情報セキュリティポリシー

組織の情報セキュリティの決まりは、次の3段で作ることが多いです。
- 基本方針 … 組織として何をなぜ守るか。経営者が示す
- 対策基準 … 守るために何をするかの決まり
- 実施手順 … 部門や業務ごとの具体的なやり方

基本方針と対策基準をまとめて、情報セキュリティポリシーと呼ぶことが多いです。

組織の体制

CSIRT（シーサート）は、インシデント（事故やそのおそれ）が起きたときに受け付け、対応をまとめるチームです。SOCは、ログや通信を見張って異常を見つけるチームです。

個人情報保護法

個人情報は、生きている個人を特定できる情報です。取るときは使う目的を示し、目的の外で使わず、本人の同意なしに第三者へ渡さないのが基本です。要配慮個人情報が含まれる、財産の被害が出るおそれがある、不正の目的によるおそれがある、1,000人を超える、のどれかに当たる漏えいなどは、個人情報保護委員会への報告と本人への通知が要ります。

不正アクセス禁止法と営業秘密

他人のIDとパスワードを無断で使ってログインすることは、不正アクセス禁止法で禁じられています。他人のIDとパスワードを勝手に人に教えることも禁じられています。不正競争防止法の営業秘密として守られるには、秘密として管理されている、事業に役立つ、世間に知られていない、の3つが要ります。社外秘の印も付けず誰でも見られる状態の資料は、秘密として管理されているとは言いにくくなります。

• 基本方針・対策基準・実施手順の3段
• CSIRTとSOCの役割
• 個人情報保護法の基本と、報告が要る漏えい
• 不正アクセス禁止法と、営業秘密の3つの要件