見積書の画面を撮って、チャットで送る。顧客名簿の一部を、打合せ資料に貼り付ける。元のファイルを大切に管理していても、画像や抜粋の扱いが曖昧なままでは、共有してよい相手を判断できません。情報の内容に応じて、誰が、どこで、どのように扱うかを決めておく必要があります。
今回は、情報の機密区分と取扱ルール、その年次点検、重要な機密情報を把握する仕組みを説明します。見積書と顧客名簿が必ず別の区分になるわけではありません。文書名だけで決めず、含まれる情報や、漏えいした場合の影響から判断することが出発点です。
図1 今回扱う全3基準 ルールと点検と重要情報の把握
前回の3-1-3では、外部サービスの利用条件を確認しました。今回は、そのサービスへ入れる情報を自社でどう区分し、利用者にどう扱ってもらうかを考えます。紙の資料、画面に表示する情報、取引先から預かった資料も、管理する情報として整理します。
Gyazoの事例から画像や付随情報の扱いを考える
Helpfeelは2026年10月21日、画像共有サービスGyazoへの不正アクセスに関する第三報を公表しました。10月20日時点の確認結果として、133名のユーザーが保存した一部の画像が、第三者に閲覧・取得されたとしています。
画像本体の大量取得や、削除済み画像本体の取得を示す記録は確認されていない一方、流出した画像URLを使った他の画像の閲覧可能性は完全には否定できないと説明しています。メタデータの流出範囲と、画像本体の閲覧・取得の範囲は区別して読む必要があります。
メタデータとは、データに付随する情報です。第一報では、画像URLを構成する情報、画像から読み取った文字、画像タイトル、取得元URL等が挙げられています。画像から文字を読み取る技術はOCRと呼ばれます。
図2 見積書から生まれる画像や文字情報の架空例 事故の被害内容を示す図ではない
図の見積書は説明用の架空例です。形式を画像や文字へ変えただけで、内容の機密性がなくなるわけではありません。画像URLも、アクセスできる内容と公開範囲を踏まえて扱います。すべてのURLを一律に機密とするという意味ではありません。
第三報は、画像共有ツールの業務利用を含む社内情報管理ルールの見直しと従業員教育を、体制強化の項目に掲げています。公表された攻撃原因は提供者のシステムの脆弱性です。利用企業の区分不足が原因だったと断定せず、自社の情報管理を考える材料として参照します。
3-1-4-1 情報の管理ルールに四つの内容を含める
一つ目の基準は、自社が保有する情報を対象として、次の四つをすべて含む管理ルールを定めることです。区分名に加えて、表示方法や日々の取扱いまで具体化します。
| ルールに含める内容 | 決めることの具体例 |
| 機密の特定 | どの情報を機密として扱うか。取引先の非公開資料等も確認する |
| レベル判定と表示 | 区分を判断する基準と、区分を利用者に示す方法 |
| 区分別の取扱方法 | 閲覧、共有、保存、持出し等をどの条件で行うか |
| 取扱エリアの区分と制限 | 機密情報を扱える物理的な場所と、入れる人等の制限 |
文書の名前から内容と影響へ進んで考える
例えば、一般公開済みの価格表と、特定の顧客にだけ提示する値引条件では、同じ価格に関する資料でも扱いが変わります。顧客名簿も、法人名だけの一覧なのか、担当者の連絡先や取引履歴まで含むのかで、外部に出た場合の影響が異なります。
誰が区分を判断し、迷った場合に誰へ相談するかを決めると、担当者ごとのばらつきを減らせます。作成部門の責任者へ確認する、取引先から受け取った資料は契約条件も照合する、といった方法は本稿の実務例です。
区分名と段階数は自社の情報に合わせる
公式解説書は、極秘情報、機密情報、社外秘情報、公開情報という区分を例示しています。これらの名称や四段階という数が一律に指定されているわけではありません。次の三段階も、考え方を説明するための例です。
| 区分の例 | 判断と扱いの例 |
| 公開 | 公開を承認した製品案内等。承認した範囲で社外へ提供する |
| 社内限定 | 社内で共有する業務情報。社外への提供には確認を要する |
| 関係者限定 | 顧客情報、原価、未公表の交渉条件等。業務上必要な相手に限る |
実際には、自社の契約や事業への影響に照らして区分を定めます。全てを最も厳しい区分にすると、日常の共有が回らず例外が増えるおそれがあります。公開してよい情報と、守る必要のある情報の境界を説明できることが大切です。
