中小企業が情報セキュリティポリシーを改定する際の見直し観点と社内承認フロー

「数年前に作った情報セキュリティポリシーが、今の社内の実態と全然合っていない」——そう感じながらも、改定の優先順位が上がらず後回しにしている経営者は少なくありません。法改正や生成AIの業務浸透が加速する2026年、古いままのポリシーを放置することは取引先審査やサイバー保険の適用要件で直接不利になります。

この記事では、情報セキュリティポリシーの改定が必要になる場面の見極め方から、見直しの6つの観点、社内承認フローの設計・実施手順まで、中小企業の経営者と情シス兼任担当者がすぐ着手できる形で解説します。改定前チェックリストも収録していますので、ぜひ手元に置いてご活用ください。

情報セキュリティポリシーの改定が求められる3つの背景

情報セキュリティポリシーは、一度作れば終わりではなく「生きた文書」として定期的に更新する必要があります。中小企業でポリシー改定が迫られる代表的な背景は次の3つです。

背景①：法令・ガイドラインの改訂
個人情報保護法は2022年の改正を皮切りに、2025年改正でも規定の強化が続いています。経済産業省の「サイバーセキュリティ経営ガイドライン」も2023年にVer.3.0へ改訂されました。自社のポリシーがこれらの最新版に準拠しているか確認する必要があります。法令改正のたびに文書を見直す運用を組み込んでいない企業は、気づかないうちに要件から逸脱している状態に陥りがちです。

具体的な影響として、個人情報保護法改正により「漏洩等事案の報告・通知義務」が強化されました。ポリシーにインシデント発生時の通知フローが記載されていない場合、担当者が何をいつ誰に報告すべきかを即座に判断できず、対応が遅れるリスクがあります。

背景②：取引先・委託先からのセキュリティ要求の強化
近年、大手企業や官公庁との取引では「取引先のセキュリティポリシーを提出してほしい」「ISMSまたはそれに準じた文書管理を証明してほしい」という要求が増えています。サプライチェーン攻撃が社会問題化したことで、親会社がグループ全体のセキュリティ水準を統一する動きが加速しているためです。古いポリシーのままでは、新規取引の入口で弾かれるケースが実際に起きています。

セキュリティ要求を受けた場合のBefore/Afterの例を示します。Before（改定前）：「2018年作成のポリシーを提示したが、テレワーク・クラウドサービス利用の規定が存在せず、取引先の審査で要再提出となった」→After（改定後）：「テレワーク時のアクセス管理・生成AIツールの利用可否・委託先管理の条件を追記し、翌年の審査は1回で通過した」。

背景③：社内の変化（人員・ツール・業務形態）
テレワークの定着、生成AIツールの業務利用開始、クラウドサービスへの移行など、ここ数年で中小企業の業務環境は大きく変わりました。ポリシーが「現場で実際にやっていること」と乖離している場合、従業員は形だけの遵守を行い、実質的なリスク管理が機能しなくなります。たとえばポリシーに「社内ネットワーク以外からの業務アクセス禁止」と書かれていても、全社的にテレワークを実施している実態と矛盾しているような状態では、文書は形骸化するだけです。

改定が必要なタイミングの目安は「前回改定から1年以上経過している」「法令改正があった」「組織体制が変わった」「インシデントが発生した」のいずれかが当てはまる場合です。

ポリシー改定で確認すべき6つの見直し観点

改定作業を始める前に、どの観点を軸に見直すかを整理しておくと作業効率が上がります。以下の6観点を順番にチェックすることで、抜け漏れを防ぐことができます。

観点1：法令・ガイドラインへの準拠状況
個人情報保護法、サイバーセキュリティ基本法、業種別法令（医療・金融等）、IPA「中小企業の情報セキュリティ対策ガイドライン」などの最新版と自社ポリシーを突き合わせます。変更点をリストアップして対応が必要な項目を洗い出すだけで、作業の全体像が見えてきます。確認に使う資料はIPA公式サイトから無料入手できます（2026年9月時点）。

