情報の分類と取り扱いの決まりのつくり方

情報の分類とは、社内で扱う情報を重要さに応じていくつかの区分に分け、区分ごとに保存の場所、共有してよい相手、持ち出し、廃棄の方法を決めることです。区分は3〜4つにとどめ、区分ごとの扱い方を1枚の表にまとめると、社員が迷わずに使えます。生成AIのサービスに入力してよい情報も同じ区分で決めておくと、新しい道具が増えても判断の軸がぶれにくくなります。

情報の分類は、なぜ要るのか

情報の分類が要るのは、すべての情報を同じ強さで守ろうとすると、守りが重くなりすぎるか、反対に大事な情報まで軽く扱われるかのどちらかになりやすいためです。顧客の名簿や見積もりの原価と、公開済みの会社案内とでは、漏れたときの影響がまったく違います。

分類があると、次のような判断がしやすくなります。

• どの情報に、どこまで費用と手間をかけて守るか
• 社外の人と共有するとき、どの区分までなら渡してよいか
• クラウドのサービスや生成AIを使うとき、どの情報なら扱ってよいか
• 事故が起きたとき、どの情報が漏れたかで、影響の大きさと報告の要否をすばやく見積もる

区分は、いくつにすればよいか

区分は、3つか4つで始めることが多いです。区分を細かくするほど、社員が「この文書はどれに当たるか」で迷い、結局は使われなくなりやすいためです。

区分の例を挙げます。名前や数は会社の実情に合わせて変えて構いません。

迷ったときに上の区分に寄せる、という決まりを添えておくと、判断に時間をかけずに済みます。どの情報がどの区分かを、部門ごとに代表的な例で示しておくと、社員が自分の文書を当てはめやすくなります。

区分ごとに、何を決めるか

区分を決めたら、区分ごとの扱い方を決めます。扱い方は、情報が生まれてから捨てられるまでの流れに沿って並べると漏れが少なくなります。

• 保存：どこに置いてよいか（社内のファイルサーバー、会社が契約したクラウド、個人のパソコンへの保存の可否）
• 共有：誰に見せてよいか（全社員、部門内、決めた人だけ）。社外と共有するときの条件（NDAを結んでいること など）
• 持ち出し：USBメモリ、個人のメール、私物のスマートフォンへの転送を認めるか
• 生成AIへの入力：会社が認めたサービスに入力してよいか、入力しないか
• 廃棄：紙は細断するか、電子のデータは復元できない方法で消すか

アクセスの権限も、区分と結びつけます。秘密と極秘の情報は、仕事に必要な人だけが見られるようにし、権限を与えた記録を残しておくと、異動や退職のときに外し忘れを見つけやすくなります。

営業秘密とは、どう関係するか

情報の分類と表示は、営業秘密として法律の保護を受けるための管理の手段にもなります。不正競争防止法第2条第6項は、営業秘密を、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報で、公然と知られていないものと定めています。いわゆる秘密管理性・有用性・非公知性の3つの要件です。

出典：不正競争防止法（e-Gov法令検索）

どのような管理をしていれば秘密として管理されているといえるかは、経済産業省の「営業秘密管理指針」が考え方を示しています。秘密の表示、アクセスの制限、秘密保持の取り決めなどは、会社が秘密として扱っていることを従業員などに分かる形にする措置の例です。営業秘密管理指針は2025年3月に改訂され、テレワークの普及やクラウドの利用など、働き方と情報の管理の方法の変化を踏まえた内容が加えられています。

出典：営業秘密・情報管理に関するメールマガジン（IPA、2026年1月21日。営業秘密管理指針の改訂の紹介）

「秘密」「極秘」の区分の文書にその旨を表示し、置き場所と見られる人を決めておくことは、こうした措置の土台になります。ある情報が営業秘密に当たるかどうかの個別の判断は、弁護士などの専門家にご確認ください。

個人情報は、どの区分に入れるか

個人情報は、多くの会社で「秘密」以上の区分に入れます。個人情報保護法第23条は、個人データの漏えいなどを防ぐための安全管理の措置を事業者に求めていて、取り扱う情報の量や性質に応じた管理が必要になるためです。個人データの漏えいなどが起きたときに、個人情報保護委員会への報告と本人への通知が求められる場合もあります。

出典：個人情報の保護に関する法律（e-Gov法令検索）

個人情報を扱うシステムで守ることは個人情報保護法で、システムの面から事業者が守ることで、漏えいが起きたときの報告と通知は個人データの漏えいが起きたら。委員会への報告と本人への通知で説明しています。

生成AIへの入力は、どう決めるか

生成AIのサービスに入力してよい情報は、情報の区分と、使うサービスの種類の組み合わせで決めると分かりやすくなります。

表の中身は一例で、会社の判断で決めるものです。個人情報保護委員会は、生成AIのサービスに個人情報を入力する場合の注意を、2023年6月2日に公表しています。

出典：生成AIサービスの利用に関する注意喚起等について（個人情報保護委員会、2023年6月2日）

利用のルール全体の作り方は、社内の生成AIの利用ルールの作り方で扱っています。

決まりを、どう続けるか

決まりを続けるこつは、手間を増やしすぎないことです。

• 文書のひな形に区分の欄を入れておき、作るときに選ぶだけにする
• 共有のフォルダを区分ごとに分け、フォルダの権限で見られる人を決める
• 新しく入った社員の研修で、区分の表と代表的な例を説明する
• 年に1回、区分の表と、フォルダの権限が実態に合っているかを見直す

分類した情報が漏れていないかを道具で見張る仕組み（DLP）を入れる会社もありますが、まずは区分と置き場所と権限が決まっていることが前提になります。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、情報セキュリティの方針や生成AIの利用のルールを、会社の実情に合わせて整えることをご支援しています。AI・DXコンサルティングでは、生成AIを社内で使うときのルール、情報の扱い、担当の決め方を、業務の現状の整理とあわせてまとめています。社内の利用のルールの状態をおおまかに確かめたい場合は、無料の生成AIの利用ルール診断をお使いください。