、禁止するだけでは防げない。「何を入力してよく、何をしてはいけないか」を文書で示す必要がある。考え方は生成AIの社内ルールの作り方で扱っている。ポリシーに生成AIの項目を1つ入れておけば、後から詳しいルールを追加する土台になる。

会社全体のリスクの見取り図は中小企業のITリスク対策ガイドにある。ポリシーはそのうち、「人のルール」の部分を担う。

ゼロから文章を書く必要はない。IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」には、そのまま使えるひな形が付録として付いている。IPA公式ページで確認した範囲（2026年11月時点）では、次の内容である。

ガイドライン自体は、経営者が認識すべき指針を示す「経営者編」と、社内で対策を実践する手順を示す「実践編」の2部構成である。版数は、IPAの公式ページによると、第4.0版が2026年3月27日に公開されている。この改訂で、従来の「5か条」にバックアップが加わり、「情報セキュリティ6か条」になった。ひな形は更新されることがあるので、使う前にIPAの公式ページで最新の版を確認してほしい。

注意点は、付録5の関連規程サンプルは、そのまま出すと自社の実態と合わないことである。サンプルには、自社にない部署や設備、使っていないツールを前提にした条文が含まれる。そのまま採用して守れない規程になると、かえって形骸化しやすい。サンプルは項目の漏れを防ぐ「チェックリスト」として使い、自社の実態に合わせて削る、書き換える、が基本の使い方である。

SECURITY ACTIONは、IPAが運営する、中小企業が自らセキュリティ対策に取り組むことを宣言する制度である。取引先への説明材料として使えるほか、各種の補助金の申請要件に関わることもあるため、利用を検討したい（補助金の要件は年度や制度で変わるので、公募要領で確認が必要である）。IPA公式ページで確認した宣言の内容は次のとおりである。

一つ星の6か条は、①OSやソフトウェアを常に最新にする、②ウイルス対策ソフトを導入する、③パスワードを強化する、④共有設定を見直す、⑤バックアップを取る、⑥脅威や攻撃の手口を知る、である。二つ星では、基本方針を自社のウェブサイトや会社案内などで外部に公開することが求められる。なお、申込みの方法は2026年4月に新しい管理システムに変わったと案内されているため、手続きはIPAの公式ページで最新の方法を確認してほしい。

ポリシー作成の順番としては、まず一つ星を宣言して6か条に取り組み、自社診断で現状を把握し、基本方針を作って二つ星を宣言する、という流れが無理がない。基本方針だけなら1ページなので、最初の達成感が得やすい。

規程を数十ページ書く前に、まず次の8項目を決めることを勧める。これだけでも、日常の事故の大半に対処できる。

この表の各項目に、「誰が」「いつまでに」「どう確認するか」を1行ずつ足すと、ポリシーとして機能し始める。「パスワードを強くする」とだけ書くより、「重要なクラウドサービスはMFAを必須とし、総務担当が四半期に1回、設定状況を確認する」と書くほうが、実行されやすい。

IPAの「5分でできる！情報セキュリティ自社診断」に答え、足りない対策を見つける。同時に、資産管理台帳（付録6）に、使っているパソコン、スマートフォン、クラウドサービス、重要なデータの置き場所を書き出す。守る対象が見えないと、ルールは作れない。この作業は、半日から1日で終わることが多い。

経営者を最高責任者とし、日常の運用を担う担当者を1人決める。IT担当者がいない会社では、総務や経理の担当者が兼務することが多い。対象とする範囲（正社員のみか、パート・業務委託・派遣も含めるか）も、ここで決める。委託先や外部の協力者が情報に触れるなら、範囲に含めたほうがよい。

付録2のサンプルを使い、社名、目的、守る対象、責任者、法令の遵守、継続的な見直しなどを入れる。1ページに収める。経営者自身の言葉で、なぜ守るのかを1〜2行入れると、従業員に伝わりやすい。これが完成すれば、二つ星の宣言に必要な基本方針の要件も満たせる。

前節の8項目から、必要なものを付録5の条文を参考に書く。最初は全部を書かなくてよい。書いたら必ず、「今の会社で本当に守れるか」を担当者と一緒に確認する。守れない項目は、削るか、守れる形に直す。

