中小企業のIT利用規程の作り方｜クラウド・スマホ・社内ネットワーク利用ルールを文書化して情報漏えいリスクを管理する方法



「従業員がどんなサービスを使っているか把握できていない」「スマホで仕事のファイルを個人のLINEで送っている」「退職者がクラウドにアクセスできたままだった」——中小企業の経営者から、こうした相談を受けることが増えています。

こうした問題の根本原因の多くは、社内のIT利用ルールが文書化されていないことにあります。従業員は「禁止されているとは知らなかった」と言い、経営者は「常識的にわかるはず」と思っている。このすれ違いが情報漏えい事故につながります。

この記事では、従業員10～100名規模の中小企業向けに、IT利用規程の作り方を解説します。ひな形活用のポイント、盛り込むべき7つの項目、4ステップの整備手順、よくある失敗まで順を追って説明します。

IT利用規程とは？情報セキュリティポリシーとの違い

IT利用規程とは、従業員が業務でITを使う際のルールをまとめた社内文書です。「何を使ってよいか」「どう使ってよいか」「何をしてはいけないか」を具体的に定めます。

似た言葉に「情報セキュリティポリシー」がありますが、両者は役割が異なります。

文書	位置づけ	主な読み手
情報セキュリティポリシー	セキュリティに関する会社の方針・考え方（上位文書）	経営者・管理職
IT利用規程	日常業務でのIT利用ルール（実務レベルの詳細手順）	全従業員

情報セキュリティポリシーが「なぜセキュリティを守るか」という方針文書だとすれば、IT利用規程は「具体的に何をしてよくて、何をしてはいけないか」を従業員に伝える実務文書です。両方を整備するのが理想ですが、まずIT利用規程から着手することで、現場への即効性があります。

なぜ今、中小企業にIT利用規程が必要なのか

「うちは小さな会社だから規程なんて大げさ」と思われるかもしれません。しかし、中小企業こそIT利用規程が急務です。その理由を3つ挙げます。

1. クラウドサービスの急増でリスクが拡大した

以前は「社内パソコン＋社内サーバー」という閉じた環境でしたが、今は従業員が個人で判断してクラウドサービスを使う時代です。Google ドライブ、個人のDropbox、プライベートのLINE——承認なしに使われているサービスが増えるほど情報漏えいのリスクが高まります。ルールがなければ、従業員を責めることもできません。

2. テレワーク・モバイルワークで「社外」の業務が増えた

在宅勤務や外出先での業務が当たり前になり、「どこで」「どのデバイスで」「どのネットワークから」仕事をするかが多様化しています。カフェのWi-Fiで仕事をしてよいか、個人のスマホで会社のメールを見てよいか——こうした場面がルール化されていない会社は少なくありません。

3. 退職者・業務委託者によるリスクが見えにくい

退職した社員がクラウドサービスにアクセスし続けていたというインシデントは珍しくありません。IT利用規程があれば、退職時のアカウント停止手順も明文化でき、対応漏れを防げます。

IT利用規程に盛り込むべき7つの項目

以下は、従業員10～100名規模の中小企業が最低限カバーすべき項目です。

1. クラウドサービス・外部Webサービスの利用ルール

・業務で使ってよいクラウドサービスは会社が承認したものに限る
・新しいサービスを業務で使う場合は事前に申請・承認を得る
・無料プラン（個人向け利用規約が適用されるもの）の業務利用は禁止
・業務データを個人アカウントのクラウドサービスに保存しない

承認されていないSaaSの実態調査方法については、中小企業のシャドーIT対策ガイドも参考にしてください。

2. 業務用デバイスの利用ルール

・会社支給のPC・スマホは業務目的のみ使用する
・不要なソフトウェアのインストールは禁止（または申請制）
・紛失・盗難が発生した場合は直ちに会社に報告する
・業務終了後は画面ロックをかける

3. 私物デバイス（BYOD）のルール

私物デバイスを業務に使ってよい場合は、その条件を明記します。

・会社が指定するセキュリティアプリの導入を条件とする
・業務データを私物デバイスにダウンロード・保存しない
・退職時は会社の業務データを完全に削除する

4. パスワード・アカウント管理のルール

・パスワードは一定の複雑さ（8文字以上、英数字記号混在など）を設ける
・パスワードを他人と共有しない
・業務アカウントに個人のSNSアカウントを紐づけない
・業務で使用するサービスは会社名義のアカウントで契約する

5. 情報の分類と持ち出しルール

・社内情報を「公開」「社内限定」「機密」などに分類する
・機密情報は承認なく社外に持ち出さない
・紙書類の持ち出しは上長の承認を必要とする
・USBメモリ等の外部記憶媒体の使用は原則禁止（または申請制）

外部記憶媒体の具体的な管理手順については、中小企業のUSBメモリ・外部記憶媒体の管理ガイドをあわせてご覧ください。

6. メール・チャット・SNSの利用ルール

・業務上知り得た情報を個人SNSに投稿しない
・業務メールを個人のメールアカウントに転送しない
・業務連絡には会社が指定したツールのみ使用する（私用LINEによる業務連絡の禁止など）

