情報セキュリティの自己点検とは？社内セルフチェックの項目と進め方

情報セキュリティ対策というと、
取引先や委託先に対するチェックを思い浮かべる方が多いかもしれません。

一方で、
「自社の中はどれくらい把握できていますか」
と聞かれると、少し言葉に詰まるのではないでしょうか。

• ルールはあるはず
• 何となく守られているはず
• 大きな事故は起きていない

この状態が続いている会社ほど、
社内向けの自己点検は後回しにされがちです。

しかし実務上、セキュリティ事故は、外部からの高度な攻撃だけでなく、社内のルール未整備、運用のばらつき、報告の遅れといった「想定外」が重なって広がります。

この記事では、情報セキュリティの自己点検について、目的、確認項目の例、進め方、そして形骸化させないための運用方法までを解説します。

情報セキュリティの自己点検とは、
自社の部署や従業員に対して、情報の取り扱いやセキュリティルールの遵守状況を、チェックシートなどを使って自分たちで確認する取り組みです。
「セルフチェック」とも呼ばれます。

外部に提出するためのものではなく、
自分たちの実態を把握するための確認という位置づけです。

似た言葉に「監査」がありますが、両者は役割が異なります。
監査は第三者が厳密に実施状況を検証するのに対し、自己点検は各部署・各担当者が自分で振り返る簡易な確認です。

監査ほどの厳密さはない代わりに、全社に広く、繰り返し実施できます。
実務では、日常的には自己点検を回し、要所で監査を行う組み合わせが一般的です。

多くの会社には、

• 情報セキュリティ規程
• IT利用ルール
• 個人情報の取り扱いルール

が存在します。

ただし、それがどこまで理解されているか、実際の業務に合っているかまでは、意外と確認されていません。

自己点検をしない限り、
ルールが形だけになっているかどうかは見えてきません。

社内のセキュリティは、

• 部署
• 業務内容
• 担当者のITリテラシー

によって、実態に差が出やすい分野です。

個人PCの使い方、クラウドサービスの利用、パスワードの管理。

「悪意がないまま、ルールから外れている」
状態が生まれやすいのが実情です。

社内のセキュリティ問題には、
日常業務では表に出ず、事故が起きて初めて気づくという特徴があります。

自己点検は、
事故が起きる前にズレを見つける数少ない手段です。

近年は、取引先や親会社からセキュリティチェックシートへの回答を求められる場面が増えています。

自社の実態を把握できていないと、こうした調査に正確に答えられません。
回答のたびに社内へ聞き回ることになり、時間もかかります。

日頃から自己点検で実態をつかんでおくことは、外部からの調査対応の土台にもなります。

社内向けのチェックと外部向けのチェックの関係は、社内チェックと委託先チェックの違いで解説しています。

自己点検の設問は、自社の業務に即して作るのが基本ですが、
大きくは次の4つの領域に分かれます。

• 業務データの保存場所は決められた場所か
• 個人情報や機密情報の扱いはルール通りか
• 私物端末やUSBメモリを業務に使っていないか

実務に即した確認が重要です。

• パスワードの管理方法は適切か
• 会社が把握していないクラウドサービスを使っていないか
• 退職者・異動者のアカウントや権限は削除されているか

「使ってはいけない」ではなく、
実際にどう使われているかを見る視点が必要です。

• セキュリティルールの存在と内容を把握しているか
• 研修や周知が行われているか
• 分からないときの相談先が明確か

理解されていないルールは、
存在していないのと同じです。

• 事故やその疑いに気づいたとき、誰に報告するか決まっているか
• 報告の手順が周知されているか

発見から報告までが遅れるほど、被害は広がります。
備えの確認も点検項目に含めます。

設問をゼロから作るのが難しい場合は、公的機関のチェックリストが参考になります。

代表的なものが、IPA（情報処理推進機構）の「5分でできる！情報セキュリティ自社診断」です。
基本的対策・従業員としての対策・組織としての対策の25項目に回答すると、自社のセキュリティ状況を点数として把握できます。

中小企業の情報セキュリティ対策ガイドライン第4.0版の付録として提供されており、無料で利用できます。
IPAのページでは、付録PDFに加えてExcel版も提供されています。最新版の提供形式は、IPAの公式ページで確認してください。

なお、同ガイドライン第4.0版は、経済産業省などが検討を進めるSCS評価制度の基本的な考え方に沿った内容とされています。
社内の自己点検を進める際にも、公的な基準の動きを参考にしておく意味があります。