退職時の作業手順、バックアップの取り方、事故時の連絡網を、手順書やチェックリストにする。事故時の対応は、IPAの付録8（セキュリティインシデント対応の手引き）が参考になる。連絡網は、夜間や休日に連絡がつく人も入れておく。実際の初動の考え方は情報漏えい発生時の初動対応でも扱っている。

ポリシーは、作っただけでは意味がない。全員に説明し、読んだことを記録に残す。ハンドブック（付録4）を使えば、スライドで説明できる。そのうえで、基本方針を自社サイトなどで公開し、SECURITY ACTION二つ星を宣言する。教育の費用や方法はセキュリティ教育の費用ガイドを参照してほしい。

費用は、誰がどこまで作るかで大きく変わる。次の金額は一般的な相場の目安であり、依頼先・規模・作業範囲で変わる。見積もりの前に、複数社に同じ条件で依頼して比較することを勧める。

費用を左右する要素は、従業員数、拠点の数、扱う情報の重要度（個人情報の量など）、既存の文書の有無、依頼先のレビューの深さである。依頼する場合は、成果物（何の文書が何ページ納品されるか）、打合せの回数、見直し時の追加費用、納品後の質問対応の有無を、見積もりで確認する。なお、文書を作るだけでは対策は進まない。端末の暗号化やバックアップの導入などの実施費用は、別に必要になる。

判断の目安としては、まず①で作り、取引先から質問票が来た段階で②を検討するのが現実的である。③④は、取引先から認証や詳細な書面を求められたときの選択肢になる。

ポリシーで最も多い失敗は、作ったあとに放置されることである。次の運用を、年間のスケジュールに入れておく。

見直しの際は、守られていなかった条文を見つけて、守れる形に直すことが大切である。守れない規程を放置すると、全体が軽視される。また、ヒヤリハット（実際の被害にはならなかった出来事）を責めずに報告できる雰囲気も、ポリシーの効果を左右する。報告した人が叱られる会社では、事故が隠れて大きくなる。

- ひな形をそのまま出した: 自社にない部署やツールの条文が残り、守れない規程になる。サンプルは項目の漏れ確認に使い、自社の実態に合わせて削る
- 完璧な規程を作ろうとして止まった: 数十ページを目指して数か月が過ぎる。まず基本方針1ページと8項目の簡易版を作り、後から増やす
- 担当者だけが知っている: 経営者や従業員が内容を知らず、事故のときに動けない。周知と教育を必ず行う
- 作って終わりにした: 年1回の見直しがなく、ツールや働き方が変わったのに古いまま残る
- 経営者が関与していない: 費用や優先順位を決められず、対策が進まない。基本方針は経営者の名前で出す
- 事故時の連絡網がない、または古い: 退職者が連絡先に残っている、休日に連絡がつかないなど、肝心なときに使えない
- 例外が際限なく増える: 「忙しいから」「社長だから」と例外を認めると、ルールが形だけになる

- IPAの自社診断（5分でできる情報セキュリティ自社診断）に回答したか
- 使っているパソコン、スマートフォン、クラウドサービスの一覧を作ったか
- 経営者を最高責任者とし、日常の運用担当者を決めたか
- ポリシーの対象範囲（正社員、パート、委託先など）を決めたか
- 基本方針を1ページにまとめ、経営者が承認したか
- パスワード・MFAのルールを決めたか
- 端末の持ち出しと紛失時の連絡ルールを決めたか
- メールの添付や誤送信に関するルールを決めたか
- 使ってよいクラウドサービスと、管理者を決めたか
- バックアップの対象、頻度、保管場所、復元確認を決めたか
- 入社時と退職時の手順（権限付与、アカウント停止、端末回収）を作ったか
- 事故時の連絡網と外部の相談先を作り、休日の連絡手段も確認したか
- 生成AIに入力してよい情報としてはいけない情報を決めたか
- 全員に説明し、読んだことの記録を残したか
- 年1回の見直しの日を、年間予定に入れたか
- SECURITY ACTIONの宣言を検討したか