情報セキュリティ規程とは？就業規則との違い・無料ひな形（IPA付録5）の使い方と「規程だけでは懲戒できない」理由【中小企業向け】
「情報セキュリティの規程を作りましょう」と言われて、ひな形を探しにいらしたのだと思います。
結論を先にお伝えします。規程を1本作るだけでは、ルールを破った社員を処分することはできません。懲戒の根拠は就業規則に置く必要があり、しかもその就業規則が従業員に周知されていなければ効力を持たない、というのが最高裁の判断です。
一方で、良い知らせもあります。規程・就業規則・誓約書という「紙」をそろえるだけで、法律に守ってもらえる場合があります。国の指針は、高度な技術的対策がなくても、就業規則や誓約書で情報の持ち出しを禁じているといった「規範的な管理措置」で足りる場合があると明記しています。実際に、アクセス制限が不十分でも就業規則と誓約書があったことを理由に、法的な保護を認めた裁判例もあります。
この記事では、情報セキュリティ規程と就業規則の役割の違い、IPAが無料で公開しているひな形の使い方、そして「派遣社員や取締役には就業規則が届かない」という中小企業がいちばん見落としやすい落とし穴まで、一次資料の原文にあたって整理します。
▶ 関連記事：セキュリティポリシーの作り方｜中小企業向けテンプレート解説
情報セキュリティ規程とは？──文書は「3階建て」で考える
情報セキュリティのルールは、1本の文書に全部書くものではありません。一般的には次の3階建てで整理します。上の階ほど短く抽象的で、下の階ほど長く具体的になります。
| 文書の階層 | 何を書くか | だれが読むか・使うか |
|---|---|---|
| ① 基本方針 （情報セキュリティポリシー） |
「当社は情報を守ります」という会社としての宣言。A4で1枚程度。社外に公開することもある | 経営者が定めて社外にも示す。SECURITY ACTION二つ星の要件でもある |
| ② 規程 （対策基準） |
守るべきルールを分野ごとに書く。パスワード、持ち出し、私物端末、教育、事故対応など | 全従業員が読む。この記事の主役 |
| ③ 手順書 （実施手順・マニュアル） |
「どのボタンを押すか」まで書いた作業レベルの手順 | 担当者・システム管理者が使う |
多くの中小企業がつまずくのは②です。①の基本方針はA4で1枚なので作れます。③の手順書は必要になったときに作ればよい。ところが②の規程は分量が多く、しかも「何を書けばいいのか」の答えが社内にないため、いつまでも着手できません。
本記事は、この②を最短で用意し、なおかつ実際に効き目のある状態にするところまでを扱います。効き目とは、(a)違反したときに会社として対応できること、(b)万一情報が漏れたときに法律に守ってもらえること、の2つです。
▶ 関連記事：サイバーセキュリティ経営ガイドラインとは？経営者の3原則・重要10項目と、社長が最初にやる7つのこと【中小企業向け】
就業規則と情報セキュリティ規程は、何が違う？
この2つは似ているように見えて、根拠となる法律も、及ぶ相手も、違反したときの効き方も違います。ここを混ぜてしまうと「規程は作ったのに何もできない」状態になります。
| 項目 | 就業規則 | 情報セキュリティ規程 |
|---|---|---|
| 根拠になる法律 | 労働基準法・労働契約法 | 法律上の作成義務はない（個人情報保護法や各種ガイドラインが整備を求めている） |
| 主な目的 | 労働条件と職場の秩序を定める | 情報の守り方を具体的に定める |
| 及ぶ相手 | その会社と労働契約を結んでいる労働者 | 会社が「適用範囲」として定めた人（派遣社員や役員も含められる） |
| 作成・届出の義務 | 常時10人以上の労働者がいれば作成し労働基準監督署へ届出（労働基準法第89条） | 法律上の届出義務はない |
| 違反したときの効き方 | 懲戒処分の根拠になる | それ自体では懲戒の根拠にならない |
| 変更のしやすさ | 意見聴取・届出・周知が必要で手続きが重い | 社内の決裁で改訂しやすい |
| 向いている役割 | 「違反したらどうなるか」を定める | 「何をどう守るか」を定める |
表の下から3行目が最大のポイントです。情報セキュリティ規程は、それ自体では懲戒の根拠になりません。だからこそ、規程と就業規則を「つなぐ」作業が必要になります。
つなぎ方は難しくありません。就業規則の服務規律に「会社が別に定める情報セキュリティ関連規程を遵守すること」という1行を入れ、懲戒事由に「前項に違反したとき」を加えるだけです。この1行があるかないかで、規程の性質がまったく変わります。
なぜ「規程を作っただけ」では懲戒できないのか？
理由は2つあります。1つは法律の条文、もう1つは最高裁の判例です。
① 懲戒の「種類と程度」は就業規則の記載事項
労働基準法第89条は、就業規則に書かなければならない事項を列挙しています。その第9号が次の内容です。
九 表彰及び制裁の定めをする場合においては、その種類及び程度に関する事項
（労働基準法第89条第9号）
「制裁」＝懲戒です。懲戒制度を設けるなら、その種類（戒告・減給・出勤停止・懲戒解雇など）と程度を就業規則に書きなさい、という条文です。逆に言えば、就業規則に書いていない懲戒処分は、そもそも制度として存在していないことになります。
② 最高裁は「あらかじめ就業規則に定めておくことを要する」と述べている
フジ興産事件（最高裁 平成15年10月10日 第二小法廷判決）は、この点をはっきり示した判例です。上司への暴言などで懲戒解雇された従業員が、その有効性を争いました。最高裁が示した判断の骨格は次の2点です。
