情報資産の分類と
取扱レベルの規程化

企業が保有する情報には、契約書、顧客情報、従業員情報、研究開発データ、ソースコード、価格表、営業資料、取締役会資料、財務情報、ログ、AI学習用データ、委託先へ預けるデータなどがあります。これらは業務資料にとどまらず、法的保護、契約上の秘密保持義務、個人情報保護、知的財産、内部統制、信用、事業継続に直結する経営資産です。

情報資産管理の本質は、大切そうな情報に一律の表示を付けることではありません。情報の価値、法令上の性質、漏えい時の影響、改ざん時の影響、停止時の影響、共有の必要性、保存期間、廃棄義務を評価し、分類結果に応じて閲覧、保存、複製、持出し、送信、印刷、委託、クラウド保存、AI入力、廃棄、監査証跡のルールを一貫して決めることです。

次の3つの項目は、情報資産の分類と取扱レベルを規程化するときの中心論点です。どの項目が弱いかを見ると、規程、契約、システム設定、教育、監査のどこを優先すべきか読み取れます。

企業法務の観点では、情報資産の分類と取扱レベルは、個人データの安全管理措置、営業秘密の秘密管理性、契約上の秘密保持義務、取締役の内部統制構築義務、委託先監督、事故時の説明責任を支える証拠構造です。

次の5つの項目は、法務上の主要な接点を整理したものです。どの接点で説明が求められるかを把握すると、分類表だけでなく運用記録や契約条項まで整える重要性を読み取れます。

個人情報保護法上の安全管理措置

個人情報保護法では、個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置が求められます。個人情報保護委員会のガイドラインは、本人が被る権利利益の侵害の大きさ、事業の規模及び性質、個人データの性質及び量、媒体の性質などに起因するリスクに応じた内容を求めています。

漏えい等が発覚した場合は、社内報告、被害拡大防止、事実関係調査、原因究明、影響範囲特定、再発防止、個人情報保護委員会への報告、本人通知が問題になります。分類と台帳がなければ、影響範囲の特定が遅れ、報告期限や本人通知の判断に影響します。

営業秘密の秘密管理性

不正競争防止法上の営業秘密は、秘密管理性、有用性、非公知性の三要件を満たす情報です。実務上は秘密管理性が争点になりやすく、従業員や取引先が客観的に秘密として認識できる状態を作ることが重要です。

規程がなければ、ある資料が営業秘密候補であることを現場が認識しにくくなります。規程があっても運用がなければ、秘密管理意思が客観化されません。運用があってもログや証跡がなければ、後日の紛争で説明しにくくなります。

契約と内部統制への接続

契約上「秘密情報を善良な管理者の注意をもって管理する」と定めても、社内の分類体系と取扱レベルに接続されていなければ、現場は何をすればよいか分かりません。契約審査時には、相手方から受領する情報、自社から開示する情報、委託先に扱わせる情報、再委託、海外保存、生成AI利用、事故通知期限を確認する仕組みが有効です。

会社法施行規則上の内部統制、財務報告に係る内部統制、サイバーセキュリティ経営のいずれでも、どの情報がどの程度重要で、どのシステムに存在し、誰がアクセスし、停止すると何が起きるかを説明できることが重要です。

分類体系は、複雑すぎると使われず、簡単すぎるとリスクに対応できません。実務上は、機密性を中心に4段階又は5段階で設計し、完全性、可用性、法令タグ、契約タグを補助軸として付ける方法が扱いやすいです。

次の5段階モデルは、情報資産の重要度と取扱いの強さを対応させるための基本形です。分類名そのものよりも、定義、典型例、基本方針の違いを読み取り、自社の文化に合わせて名前を調整することが重要です。

L4は、単にL3より強い機密分類として扱うだけでなく、法令又は契約による特別な取扱いが必要なタグとして扱うことが重要です。特定個人情報のように、利用目的、保存、廃棄、委託先監督、アクセス権限に固有の制約がある情報では、この考え方が役立ちます。

次の補助タグ一覧は、分類レベルだけでは表しきれない法令・契約上の注意点を示します。タグを見ることで、同じL3でも個人データ、営業秘密、インサイダー情報の取扱いが異なることを読み取れます。

機密性、完全性、可用性は、それぞれ異なる事故の形を見ます。次の3つの項目を分けると、漏えい対策だけに偏らず、改ざんや業務停止も含めた分類判断ができます。

情報資産の分類と取扱レベルの規程化では、1本の規程にすべてを書くと肥大化しやすくなります。基本方針、情報資産管理規程、個人情報、営業秘密、文書管理、委託先管理、クラウド、生成AI、事故対応、監査手順を階層化すると運用しやすくなります。