7. 退職・異動時の手続き

・退職・異動が決まった時点で、担当者がアカウント停止の手続きを開始する
・最終出社日に業務データを引き継ぎ、私物への持ち出しがないことを確認する
・私物デバイスに残っている業務データを削除する

退職者のアカウント対処の具体的な手順については、中小企業の退職者セキュリティ対策ガイドで詳しく解説しています。

IT利用規程を整備する4ステップ

1. 現状の棚卸し（1～2週間）

まず「現在、社内でどんなITサービスが使われているか」を把握します。部門ごとにヒアリングするか、クラウドサービス一覧を従業員に申告させる方法が現実的です。

把握すべき内容:

・業務で使っているクラウドサービス一覧（部門別）
・会社が契約しているサービスと個人が無断で使っているサービスの分類
・テレワーク・外出時のデバイス・ネットワーク使用状況
・過去のインシデント（ヒヤリハット含む）の有無

この棚卸しが規程の土台になります。保有情報・システムの管理については情報資産台帳の作り方も参照してください。

2. ひな形を活用して草案を作る（1～2週間）

ゼロから書く必要はありません。以下のひな形・サンプルが無料で入手できます。

・IPA（情報処理推進機構）: 「中小企業の情報セキュリティ対策ガイドライン」に付属のサンプル規程が公開されている
・商工会議所・商工会: 地域によってひな形の提供や相談対応をしているケースがある
・よろず支援拠点: 無料で規程作成のアドバイスを受けられる

ひな形をベースに、「STEP1で把握した自社の実態」に合わせて加筆・修正します。完璧な規程を目指す必要はなく、「現状で最もリスクが高い穴を塞ぐ内容」を優先的に盛り込みましょう。

3. 社内レビューと調整（1週間）

草案ができたら、管理職・総務担当と読み合わせをします。確認ポイントは3つです。

・現場の実態に合っているか（禁止したいが現実的に難しいルールは運用できない）
・漏れている場面はないか（出張先・外注先・業務委託者の扱い等）
・従業員が読んで理解できる言葉か（専門用語を噛み砕く）

4. 周知・教育・署名取得（2～4週間）

規程は作って終わりではなく、従業員に周知して初めて機能します。

・全員に規程を配布し、読んだことを確認する（署名または電子署名）
・入社時のオリエンテーションでIT利用規程の説明を追加する
・年1回、規程の見直しと全員への再周知を実施する
・内容を変更した場合は速やかに通知し、差分を説明する

IT利用規程の整備にかかるコストと期間

対応方法	費用目安	期間目安
自社で作成（IPAひな形活用）	0円（担当者の工数のみ）	1～2か月
よろず支援拠点・商工会議所に相談	0円（無料相談）	1～3か月
社労士・行政書士に依頼	5万～20万円（規模・内容による）	1～2か月
ITコンサルタントに一括依頼	20万～50万円	2～3か月

※費用は2026年7月時点の目安です。事業者によって異なります。

多くの場合、IPAのひな形と担当者（総務・経営者本人）の工数だけで整備できます。専門家への依頼は、ISMS認証やPマークの取得と同時進行で進める場合に有効です。詳しくは中小企業のISMS認証取得ガイドも参考にしてください。

よくある失敗と回避策

失敗1: 完璧な規程を目指して着手できない

「すべての場合を想定しなければ」と思うと、作業が止まります。まず「今最もリスクが高い3項目」に絞って規程化し、運用しながら追加する方式が現実的です。

失敗2: 規程を作ったが従業員に知らせていない

作成しただけでは意味がありません。全員に配布・説明し、署名を得ることで「知らなかった」という言い訳を防げます。入社時の書類に追加するのが最も確実です。

失敗3: 現場の実態から乖離したルールを設定する

「スマホは業務に使用禁止」と定めても、外出先での業務連絡でスマホが不可欠な職種には守れません。禁止するか、条件付きで許可するかを現場と話し合って決めましょう。

失敗4: 規程を作ったまま更新しない

クラウドサービスのラインナップは毎年変わります。新しいツールが出るたびに規程が古くなるため、年1回の定期見直しをルールとして規程そのものに盛り込んでおきましょう。

失敗5: 業務委託者・外注先をルールの対象外にしている

社員だけを規程の対象にして、フリーランスや業務委託先が抜け穴になるケースがあります。秘密保持契約（NDA）と合わせて、外部関係者にも順守すべきルールを明示する条項を設けましょう。

本記事のまとめ

IT利用規程は、情報漏えい事故が起きる前に整備しておくべき「守りの基盤」です。重要なポイントをまとめます。

・IT利用規程とは業務でのIT利用ルールを文書化したもの。情報セキュリティポリシーより具体的で全従業員向け
・クラウドサービス・私物デバイス・SNS・退職時の手続きなど7項目が基本
・IPAのひな形を活用すれば費用ゼロ・1～2か月で整備できる
・作成後は全員への周知と署名取得、年1回の定期見直しが必須
・完璧を目指さず「今一番リスクの高い穴を塞ぐ」ところから始めることが継続のコツ

IT利用規程の整備とあわせて、アクセス権管理の見直しや情報資産台帳の整備を同時に進めると、ガバナンス体制が一段と強固になります。セキュリティ委託先の探し方については、中小企業のセキュリティ委託先選びも参考にしてください。