- 使用者が労働者を懲戒するには、あらかじめ就業規則において懲戒の種別および事由を定めておくことを要する
- 就業規則が法的規範として拘束力を持つためには、その内容を、適用を受ける事業場の労働者に周知させる手続が採られていることを要する
この事件では、就業規則を労働者に周知させる手続が採られていたと認められませんでした。つまり「規則はあるが、金庫にしまってある」状態は、規則が無いのと同じに扱われるということです。
③ 就業規則に書いてあっても、重すぎる処分は無効になる
根拠を整えたうえで、処分の内容が相当でなければ無効になります。労働契約法第15条の条文です。
使用者が労働者を懲戒することができる場合において、当該懲戒が、当該懲戒に係る労働者の行為の性質及び態様その他の事情に照らして、客観的に合理的な理由を欠き、社会通念上相当であると認められない場合は、その権利を濫用したものとして、当該懲戒は、無効とする。
（労働契約法第15条）
整理すると、懲戒処分が有効になるには次の4つがそろっている必要があります。
| 条件 | 内容 | 根拠 |
|---|---|---|
| ① 根拠がある | 懲戒の種類と事由が就業規則に書かれている | 労働基準法第89条第9号／フジ興産事件 |
| ② 周知されている | その就業規則が従業員に周知されている | 労働基準法第106条／労働契約法第7条／フジ興産事件 |
| ③ 事由に当たる | 実際の行為が、書かれている事由に当てはまる | フジ興産事件 |
| ④ 重すぎない | 行為の性質・態様に照らして処分が相当である | 労働契約法第15条 |
よくある失敗は①と②です。「情報セキュリティ規程」には持ち出し禁止と書いてあるのに、就業規則側には何も書いていない。あるいは就業規則は総務のキャビネットにあるだけで、社員は見たことがない。この状態では、明らかな違反があっても会社は動けません。
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】
懲戒の種類は、何段階そろえておく？
就業規則に「懲戒する」とだけ書いても足りません。労働基準法第89条第9号が求めているのは「その種類及び程度」です。一般的には軽いものから重いものへ、次のような段階を用意します。
| 種類 | 内容 | 情報セキュリティで使う場面の目安 |
|---|---|---|
| けん責・戒告 | 始末書の提出などにより、将来を戒める | 規程違反はあったが、実害が出ていない場合 |
| 減給 | 賃金を減額する | 注意しても違反が繰り返される場合 |
| 出勤停止 | 一定期間の就労を禁止し、その間の賃金を支払わない | 重要な情報を無断で持ち出した場合など |
| 降格 | 役職や等級を下げる | 管理職が部下の違反を放置していた場合など |
| 懲戒解雇 | 雇用契約を解消する | 故意による情報の持ち出しや、重大な背信行為 |
減給を定める場合には、金額の上限が法律で決まっています。
就業規則で、労働者に対して減給の制裁を定める場合においては、その減給は、一回の額が平均賃金の一日分の半額を超え、総額が一賃金支払期における賃金の総額の十分の一を超えてはならない。
（労働基準法第91条）
段階を用意していない就業規則がいちばん危険です。「懲戒解雇」しか書いていないと、軽い違反に対して重すぎる処分しか選択肢がなく、労働契約法第15条の「社会通念上相当」を満たせません。結果として、会社は何もできずに見過ごすことになります。軽い段階から用意しておくことが、実際に運用できる規則にする条件です。
あわせて、就業規則に定められていない事由による懲戒処分は無効になります。「情報セキュリティ関連規程に違反したとき」という事由を1行入れておくことが、この記事で繰り返しお伝えしている理由です。
規程は労働基準監督署に届け出る必要がある？
よく聞かれる点なので先に整理します。労働基準法第89条は、届出義務の対象を次のように定めています。
常時十人以上の労働者を使用する使用者は、次に掲げる事項について就業規則を作成し、行政官庁に届け出なければならない。次に掲げる事項を変更した場合においても、同様とする。
（労働基準法第89条）
つまり就業規則の作成・届出義務は「常時10人以上」からです。あわせて、作成・変更するときは労働者の過半数を代表する者などの意見を聴き、その意見を記した書面を添付する必要があります（同法第90条）。
| 文書 | 届出 | 手続き |
|---|---|---|
| 就業規則（本体） | 常時10人以上なら必要 | 意見聴取と意見書の添付が必要 |
| 情報セキュリティ規程（独立した社内規程として作る場合） | 法律上の届出義務はない | 社内の決裁で改訂できる |
| 情報セキュリティ規程（就業規則の一部＝付属規程として作る場合） | 就業規則の一部として届出の対象になり得る | 就業規則の変更と同じ手続きが必要になり得る |
3行目は実務上の判断が分かれるところです。情報セキュリティ規程を「就業規則の一部（付属規程）」として位置づけるのか、「独立した社内規程」として位置づけるのかで手続きの重さが変わります。独立した社内規程としたうえで、就業規則側から参照する（＝遵守義務と懲戒事由の1行を置く）形が、中小企業にはいちばん扱いやすいと考えていますが、自社の就業規則の書き方によって結論が変わります。最終的な判断は社会保険労務士、または所轄の労働基準監督署にご確認ください。
「周知」はどこまでやれば足りる？
