制度活用でお得マネジメント（第2回）中小企業の自己宣言「SECURITY ACTION」

　1段階目（一つ星）は、ガイドライン付録1にある「情報セキュリティ5か条」への取り組みが目標となる。「（1）OSやソフトウェアは常に最新の状態にしよう！」「（2）ウイルス対策ソフトを導入しよう！」「（3）パスワードを強化しよう！」「（4）共有設定を見直そう！」「（5）脅威や攻撃の手口を知ろう！」の5つだ。これらの5か条への取り組みを宣言すれば、一つ星のロゴマークを表記できる。

　2段階目（二つ星）では、まずガイドライン付録2にある「5分でできる！情報セキュリティ自社診断」を行う。自社診断の内容は、情報セキュリティ5か条にある「基本的対策」をはじめ、電子メールの取り扱いや重要情報の保護など「従業員としての対策」、情報漏えいなどの発生に備えた準備をするなど「組織としての対策」がある。

　二つ星では、自社診断を行った上で、「情報セキュリティポリシー（基本方針）」を策定し、外部に公開しなければならない。ガイドラインでは、「情報資産管理台帳の作成」「リスク値の算定」「情報セキュリティ対策の決定」「情報セキュリティポリシーの策定」といった手順を解説している。参考にするとよいだろう。

　取り組み目標の推進とともに、ステップアップするのもよい。一つ星から始めた企業は二つ星にぜひチャレンジしてほしい。なお、すでに一つ星と同等の取り組みができている企業は、二つ星から始めてもよい。

全国で取り組み事例続々

　SECURITY ACTIONのWebサイトには、取り組み事例も紹介されている。例えば、神奈川県の中小製造業では、中小企業診断士から薦められて一つ星のSECURITY ACTIONを自己宣言した。「技術情報を含む加工データがあり、その保護につながると考えた」からだ。宣言には費用がかからないのも制度活用のきっかけとなった。情報セキュリティ5か条については、OSの設定やパスワードの強度など、それぞれの項目を具体的に確認した。取り組みの結果、セキュリティ対策の必要性を理解できただけでなく、社員の意識向上が図られたと効果を実感した。

　二つ星を宣言した東京都の社会保険労務士事務所は、「業界全体として取り組んでいくものであり、社労士の一人としてともに動いていく必要があると考え、宣言」した。以前から取得していたプライバシーマーク制度の取り組みと共通する部分も多かった。すでに二つ星の取り組みをかなりクリアできていたという。ある程度セキュリティ対策を行ってきた企業は、二つ星の宣言から始められる好例だろう。

　SECURITY ACTIONを活用すれば、対外的なアピールになるだけでなく、社員のセキュリティ意識も高められる。事例も参考にしながら一つ星か二つ星か選び、SECURITY ACTIONに取り組んでみてはいかがだろうか。