セキュリティ対策の社内ルールは何を決めればいい？中小企業向けに解説

セキュリティ対策はルール化しておくことが重要

セキュリティ対策というと、
ウイルス対策ソフトや多要素認証など、
ツールの導入を思い浮かべる方も多いかもしれません。

もちろん、ツールの導入は重要です。

しかし実際には、
日々の業務の中でどのように情報を扱うか、
誰が何を確認するかといった社内ルールも重要になります。

たとえば、

・パスワードをどう管理するか
・誰がクラウドサービスを管理するか
・ファイル共有をどう行うか
・退職者のアカウントをどう停止するか
・事故が起きたときに誰へ報告するか

といった内容です。

これらが決まっていないと、
人によって対応が変わり、
管理が曖昧になることがあります。

なぜ中小企業でルールが曖昧になりやすいのか

中小企業では、
限られた人数で日々の業務を回しているケースが多くあります。

そのため、

・細かいルールを作る時間がない
・担当者が明確に決まっていない
・昔からのやり方で運用している
・問題が起きてから対応している
・社員ごとの判断に任せている

といった状態になりやすいです。

また、ITやセキュリティの専任担当者がいない場合、
何をルール化すればよいか分からないこともあります。

しかし、ルールがない状態では、
同じような場面でも対応がバラバラになりやすくなります。

その結果、
情報漏えいや不正アクセス、誤送信などのリスクにつながる可能性があります。

最初から立派な規程を作る必要はない

社内ルールというと、
分厚い規程や難しい文書を作らなければならないと感じるかもしれません。

しかし、中小企業で最初からそこまで行う必要はありません。

重要なのは、
日常業務で迷いやすい場面について、
最低限の判断基準を決めておくことです。

たとえば、

・これは誰に確認するのか
・この情報は誰まで共有してよいのか
・退職時に何を止めるのか
・事故が疑われるときに誰へ連絡するのか

といった内容です。

難しい言葉で書く必要はありません。

まずは、
社員が見て理解できる簡単なルールから始めることが現実的です。

まず決めたいルール① パスワードとアカウント管理

最初に決めておきたいのが、
パスワードとアカウント管理のルールです。

たとえば、

・パスワードを使い回さない
・共有アカウントを必要以上に増やさない
・退職者のアカウントを停止する
・管理者権限を持つ人を限定する
・重要なサービスには多要素認証を設定する

といった内容です。

アカウントは、
メール、クラウドストレージ、チャットツール、業務システムなど、
多くのサービスで使われています。

そのため、
誰がどのサービスを使える状態なのかを整理しておくことが重要です。

特に管理者アカウントや、
顧客情報にアクセスできるアカウントは、
優先してルール化した方がよい項目です。

まず決めたいルール② ファイル共有

次に重要なのが、
ファイル共有のルールです。

クラウドストレージやメール添付で、
社内外にファイルを共有する機会は多くあります。

しかし、ルールがないと、

・共有リンクを誰でも見られる設定にする
・編集権限を付けたまま共有する
・不要になった共有を削除しない
・個人アカウントで業務ファイルを共有する

といったことが起きやすくなります。

ファイル共有では、
「誰に、何を、どの権限で、いつまで共有するか」を決めることが重要です。

特に、顧客情報、契約書、請求情報、社内の重要資料などは、
共有範囲を慎重に確認する必要があります。

まず決めたいルール③ クラウドサービスの利用

中小企業でも、
さまざまなクラウドサービスを使うことが増えています。

たとえば、

・メール
・チャットツール
・オンラインストレージ
・会計ソフト
・顧客管理システム
・プロジェクト管理ツール

などです。

クラウドサービスは便利ですが、
誰が管理しているか分からないまま増えていくと、
アカウントや権限の管理が難しくなります。

そのため、

・新しいクラウドサービスを使うときは誰に確認するか
・管理者アカウントを誰が持つか
・外部共有を許可するか
・退職時にアカウントを停止するか
・個人契約のサービスを業務利用してよいか

といったルールを決めておくと安心です。

すべてを禁止する必要はありません。

重要なのは、
会社として把握できる状態にしておくことです。

まず決めたいルール④ 退職者・異動者対応

退職者や異動者への対応も、
社内ルールとして決めておきたい項目です。

退職時には、
引き継ぎや貸与品の返却に意識が向きがちですが、
アカウントやアクセス権限の停止も重要です。

たとえば、

・メールアカウント
・クラウドサービス
・チャットツール
・ファイル共有
・業務システム
・管理者権限

などを確認します。

退職者アカウントが残ったままになると、
本来アクセスできないはずの人が、
社内情報にアクセスできる状態が残る可能性があります。

そのため、
退職時に確認する項目を一覧にしておくことが有効です。

まず決めたいルール⑤ バックアップ

バックアップについても、
社内で最低限のルールを決めておくことが重要です。

たとえば、

・何のデータをバックアップするか
・どこに保存するか
・どのくらいの頻度で取るか
・誰が確認するか
・復旧できるかを確認するか

といった内容です。

バックアップは、
ランサムウェアや誤削除などが起きたときに、
業務を復旧するための重要な対策です。

ただし、
取っているだけでは十分とは限りません。

必要なデータが残っていて、
いざというときに戻せる状態になっていることが重要です。

まず決めたいルール⑥ 事故時の報告

セキュリティ事故が疑われる場合の報告ルールも重要です。

たとえば、

・怪しいメールを開いてしまった
・不審なログイン通知があった
・誤って外部にファイルを共有した
・端末がウイルス感染した可能性がある
・取引先から不審な連絡を受けた

といった場合です。

このようなとき、
誰に報告すればよいか決まっていないと、
対応が遅れることがあります。

最初から詳しい手順書を作る必要はありません。

まずは、
「何かおかしいと思ったら誰に連絡するか」
を決めておくだけでも、初動対応はしやすくなります。

ルールは作って終わりにしない

社内ルールは、
一度作って終わりではありません。

業務内容が変わったり、
新しいクラウドサービスを使い始めたり、
社員の入退社があったりすると、
必要なルールも変わります。

そのため、
定期的に見直すことが重要です。

難しく考える必要はありません。

まずは半年に一度、または年に一度でも、
現在の業務に合っているかを確認するとよいでしょう。

ルールは、
現場で守れないほど複雑にするよりも、
実際に続けられる内容にすることが大切です。

まず押さえたいポイント

最初は、次の3つを整理するだけでも十分です。

①日常業務で迷いやすい場面を洗い出す
②誰が判断するか、誰に確認するかを決める
③簡単なルールとして文書に残す

この3つができると、
社内での対応が揃いやすくなります。

すべてのルールを一度に作る必要はありません。

まずは、
アカウント管理、ファイル共有、事故時の報告など、
影響が大きいものから始めるのが現実的です。

まとめ

セキュリティ対策では、
ツールの導入だけでなく、
社内ルールを整えることも重要です。

ルールがない状態では、
人によって対応が変わり、
情報漏えいや不正アクセスにつながる可能性があります。

ただし、最初から立派な規程を作る必要はありません。

まずは、
パスワード、アカウント管理、ファイル共有、クラウド利用、退職者対応、バックアップ、事故時の報告など、
日常業務に関わる内容から整理することが現実的です。

重要なのは、
現場で無理なく続けられるルールを作ることです。

無料相談のご案内

社内のセキュリティルールをどこから整えればよいか迷っている場合は、
無料相談で現状を整理しながら進め方をご案内しています。

Shelltasでは、
専門的な内容も分かりやすく整理し、
中小企業でも無理なく運用できるルール作りを支援しています。

まずは現状整理からでも構いませんので、
お気軽にご相談ください。