前の章で見たとおり、周知されていない規則は効力を持ちません。労働基準法第106条は、周知の方法を次のように定めています。
使用者は、この法律及びこれに基づく命令の要旨、就業規則、（中略）を、常時各作業場の見やすい場所へ掲示し、又は備え付けること、書面を交付することその他の厚生労働省令で定める方法によつて、労働者に周知させなければならない。
（労働基準法第106条第1項）
さらに労働契約法第7条は、周知を「労働契約の内容になるかどうか」の条件にしています。
労働者及び使用者が労働契約を締結する場合において、使用者が合理的な労働条件が定められている就業規則を労働者に周知させていた場合には、労働契約の内容は、その就業規則で定める労働条件によるものとする。
（労働契約法第7条）
実務としては、次のいずれかを「いつやったか」の記録とともに残しておけば十分です。費用はかかりません。
- 社内の共有フォルダやグループウェアの、全員がアクセスできる場所に置く（置き場所を全員に案内する）
- 全従業員へメールで送り、送信記録を残す
- 見やすい場所に掲示する、または各作業場に紙で備え付ける
- 入社時と改訂時に説明し、受講記録または受領の記録を残す
大事なのは「置いた」ではなく「置いたことを伝え、伝えた記録が残っている」ことです。争いになったときに会社が示せるのは記録だけです。
無料のひな形はある？──IPAの付録5をそのまま使う
あります。IPA（情報処理推進機構）が「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日公開）の付録5「情報セキュリティ関連規程（サンプル）」をWord形式で無料公開しています。約59ページの規程一式で、赤字が自社の役職名などに書き換える箇所、青字が自社の事情に応じて選択する箇所という形になっています。
中身は次の4章構成です。「何を書けばいいか分からない」という悩みは、この目次を見た時点でほぼ解決します。
| 章 | 扱う内容 |
|---|---|
| 1 組織的対策 | 情報セキュリティのための管理体制の構築や点検、情報共有／情報資産の管理や持ち出し方法、破棄／アクセス制御方針や認証／業務委託にあたっての選定や契約、評価／事故対応や事業継続管理 |
| 2 人的対策 | 取締役及び従業員の責務や教育、人材育成／テレワークのセキュリティ対策 |
| 3 物理的対策 | セキュリティを保つべきオフィス、部屋及び施設などの領域設定や領域内での注意事項 |
| 4 技術的対策 | IT機器やソフトウェアの利用、サーバーやネットワーク等のITインフラ／バックアップ、リストア手順／独自に開発及び保守を行う情報システム |
注目すべきは第2章「人的対策」の章立てです。就業規則との接続がここに現れます。
| 人的対策の項目 | 内容 |
|---|---|
| 1. 雇用条件 | 採用時に何を約束させるか |
| 2. 従業員の責務 | 規程の遵守義務と、違反したときの扱い |
| 3. 雇用の終了 | 退職時に何を回収し、何を確認するか |
| 4. 情報セキュリティ教育 | 4.1 計画（テーマ・実施頻度・実施方法・対象者）／4.2 教育の記録 |
| 5. 人材育成 | 推奨資格（ITパスポート試験、情報セキュリティマネジメント試験など） |
| 6. テレワークにおける対策 | 利用する機器・システム、私有機器の扱い、自宅と外出先のWi-Fi、勤務中のルール |
IPAのひな形自身が「懲戒は就業規則に準じる」と書いている
この記事の主張は私見ではありません。IPAの規程サンプルの「2. 従業員の責務」には、次の一文がそのまま入っています。
従業員は、当社の情報セキュリティ基本方針及び関連規程を遵守する。違反時の懲戒については、就業規則に準じる。
（IPA「中小企業の情報セキュリティ対策ガイドライン 付録5 情報セキュリティ関連規程（サンプル）」より）
さらにこの直後には、編集時の注意として「懲戒について規定する場合は、（厚生労働省の）『労働契約法のあらまし』などを参考にしてください」という案内と、厚生労働省サイトへのリンクが添えられています。
つまり公的なひな形そのものが、懲戒の部分を就業規則に投げているのです。ひな形をダウンロードして社名を入れて終わりにすると、いちばん肝心な「違反したらどうなるか」が空欄のまま残ります。
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】
規程は誰に適用される？──就業規則が届かない人がいる
ここが中小企業でもっとも見落とされる論点です。IPAのひな形は、第1章の適用範囲を次のように書いています。
適用範囲：全社・全従業員（取締役、社員、派遣社員、パート・アルバイトを含む）
（IPA 付録5「1 組織的対策」の適用範囲欄）
取締役と派遣社員が入っている点に注目してください。ところが就業規則は、その会社と労働契約を結んでいる労働者にしか及びません。取締役は委任関係、派遣社員は派遣元との労働契約、業務委託先は請負や委任です。つまり守ってほしい人の範囲と、就業規則が届く範囲がズレています。
| 立場 | 就業規則は及ぶか | では何で縛るか | 個人情報保護法の「従業者」に当たるか |
|---|---|---|---|
| 正社員・契約社員・パート・アルバイト | 及ぶ | 就業規則＋規程＋誓約書 | 当たる |
| 派遣社員 | 及ばない（労働契約は派遣元と） | 労働者派遣契約に秘密保持等の条項を入れる＋本人から誓約書を取る | 当たる |
| 取締役・監査役 | 及ばない（委任関係） | 役員規程・誓約書＋会社法上の善管注意義務 | 当たる |