次の規程体系は、各文書の役割と主な読者を整理しています。誰が何を読めばよいかを分けることで、現場向けの使いやすさと監査時の説明可能性を両立できます。

情報資産管理規程には、最低限の条項を置く必要があります。次の一覧は条項を機能別にまとめたものです。抜けている項目があると、分類はあっても保存、委託、生成AI、監査に接続しない状態を読み取れます。

次の条文例は、規程本文に置く代表的な条項を実務向けに言い換えたものです。条文名、対象行為、承認の要否を読み分けると、本文と別表の役割分担が見えます。

別表は現場が参照する資料です。次の列を置くと、抽象的な原則ではなく、分類レベルごとの具体的な行動へつなげやすくなります。

NDAと業務委託契約への反映

NDAでは、秘密情報の定義、開示時の表示、口頭開示情報、複製、目的外利用、第三者開示、返還削除、残存情報、強制開示、差止め、損害賠償、秘密保持期間を確認します。分類と連動させるには、開示資料のラベル、データルームのアクセス権限、提供情報一覧、L3以上のダウンロード制限又は透かし、NDA上の秘密保持期間と社内保存期間の整合、返還又は削除証明を検討します。

委託先が情報資産を扱う場合は、取扱レベルを契約条項に落とすことが重要です。次の一覧は、業務委託契約に入れる主な事項を整理しています。委託データの分類、再委託、国外保存、事故通知、終了時処理を読み取ることで、委託先任せを避けられます。

共同研究、共同開発、ライセンス

共同研究や共同開発では、背景知財、成果知財、ノウハウ、研究データ、失敗データ、発明届、出願前情報、共同発表、学会発表、秘密保持、輸出管理が絡みます。営業秘密候補や出願前発明は、研究者間のチャット、共有ドライブ、外部ストレージ、学会資料に混在しやすい情報です。

この領域では、契約別紙に共同研究データ区分表を置き、提供元、分類、利用目的、閲覧者、発表可否、持出し可否、保存期間、終了時処理を明確にすると実務に落ちやすくなります。

個人データ台帳との連携

個人データを扱う企業では、情報資産台帳と個人データ台帳を分ける場合でも、相互参照できるようにします。漏えい等発覚時に、対象人数、項目、本人通知の要否、委託先との役割分担、再発防止策を迅速に検討するためです。

次の項目一覧は、個人データ台帳に置く内容を整理しています。利用目的から漏えい時の影響までを一連で見ることで、安全管理措置と事故対応を分類体系へ接続できます。

営業秘密と退職者対応

営業秘密として保護したい情報は、営業秘密候補として指定し、秘密管理性を支える運用を整えます。製造条件、研究開発データ、失敗実験データ、ソースコード、アルゴリズム、顧客別価格条件、仕入条件、営業戦略、原価情報、非公開の品質データ、設計図面、技術ノウハウが典型例です。

次の証拠項目は、日常運用を後から説明するためのものです。どの記録が残っているかを見ることで、秘密として管理されている状態を客観化できているかを読み取れます。

退職予定者への対応では、アクセス権限見直し、貸与端末返却、クラウド同期確認、私物端末利用確認、秘密保持義務の再確認、競合転職時の注意喚起、退職後の問い合わせ窓口を定めます。ただし、労働法、個人情報、プライバシー、職業選択の自由への配慮も必要です。過度な監視や不当な転職妨害を避け、就業規則、誓約書、アクセスログ、調査手続の適法性を確認します。

導入では、最初から完璧な台帳を作ろうとすると失敗しやすくなります。重要業務と重要情報から始め、法令・契約要求、分類体系、取扱マトリクス、システム反映、教育、監査へ進めます。

次の時系列は、導入の7ステップを示しています。上から順に進めることで、抽象的な規程作成にとどまらず、現場の保存先、権限、教育、監査まで接続する流れを読み取れます。

中小企業での始め方

中小企業では、最初から大企業並みの制度を作る必要はありません。次の順序は、小さく始めて重要情報から統制を強化するためのものです。限られた人員でも、事故時の影響が大きい情報から優先することを読み取ってください。

専門職の関与ポイント

専門職の関与は、分類体系を実務に合わせるために重要です。次の一覧は、各専門職がどの論点を確認するかを示しています。自社だけで判断しにくい領域を読み取り、必要に応じて専門家へ相談する設計にします。

