情報セキュリティポリシー策定の実践ガイド― ISO／ISMS・NIST・ITILの使い分け ―

企業のクラウド活用やゼロトラストの普及により、情報セキュリティポリシーには従来以上の体系性と実効性が求められています。しかし実際には、改定を重ねるうちに条文が増え、フレームワークの寄せ集めとなり、現場で参照されない「形だけのポリシー」になってしまうケースも少なくありません。本記事では、ISO・NIST・ITILの役割を整理しながら、大企業が実務で機能する情報セキュリティポリシー体系を設計するための実践的なポイントを解説します。

セキュリティポリシーについては、こちらの記事もあわせてご覧ください。

情報セキュリティポリシーはなぜ重要？策定の目的やポイントを解説

なぜ今、ポリシーの“再設計”が必要なのか

クラウド活用の拡大、AIトランスフォーメーション（AX）、ゼロトラスト化、グローバル拠点との統制統合など、企業を取り巻く環境は急速に変化しています。従来の境界防御前提で作られたポリシーでは実態と乖離しやすく、改定を重ねるうちに重複や例外が増え、体系が複雑化しているケースも少なくありません。今求められているのは、単なる追記ではなく、複数フレームワークを整理したうえでの“再設計”です。経営・監査・運用を一本で貫く統制構造へ再構築することが不可欠です。

ISO／ISMSで「骨格」を作る

情報セキュリティポリシーを機能させるには、まず統制の“骨格”を明確にすることが重要です。ISO・ISO/IEC 27001の考え方を基に、リスク評価を起点とした階層構造と責任体制を定義することで、機密性・完全性・可用性がある情報セキュリティ体制を作ることができます。

ISOとは

ISOは国際標準を策定する機関であり、情報セキュリティ分野ではISO/IEC 27001が代表的です。

個別の問題ごとの技術対策の他に、組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源を配分して、システムを運用するフレームワークであるISMSの要求事項を定めた規格がISOです。

これは個別対策の集合ではなく、組織の状況やリーダーシップ・計画策定を起点にPDCAを回すマネジメントシステムの枠組みを示しています。経営層の関与による経営資源の配分、運用、パフォーマンスの評価、改善を前提とした構造が特徴で、大企業における統制設計の“背骨”となる存在です。

適用除外の基準がポイント

ISOは必ず適用されるべき要求事項（本文）と、事業特性に応じて適用除外が可能な要求事項（付属書）で構成されています。しかし安易に適用除外をするとセキュリティ体制が形骸化しかねないため、適用除外の原則を定めて、一律に判断できる基準整備が求められます。

NISTで「管理策の具体性」を担保する

抽象的な方針だけでは現場は動きません。NISTのフレームワークを参照し、アクセス制御やログ管理などの具体的な管理策へ落とし込むことで、ポリシーを実装可能な基準へと具体化します。

NISTとは

NISTは米国国立標準技術研究所という政府機関の名称で、サイバーセキュリティ分野ではCSF（Cybersecurity Framework）やSP800シリーズ（SP: Special Publications）、OMB文書（OMB：Office of Management and Budget）などを公開しています。とくに管理策の粒度が細かく、技術的対策まで具体的に整理されている点が特徴です。ISOが“マネジメントの枠組み”であるのに対し、NISTは“実装レベルの指針”として活用できます。

抽象方針を実装可能な管理策へ落とし込む

情報セキュリティポリシーでは抽象表現にとどまりがちです。そこでNISTの管理策を参照し、多要素認証の適用範囲やログ取得要件、脆弱性管理プロセスなどを具体化します。抽象的な方針を技術要件へ分解することで、現場が実装可能な基準へと転換できます。結果として、ポリシーとシステム設定の間にあるギャップを埋めることができます。

SB（Security Baseline）で「自社標準」を明文化する

ISOやNISTをそのまま適用するのではなく、自社環境に即した最低基準として整理するのがSBです。技術要件や必須対策を明確化することで、グループ横断で一貫した統制レベルを維持できます。

SB（Security Baseline）とは

SB（Security Baseline）は、自社が最低限遵守すべき技術的・運用的基準を定めたものです。ISOやNISTの要求事項をそのまま引用するのではなく、自社環境や業種特性を踏まえて具体的な設定基準や必須対策を明文化します。グループ会社や海外拠点を含めて展開する際の共通土台となる重要な要素です。