| 業務委託先・フリーランス | 及ばない | 業務委託契約＋秘密保持契約（NDA） | 原則当たらない（委託先の監督の話になる） |
| 委託先の従業員 | 及ばない | 委託契約と委託先の管理を通じて（個人情報保護法第25条） | 委託先側の従業者 |
派遣社員について補足します。派遣先の就業規則は派遣社員に適用されないため、派遣先のルールを守ってもらうには労働者派遣契約のなかで定める必要があります。労働者派遣法は派遣契約に秘密保持義務を定めることを義務づけていないので、契約書に入っていないことも珍しくありません。派遣を受け入れているなら、契約書を一度確認してください。
取締役についても同じ構造です。就業規則は及びませんが、経営者・役員は会社法上の善管注意義務を負い、体制整備を怠って損害が生じれば損害賠償責任を問われ得ます。
▶ 関連記事：委託先・外注先のセキュリティ管理はどこまで必要？個人情報保護法25条の監督義務と2026年改正・中小企業がやる7つのこと
法律は、規程について何を求めている？
情報セキュリティ規程そのものを義務づける法律はありません。しかし個人情報を扱う会社（＝ほぼすべての会社）には、次の条文が直接効いてきます。
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない。
（個人情報保護法 第24条）
注目すべきは「従業者」の定義です。個人情報保護委員会のガイドライン（通則編）は次のように書いています。
「従業者」とは、個人情報取扱事業者の組織内にあって直接間接に事業者の指揮監督を受けて事業者の業務に従事している者等をいい、雇用関係にある従業員（正社員、契約社員、嘱託社員、パート社員、アルバイト社員等）のみならず、取締役、執行役、理事、監査役、監事、派遣社員等も含まれる。
前の章で見た「就業規則が届かない人」がここに全部入っています。だからこそ、就業規則だけ、あるいは規程だけでは足りず、契約や誓約書と組み合わせる必要があるのです。
「規程を作った」だけでは監督義務を果たしたことにならない
同じガイドラインは、監督義務を果たしていない事例を2つ挙げています。この2件が、この記事でいちばん覚えて帰っていただきたい部分です。
| 必要かつ適切な監督を行っていない事例（ガイドライン記載） | |
|---|---|
| 事例1 | 従業者が、個人データの安全管理措置を定める規程等に従って業務を行っていることを確認しなかった結果、個人データが漏えいした場合 |
| 事例2 | 内部規程等に違反して個人データが入ったノート型パソコン又は外部記録媒体が繰り返し持ち出されていたにもかかわらず、その行為を放置した結果、当該パソコン又は当該記録媒体が紛失し、個人データが漏えいした場合 |
2件に共通しているのは、どちらも「規程はあった」ことです。事例1は規程どおり動いているかを確認しなかった、事例2は違反に気づいていたのに放置した。規程を作ったこと自体は免責になりません。問われるのは「守られているかを見ていたか」です。
あわせて、同ガイドラインは人的安全管理措置の手法の例として、次を挙げています。従業員100人以下の中小規模事業者でも、例示は同じ内容です。
・個人データの取扱いに関する留意事項について、従業者に定期的な研修等を行う。
・個人データについての秘密保持に関する事項を就業規則等に盛り込む。
国のガイドラインが、手法の例として明示的に「就業規則」を挙げています。就業規則への1行追加は、法令対応としても正攻法です。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】
規程があると、法律に守ってもらえる？
ここが、費用をかけられない会社にとっていちばん重要な話です。答えは「守ってもらえる場合があります」。
自社の顧客リストや設計図を持ち出された場合、不正競争防止法の「営業秘密」として保護されれば、差止めや損害賠償を請求できます。ただし保護されるには3つの要件（秘密管理性・有用性・非公知性）を満たす必要があり、実務でつまずくのはほぼ「秘密管理性」です。
経済産業省の「営業秘密管理指針」（令和7年3月31日改訂）は、秘密管理措置として何が想定されるかを次のように書いています。
必要となる秘密管理措置としては、主として、媒体の選択や当該媒体への表示、当該媒体に接触する者の限定、営業秘密と他の情報との分別管理、営業秘密たる情報の種類・類型のリスト化、就業規則や秘密保持契約（あるいは誓約書）などの規程等において守秘義務を明らかにする、従業員への研修・啓発が想定される。
そして中小企業にとって決定的なのが、次の一文です。
例えば、情報の性質に関して、当該営業秘密保有者にとって重要な情報であり、当然に秘密として管理しなければならないことが従業員にとって明らかな場合には、（中略）会社のパソコン等へログインするためのIDやパスワードなどにより秘密情報へのアクセスが制限されているといった程度の技術的な管理措置や、就業規則や誓約書において当該情報の漏えいを禁止しているといった規範的な管理措置で足りる場合もある。
つまり高価な仕組みを入れていなくても、「規程・就業規則・誓約書」という紙と、IDとパスワードによるアクセス制限があれば、法的な保護を受けられる場合があるということです。実際の裁判例も同じ方向を示しています。
| 裁判例 | 判断のポイント |
|---|---|
| 大阪地判 平成30年3月5日 | アクセス制限の程度が明らかでなく、物理的な管理が徹底されていたとはいいがたい事情があっても、就業規則で顧客情報の開示等を禁止し、退職従業員にも漏えいしないことを誓約させていたという「規範的な管理」がなされていたこと等を踏まえ、秘密管理性を肯定 |
