【具体例】情報システム利用規定

今回は若干長くなりますが、情報システム利用規定の具体例について記しておきます。

最後までお付き合いくださいませ

下記に情報システム利用規定の具体例を記しておきます。
利用規定に記載する項目（目次項目）としては、下記にようなものが代表的です。

1. 目的および基本方針
2. 責任および権限に関して
3. ハードウェアに関して
4. ソフトウェアに関して
5. セキュリティに関して
6. データのバックアップに関して
7. 電子メールの使用に関して

上記でお判りになるかと思いますが、電子メールに関して、別途抜粋して特筆しています。
現在は情報システムだけでなく、生活におけるコミュニケーションの手段として、携帯電話網も含め、電子メールは浸透しています。
そのため、適切に使用されないと、情報の漏洩や、誤送信等による混乱、その他、負の影響を受ける場合が多いため、あえて特筆しております。

では、下記に具体例として、例文を記しておきます。
実際には、各組織により、注力する部分や、加筆修正を施す場合がほとんどでしょう。
そのため、あくまで参考としてお取り扱い下さい。

【情報システム利用規定例】

1. 目的および基本方針
本利用規定は、組織における情報システムの使用に適用するものとし、ネットワークおよび情報システムを展開する際にとるべき責任と、その手続きおよび手順について規定するものとする。この利用規定は、ネットワークおよび情報システムのセキュリティ環境を、満足できるレベルに構築する際の、支援および指針となることを目的としている。

また、組織の情報システムネットワークおよびアプリケーションを、以下の項目から守るために、有効な手段や手続き、および手順をとることを基本方針とする。
 未認可および不適切な使用
 組織に関する情報開示・破棄
 ネットワーク・サービスへの妨害行為

2. 責任および権限

2.1. 組織の代表者
組織の代表者は、組織のネットワークシステムに、適切な情報システムインフラを、確実に提供する責任を負う。

2.2. 部門の責任者
部門責任者は、自分の統括する、部門スタッフに、情報システム・セキュリティおよびソフトウェア著作権に関する方針を確実に全うさせる責任を負う。

2.3. 情報システム部門の責任者および情報システム担当者
情報システム部門責任者および情報システム担当者は、以下のことを行うことを責任を負う。
 自己の関連分野での、適切な情報システム方針の運用を監視する。
 ネットワークのバックボーンを構築し、自組織と内外の事業パートナー間での、電子通信を促進する。
 基幹ネットワークの性能向上に適した、技術を調べ、特定、導入する。
 データおよび情報を保護するため、情報システム・セキュリティ、およびそのソフトウェアを導入する。
 データおよび情報を保護するため、適切なバックアップ、およびリカバリー手順を実施する。
 許認可を受けた会社のソフトウェアおよびハードウェア・ライセンスの管理に責任を持ち、許認可を受けたハードウェアおよびソフトウェアの登録を維持する。

2.4. ユーザー（情報システム利用者）
ユーザーは、以下のように、自己に与えられたPC、およびその周辺環境を管理する義務を負う。
 PCハードウェア本体
 パスワード（ネットワーク、メール、およびその他のビジネス・アプリケーション）
 ライセンスを受けたソフトウェア
 ライセンスを受けていない、組織内で未認可のソフトウェアをインストールしない
 ファイルサーバー以外に保管しているデータのバックアップ
 スクリーンセーバーの使用
 コンピューター・ウィルスからの保護
 電子メールの適切な使用
 情報システム担当者からの、その他の要求事項に対する協力

3. ハードウェア
情報システム担当者は以下のことを行う。
 以下に記す、ユーザーのハードウェア仕様を管理・記録する。
a. CPU速度
b. ハードディスク容量
c. CD/DVDリーダー/ライターの仕様
d. メモリー容量
e. モニターのサイズと種類（LCD、CRT等）
f. その他のハードウェア情報
 情報システム環境に従って、ユーザーに貸与した、ハードウェアのアップグレード計画をたてる。
 記憶容量、ソフトウェア、およびネットワーク通信仕様と速度など、すべてのPC が、十分な能力と、情報システムへの接続を確保できるような仕様（デスクトップ、ラップトップ、PDAやスマートフォンに関して）を規定する。
 ユーザーからのサービス要求事項、および情報システム関連物品の購入を評価・確認する。

ユーザーは以下のことを行う。
 自己に貸与されたPC を管理し、未承認および未認可のハードウェア等を接続してはいけない。
 私物のハードウェア機器を組織 内で使用する場合は、情報システム担当者に、私物ハードウェア機器（例：USB メモリー、外付けハードディスク等）の利用について相談する。

