用語集・組織のルールと規格

セキュリティポリシー

Information Security Policy

セキュリティポリシー（Information Security Policy）は、組織が情報をどう守るかの方針と、それを実行するための規程や手順を文書にまとめた組織のルールである。

別の呼び方情報セキュリティポリシー、情報セキュリティ基本方針、セキュリティ規程

要点

意味セキュリティポリシー（Information Security Policy）は、組織が情報をどう守るかの方針と、それを実行するための規程や手順を文書にまとめた組織のルールです。
中小企業にとって ルールがないと、管理者権限の付与やパスワードの使い回し、例外の扱いが担当者ごとの判断になり、そこが侵入の足場になる。
このサイトでは 攻撃手法 1 種、事例 4 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。

誤解セキュリティポリシーは情報システム担当者が作るものだ: 実際総務省は、情報セキュリティポリシーは組織の代表者が施行するものであり、可能な限り代表者や幹部が策定の作業にも関わる体制を作ることが重要だとしている。
誤解ポリシーは一度作れば終わりだ: 実際総務省は、社員の要求や社会状況の変化、新たな脅威の発生などに応じて定期的な見直しが必要だとしている。

関係は、それぞれのページに収録した記録の範囲で書いています。

攻撃手法認証情報の悪用
記録は複数のサービスでのパスワードの使い回しが連鎖的な侵入を招くと示しており、使い回しを禁じるルールが向き合う手口である。
事例アスクル
記録は委託先の管理者アカウントだけ多要素認証の例外にしていたとしており、例外を認める基準をルールで定めて管理することに当たる。
事例岡山県精神科医療センター
記録は全一般ユーザーへの管理者権限の付与や管理者パスワードの使い回しを挙げ、報告書は組織としての危機意識の低さや不適切な運用による人災の側面が強いとした。
事例大阪急性期・総合医療センター
記録は全ユーザーに管理者権限を与え、Windowsパスワードが共通だったとし、「標準ユーザー運用と個別のパスワード」を対策に挙げている。
事例イセトー
記録は受託データを取り扱ってはならないサーバに便宜的に保管していたとしており、定めたルールが守られていなかった例に当たる。

同じテーマのページをまとめて読めます。

最終確認日 2026-10-24（2026年10月24日）

監修平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）