| 大阪高判 平成20年7月18日 | 情報の重要性、開示されていたのが従業員11名に過ぎなかったこと、退職する直前に秘密保持の誓約書を提出させていたこと等を斟酌し、秘密管理性を肯定 |
| 東京地判 平成14年12月26日 | 施錠棚への保管やコピーの制限・回収、秘密表示がなされていなかったが、従業員との秘密保持契約、当該情報の管理に係る一般的な注意喚起等の事情を斟酌し、秘密管理性を肯定 |
3件はいずれも、技術的・物理的な管理が万全ではありませんでした。それでも保護されたのは、就業規則・誓約書・秘密保持契約という「紙」があったからです。
逆を考えると怖い話です。規程も誓約書もない状態で顧客リストを持ち出されると、秘密管理性を満たせず、不正競争防止法での差止めも損害賠償も難しくなります。紙が無いことのコストは、事故が起きてから請求書として届きます。
▶ 関連記事：情報漏洩対策ソフト（DLP）の費用はいくら？料金相場と製品比較・補助金で抑える方法【中小企業向け】
従業員のパソコンやメールを見てよい？
「規程どおり守られているか確認する」となると、必ず出てくる質問です。個人情報保護委員会は、従業者を対象とするモニタリング（ビデオやオンラインによる監視）を実施する場合の留意点として、次を挙げています。
- モニタリングの目的をあらかじめ特定したうえで、社内規程等に定め、従業者に明示すること
- モニタリングの実施に関する責任者と、その権限を定めること
- あらかじめ実施に関するルールを策定し、その内容を運用者に徹底すること
- モニタリングが適正に行われているか、確認を行うこと
また、モニタリングに関して個人情報の取扱いに係る重要事項等を定めるときは、あらかじめ労働組合等に通知して必要に応じ協議を行うことが望ましく、定めたときは従業者に周知することが望ましいとされています。
実務上の結論はシンプルです。「見ている」ことを先に規程に書いて、全員に伝えておく。この順番を守れば、操作ログの取得もWebアクセスの記録も無理なく運用できます。逆に、何も書かずに黙って記録を取り、問題が起きてから持ち出すと、その記録の使い方自体が争点になりかねません。
ログは「取っていること」を伝えておかないと、証拠として使いにくくなるだけでなく、従業員との信頼関係も損ないます。規程に書く → 全員に伝える → 記録を残すの順番を必ず守ってください。
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
中小企業がそろえる文書は、結局いくつ？
3つです。それ以上は必要ありません。
| 文書 | 役割 | だれに効くか | 費用 |
|---|---|---|---|
| ① 情報セキュリティ規程 | 何をどう守るかを具体的に書く | 適用範囲に書いたすべての人 | IPA付録5のひな形で0円 |
| ② 就業規則への1行追加 | 規程の遵守義務と、違反したときの懲戒事由を定める | 労働契約を結んでいる労働者 | 0円（改訂手続きのみ） |
| ③ 誓約書（入社時・退職時） | 本人の署名で個別に約束させる | 労働者・派遣社員・役員・業務委託先 | 印刷代のみ |
②と③が、この記事でいちばんお伝えしたい部分です。①のひな形は無料で手に入るのに、②と③が抜けているために「作ったのに効かない規程」になっている会社が多くあります。
③の誓約書は、入社時だけでなく退職時にも取るのが実務のポイントです。前章で挙げた大阪高判 平成20年7月18日は、退職する直前に秘密保持の誓約書を提出させていたことが、秘密管理性を肯定する事情として考慮されています。
▶ 関連記事：退職者のアカウント、ちゃんと削除していますか？情報漏洩リスクを解説
規程はどんな順番で作ればいい？
7つの手順に分けました。1から6までは、ほとんど費用がかかりません。
| 順番 | やること | 使える無料の資料 | 費用の目安 |
|---|---|---|---|
| 1 | 守るべき情報を書き出す（顧客情報・図面・見積・人事情報など）。台帳にする | IPA付録6「資産管理台帳（サンプル）」 | 0円 |
| 2 | 基本方針をA4で1枚つくる | IPA付録2「情報セキュリティ基本方針（サンプル）」 | 0円 |
| 3 | 規程のひな形をダウンロードし、赤字・青字を自社に合わせて書き換える | IPA付録5「情報セキュリティ関連規程（サンプル）」 | 0円 |
| 4 | 就業規則に遵守義務と懲戒事由の1行を入れる | 厚生労働省「モデル就業規則」 | 0円（社労士に依頼する場合は別途） |
| 5 | 周知する。置き場所を全員に案内し、案内した記録を残す | ― | 0円 |
| 6 | 入社時・退職時の誓約書の運用を始める | ― | 印刷代のみ |
| 7 | 守られているかを確認する仕組みを入れる（教育の記録・操作ログ） | ― | 月額の製品費用（次章） |
注意点は、順番を飛ばさないことです。1（何を守るか）を決めずに3（規程）から始めると、自社に合わない条文が残り、結局守られません。
また、4を「面倒だから後で」にすると、この記事の冒頭に戻ってしまいます。4は1行の追加です。3の作業よりはるかに軽いので、必ずセットで終わらせてください。
▶ 関連記事：生成AI業務利用ガイドラインの作り方｜ChatGPT・Copilotの情報漏洩リスクと社内ルールの実装手順
規程に必ず入れたい項目は？