区分の表示と実際の取扱方法をそろえる
3-1-4-1には、機密区分の「表示」も含まれます。文書の冒頭やヘッダーに区分を記載する、ファイル名の先頭に付ける、管理システムのラベルで示す、といった方法が考えられます。具体的な表示方法は本稿の例であり、特定の色や製品は指定されていません。
表示を見た人が次の行動を判断できるようにする
例えば「関係者限定 A社見積案」と表示するなら、どの関係者が対象かも分かるようにします。案件の担当者と承認者に限るのか、A社の指定窓口へ渡してよいのかを決めます。社外秘と書かれた資料でも、契約で指定された提出先への提供が必要な場合があるため、区分ごとの条件を具体化します。
| 場面 | 関係者限定の資料を扱う架空例 |
| 閲覧と保存 | 案件担当者と承認者だけが使う保存先に置く |
| 取引先への共有 | 承認した版を指定窓口に渡し、宛先と公開範囲を確認する |
| 複製と画像化 | 必要な部分に絞り、画像や抜粋にも適切な区分を表示する |
| 印刷と持出し | 必要性と許可条件を確認し、置き忘れない方法で管理する |
| 生成AIへの入力 | 当該区分の入力を認めたサービスと条件に限定する |
| 保管終了 | 定めた保管期限と終了時の取扱手順に沿って処理する |
この表は、区分別の取扱方法を具体化するための例です。ここに示した承認手続や表の様式が、そのまま一律の必須条件になるわけではありません。自社の業務と、適用される他の評価基準に合わせて決めます。
ラベルを付けた後に設定も確かめる
ファイル名に「関係者限定」と書いても、共有設定が全員に公開されていれば、意図した制限は働きません。誰が見られる設定か、送付先に権限があるかを確かめます。区分表示は判断を助け、アクセス設定や送付手順はその判断を実行する役割を持ちます。
生成AIで資料を要約する場合も、入力元の機密区分とサービスの利用条件を照合します。要約結果に顧客名や非公開条件が残れば、その内容も管理の対象です。サービスの確認方法は前回の3-1-3、利用者やアクセス権の管理は後続回で詳しく扱います。
取扱エリアは建物や部屋などの物理的な場所を指す
3-1-4-1の取扱エリアは、情報を扱う建物や部屋等の物理的な場所です。公式解説書は、区分に応じて、立入制限や入退室管理等を定める考え方を示しています。クラウドのフォルダーや閲覧権限だけを説明して、この要素を済ませることはできません。
図3 事務所のエリア区分の例 部屋の数や名称を一律に求める図ではない
例えば、来客が通る場所に顧客名簿を広げない、執務室へ入れる人を決める、重要な資料を扱う部屋への立入りを限定する、といった具体化が考えられます。図の名称や三段階の分け方は例です。自社の場所と情報に合う境界と管理方法を決めます。
在宅勤務でも情報を扱う場所を整理する
事務所を持たず自宅で働く場合も、画面や紙を見る物理的な場所はあります。例えば、家族や来訪者から画面を見られない作業場所を定め、離席時に画面をロックし、紙資料は指定した保管場所へ戻す方法があります。これは取扱エリアを在宅勤務に当てはめた実務例です。
自宅全体への立入りを会社が管理するという意味ではありません。どの区分の情報をどの場所で扱えるか、周囲の人に見せない条件をどう確保するかを決めます。条件を確保できないカフェや移動中には、当該情報の閲覧を認めないとする方法も考えられます。
3-1-4-2 管理ルールの内容を年1回以上点検する
二つ目の基準は、3-1-4-1で定めた管理ルールの内容を、年1回以上点検することです。自己評価では、ルールを点検した記録を確認します。点検した結果、変更不要と判断する場合もありますが、実際に内容を確かめたことが分かる記録が必要です。
図4 管理ルールを点検して判断を残す例 変更不要の場合も点検の記録を残す
新しい使い方が古いルールから漏れていないかを見る
例えば、従来の規程が紙資料の持出しだけを扱い、画面共有や生成AIへの入力を想定していなければ、今の業務に合わせて取扱方法を検討します。新しく預かる顧客情報、在宅勤務の増加、保存先の変更等も、内容を見直すきっかけになります。
| 記録する項目の例 | 架空の点検記録 |
| 対象と点検日 | 情報管理規程 第2版／2026年11月12日 |
| 確認した内容 | 四つの必須要素と、画像共有・生成AI利用との整合 |
| 判断と対応 | 画像化した資料の表示方法を追記。担当者と対応期限を設定 |