ただし、公開されているチェックリストはあくまで一般的な項目です。
満点だったとしても、自社固有のリスクまで確認できたことにはなりません。

まずは既存のリストで大枠を押さえ、自社の業務に合わせて設問を追加していく使い方が現実的です。

最初から全部署・全項目を網羅する必要はありません。
まずは範囲を絞り、実態を知ることとズレを把握することを目的にします。

既存のチェックリストを土台に、自社のルールと業務に合わせて設問を作ります。
回答者が迷わないよう、記入例や補足説明を添えると回答の質が上がります。

対象者に配布し、期限を決めて回収します。

Excelで小規模に始めても十分成立しますが、
対象部署が増えてくると、未回答者の把握や督促に手間がかかり始めます。

回収して終わりにせず、内容を確認します。
曖昧な回答や空欄は差し戻して確認し直します。

この確認の工程こそが、自己点検の質を決めます。

すぐ直せることと時間がかかることを分け、
少しずつ改善する前提で運用します。

点検の結果と確認の記録を残しておくと、
次回の点検や外部からの調査対応の材料になります。

チェックを埋めて終わり、内容は深く見られていない。

この状態では、自己点検の意味は薄れていきます。

対策は、確認者を決め、回答を確認するプロセスを点検の一部として組み込むことです。

指摘は出るが、その後どうなったか分からない。

改善につながらない点検は、次第に真剣に取り組まれなくなります。

指摘事項には期限と担当を付け、次回の点検で状況を確認する。
この繰り返しが定着の条件です。

年1回の点検のたびに、前回のファイルを探し、設問を作り直し、配布先を確認し直す。

この準備の重さが、点検を先送りにさせる要因になります。

前回の設問・回答・指摘事項をそのまま参照できる状態にしておくと、
2回目以降の負荷は大きく下がります。

自己点検は1回やって終わりではなく、
半年や1年の周期で繰り返してこそ意味があります。

繰り返す前提に立つと、作成・依頼・回収・確認・記録の一連の流れを、
毎回同じ手順で回せる形にしておくことが重要になります。

マモリスのようなチェックシート運用のためのツールでは、繰り返しの依頼設定や前回回答の参照、回答の確認・差し戻し、履歴の保管までを1つの流れとして扱えます。
回答者はログイン不要で回答できるため、ITに不慣れな部署にも依頼しやすい形です。

Excelでの運用が成立しているうちは、無理に変える必要はありません。
対象部署や項目が増え、回収と確認の管理が負担になってきた段階で、こうしたツールを検討する順番で十分です。

設問づくりの出発点には、無料で使えるチェックシートテンプレート一覧も参考になります。

情報セキュリティの自己点検は、

• 問題を見つけるため
• 事故を防ぐため
• 実態を把握するため

に行うものです。

完璧なチェックリストを作ることよりも、
確認と改善の流れを止めずに回し続けることの方が重要です。

点検で見つかった不備への対応に迷う場合は、中小企業の情報セキュリティ対策、何から始めるべきか？最低限やるべき7項目も参考にしてください。

外部から求められる前に、
自分たちの状態を把握しておく。

それだけで、
セキュリティ対策の質は大きく変わります。

Q1. 自己点検と内部監査はどう違いますか？

監査は第三者が厳密に検証する活動で、自己点検は各部署・各担当者が自分で確認する簡易な活動です。自己点検の結果から問題の傾向をつかみ、監査の対象を絞り込むという補完関係で使われるのが一般的です。

Q2. どのくらいの頻度で実施すべきですか？

法令などで一律に定められているものではありませんが、年1回を基本とし、組織変更やシステム変更など環境が大きく変わったタイミングで追加実施する運用が多く見られます。重要なのは頻度そのものより、前回の指摘が改善されたかを次回に確認する流れを保つことです。

Q3. 誰が主導すればよいですか？

情報システム部門や総務部門が事務局となり、各部署の責任者を通じて実施する形が一般的です。小規模な組織では、経営者に近い立場の担当者が兼務で主導しても問題ありません。

Q4. チェックリストはどこで入手できますか？

IPAの「5分でできる！情報セキュリティ自社診断」が無料で公開されており、出発点として利用できます。自社のルールや業務に合わせて設問を追加しながら育てていく使い方をおすすめします。