情報セキュリティ基本方針の例文と書き方｜中小企業がHPに載せる雛形とIPAサンプル【2026年版】

情報セキュリティ基本方針とは、会社が持つ情報をどう守るかについて、経営者が社内外に向けて示す1ページほどの約束の文書です。中小企業であれば、IPA（独立行政法人情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」の付録2「情報セキュリティ基本方針（サンプル）」を土台に、自社の事業に合わせて書き換えるのがいちばん早い作り方です。

「取引先から情報セキュリティ基本方針を出してほしいと言われた」「補助金の申請でSECURITY ACTIONの二つ星が必要になった」「ホームページのフッターに載せたいが、プライバシーポリシーと何が違うのか分からない」。この記事では、こうした場面でそのまま使えるように、次の順で説明します。

• 2026年3月に公開されたIPAガイドライン第4.0版で、基本方針がどう位置づけられているか
• そのまま貼って【】を埋めれば使える例文（全文）と、業態別6種の差し替え文
• プライバシーポリシーとの違いと、2つのページの分け方
• SECURITY ACTION二つ星の宣言に必要な「策定・外部公開」の条件
• ホームページのどこに、どんなページ名で載せるか

本記事の情報について: IPAのガイドライン本文と付録、SECURITY ACTIONの公式ページ、個人情報保護委員会のガイドライン、e-Gov法令検索の個人情報保護法の条文を、2026年10月21日に確認して書いています。制度の細部は変わることがあるため、申請や認証の前には各公式ページで最新の内容を確かめてください。

この記事の要点

• 情報セキュリティ基本方針は、会社の情報全体を守る姿勢を示す文書。個人情報の扱いを知らせるプライバシーポリシーとは対象が違うため、別のページにする
• IPAガイドラインの現行版は第4.0版（2026年3月27日公開）。付録2のサンプルは「経営者の責任」「社内体制の整備」「従業員の取組み」「法令及び契約上の要求事項の遵守」「違反及び事故への対応」の5項目で、1ページに収まる
• ガイドラインは、基本方針に決まった書き方は無いとしたうえで、事業の特徴や顧客の期待を踏まえて作り、従業員や顧客などの関係者に周知するよう勧めている
• SECURITY ACTIONの二つ星は、「5分でできる！情報セキュリティ自社診断」の実施と、基本方針の策定・外部公開が条件。公開方法は自社ウェブサイト・会社案内やパンフレット・その他から選ぶ
• ホームページには「情報セキュリティ基本方針」というページ名で載せ、フッターにプライバシーポリシーと並べてリンクするのが分かりやすい
• 書いた内容は実際の運用と合わせる。やっていない対策や、受けていない認証を書かない

情報セキュリティ基本方針とは

情報セキュリティ基本方針は、会社の情報を守るための考え方と約束を、経営者の名前で短くまとめた文書です。社内の細かなルールを書く文書ではなく、「この会社は情報をこう扱う」という方向を示す役割を持ちます。

IPAガイドラインでの位置づけ

IPAの中小企業の情報セキュリティ対策ガイドラインは、2009年3月の初版から改訂が続いており（2016年11月に全面改訂）、現行版は第4.0版（2026年3月27日公開）です。前の第3.1版は2023年4月の公開で、第4.0版ではランサムウェアによる事業停止の広がりや、サプライチェーンを通じた被害、セキュリティ人材の不足を踏まえて内容が見直されました。公開時期の古い解説記事では前の版が参照されていることがあるため、付録をダウンロードするときは、公式ページで版が第4.0版になっているかを確認するよう注意してください。

第4.0版の本文（第4.0版PDF）では、基本方針は第2部「実践編」の2か所に出てきます。

1. 「組織的な取り組みを開始する」の最初の段階で、経営者が定めた方針を従業員や関係者に伝えるための簡潔な文書として作る
2. 「本格的に取り組む」の段階で改めて取り上げられ、責任の所在や行動指針をはっきりさせ、組織全体で一貫した対策を進めるために欠かせないものとされる

