ドットシンクは10月27日、ITの専任者がいない中小企業向けの無料Webツール「情報セキュリティ対策ガイドライン作成ツール」を10月19日に公開したと発表した。同ツールは、会社で使用するパソコンやクラウドサービス、生成AIなどに関する11の質問に答えると、情報セキュリティ基本方針や対策ルールなど4種類の文書の下書きを作成できるというもの。社員数が5～50人程度で、ITの専任者がいない企業を対象とする。

回答に応じて対策ルールの内容を変更

情報セキュリティ対策ガイドライン作成ツールでは、会社名を入力した上で、1画面に1問ずつ表示される11の質問に「はい」「いいえ」「分からない」のいずれかで回答する。氏名とメールアドレスを送信すると、情報セキュリティ基本方針、対策ルール、チェックリスト、事故発生時の連絡表の下書きが生成される。

  • 表示される選択式の質問に答えていく。

    表示される選択式の質問に答えていく

各文書は、情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版を基に、ドットシンクが構成した。基本方針はA4判1枚で、自社の方針として従業員への周知やWebサイトでの公開に利用できる。

対策ルールは21章で構成され、質問への回答に応じて57～88項目が盛り込まれる。「はい」と答えた項目には、その分野に対応するルールが入る。一方、「いいえ」と回答した項目は1行のルールが入り、「分からない」とした項目にはルールを入れた上で、画面に「確かめる」の印が表示される。

また、生成AIを利用している企業向けのルールには、業務で使用するAIと、その出力を確認する担当者を決める項目が含まれる。AIに入力する情報は「入れてよい」「法人向けのAIだけ」「入れない」の3つに区分する。このほか、入力してはいけない情報を誤って入力した場合は直ちに報告することや、報告した人を責めないことも定めている。

4種類の文書をWord形式で保存

下書きの作成画面では、バックアップの頻度や保存先など、企業ごとに決める項目を候補から選択するか、直接入力できる。入力内容は自動保存され、受付確認メールに記載されたリンクから画面を開き直せるため、社内で確認しながら複数回に分けて作業を進めることが可能だ。

  • 選択するか、直接入力

    企業ごとに決める項目を候補から選択するか、直接入力できる

作成できる文書は、情報セキュリティ基本方針、21章の対策ルール、26項目のチェックリスト、事故発生時の連絡表の4種類である。連絡表には、最初に知らせる相手や初動、公的な相談窓口5カ所が盛り込まれる。各文書はA4判で印刷できるほか、Word形式で保存し、自社の状況に応じて編集できる。PCとスマートフォンに対応し、無料で利用できる。

  • 出来上がった情報セキュリティ基本方針のサンプル

    出来上がった情報セキュリティ基本方針のサンプル

さらに、同社によると、作成した基本方針は、IPAの「SECURITY ACTION」で二つ星を宣言する際に公開する情報セキュリティ基本方針の下書きとしても利用できる。ただし、同ツールで作成するチェックリストはドットシンク独自の項目であり、二つ星の宣言にはIPAの「5分でできる！情報セキュリティ自社診断」を別途実施する必要がある。

なお、作成される文書は社内で対策を検討するための土台と位置付けられている。同社は、作成したルールを自社に合わせて修正し、従業員に周知して運用することに加え、年1回の見直しや、法令・取引先との契約で求められる対応の確認も必要だとしている。