グループ横断で適用できる最低基準の設計

SB設計のポイントは、理想論ではなく“実行可能な最低基準”にすることです。OS設定、クラウド構成、認証方式などについて必須要件を定め、例外管理の手続きを明確化します。これにより、各部門が独自の解釈で運用してしまうことを防ぎ、統制レベルを一定に保つことができます。標準化は統制の安定化につながります。

ITILで「運用統制」に接続する

ポリシーを文書で終わらせないためには、運用プロセスとの接続が不可欠です。ITILの変更管理やインシデント管理に組み込むことで、統制を日常業務の中で継続的に機能させる仕組みを構築します。

ITILとは

ITILは、ITサービスマネジメントのベストプラクティスを体系化したフレームワークです。インシデント管理、問題管理、変更管理、構成管理などの主要プロセスを整理し、役割や責任、評価指標まで定義している点が特徴です。ITを単なるシステム運用ではなく、価値を提供するサービスとして管理する考え方を示しています。

情報セキュリティそのものの基準を示すものではありませんが、セキュリティ統制を日常運用に組み込むための基盤として重要です。たとえば、変更時のセキュリティ確認や、インシデント発生後の原因分析と再発防止を標準プロセスに組み込むことで、ポリシーを継続的に機能させる仕組みを構築できます。

変更管理・インシデント管理とポリシーを連動させる

ポリシーを形骸化させないためには、ITILの変更管理やインシデント管理と連動させることが不可欠です。システム変更時にセキュリティレビューを必須化し、インシデント発生時には関連条項を見直す仕組みを設けます。こうしたプロセス連動により、ポリシーは静的な文書ではなく、運用の中で継続的に改善される統制基盤へと進化します。

フレームワークを使いこなすポイント

大企業で情報セキュリティポリシー体系を設計する際に最も注意すべきなのは、フレームワークの“寄せ集め”になってしまうことです。ISO、NIST、ITILはいずれも有用ですが、それぞれの要求事項を個別に文書へ反映していくと、同じ趣旨の条文が複数の基準書に現れ、責任部門や適用範囲が曖昧になります。その結果、監査対応のための体系と実務運用の体系が分断され、現場では参照されない“形だけのポリシー”が生まれてしまいます。

これを防ぐためには、まずフレームワークの役割分担を明確にすることが原則です。ISOはリスクベースで統制を設計する“骨格”、NISTは具体的な管理策を示す“部品表”、ITILは変更管理やインシデント管理へ接続する“運用エンジン”、SBは自社環境に適用するための“実装基準”と整理します。上下関係と責任範囲を定義すれば、重複記載を避け、体系は自然とシンプルになります。

リスク評価から対策基準、ベースライン、運用プロセスまでを一本の流れとして設計し、定期的な見直しを前提にすることが重要です。経営報告・監査・現場運用が同じ構造を参照する状態を作ることこそが、全体最適を実現し、ポリシーを“文書”から“統制装置”へ進化させる鍵となります。

また重要なのは、可用性、つまり実際に運用できる内容なのか、運用できる体制や知見を組織内に整備できているのか、という運用面のイメージです。情報セキュリティポリシーはPDCAが前提となるので、運用し続けることが大前提であることを理解することが大切です。

外部委託も選択肢の1つ

企業の情報システム担当者にとって、情報セキュリティポリシーの運用負荷は年々増しています。ISOやNIST、ITILなど複数のフレームワークは定期的に改定され、そのたびに内容を精査し、自社基準への影響を分析しなければなりません。原文は英語が中心で、英語文書での理解にも時間がかかります。さらに、改定の都度、現行ポリシーやベースラインがどこまで準拠しているのかを確認し、変更点を整理し、監査対応まで行う作業は大きな負担です。

しかし、情報セキュリティポリシーは策定して終わりではなく、環境変化に合わせて更新し続ける“生きた統制基盤”です。クラウドやゼロトラストの進展により、運用フェーズでの精度とスピードが企業のリスク耐性を左右します。そこで有効なのが外部委託という選択肢です。改定情報の継続的なモニタリング、変更点分析、準拠状況の可視化を専門家に任せることで、情報システム担当者は統制設計や経営判断支援といった本来注力すべき業務に集中できます。継続的運用を仕組み化することこそが、ポリシーを形骸化させない現実的な解決策です。

当社は、情報セキュリティポリシーの策定や運用をご支援しています。情報セキュリティポリシーの策定においては、お客様の業態や目指すセキュリティレベルに応じて最適なフレームワークを選んでご提案します。また策定後はお客様に代わって各種フレームワークの更新点の確認や、運用も行います。

 資料ダウンロードはこちら（無料）