ガイドラインは、基本方針には決まった書き方が無いので、付録2のサンプルを参考にしながら、事業の特徴や顧客の期待を考えて自社に合う方針を作るよう勧めています。また、基本方針は従業員の指針であると同時に、関係者に取り組みを表明するためのものなので、作った文書は従業員や顧客などに周知しましょう、としています。ホームページへの掲載は、この「顧客や取引先への周知」をもっとも手軽に実現する方法です。

基本方針・規程・ハンドブックの関係

情報セキュリティの文書は、一般に「基本方針」「対策基準（規程）」「実施手順」の3段で説明されます。IPAのガイドラインでは、これに近い役割の文書として、付録に3つのひな形が用意されています。

公開するのは基本方針だけです。規程には、パスワードの決め方や持ち出しの手順、使っているシステムの名前などが書かれるため、外に出すと攻撃する側の手がかりになりかねません。ホームページに載せる基本方針にも、具体的なシステム名・設定値・担当者の個人名は書かないのが安全です。

作るとよい会社

基本方針は、従業員が数名の会社や個人事業主でも1ページで作れます。特に次に当てはまる場合は、早めに用意しておくと話が早く進みます。

• 取引先から、取引開始の条件や委託先の確認として、情報セキュリティの取り組みを示す書類を求められている
• 補助金・助成金の申請で、SECURITY ACTIONの宣言が求められている（後の章で説明します）
• 顧客から個人情報や図面・設計データ・会計資料など、外に出せない情報を預かっている
• クラウドサービスやテレワークで、社外から会社の情報を扱う場面が増えた

プライバシーポリシーとの違い

情報セキュリティ基本方針とプライバシーポリシーは、どちらもフッターに並ぶことが多いため混同されがちですが、守る対象と根拠が違います。情報セキュリティ基本方針は会社が持つ情報全体、プライバシーポリシーは個人情報の扱いを対象にした文書です。

個人情報の「安全管理措置」とつながる部分

個人情報保護法23条は、個人情報を扱う事業者に、個人データの漏えい・滅失・毀損の防止などのために必要かつ適切な措置を講じるよう求めています（e-Gov法令検索：個人情報の保護に関する法律）。この安全管理のために講じた措置は、同法32条1項4号と施行令10条により、本人の知り得る状態に置く事項とされており、プライバシーポリシーに書く項目の1つです。プライバシーポリシーに書いた措置は、実際に行っていることと一致している必要があり、食い違うと利用者の信頼を損なうリスクがある点に注意が要ります。

また、個人情報保護委員会の個人情報保護法ガイドライン（通則編）は、講ずべき安全管理措置の最初に「基本方針の策定」を挙げ、組織として取り組むために基本方針を作ることが重要だとしています。そこで項目の例として挙げられているのは、事業者の名称、関係法令・ガイドライン等の遵守、安全管理措置に関する事項、質問及び苦情処理の窓口です。ガイドラインは改正に合わせて更新されるため、最新の版は公式ページで確認してください。

つまり、個人データの扱いについての基本方針はプライバシーポリシー（または個人情報保護方針）の側に書き、会社の情報全体の守り方は情報セキュリティ基本方針に書く、という分け方になります。情報セキュリティ基本方針の中で個人情報に触れる場合は、「個人情報の取り扱いについては、別に定めるプライバシーポリシーのとおりとします」と1文で参照すれば十分です。プライバシーポリシーの全文雛形と、安全管理措置の書き方はプライバシーポリシーの雛形と書き方で詳しく解説しています。

1ページにまとめてもよいか

小さな会社では「プライバシーポリシーの中にセキュリティのことも書けば足りるのでは」と考えがちです。ただ、取引先やSECURITY ACTIONで求められるのは、会社の情報全体についての方針です。個人情報だけを扱う文書の中に書くと、対象が個人情報に限られているように読めてしまいます。ページは分け、互いにリンクしておくのが分かりやすい形です。