ひな形は網羅的ですが、中小企業で事故につながりやすいのは次の12項目です。自社の規程にこれらが入っているか確認してください。
| 項目 | 書いておくこと | 関連する記事 |
|---|---|---|
| 適用範囲 | 正社員だけでなく、派遣社員・パート・アルバイト・役員を含めるか | ― |
| アカウントとパスワード | 1人1アカウント、共有禁止、多要素認証、退職時の削除期限 | パスワードポリシー |
| 情報の持ち出し | USB・外付けHDD・紙・私用メール転送・クラウド保存の可否と手続き | 内部不正の手口 |
| 私物端末（BYOD） | 業務利用の可否、条件、退職時のデータ削除 | BYODのルール |
| テレワーク | 使ってよい機器とサービス、自宅と外出先のWi-Fi、離席時の画面ロック | 法人スマホの対策 |
| 生成AIの利用 | 入力してよい情報の範囲、使ってよいサービス | 生成AI利用ガイドライン |
| ログの取得とモニタリング | 何を記録するか、誰が見るか、保存期間 | ログの保持期間 |
| 教育 | テーマ・頻度・対象者と、受講記録を残すこと | セキュリティ教育 |
| 事故が起きたときの連絡 | 誰に、いつまでに報告するか（第一報の宛先を1人に決める） | 初動対応チェックリスト |
| 委託先の管理 | 委託先の選定基準、契約に入れる条項、再委託の扱い | 委託先の管理 |
| マイナンバー（特定個人情報） | 誰が扱うか、どこに保管するか、いつ廃棄するか。番号法で別に安全管理措置が求められる | ― |
| 社外での言動・SNS | カフェや電車での業務の会話、SNSへの投稿、家族への情報の持ち出し | ― |
とくに「教育」の欄に受講記録を残すことまで書いておくのが要点です。IPAのひな形も「4.2 教育の記録」として、取組実施状況を記録し保管することを求めています。記録がなければ、教育をしたことを外部に示せません。
下の2項目も見落とされがちです。マイナンバーは給与計算をしている会社なら必ず扱っているうえ、番号法で個人情報保護法とは別に安全管理措置が求められています。社外での言動も同じです。情報漏えいは、システムからの流出だけでなく、電車やカフェでの業務の会話やSNSへの投稿といった、就業時間外の何気ない行動から起きることがあります。規程に一文入れておくだけで、社員が「これは言ってはいけないことだ」と判断できるようになります。
作った規程が守られているかは、どう確認する？
個人情報保護委員会が挙げた「監督を行っていない事例」は、どちらも確認しなかった／放置したケースでした。裏を返せば、確認の記録が残っていることが守りになります。
確認する対象は、大きく3つに分かれます。
| 確認すること | どうやって確認するか | 人の手でやる場合の負担 |
|---|---|---|
| 読んで理解したか | eラーニングの受講記録、テストの点数、標的型メール訓練の開封率 | 紙のテストを配って集計＝担当者が数日 |
| ルールどおりに操作しているか | 操作ログ、USB接続の記録、印刷ログ、Webアクセスの記録 | 端末を1台ずつ見に行くのは事実上不可能 |
| ルール外のことをしていないか | 未許可ソフトの検出、私物端末の接続検知、未許可クラウドの利用検知 | 気づいた人の申告に依存＝ほぼ機能しない |
1つ目は人の手でもできますが、2つ目と3つ目は仕組みがないと確認そのものが成立しません。「持ち出し禁止」と書いた規程を持っていても、持ち出されたかどうかを知る手段がなければ、ガイドラインの事例1（確認しなかった）と同じ状態です。
▶ 関連記事：ひとり情シス・情シス不在の会社はセキュリティをどう回す？中小企業の約7割が「各自の対応」という現実と、優先順位・費用・外部の使い方【中小企業向け】
規程の運用に使える製品を比較すると？
当社で取り扱っている製品を、「規程のどの部分を支えるか」という視点で並べました。すべてを入れる必要はありません。まずは教育の記録と操作ログの2つから始めるのが、費用対効果のもっとも高い順序です。
| 項目 | セキュリオ | LANSCOPE エンドポイントマネージャー | ISM CloudOne | i-FILTER@Cloud | PCセキュリティみまもりパック |
|---|---|---|---|---|---|
| 何をするもの | セキュリティ教育・訓練 | IT資産管理・操作ログ | エンドポイント統合管理 | Webフィルタリング | 運用おまかせの端末対策 |
| 規程のどこを支えるか | 人的対策「教育の記録」 | 組織的対策「取扱状況の確認」 | 組織的対策「取扱状況の確認」 | 情報の持ち出し（Web経路） | 全体の運用（担当者不在の受け皿） |
| 主な機能 | eラーニング130種類以上／標的型攻撃メール訓練／セキュリティ意識のスコア化／受講状況の自動集計 | ハード・ソフトの自動棚卸／操作ログ／記録メディア制御／ソフトウェア利用禁止／プリントログ | 操作ログ10種類以上／外部デバイス制御（利用申請ワークフロー）／脆弱性診断／SaaS管理 | ホワイト運用のURLフィルタ／Webサービス制御（ログイン・書き込み・アップロードを操作単位で制御）／AIチャットフィルター | ウイルス対策／修正プログラムの適用状況の監視／脅威分析と対処方法の通知／技術者の駆けつけによるマルウェア駆除 |
| 初期費用（税別） | 100,000円 | 30,000円／契約 | 30,000円 | ― | 0円 |