観点2：組織・人員構成の変化
承認者として記載されている役職や氏名が現実と一致しているか確認します。「情報セキュリティ管理者：○○部長」と書かれていても、その方がすでに退職・異動していれば文書上の責任者が存在しない状態です。組織図の変更、在籍人数の増減、パート・派遣・業務委託スタッフの増加なども反映が必要です。ポリシーには個人名でなく役職名で記載することで、人事異動のたびに改訂する手間を省けます。

観点3：新技術・新ツールの導入状況
生成AI（ChatGPT等のクラウドサービス型AIツール）の業務利用、クラウドストレージの拡張、テレワーク環境の整備、BYOD（私物端末の業務利用）の変化などが対象です。特に生成AIについては「業務データを外部サービスに入力してよい範囲」を明文化していない企業が多く、従業員が個人判断で機密情報を入力するリスクが生じています。「社内専用AIのみ業務データを入力可、外部のクラウドサービス型AIには機密情報の入力を禁止する」といった規定を設けることが有効です。

観点4：過去のインシデント・ヒヤリハット事例の反映
フィッシングメールへの誤クリック、不審な添付ファイルの実行、ID・パスワードの使い回し発覚など、実際に社内で起きた事例や「危なかった」経験をポリシーに反映します。Before（発生前のポリシー）→After（反映後の規定）の形で更新すると、改定の根拠として経営者への説明にも使いやすくなります。ヒヤリハットが社内で共有される文化がない場合は、改定のタイミングで「過去1年間のIT関係ヒヤリハット報告書」を各部門から集める機会としても活用できます。

観点5：委託先・外部サービスの変更
クラウドサービス事業者の変更、業務委託先の追加・終了、システム開発業者との契約更新など、外部との関係性が変わった場合はポリシーの委託管理セクションを更新します。NDA（秘密保持契約）の有効期限や委託先へのセキュリティ要求事項も確認対象です。「委託先が自社のセキュリティ基準を満たしているか、年1回確認を行う」という手順を盛り込むことで、セカンダリリスクへの対応を体制に組み込めます。

観点6：リスクアセスメントの更新
ポリシーの根拠となるリスクアセスメントが古くなっていないか確認します。リスクアセスメントは「どのような脅威が存在するか→どの程度の損害が発生するか→どの対策を講じるか」を記録したものです。脅威の状況（ランサムウェアの手口、不正アクセスの頻度など）は毎年変化するため、アセスメントも連動して更新することが原則です。IPAの「情報セキュリティ10大脅威（2026年版）」を参照しながら自社の脅威リストを見直すと効率よく作業できます。

改定作業の進め方：4ステップ実践手順

6つの観点で確認事項が整理できたら、実際の改定作業に入ります。以下の4ステップが中小企業で実践しやすい標準的な流れです。

1. 現行ポリシーの棚卸しと差分確認

まず現行ポリシー文書を印刷またはPDFで手元に用意し、前述の6観点に沿って「変更が必要な箇所」「削除すべき記述」「追加が必要な項目」を色分けして印をつけます。この段階では書き直しは不要で、差分の洗い出しだけに集中します。

変更箇所が20か所以上に及ぶ場合は、全面改訂を検討してください。部分修正のつぎはぎが続くと文書の一貫性が失われ、かえって解釈の混乱を生みます。全面改訂の場合はIPA「中小企業の情報セキュリティ対策ガイドライン 第3.1版」の巻末テンプレートを基礎に使うと、条文の欠落を防ぎやすくなります。

所要時間の目安：担当者1名で2～3時間（既存ポリシーが10ページ以内の場合）。

2. 変更箇所の文書更新と影響範囲の整理

差分が確定したら文書を更新します。更新時に守るべきポイントは2つです。第一に「改定履歴」を文書の末尾または冒頭に追記します（改定日・改定者・主な変更点の3項目）。第二に、他の社内規程（就業規則、IT機器管理規程、テレワーク規程など）との整合性を確認します。情報セキュリティポリシーで「パスワードは8文字以上」と定め、別の規程で「6文字以上」と書かれているような矛盾が残らないようにします。