基本方針に書く項目

基本方針に書く項目は、IPAの付録2のサンプルと、ガイドライン本文の「記載項目例」がそのまま目安になります。付録2のサンプルは、冒頭の宣言文のあとに次の5項目を並べ、最後に制定日と会社名・代表者名を入れる構成です（付録2のWord文書）。サンプルには自社の事情に合わせて書き換える箇所と、文言を選ぶ箇所が色分けで示されているので、そのまま使わず、選んだ文言が自社の実態に合うかを確認することが重要です。

ガイドライン本文の「記載項目例」には、管理体制の整備、法令・ガイドライン等の順守、セキュリティ対策の実施、継続的改善が挙がっています。付録2の5項目と重なる部分が多く、足りないのは「どんな対策をするか」と「どう見直すか」です。

自社に合わせて足すとよい項目

付録2の5項目だけでも基本方針として成り立ちますが、ホームページで公開して取引先に見てもらうなら、次の項目を足すと読み手の疑問に先回りできます。

書かないほうがよいこと

公開する基本方針は、攻撃する側も読める文書です。次の内容は書かず、社内の規程やハンドブックに回します。

• 使っているウイルス対策ソフトやファイアウォール、クラウドサービスの製品名とバージョン
• パスワードの文字数や変更の間隔などの設定値
• 情報システム担当者の個人名や直通の連絡先
• 「漏えいは絶対に起こしません」のような、守れるか分からない断定

コピペで使える情報セキュリティ基本方針の例文（全文）

次の例文は、IPAの付録2の5項目を土台に、前の章で挙げた「適用範囲」「対策の実施」「委託先の管理」「見直し」「お問い合わせ窓口」を足した、全9項目の文面です。従業員数十名までの会社が、ホームページに載せることを想定しています。【】の部分を自社の情報に置き換え、実際に行っていない項目は削ってください。

情報セキュリティ基本方針

【会社名】（以下「当社」といいます。）は、お客様からお預かりした情報および当社の情報資産を、事故・災害・犯罪などの脅威から守ることが、お客様と社会からの信頼に応える基盤であると考えます。当社は、次の方針に基づき、全社で情報セキュリティに取り組みます。

1. 経営者の責任
当社は、経営者が主導して、組織的かつ継続的に情報セキュリティの維持と改善に取り組みます。

2. 適用範囲
本方針は、当社の役員、従業員、派遣社員など、当社の業務に従事するすべての者に適用します。対象とする情報資産は、当社が業務で取り扱う紙と電子データの情報、およびそれを扱う機器とサービスとします。

3. 社内体制の整備
当社は、情報セキュリティの責任者を置き、情報セキュリティ対策を社内の正式なルールとして定めます。

4. 従業員の取り組み
当社の従業員は、情報セキュリティに必要な知識と技術を身につけ、定められたルールを守ります。当社は、従業員への教育を定期的に行います。

5. 対策の実施
当社は、情報資産への不正なアクセス、漏えい、改ざん、紛失、破壊を防ぐため、技術面・物理面・人の面から、事業の内容に応じた適切な対策を行います。

6. 委託先の管理
当社は、業務の委託やクラウドサービスの利用にあたり、情報セキュリティの水準を確認したうえで委託先を選び、必要に応じて契約で取り扱いを定めます。

7. 法令および契約上の要求事項の遵守
当社は、情報セキュリティに関わる法令、規制、規範、および契約上の義務を守ります。個人情報の取り扱いについては、別に定めるプライバシーポリシーのとおりとします。

8. 違反および事故への対応
当社は、情報セキュリティに関わる法令違反、契約違反、事故が起きた場合には、速やかに適切な対応をとり、被害を最小限にとどめるとともに、再発の防止に努めます。