4. ソフトウェア
情報システム担当者は、全てのユーザーに、ライセンス許諾を受けたソフトウェアのみを提供する。
ユーザーは、例えシェアウェアであっても、ライセンス許諾、およびIT スペシャリストによる承認を受けていないソフトウェアを使用してはならない。
購買責任者、情報システム担当者の要求事項に従って、ソフトウェア・ガイドラインの手順を踏んで購入を行う。

5. セキュリティ
5.1. ファイアウォール
ネットワークには、ファイアウォールをインストールする。ファイアウォールがサーバーで利用できる場合は、ユーザー個々のPC にファイアウォール・プログラムの導入、およびその設定は必要ない。

5.2. コンピューター・ウィルスからの保護
サーバーには、ウィルス除去ソフトウェアをインストールする。サーバーにウィルス除去プログラムがインストールされていたとしても、ユーザー個々のPC には、それぞれウィルス除去プログラムをインストールする。
ウィルス除去プログラムは、最低でも週に1 回、または危険なソフトウェア・ウィルスの流行等の理由により、特別な新規リリースがあった場合には、できるだけ早く更新される。

5.3. 悪意のあるソフトウェアからの保護
ユーザーおよび情報システム担当者は、予防的管理、または日常業務として、コンピューターと、接続されているメディアをスキャンする、ウィルス検知および修復アプリケーションを、定期的に更新（自動更新も含む）する。
ユーザーは、信頼できない供給元から受け取ったいかなるファイルも、使用前にウィルスをチェック（自動チェックを含む）する。
ユーザーは、Microsoft Word/Excel 等のマクロ付きファイルや、以下の拡張子付きファイル（例：.exe, .bat, .pifなど）といった、信頼できない供給元から受け取った実行可能ないかなるファイルも開いてはならない。
ユーザーは、組織 のPCおよびサーバー上に、未承認のスクリーンセーバーを読み込ませてはいけない。
情報システム担当者は、ユーザーによるウィルス検知管理について、その理解と手順を明確にし、支援を行う。

5.4. パスワード
ユーザーは以下のことを行う。
 パスワードの秘密を守る。
 パスワードを記録した紙等を、保管しない。
 疑わしい症状が示された場合は、パスワードを変更する。
 電子メールのパスワードなど、そのシステム制限により、システムが強制的に変更することのないパスワードがある場合は、特に意識して定期的に変更する。
 最低6文字で、電話番号、氏名、誕生日など、簡単に推測できるものは避け、パスワードを選ぶ。
 パスワードを、ファンクションキーなどの、いかなる自動実行プロセスに含めない。
 個人のパスワードを絶対に共有しない。

5.5. PCのアクセス管理
ユーザーは以下をこと行う。
 使用されるすべてのPCは必ず、未使用時には電源が落とされているか、スクリーンロックされているか、ログオフされているようにする。
 PC、プリンタ、モデムなどの、使用されるすべてのコンピューター機器類は必ず、就業時間後には、電源が落とされており、火気のないところにあるようにする。サーバー等、常時稼動しなければならない装置類は、この限りではない。

5.6. 機密情報の廃棄
ユーザーは以下のことを行う。
 顧客の請求書、クレジット限度額などを例として、機密情報が載った、コンピューターによる印刷物や古い印刷物、レポート等は、組織の方針に従って安全に保管、または廃棄されなければならない。

5.7. インターネット上のファイルへのアクセスおよびダウンロード
インターネット用上の、ファイルやソフトウェアを、ダウンロードする時には、以下の理由から細心の注意を払わなければならない
 ダウンロードするファイルには、組織のPCや、ネットワークに影響を及ぼすような、ウィルスを持っていることがある。
 ダウンロードしたソフトウェア等は、法的措置を受けるようなライセンシング（使用料金の支払い）を要求してくる恐れがある。
 大容量のファイルのダウンロードは、コンピューターネットワークに負荷をかけすぎることとなり、システム障害の危険や機会を増やすこととなる。
また、ウェブ・ブラウザは安全な方法で使用すること。
 インターネット上にある特定のホームページへのアクセスは、事前に、スタッフ監督者または経営陣により承認を受けること。

6. データのバックアップ
ユーザーは、自分の業務上のデータ（書類、シート、メール、プレゼンテーション等）を、バックアップ手順に従って保存するものとする。CD、DVD、フロッピーディスクなどの保存メディアを使用することができる。
バックアップサーバーが利用できる場合、バックアップはサーバーに対して行う。しかし、特に重要なデータはCD、DVDなど、その他の記録メディアに、定期的に保管するものとする（メディアの適切な保管管理のもと）。
情報システム担当者は、サーバー内ファイルの、バックアップに対して責任を負う。ユーザーは個人/共通のフォルダー（例：サーバーに接続された「マイドキュメント」など）に、自分の重要なデータを保管する。

