情報の分類（機密区分）

たとえば「公開」「社外秘」「関係者限り」のように区分を決め、それぞれについて、見てよい人、保存してよい場所、社外に送るときの方法、印刷や持ち出しの可否、捨てるときの方法を決めます。区分が多すぎると使われなくなるため、3〜4段階ほどに絞る会社が多くあります。個人情報や取引先から預かった情報は、契約や法律の決まりも踏まえて区分します。

分類がないと、どの情報をどこまで守ればよいかが人によってばらばらになります。生成AIのサービスに入力してよい情報、クラウドのストレージで共有してよい範囲、退職者のアカウントの扱いなど、日々の判断の基準にもなります。ISMSの要求事項でも、情報の分類と取り扱いは管理策の一つです。

決めた区分は、文書やファイルへの表示、アクセス権の設定、情報漏えい対策の仕組み（DLP）の設定に結び付けると、守られやすくなります。業務の変化に合わせて、年に1回ほど見直します。