社内規程は、①基本方針（何のために守るか）、②対策基準（何を守るか・ルール）、③手順書（具体的なやり方）の3層で作るのが一般的です。中小企業なら、IPAの中小企業の情報セキュリティ対策ガイドラインに含まれる規程のひな形を自社に合わせて直すのが近道です。
作る手順
- 守るべき情報と、使っている機器・サービスを書き出す（情報資産の洗い出し）
- ひな形から、自社に関係する項目を選ぶ（使っていないものは削る）
- 現場の担当者と一緒に、実際にできるルールに直す
- 経営者が承認し、全社員に周知する
- 年に1回など定期的に見直す
入れておきたい項目の例
- パスワード・多要素認証のルール
- 私物端末・持ち出しのルール（BYOD）
- メール・クラウドの使い方、生成AIの使い方（生成AIのルール）
- 入社・退職時のアカウント手続き（退職者のアカウント）
- 事故が起きたときの報告先と手順
守れないルールは作らない：厳しすぎるルールは、こっそり破られて形だけになります。「なぜ必要か」を説明し、守りやすい仕組み（自動化）とセットにしましょう。