9. 継続的な見直し
当社は、情報セキュリティの取り組みを定期的に点検し、事業や環境の変化に合わせて、本方針と対策を見直します。

本方針についてのお問い合わせ先
【会社名】 情報セキュリティ担当
メールアドレス：【メールアドレス】

制定日：【YYYY年MM月DD日】
最終改定日：【YYYY年MM月DD日】
【会社名】
代表取締役　【代表者氏名】

例文を使う前に直す5か所

1. 会社名と代表者名: 冒頭・お問い合わせ先・署名欄の3か所をそろえます。個人事業主の場合は「当社」を「当事業所」などに変え、「代表取締役」を「代表」にします。
2. 冒頭の「守る情報」: 顧客の情報を預からない事業なら「お客様からお預かりした情報および」を削ります。反対に、預かる情報が事業の中心なら残します。
3. 適用範囲（2）: 派遣社員やアルバイトがいない場合は削ります。委託先にも守らせたい場合は、契約で定めることを6に書きます。
4. 委託先の管理（6）: 外部のサービスや外注先を使っていない場合は削ります。ただ、メールや会計のクラウドサービスを使っているだけでも当てはまるので、多くの会社では残すことになります。
5. お問い合わせ先と日付: 実際に受け取れるメールアドレスを書きます。制定日と最終改定日は、見直すたびに更新します。

短くしたい場合は付録2の5項目に戻す

まず形にすることを優先するなら、例文の1・3・4・7・8の5項目（付録2の5項目に当たるもの）だけでも成り立ちます。従業員が数名で、委託先の管理や定期的な見直しの仕組みがまだ無い会社は、5項目で公開し、仕組みができてから項目を足すほうが、実態との食い違いを防げます。

業態別に差し替える文（6種類）

例文の骨組みは業種が違っても共通です。変わるのは「どんな情報を預かっているか」と「どんな法令や取引先の要求があるか」の2点なので、冒頭の宣言文と7番（法令および契約上の要求事項の遵守）を中心に差し替えます。

店舗・飲食店・サロン

冒頭を「当店は、ご予約や会員登録の際にお預かりしたお客様の情報を…」と書き換え、5番の最後に「予約や顧客管理に使うサービスは、アクセスできる者を必要な範囲に限ります」と足します。紙の予約台帳を使っているなら、「紙の台帳は施錠できる場所で保管します」も入れられます。

士業・コンサルティング

顧客の決算書や登記・契約の書類など、外に出せない書類を多く預かる業態です。7番に「当事務所は、職務上知り得た秘密を守る義務を負う資格者として、お預かりした書類と情報を厳重に取り扱います」と足すと、顧客の安心につながります。守秘義務の根拠となる法律は資格ごとに違うため、条文の番号を書く場合は、自分の資格の法律で確かめてから書いてください。

医療・介護

患者や利用者の健康状態、介護の記録など、とりわけ慎重な扱いが求められる情報を扱います。7番に「当院は、関係する法令と、医療・介護分野で国が示すガイドラインに沿って情報を取り扱います」と足し、実際に参照しているガイドラインがあれば名称を書きます。電子カルテや介護記録のシステムを使っている場合、システムごとの具体的な対策は社内の規程に書き、基本方針には書きません。

製造業・建設業の下請け

取引先から図面・仕様書・設計データを預かる会社は、取引先から情報セキュリティの取り組みを確認されることがあります。IPAのガイドライン第4.0版も、サプライチェーンを通じた被害の広がりを改訂の理由に挙げています。冒頭に「お取引先様からお預かりした図面・技術情報を含む情報資産」と明記し、6番に「再委託する場合は、お取引先様との契約に従い、同等の管理を求めます」と足します。取引先との契約に情報管理の条項があるなら、その内容と食い違わないかも確かめてください。

ネットショップ

購入者の住所・電話番号・購入履歴を扱い、決済や配送を外部に委託するのが一般的です。6番に「決済・配送・メール配信などの委託先は、取り扱う情報に応じて安全管理の水準を確認して選びます」と足します。クレジットカードの情報を自社で保存しない仕組み（決済代行サービスの利用など）にしている場合でも、方針の中で「カード情報を保存しない」と書くのは、実際の仕組みを確かめてからにしてください。