| 月額（税別） | 50名以下 18,000円／50名超 1人360円〜 | 1台500円（プランIII・ベーシック）／ライトA 300円・ライトB 400円 | 1台600円〜360円（基本機能・階段制） | 1ユーザー600円〜（標準）／500円〜（有害情報対策版） | 1台 750円 |
| 記録の残り方 | 受講・訓練の履歴が自動で残る | 操作ログを標準2年（最大5年）保存 | 検索90日／DB365日／アーカイブ12か月 | Webアクセスと操作のログ（保存期間はオプション） | 脅威分析と対処の通知 |
| 中小企業での使いどころ | 「教育をした」ことを記録として示せる | 「持ち出しを確認していた」ことを示せる | 申請ワークフローで例外運用を記録に残せる | 「見ていた」「止めていた」を操作単位で示せる | 「見る人がいない」状態でも最低限の運用が回る |
| 注意点 | 50名以下は1人あたりの単価が割高になる | 導入時に端末へのインストールが必要 | オプションを足すと単価が上がる | 10ユーザー以上・年間契約が前提 | Windowsのみ／細かい管理は自社ではできない |
| サイバー保険 | ― | ― | ― | ― | 自動付帯（端末調査・情報漏洩調査の費用） |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
選び方の目安をお伝えします。
- まず1つだけなら、教育の記録（セキュリオ）です。規程は「読ませて理解させた記録」がないと運用が始まりません
- 持ち出しが心配なら、操作ログと記録メディア制御（LANSCOPE または ISM CloudOne）。USBや印刷の記録が残ります
- クラウドへの持ち出しが心配なら、Webサービス制御（i-FILTER@Cloud）。閲覧は許可してアップロードだけ止める、といった制御ができます
- 見る人がいないなら、運用おまかせの端末対策（PCセキュリティみまもりパック）
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方【中小企業向け】
費用はいくらかかる？補助金は使える？
文書をそろえる部分は、ほぼ費用がかかりません。IPAのひな形は無料で、就業規則への1行追加も社内の手続きだけです。費用が発生するのは「守られているかを確認する仕組み」からです。
従業員30名・パソコン30台のモデルで試算します（いずれも税別）。
| 項目 | 費用 |
|---|---|
| 情報セキュリティ規程（IPA付録5のひな形を利用） | 0円 |
| 就業規則への1行追加（社内で対応する場合） | 0円 |
| 誓約書（入社時・退職時） | 印刷代のみ |
| セキュリオ ARライト（50名以下） | 初期100,000円＋月18,000円＝年216,000円 |
| LANSCOPE エンドポイントマネージャー（プランIII ベーシック 500円／台×30台） | 初期30,000円＋月15,000円＝年180,000円 |
| i-FILTER@Cloud（標準600円×30ユーザー） | 月18,000円＝年216,000円 |
| 合計 | 初年度 約742,000円（月約61,800円）／2年目以降 年612,000円（月51,000円） |
この金額を、事故が起きたあとの費用と比べてみてください。当社で扱っているマルウェア感染調査サービスは300台までで298,000円、詳細レポートは別途500,000円で、合わせて798,000円です。1年分の予防費用とほぼ同じ金額が、1回の調査で出ていきます。
しかも重要なのは金額ではありません。操作ログが残っていなければ、調査を依頼しても「何を持ち出されたか特定できない」という結論しか出ないということです。そうなると、取引先への説明も、個人情報保護委員会への報告も、書けるものがなくなります。
補助金は使えます
セキュリティ製品の導入にはデジタル化・AI導入補助金2026が使える場合があります。
- 補助額は最大450万円、補助率は原則2分の1、小規模事業者は要件を満たせば最大5分の4
- セキュリティ対策推進枠は5万円〜150万円（小規模事業者3分の2、中小企業2分の1）。サービス利用料は最大2年分が対象
- 対象はIPA「サイバーセキュリティお助け隊サービスリスト」掲載サービスのうち、IT導入支援事業者が登録したものに限られます
- 申請にはSECURITY ACTIONの自己宣言IDとGビズIDが必要です
補助金の要件・補助率・締切は年度ごとに変わります。とくに交付決定前に発注・契約したものは対象外になるため、導入を決める前にご相談ください。最新の内容は公募要領でご確認いただくか、当社までお問い合わせください。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】
よくある質問（Q&A）
Q. 従業員が10名未満でも規程は必要ですか？
A. 必要です。就業規則の作成・届出義務は常時10人以上からですが、個人情報保護法第24条の従業者の監督義務は人数に関係なく適用されます。また、営業秘密として法的な保護を受けるための「秘密管理性」も、人数では免除されません。
むしろ人数が少ない会社ほど、1人が広い範囲の情報に触れているため、1件の持ち出しで受ける打撃が大きくなります。10名未満なら就業規則の届出は不要ですが、規程と誓約書はぜひ用意してください。
Q. 就業規則に全部書いてしまってはいけませんか？
A. 書くことはできますが、おすすめしません。情報セキュリティのルールは、クラウドサービスの変更や新しい脅威に応じて頻繁に見直す必要があります。就業規則に直接書き込むと、そのたびに意見聴取と届出の手続きが発生します。