7. 電子メール
7.1. 電子メールの利用
全てのユーザーは、後述の 『電子メール利用方針』に述べられている、電子メールの利用方針について理解していること。
 定期的に、または疑わしい症状が示された場合には、電子メールパスワードを変更する。
 電子メールを通して、機密・極秘データを送信するときは、多大な注意を払わなければならない。そのためには、例えば書類をパスワード付きで保存するなど、可能限りの複数の認証を行うことを推奨する。
 社内メールは、組織の業務目的用に使用されるべきである。組織のネットワークシステムを通した、個人間の私的な電子メールは、組織から、業務上の必要性に応じ送信されてきたものと誤解され、情報セキュリティ問題が発生する可能性がある。
 情報システムのセキュリティ方針に従い、「悪意のあるソフトウェアまたはファイル」を、組織の電子メールシステムを経由、使用して送受信してはならない。
 添付ファイルがある受信メールは、慎重に扱わなければならない。疑わしい場合は、アンチウィルスソフトウェアを使用してまずスキャンすること。
 定期的に電子メールボックスを整理し、メールの破損、容量過多を防ぐ。

-------------------------------------------------------------

補足資料『電子メール利用方針』

A. はじめに
本書は、電子メールシステムを、組織の事業部門内で利用する際のガイドライン、ルール、および推奨事項を定めるものである。
本書は組織ネットワークに接続される、内部電子メールシステムのすべてに適用される。

B. 配布
本方針は、電子メールシステムへの接続が許される、すべてのスタッフ、および請負業者に対し提供されるものとする。情報システム責任者は、電子メールシステムを利用する人全員が、本方針を入手でき理解することができるよう責任を負う。

所有権について
組織 は、すべての業務関連電子メールシステムを所有し、その中には、それを通して送受信された情報も含む。電子メールサービスは、業務目的に提供されており、その中でのメッセージ等は、業務内容のみに限定すべきである。
それぞれの組織は、組織の業務システムへの接続についての資源調達、および支援に責任を負い、その業務システムのための手順やガイドラインに従わなければならない。

C. 従業員の権利および責任
全従業員は、自らの電子メールの使用について責任を負い、自分の名前で出された、すべてのメッセージについて責任を課されることとなる。

D. 利用ガイドライン
メールは、定期的、または最低1 日に2 回は確認すべきである。メッセージを無視したり、返信せずにメッセージを削除（スパムメールやメールマガジン等を除く）することは、送信者に対し失礼であり、相手を困惑させる恐れがある。
ユーザーは、保管しておきたい電子メールメッセージについて、ユーザーのメールボックスフォルダー内等に整理する仕組みを管理・作成しておくべきである。
ユーザーのメールボックスは、定期的に清掃すること。受信トレイ、送信済みアイテム、削除済みアイテム、およびその他のフォルダから、古いメッセージを取り除くことは、メール環境の効果的な運用に大いに役立つこととなる。
ユーザーは、その電子メールメッセージのデザインをする際に、プロフェッショナルなスタイルに達するよう努力すべきである。プロフェッショナルな印象を、電子メール受信者（特に外部受信者）に対し提示すべきである。色とりどりのメッセージテンプレート、および画像や、クリップアートで飾られた署名の使用は避けるべきである。このような強調を用いると、電子メールメッセージのサイズが極めて大きくなり、ネットワーク性能に影響を与える。

E. 電子メールの不正使用
システムが不正に使用されていると判断された場合、電子メールを利用する権利（またはその構成要素）は取り上げられる。
中傷、誹謗、悪口、差別的、わいせつ、または悪趣味なメッセージを送ってはならない。
大きい添付ファイルを送信してはならない。これはサーバーおよびネットワークを圧迫し、性能を低下させる恐れがある。
他のユーザーがアクセスできるようなファイルを作る望ましい方法は、そのファイルを共有フォルダまたはディレクトリ内に置き、他の人たちに、ショートカット（リンクを含む）から利用できることを知らせることである。もう一つの方法はファイルを送信前に圧縮ユティリティ等で圧縮することである。
著作権法には従うこと。著作権法を侵害している可能性があるソフトウェア、ゲーム、その他の素材を配布してはならない。組織 は、全従業員に対し、著作権法を守らせる法的責任があり、違反者は告発されることになる。
ネットワークへの圧迫をもたらすことを承知の上での使用、または知らず知らずのうちに、他人の作業の妨げになるような電子メールの使用、作成、送信は不正使用とみなされる。