改定履歴の記載例：「2026年9月 Ver.3.0 改定。テレワーク時のアクセス管理規定（第5条）を追加。生成AIツールの利用範囲（第8条）を新設。担当：管理部　承認：代表取締役」という形式で記録します。

3. 社内ステークホルダーへのレビュー依頼

文書の更新が終わったら、最終承認前にステークホルダーのレビューを経ます。レビュー対象者の目安は「総務・人事責任者」「ITシステム担当者または情シス兼任」「部門長（営業・製造・経理など主要部門から1名ずつ）」の3層です。

レビュー依頼の際は「変更箇所のみを抜粋したサマリー」を1～2ページで用意すると、多忙な部門長でも短時間で確認できます。コメントは電子メールかWordのコメント機能で収集し、担当者が一元管理します。

所要時間の目安：レビュー期間1週間、コメント反映1日。

4. 最終承認と全社周知

コメントを反映した最終版を経営トップ（または指定の承認者）が承認し、全社に周知します。周知の方法として「全社メール送付＋共有フォルダへの格納＋次回全体会議での口頭説明」のセットが効果的です。単にメールで配布するだけでは「見ていない」「理解していない」という状態が生まれます。特に変更点が大きい場合は、5分程度の説明動画や要約1枚紙を添えることを推奨します。

全社周知後は「読了確認」を取得することが望ましく、社内メールへの返信やクラウドフォームへの回答で代替できます。取引先から「従業員への周知をどう担保しているか」と問われた際の証跡にもなります。

社内承認フローの3パターン比較

中小企業でよく採用される承認フローには、規模や意思決定スピードの違いに応じて3つのパターンがあります。自社の実態に合うパターンを選択してください。

パターン	承認者の構成	所要期間の目安	適する企業規模	特徴
A：代表者一人決裁型	経営トップのみ	1～3日	従業員20名以下	決定が速いが牽制機能が弱い。緊急インシデント後の改定に適する
B：管理部門レビュー型	情シス兼任→総務責任者→代表者	1～2週間	従業員20～100名	実態把握と経営判断のバランスが取れる。中小企業の標準的なフロー
C：委員会審議型	セキュリティ委員会→経営会議→代表者	1～2ヶ月	従業員100名以上	多くの部門の視点を反映できるが、時間がかかる。ISMS取得を視野に入れる企業向け

パターンBが多くの中小企業に適した標準解です。ただし「情シス兼任→総務責任者→代表者」という3段階のうち、担当者が1人で複数役を兼ねている場合は、実質的な牽制が働くよう外部の専門家（IT顧問・社労士・セキュリティコンサルタント）に1段階のレビューを依頼することも選択肢です。

承認フローを設計する際に押さえるべき要素は次の3点です。

・承認権限の明文化：誰が最終決裁者かをポリシー文書内に記載する。「代表取締役」「担当役員」など役職名で指定し、個人名は記載しない（人事異動のたびに文書改訂が不要になる）
・代理承認規定：最終承認者が不在の場合に誰が代理承認できるかを事前に定める。特に代表者が長期出張・休暇の際に改定が必要になるケースに備える
・緊急改定手順：インシデント発生時など、通常の承認フローを短縮して速やかに改定できる手続きを定める。「72時間以内に暫定改定→30日以内に正式改定」といった2段構えの手順を持つ企業が増えている

よくある質問

Q1：情報セキュリティポリシーの改定頻度は何年に1回が適切ですか？

一般的には年1回の定期レビューが推奨されています。ただし「法令改正」「インシデント発生」「組織・業務の大きな変化」があった場合は、その都度臨時改定を行うことが原則です。IPAの「中小企業の情報セキュリティ対策ガイドライン」でも年1回以上の見直しを推奨しています。規模の小さな会社では「毎年4月の年度初めに担当者が差分確認を行い、変更があれば経営トップが承認する」という運用が現実的です。