就業規則には「会社が別に定める情報セキュリティ関連規程を遵守すること」と「これに違反したときは懲戒の対象とする」の2点だけを置き、中身は規程側で改訂する形が、手間と実効性のバランスが良い方法です。
Q. IPAのひな形をそのまま使ってもいいですか？
A. そのまま使うのは避けてください。ひな形は赤字が自社の役職名などに書き換える箇所、青字が選択する箇所として作られており、書き換えを前提にした文書です。
また、自社にない仕組み（たとえば入退室管理システム）が書かれたまま残ると、「規程に書いてあるのにやっていない」状態になります。これは規程が無いより悪い状況です。できないことは削るのが正しい使い方です。
Q. 派遣社員やアルバイトはどう扱えばいいですか？
A. アルバイト・パートは労働契約があるので、就業規則の適用範囲に含めれば足ります。派遣社員は労働契約が派遣元にあるため、派遣先の就業規則は適用されません。
そのため、(1)労働者派遣契約に秘密保持や情報の取扱いに関する条項を入れる、(2)本人から誓約書を取る、の2つで対応します。労働者派遣法は派遣契約に秘密保持義務を定めることを義務づけていないため、既存の契約書に入っていないことも珍しくありません。一度ご確認ください。
Q. 規程に違反した社員を、すぐ懲戒解雇できますか？
A. できません。懲戒処分が有効になるには、(1)懲戒の種類と事由が就業規則に定められている、(2)その就業規則が周知されている、(3)実際の行為が定めた事由に当たる、(4)処分が行為の性質・態様に照らして相当である、の4つが必要です。
とくに(4)については、労働契約法第15条が「客観的に合理的な理由を欠き、社会通念上相当であると認められない場合」は懲戒を無効とすると定めています。懲戒解雇はもっとも重い処分ですので、事実確認と処分の選択は慎重に進め、社会保険労務士や弁護士にご相談ください。
Q. 規程を作っても誰も読みません。どうすればいいですか？
A. 「読ませる」より「触れる回数を増やす」ほうが現実的です。順番としては、(1)入社時の説明を必ず入れる、(2)全文を読ませるのではなく、月1回・数分のeラーニングやテストに分解して配信する、(3)受講記録を残す、の3段構えです。
この方法なら従業員の負担は月に数分で済み、会社としては「教育を実施した記録」が残ります。IPAのひな形も「4.2 教育の記録」として、実施状況を記録し保管することを求めています。読んだ形跡が残っていることが、規程の実効性そのものです。
Q. まず何から相談すればいいですか？
A. 次の3点をお知らせいただければ、その場でおおよその方向をお伝えできます。
(1)就業規則があるか、そこに情報セキュリティに関する記載があるか、(2)従業員数と、派遣社員・業務委託先がいるか、(3)いま操作ログや教育記録を取っているか。
規程の文面そのものは無料のひな形で用意できますので、当社では就業規則との接続の確認と、守られているかを確認する仕組みづくりを中心にご支援しています。労務の手続きが必要な場合は、社会保険労務士のご紹介も可能です。
まとめ｜規程は「作る」より「つなぐ」ほうが大事
情報セキュリティ規程は、IPAが無料で公開している付録5のひな形を書き換えれば、費用をかけずに用意できます。
ただし、それだけでは違反した社員に何もできません。懲戒の根拠は就業規則に置く必要があり、しかもその就業規則は従業員に周知されていなければ効力を持たない、というのが最高裁の判断でした。
やることは1行の追加です。就業規則の服務規律に「会社が別に定める情報セキュリティ関連規程を遵守すること」を入れ、懲戒事由に「これに違反したとき」を加える。この作業のほうが、規程本体を作るよりはるかに軽くて、効果が大きいのです。
もうひとつ、就業規則が届かない人がいることも忘れないでください。個人情報保護法の「従業者」には取締役・監査役・派遣社員まで含まれますが、就業規則は労働契約を結んだ労働者にしか及びません。
だから必要な文書は3つです。規程、就業規則の1行、誓約書。ここまでそろえば、技術的な対策が万全でなくても、営業秘密として法律に守ってもらえる場合があります。実際にそう判断した裁判例が複数あります。
そして最後に、いちばん見落とされる点です。個人情報保護委員会が「監督を行っていない事例」として挙げた2件は、どちらも規程はありました。問題は、規程どおり動いているかを確認しなかったこと、違反を放置したことでした。
規程を作ったこと自体は、免責にはなりません。教育の記録と操作ログという「見ていた証拠」までそろえて、はじめて規程が働き始めます。
従業員30名の会社なら、その仕組みは初年度で約74万円、2年目以降は年61万円ほどです。デジタル化・AI導入補助金を使えば、負担をさらに抑えられます。
「就業規則に何と書けばいいのか分からない」「ログを取るところから始めたい」という段階でも構いません。自社の状況にあわせた進め方を一緒に整理しますので、お気軽にご相談ください。
▶ 関連記事：セキュリティ教育ツール徹底比較｜セキュリオ vs Sophos Phish Threat vs MudFix｜eラーニング＋標的型メール訓練を統合する3製品の選び方
▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
▶ 関連記事：パソコン・スマホを廃棄／リース返却するときのデータ消去は？「初期化しただけ」が危ない理由とNIST基準の3段階・消去証明書の見方【中小企業向け】