セキュリティポリシー

解説

セキュリティポリシーは、組織がどの情報資産をどの脅威から守るのか、誰が何に責任を持つのか、違反したときにどうするのかを定めた文書です。セキュリティポリシーがない組織では、現場判断の積み重ねによって、ルールが人によって異なる状態になります。

種類

セキュリティポリシーは、一般に次の3つの階層で整理されます。このうち、基本方針と対策基準を合わせて「情報セキュリティポリシー」と呼び、実施手順は含めない場合もあります。

• 基本方針：組織がどの情報資産を、どの脅威から、なぜ守るのかを示し、情報セキュリティへの取り組み姿勢を宣言する文書
• 対策基準：基本方針を実現するために守るべき行為や判断の基準
• 実施手順：対策基準の内容を、個別のシステムや業務でどのような手順で実行するかを示すマニュアル

現場のオペレーターが日常的に参照するのは、主に実施手順にあたる部分です。

実務での使われ方

コンタクトセンターのセキュリティポリシーでは、顧客情報や録音データの扱いを具体的に定めます。主な項目は次のとおりです。

• 顧客情報の持ち出し禁止とフロアルール
• 録音データの保存期間と閲覧権限
• 在宅勤務時の環境要件
• 外部委託先に適用する基準

注意点

実態と離れた規定は、守られないまま形だけ残ります。禁止事項を並べただけの文書は、規定どおりにすると業務が回らないと分かった時点で無視されます。そのため、メモの取り方や画面の共有のように日々必ず発生する行為については、禁止して終わりにせず、代わりの方法まで書いておきます。

さらに、例外が必要になる場面に備えて、誰に申請し誰が承認するのかも決めておきます。また、規定を変えたときは、委託先や在宅勤務者を含めてどこまで周知したかを記録に残します。