個人事業主・1人の会社

体制や従業員の項目は、そのままでは実態と合いません。2番を「本方針は、当事業所の代表者と、業務を手伝う者に適用します」、3番を「代表者が情報セキュリティの責任者となり、取り扱いのルールを定めます」と短くし、4番は「業務を手伝う者に、ルールを伝えて守ってもらいます」に変えます。1人でも、SECURITY ACTIONの二つ星を宣言する場合は、基本方針の策定と外部公開が必要です。

よくある書き方の失敗と直し方

基本方針は短い文書なので、一文の書き方がそのまま信頼に響きます。中小企業の基本方針で起こりやすい書き方の失敗と、直し方を並べます。

ISMS認証を受けている会社との書き分け

ISMS（情報セキュリティマネジメントシステム）の認証は、認定を受けた認証機関の審査に合格して取得する、第三者による評価の制度です。認証基準はJIS Q 27001:2023とその追補（JIS Q 27001:2025）で、国際規格のISO/IEC 27001:2022とその追補（Amd 1:2024）に対応しています。内容はISMS-ACの制度の概要で確認できます。認証を受けている会社は、基本方針に認証範囲や登録番号を書くことがありますが、受けていない会社が「ISMSに沿って」「国際規格に準拠」と書くと、取引先の誤解を招きます。認証を目指していない段階なら、IPAのガイドラインを参考にしていると書くのが正確です。取引先から認証の有無を確認された場合も、受けていない認証を連想させる表現は避けるよう注意してください。

SECURITY ACTION二つ星と基本方針

SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの制度です（SECURITY ACTIONとは）。IPAが対策の状況を認定する制度ではないため、ホームページなどでは「認定を受けました」「取得しました」ではなく、「宣言しました」と書くのが適切だとされています。

一つ星と二つ星の違い

一つ星の「情報セキュリティ6か条」は、OSやソフトウェアを最新の状態にする、ウイルス対策ソフトを導入する、パスワードを強化する、共有設定を見直す、バックアップを取る、脅威や攻撃の手口を知る、の6つです（一つ星を宣言する）。

二つ星の公式ページ（二つ星を宣言する）によると、基本方針はガイドラインの付録2を参考に作っても、独自に作ってもかまいません。宣言の条件は見直されることがあるため、申し込む前に最新の内容を公式ページで確認してください。外部への公開方法は、申し込みのときに次の3つから選びます。

• 自社ウェブサイトへの掲載
• 会社案内やパンフレットへの掲載
• その他の方法

ホームページがある会社なら、自社ウェブサイトへの掲載がもっとも手間がかかりません。会社案内やパンフレットに載せる場合も、改定したときに刷り直す手間を考えると、ホームページにも同じ文面を置いておくと管理が楽になります。

申し込みの流れ

自己宣言の申込方法によると、宣言はGビズIDのアカウントを使って申し込みます。2026年4月1日からは、GビズIDプライムまたはメンバーのアカウントが必須になりました。補助金の締め切りが近い場合は、GビズIDの取得から逆算して早めに準備するよう注意してください。

1. 一つ星か二つ星かを決める
2. GビズIDプライムを取得する（法人・個人事業主とも。取得済みなら不要。介護施設ごとに宣言する場合は、施設ごとにGビズIDメンバーを作る）
3. 申込フォームで、個人情報の取扱いとロゴマーク使用規約への同意、事業者の情報、取り組みの内容を入力する
4. 「自己宣言の手続完了のお知らせ」のメールで、自己宣言IDを受け取る
5. 必要に応じて、SECURITY ACTION管理システムからロゴマークをダウンロードする

二つ星の場合は、申し込みの前に自社診断の実施と基本方針の外部公開を済ませておく必要があります。つまり、基本方針をホームページに載せることが、二つ星の申し込みの前提になります。なお、一つ星と二つ星は同時に申し込めず、ロゴマークを同時に使うこともできません。ロゴマークは無料で使えます。