F. 電子メールのエチケット
礼儀正しく
簡潔さを良しとする一方で、決して礼儀を無視してはならない。
ユーザーに対しては丁寧な物言いをし、感謝を述べること。
メッセージ内での大文字は、「大声を上げている」という印象を与える。多くの人々が、電子メール内の大文字羅列の使用を、大声を上げていたり、怒りや無礼さを示すものと解釈している。大声をあげるようなやり方は、特別な場合にとっておくと最も効果的である。

送信前の見直し
送信前に、メッセージを読み返すことは、スペルや文法上の間違いを明らかにするだけでなく、送信者が、自らを受信者に置き換えることで、そのメッセージが分別のあるもので、正しく受け取られ、理解されるかどうかが良く分かる。不確かなときは、相手に好意的に解釈することが良い経験則である。送信者が相手を良く知らず、お互いに離れている場合は特にそうである。受信者が、メッセージの内容や意図を誤解して、送信者を不快にするような、メッセージへの返信例がこれまでにある。

他人のメッセージを転送する前に考える
電子メール内で、送信者が他人をどう言っているかについて、プロフェッショナルらしく、注意を払うこと。
ユーザー自身のメッセージの場合、送信者はそのメッセージの中で、その内容のすべて、または一部を広めないで欲しい、と明確に述べるべきである。
他の人からメッセージを受け取った場合、それを転送する前に、最初の差出人が、何らかの損害、または気まずい思いをする可能性がないか、まず考えること。他の人に送信する前に、メッセージの微妙な部分を取り除くことが必要な場合もある。
受信者は、受信したメッセージを、オリジナルに変更を加えたことを示すことなく、編集、再送信してはならない。
電子メールは極秘のものではないことに注意すること。また、完全に私的なものでも、完全に安全なものでもない。メッセージの受信者は、その内容を管理し、好きなように使用することができる。

メッセージを過剰配布しない
受信者リスト、およびカーボンコピー（CC）先を最低限にとどめること。あまり役に立たないメッセージや、ほとんどの受信者にとっては何の興味もわかないメッセージ（一般的にジャンクメールと呼ばれる）を広くばら撒くのは非常に簡単なことである。

配信通知および開封通知
メッセージが重要なものの場合、送信者はそのメッセージが受信され、読まれたことを確認する必要がある。
このような場合は、必ず送信者が、配信通知および開封通知を要求するようにする。これにより、受信者に送信されたメッセージが、受信者のメールボックスに配信された時、および受信者がユーザーのメッセージを開封して呼んだ時に、自動的に送信元へ通知されることになる。これは非交換型メールシステムには適用できないことがあるので注意してください。

永続的な公的記録として電子メールを扱う
送信者が書いたものは、送信者にとっての、または受信者に対する証拠として使用することができる。
送信者は、送信ボタンをクリックする前に、このことを心に留めておくこと。例え送信者がコピーを取るほど重要な問題ではないと考えたとしても、受信者はそうではないかもしれない。
送信者が送信するいかなるメッセージも、永続的なものであり、修正され、かつ/または送信者の認識や同意なく、世界中に転送される恐れがあると考えること。

G. 監視および管理
情報システム担当者は、折に触れ組織内のシステムとゲートウェイを監視する。
問題の発見、修正、およびシステムの現行サポートに関連したコストの再配分を支援するために、メッセージのログを取ったり分析したりすることがある。
メッセージは時々監査を行うことが可能であり、そのように計画すること。

H. セキュリティ
電子メール使用の認証は、その基礎となるOS の認証スキームに依存する。従って、すべての電子メールアカウントは、正しく構成された認証システムのユーザーIDおよびパスワードと関連付けられているべきである。
これらのユーザーID とパスワードの共有は、いかなる条件下においても許されない。
省略値では、内部ネットワークを流通する電子メールは暗号化されていない。重ねて述べるが、メールシステムの責任を負う、情報システム担当者により、監視または調査されることがある。
更に、インターネットへ向けて、またはインターネットから来たメールは、暗号化されていなければ、ほとんどの場合認証も受けていない。インターネットを介すときは、何の通知や警告もなしに、閲覧したり変更されたりすることがあるので、いかなる機密情報も送信してはならない。

以上、非常に長くなりましたが、お付き合いいただき、ありがとうございました。

次回は、安全なシステム基盤の構築について、内部統制からのポイントをご紹介します。