Q1. 「社外秘」と「機密」はどう違いますか。

一般的には、名称自体に普遍的な定義はなく、社内規程で違いを明確にすることが重要とされています。社外秘は社内利用に限定される情報、機密は漏えい時の影響がより大きくアクセス制限が必要な情報として使われることがあります。ただし、企業ごとの規程、契約、情報の性質によって結論は変わる可能性があります。具体的な定義は、社内規程と実際の運用を確認したうえで専門家へ相談する必要があります。

Q2. 分類は誰が決めるべきですか。

一般的には、作成者又は取得者が初期分類を行い、情報資産オーナーが責任を負う設計が現実的とされています。法令、契約、個人情報、営業秘密に関わる場合は、法務、個人情報担当、知財、情報セキュリティが助言する体制が考えられます。ただし、組織規模、業種、システム環境、委託先利用状況で設計は変わります。具体的な権限設計は、社内体制を整理したうえで専門家へ相談する必要があります。

Q3. 既存ファイルすべてを分類し直す必要がありますか。

一般的には、すべてを一度に分類し直すより、重要情報から段階的に行う方法が採られます。個人データ、営業秘密候補、契約書、財務情報、M&A資料、認証情報、重要システムのバックアップが優先対象になりやすいです。ただし、保有情報の量、漏えいリスク、契約上の義務、規制の有無によって優先順位は変わります。具体的な進め方は、棚卸し結果を確認したうえで専門家へ相談する必要があります。

Q4. 分類ラベルを付ければ営業秘密になりますか。

一般的には、ラベルは秘密管理性を支える有力な要素ですが、それだけでは足りないとされています。アクセス制限、秘密保持義務、教育、持出し管理、退職時対応、ログ、監査などを組み合わせ、秘密として管理されている状態を客観化する必要があります。ただし、情報の内容、利用実態、社内外への共有状況、証拠関係によって評価は変わります。具体的な見通しは、資料と運用状況を整理したうえで専門家へ相談する必要があります。

Q5. クラウドに保存している情報も分類対象ですか。

一般的には、クラウド上の情報、バックアップ、ログ、メタデータ、共有リンク、外部ユーザー権限も分類と取扱レベルの対象に含める運用が望まれます。クラウドでは保存国、サブプロセッサ、管理者権限、削除方法、ログ取得可否も問題になります。ただし、サービスの契約条件、技術仕様、扱う情報の分類によって確認事項は変わります。具体的な利用可否は、契約とセキュリティ資料を確認したうえで専門家へ相談する必要があります。

Q6. 生成AIへの入力可否はどこで決めるべきですか。

一般的には、情報資産分類規程又は生成AI利用規程で、分類レベル及び補助タグに応じて決める方法が考えられます。外部AIサービスへの入力は、情報の外部提供又は外部処理に近いリスクを持つため、L3以上、個人データ、営業秘密候補、契約秘密は原則禁止又は承認制とする設計が多く見られます。ただし、利用するAI環境、契約条件、学習利用の有無、ログ保存、国外処理によって判断は変わります。具体的なルールは、技術条件と契約条件を確認したうえで専門家へ相談する必要があります。

Q7. 分類が業務効率を下げませんか。

一般的には、過剰な分類は業務効率を下げる可能性があります。そのため、分類レベルは多くしすぎず、L3以上を重点管理し、L1やL2では業務に必要な共有を妨げない設計が重要とされています。ただし、規制業種、顧客要求、海外移転、委託先利用、事故経験によって必要な統制の強さは変わります。具体的なバランスは、業務プロセスとリスクを整理したうえで専門家へ相談する必要があります。

日本語の公的・制度資料

• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン 通則編」安全管理措置
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン 通則編」漏えい等事案が発覚した場合に講ずべき措置
• 経済産業省「営業秘密管理指針」
• e-Gov法令検索「会社法施行規則」
• 金融庁「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について」
• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
• 情報マネジメントシステム認定センター「情報セキュリティマネジメントシステム ISMS 適合性評価制度の概要」
• 経済産業省「情報セキュリティ管理基準」
• 国家サイバー統括室「政府機関等のサイバーセキュリティ対策のための統一基準群」

国際標準・海外資料

• NIST FIPS 199「Standards for Security Categorization of Federal Information and Information Systems」
• NIST SP 800-60 Vol. 1 Rev. 1「Guide for Mapping Types of Information and Information Systems to Security Categories」