補助金・助成金との関係

IPAの補助金・助成金の一覧では、デジタル化・AI導入補助金（旧IT導入補助金）が一つ星・二つ星のどちらかの宣言を、東京都中小企業振興公社のサイバーセキュリティ対策促進助成金などが二つ星の宣言を、申請要件または採択審査での加点対象としている制度として挙がっています。要件か加点かは制度ごとに違い、年度によって条件も変わるため、申請に必要かどうかは補助金の公募要領で最新の内容を確認してください。ホームページ制作に使える補助金の全体像はホームページ制作の補助金ガイドにまとめています。

取引先から提出を求められたときの準備

取引先から「情報セキュリティ基本方針を出してください」と言われたときは、まず何を求められているのかを確かめます。依頼の中身は、大きく次の3つに分かれます。

基本方針を公開していれば、URLを伝えるだけで1つ目の依頼には応えられます。2つ目のチェックシートは、取引先ごとに質問の形が違いますが、IPAの自社診断の25項目に先に答えておくと、自社の対策状況が整理され、回答を準備しやすくなります。できていない項目があっても、「いつまでに何をするか」を添えて答えるほうが、取引先は判断しやすくなります。

また、IPAのガイドライン第4.0版は、経済産業省と内閣官房国家サイバー統括室が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」を踏まえて、組織的な対策や技術的な防御策の考え方を整理したとしています。大手の取引先と継続して取引する会社は、基本方針を作って終わりにせず、ガイドラインの第2部「本格的に取り組む」に沿って、規程や資産の管理まで少しずつ進めておくと、確認を求められたときに慌てずに済みます。

取引先との契約書に、情報の管理や再委託についての条項がある場合は、基本方針の6番（委託先の管理）と7番（法令および契約上の要求事項の遵守）が、その条項と食い違わないかも確認してください。

基本方針の作り方の手順

基本方針は、例文を自社向けに直せば短い時間で形になります。ただし、公開した内容と実際の取り組みが食い違うと、かえって信頼を損ないます。次の順で進めると、実態に合った方針になります。

ステップ1. 自社診断で現状を知る

IPAの「5分でできる！情報セキュリティ自社診断」（付録3）は、25項目の質問に答えるだけで、対策がどれくらいできているかを把握できるチェックシートです。二つ星を宣言する場合はこの実施が条件になるので、最初に済ませておきます。できていない項目が分かれば、基本方針の「対策の実施」に何を約束できるかが見えてきます。

ステップ2. 守る情報と範囲を決める

顧客から預かっている情報、取引先の資料、自社の技術情報や経理の情報など、守る情報を書き出します。あわせて、役員・従業員・アルバイト・派遣社員・委託先のどこまでを方針の対象にするかを決めます。

ステップ3. 例文を直し、経営者が確認する

この記事の例文と業態別の差し替え文を使って、自社向けの文面を作ります。基本方針は経営者の約束なので、担当者が作った案でも、最後は経営者が全文を読んで内容を確認し、代表者の名前で制定します。

ステップ4. ホームページに載せ、社内にも伝える

ホームページに公開するだけでなく、朝礼や社内のチャットで従業員にも伝えます。IPAのガイドラインも、基本方針は従業員の指針だとしています。社内向けのルールは、付録5の規程や付録4のハンドブックで具体的にしていきます。

ステップ5. 年に1回は見直す

事業の内容や使っているサービスが変わったら、方針を見直します。大きな変化が無くても年に1回は読み直し、変えた場合は最終改定日を更新します。

ホームページのどこに載せるか

基本方針は、ホームページの全ページからたどれる場所に置くと、取引先や顧客がすぐに見つけられます。

ページ名とURL

ページ名は「情報セキュリティ基本方針」がもっとも分かりやすく、検索されたときにも内容が伝わります。「セキュリティポリシー」としている会社もありますが、IPAのガイドラインや二つ星の宣言では「情報セキュリティ基本方針」という呼び方が使われるため、そろえておくと説明が楽です。URLは「/security-policy」のように、英単語で内容が分かるものにしておくと、あとで案内しやすくなります。