| 確認した人 | 点検者と承認者の氏名、必要な対応を終えた確認日 |
表は記録方法の例です。この基準の年次点検対象は「管理ルールの内容」です。台帳の保管場所や連絡先だけを年1回確認しても、ルールの点検を行ったことにはなりません。年度の予定に点検日を入れ、改定する場合は関係者への説明につなげます。
3-1-4-3 重要な機密情報の所在と管理者を把握する
三つ目の基準は、重要な機密情報と、その情報ごとの管理者名、部署名、保管場所、保管期限、開示先、管理者の連絡先を把握する仕組みの整備です。重要情報の名前だけを並べた一覧では、確認する相手や保管先をたどれません。
「重要な機密情報」は、漏えいした場合の信用低下や賠償・訴訟等、事業への影響が大きいと組織が定める機密情報です。個人情報だけに限らず、設計情報や未公表の経営情報等も、自社への影響に応じて判断します。
一件分の台帳を縦に読む記入例
次の表は、取引先から預かった試作図面の架空例です。保管期限は例として設定したもので、SCSがこの日付や年数を指定するものではありません。実際の期限は、契約、業務上の必要性、適用される保存上の条件を確認して定めます。
| 把握する項目 | 記入例 |
| 重要な機密情報 | A社から預かった試作図面一式／案件A-012 |
| 管理者名 | 山田太郎 架空の担当者 |
| 部署名 | 技術部 |
| 保管場所 | 法人用共有サービスの案件A-012専用フォルダー |
| 保管期限 | 2027年3月31日 架空の契約に基づく期限 |
| 開示先 | 技術部の指定担当者、承認者、A社の指定窓口 |
| 管理者の連絡先 | 情報管理用の社内連絡先一覧にある山田太郎の業務連絡先 |
「管理者名」「部署名」「管理者の連絡先」は別の項目です。「技術部」とだけ書いて、管理者と連絡先も把握したことにしないようにします。別の連絡先一覧を参照する場合は、その情報へ確実にたどれる状態にします。
台帳を更新するきっかけを決める
公式解説書は、情報資産台帳や一覧等を作り、更新ルールで情報を最新化する方法を例示しています。管理者の交代、保存先の移転、開示先や期限の変更時に誰が更新するかを決めると、事故時の確認にも使いやすくなります。
特定の表計算ファイルを使うことは必須ではありません。既存の管理ツールや関連する一覧を組み合わせる場合も、必要な項目をどのように把握できるか説明します。日々の業務で確認できる仕組みを選びます。
三つの評価基準と確認資料を対応させる
ルール、点検記録、重要情報の把握資料をそろえると、それぞれ何を説明するものかが明確になります。公式ガイドの自己評価方法との対応は、図5のとおりです。三つの評価基準とも、個別の対象外条件は「該当なし」です。
図5 全3基準と自己評価の確認内容 資料の名称や様式は一例
本日の確認
まず、機密の特定、レベル判定と表示、区分別の取扱方法、取扱エリアの区分と制限が、管理ルールにそろっているか確認します。画面のコピーや取引先から預かった資料も、内容に応じて判断できる説明になっているか見直します。
次に、そのルールの内容を年1回以上点検した記録を確認します。予定表に点検日があるだけでは、実施済みの記録にはなりません。対象文書と、確認した内容、結果を説明できるようにします。
最後に、重要な機密情報を一つ選び、管理者名、部署名、保管場所、保管期限、開示先、管理者の連絡先をたどってみてください。不明な項目があれば担当者へ確認し、変更時の更新方法も決めます。
機密区分が定まると、前回の外部サービスの利用条件や、第7回で扱った共有先との取決めも具体化できます。情報を扱う相手と場所が、同じルールでつながるように整えます。
次回は入社から退職までのユーザID管理
11月13日は、4-1-1「ユーザIDの管理手続」です。誰にIDを発行し、異動や退職の際に何を変え、不要になったIDやアクセス権をどう停止するかを説明します。
連載の関連項目とご相談
第1回は連載目次、第7回は2-1-2「機密情報の取扱い」、第11回は3-1-3「外部情報サービスの管理」です。今回整理した機密区分は、後続のID管理やアクセス権管理を考える際にも利用します。
ライトハウスコンサルタントでは、★3を見据えた現状確認や、規程・台帳・記録の準備を支援しています。どの情報を重要と判断するか、既存のルールに何を追加するか、実際の業務と照らし合わせながら整理をお手伝いします。