Q2：専門家に依頼しないと改定できませんか？

IPAが提供する「情報セキュリティポリシーサンプル」や「中小企業の情報セキュリティ対策ガイドライン」は無料で入手できます（2026年9月時点）。これらをベースに社内で改定することは十分可能です。ただし、ISMS取得を目指す場合や、取引先から高い水準の証明を求められている場合、過去にインシデントが発生している場合は、外部の情報セキュリティコンサルタントや弁護士・社労士に1段階のレビューを依頼することで、文書の論点整理と法的リスクの洗い出しを並行して進められます。

Q3：改定後、全従業員の署名（同意書）は必要ですか？

法的な義務規定はありませんが、実務上は「改定内容の読了確認書」または「電子同意」を取得しておくことを推奨します。理由は2つあります。第一に、従業員が「読んでいない・知らなかった」を主張した際の対応記録として機能します。第二に、取引先や監査機関から「従業員への周知をどのように担保しているか」と問われた際の証跡になります。紙の署名でなく、社内メールの「確認した旨の返信を収集する」またはクラウドサービスのフォーム回答で代替している企業も多くなっています。

Q4：改定した情報セキュリティポリシーはどこに保管すればよいですか？

最低限として「社内共有フォルダ（全従業員がアクセスできる場所）への格納」と「経営トップの手元への印刷版保管」の2か所が基本です。機密情報を含む内部版と、外部提示用の公開版（センシティブな箇所を省略した版）を分けて管理すると、取引先への提供がスムーズになります。改定前の旧版は「廃止済み」とわかる形でアーカイブし、有効版とはっきり区別できる状態を保ちます。

改定前チェックリスト

作業に入る前に以下を確認してください。全項目に「済」がついてから改定作業を開始することで、手戻りを防ぎます。

・現行ポリシーの最終改定日を確認済みか（1年以上前なら要改定）： 前回の改定日が文書内に明記されており、その日付を把握している
・法令・ガイドラインの最新版を取得済みか： IPA「中小企業の情報セキュリティ対策ガイドライン 最新版」および「個人情報保護法 2025年改正対応版」を手元に用意している
・変更が必要な箇所の差分リストを作成済みか： 6観点（法令・組織・新技術・インシデント・委託先・リスクアセスメント）それぞれについて確認メモを作成している
・承認フローに関わるステークホルダーに事前告知済みか： レビューを依頼する部門長・総務責任者・経営トップに改定スケジュールを共有している
・改定後の周知方法を決定済みか： 全社メール・共有フォルダ格納・会議での説明のうちどれを使うか、また読了確認の方法（返信メール・フォーム等）を事前に決めている
・他の社内規程との整合確認リストを用意済みか： 就業規則・IT機器管理規程・テレワーク規程・秘密保持誓約書との矛盾がないか確認する手順を組んでいる
・旧版のアーカイブ保管先を決定済みか： 廃止済みの旧版を有効版と区別できる場所（フォルダ名「廃止済み」等）に保管する場所を確保している

まとめ

情報セキュリティポリシーの改定は、一度作れば終わりではなく「定期的に現実に合わせる」継続作業です。改定を後回しにすることで生じるリスクは、社内での形骸化だけにとどまらず、取引先審査での不合格、サイバー保険の適用外判定、インシデント発生時の法的責任追及にまで発展します。

本記事でご紹介した手順をまとめると次のとおりです。

・改定が必要なタイミング：前回改定から1年以上経過・法令改正・組織変更・インシデント発生のいずれか
・見直しの6観点：法令/組織/新技術/インシデント/委託先/リスクアセスメント
・改定の4ステップ：棚卸し→文書更新→ステークホルダーレビュー→承認・周知
・承認フローの選択：20名以下はA型（代表者一人決裁）、20～100名はB型（情シス兼任→総務→代表者）、100名以上はC型（委員会審議）

「自社の現状に合ったポリシーへの整備を進めたいが、どこから手をつければよいかわからない」という場合は、当社の無料相談をご活用ください。情報セキュリティポリシーの改定支援から社内承認フローの設計まで、中小企業の実情に即した形でサポートします。

無料相談はこちら