フッターに、プライバシーポリシーと並べる

フッターには、プライバシーポリシー・サイトポリシー・特定商取引法に基づく表記などの法務系のページが並ぶのが一般的です。情報セキュリティ基本方針もこの並びに入れ、プライバシーポリシーと隣り合わせにすると、2つの違いが伝わりやすくなります。サイトポリシーにまとめるべき内容との分け方はサイトポリシーの書き方と例文で、会社概要ページからリンクする場合の項目の並べ方は会社概要ページに載せる項目一覧で解説しています。

PDFではなく、ページの本文として載せる

基本方針は、Word文書をPDFにして置くより、ページの本文として載せるほうがスマートフォンでも読みやすく、検索にも内容が伝わります。会社案内用にPDFも用意する場合は、ページの本文と同じ文面にしておきます。

ホームページそのもののセキュリティも確かめる

基本方針を載せるホームページが改ざんされたり、管理画面のパスワードが盗まれたりしては、方針の説得力がありません。IPAのガイドライン第4.0版の「ウェブサイトの情報セキュリティ」では、運営形態を次の3つに分け、それぞれ自社が担う対策が違うと説明しています。

ホームページ作成サービスを使っている場合は、3つ目に近い形です。サーバーの管理はサービス側が担うので、自社はログインのパスワードや、管理画面に入れる人の管理を確実にします。問い合わせフォームで個人情報を受け取る場合は、同意文の書き方も問い合わせフォームの個人情報の同意文例で確認しておくと安心です。

状況別の読み分け早見表

公開前のチェックリスト

ホームページに載せる前に、次の点を1つずつ確かめます。

• 会社名・代表者名・お問い合わせ先が、会社概要やプライバシーポリシーと一致している
• 実際に行っていない対策や、受けていない認証を書いていない
• 製品名・設定値・担当者の個人名など、公開しないほうがよい情報が入っていない
• 個人情報の扱いはプライバシーポリシーを参照する形にし、内容が食い違っていない
• 経営者が全文を読み、代表者の名前で制定している
• 制定日（改定した場合は最終改定日）が入っている
• フッターなど、全ページからたどれる場所にリンクがある
• SECURITY ACTIONを宣言した場合は「宣言しました」と書き、「認定」と書いていない
• 従業員にも方針を伝えた

シタミで作るサイトと情報セキュリティ基本方針

シタミで作るホームページには、フッターからリンクしたプライバシーポリシーのページが入ります。すべてのプランで常時SSLに対応しており、サイト全体が暗号化された通信で表示されます。プライバシーポリシーの文面はAIが作るので、公開前に、取得する情報や利用目的が自社の実際の使い方と合っているかを確認してください。

情報セキュリティ基本方針のページが入るとは限らないため、必要な場合は、この記事の例文をもとに文面を用意してください。サイトにページを足したい場合や、ご自身で載せられない場合は、シタミのお問い合わせ窓口（メール）に相談してください。プライバシーポリシーの文面は、無料のプライバシーポリシー作成ツールでも作れます。シタミの料金プランは公開しているので、完成したサイトの無料プレビューを見たうえで、購入するかを決められます。

よくある質問（FAQ）

まとめ：5項目の約束から始め、実態に合わせて育てる

情報セキュリティ基本方針は、会社の情報をどう守るかを経営者の名前で示す、1ページの約束です。IPAのガイドライン第4.0版の付録2にある5項目（経営者の責任・社内体制の整備・従業員の取組み・法令及び契約上の要求事項の遵守・違反及び事故への対応）を骨組みにすれば、どの業種でも短時間で形になります。

今日から動くなら、次の3つから始めてください。

1. この記事の例文をコピーし、会社名・守る情報・適用範囲・委託先・お問い合わせ先の5か所を直す
2. 自社の業態の差し替え文を足し、実際に行っていない項目を削る
3. 経営者が確認して制定し、フッターにプライバシーポリシーと並べて公開する

公開した方針は、取引先や顧客との約束になります。書いた内容を実際の取り組みと合わせ、事業の変化に合わせて見直していくことで、方針が信頼の裏付けになっていきます。