「大手企業でもサイバー攻撃を防げないなら、ISOを取っても意味がないのでは」。2026年10月のGMOの不正アクセス問題を受け、そう感じた経営者の方もいるのではないでしょうか。情報セキュリティ分野で取得を検討するISOは、主にISO/IEC 27001です。取得の意義は、会社が抱えるリスクを把握し、対策と改善を継続する仕組みを外部に説明できることにあります。[1]

社労士の視点で重視するのは、情報管理を従業員が実行できる働き方とルールに結び付けることです。給与や採用の情報を扱う会社では、就業規則、入退社手続き、担当者の教育まで含めて備えを考える必要があります。

GMOインターネットは「お名前.com デスクトップクラウド」への不正アクセスを公表し、取引口座の認証情報が第三者に閲覧された可能性などを案内しました。また、グループ代表は10月25日の公式ブログで、ホワイトハッカーによる事前の課題指摘がありながら、対策の速さと深さが十分でなかったと説明しています。[2][3]

この説明から経営上の論点として考えたいのは、専門家の指摘が、対応する人、期限、予算の決定までつながっていたかという点です。専門家を配置することと、改善を完了させることには、別の管理が必要です。なお、本記事では、今回の原因や当該サービスの認証範囲、認証基準への適合性を断定しません。

ISO27001は、情報セキュリティマネジメントシステム、いわゆるISMSの要求事項を定める国際規格です。会社が保有・利用する情報のリスクを評価し、必要な管理を決め、実施状況を確認して改善します。認証は、定めた範囲の仕組みが規格に適合していることを第三者が審査するものです。[1][4]
例えば、給与情報を誰が閲覧できるか、退職者のアカウントをいつ停止するか、クラウドが使えないときに業務をどう続けるか。こうした判断を担当者任せにせず、会社として決めておくことに実務上の意味があります。

取引先から認証を求められている会社、他社の従業員情報を継続して預かる会社、複数の拠点や外部委託先で情報を扱う会社は、取得を検討する理由が明確です。大企業との取引を増やす場合にも、管理体制を説明する材料になります。

ただし、認証さえあれば必ず受注できるわけではありません。発注者が求める業務や事業所が認証範囲に含まれているか、契約条件を満たしているかも確認が必要です。ISO27001の取得が、すべての中小企業に一律に義務付けられていると考えることも適切ではありません。

従業員全員で一つのIDを使っている、退職者のアクセス権が残っている、バックアップから復元できるか試していない。このような状態なら、審査申込みを待たずに改善へ着手してください。認証取得と日々の対策は並行して進めるものです。

小規模な会社では、まず守る情報と保管場所を洗い出し、責任者を決め、重要なアカウントの多要素認証や権限管理を確認します。IPAの中小企業向けガイドラインも、現状を整理する際の参考になります。

予算を考える際は、初回審査の料金だけでなく、継続審査、社内担当者の作業、必要な設備や専門家の支援まで含めます。安い見積りでも、実務とかけ離れた大量の書類を維持するなら負担が残ります。

反対に、毎回ばらばらに回答していた取引先の確認事項を整理できれば、担当者の負担を減らせる可能性があります。自社の取引と管理課題の両方から判断しましょう。

給与データ、応募書類、健康情報、社会保険手続きの資料などは、会社の人事・労務部門にも集まります。IT部門だけで認証準備を進めても、実際の受渡し方法や外部委託先との共有が抜けていては、管理の穴が残ります。

取得する場合は、現場の業務を含む適切な範囲を定め、運用できるルールにすることが大切です。取得を見送る場合も、情報を守る責任までなくなるわけではありません。

「社外秘を漏らさない」とだけ書かれた就業規則では、現場で迷う場面が残ります。給与ファイルを自宅へ送ってよいか、私物スマートフォンで書類を撮影してよいか、生成AIへ応募書類を入力してよいか。利用できるサービス、承認の手順、禁止する行為、誤送信したときの報告先まで具体化します。
就業規則の服務規律と、情報管理規程、テレワーク規程、秘密保持誓約書の内容をそろえることも必要です。誓約書への署名だけで事故を防げるわけではありません。社労士へ依頼する際は、既存の規程を点検し、実際の業務に合う条文と説明方法を整えるところから始められます。
常時10人以上の労働者を使用する事業場では、就業規則の作成・変更に際して、過半数労働組合または過半数代表者の意見聴取と届出が必要です。従業員への周知も行います。別冊の規程も就業規則の一部に当たる場合があり、名称だけで届出の要否を判断できません。[6]こうした手続きまで含めて相談できることが、社労士を活用する利点です。

社会保険の資格取得・喪失手続きと、社内アカウントの発行・停止は別の作業です。人事担当者が退職を把握していても、システム管理者へ連絡が届かなければ権限が残ります。入退社管理では、次の事項を一つの確認表で追えるようにします。
• 入社時の守秘義務の説明と、担当業務に必要な権限の申請
• 異動・休職・復職に応じたアクセス権の見直し
• 退職時の端末、鍵、紙資料等の返却と会社データの取扱いの確認
• 最終出勤日や業務終了時点に応じた権限停止の担当者と実施確認
これらは運用例です。停止の時期は雇用・業務の状況に合わせて決めます。社労士が人事手続きの流れを整理し、会社の管理担当者が権限設定を実施する役割分担にすると、連絡漏れを減らせます。

罰則を強める前に従業員が守れる仕組みを作る

情報漏えいへの懲戒規定を追加しても、違反があれば直ちに解雇できるとは限りません。懲戒・解雇には合理性と相当性が問われます。[7]会社がルールを説明していたか、安全な作業方法を用意したかも確認すべき点です。責任追及を恐れて報告が遅れないよう、事故の初動と人事上の判断は分けて進めます。
社労士には、服務規律の整備に加え、管理職への説明、入社時の教育内容、ミスを報告しやすい社内対応の相談もできます。規程と日常の労務管理を結び付けることが、ISO27001の準備を会社の実務に役立てる方法です。

「就業規則が古い」「秘密保持誓約書だけで運用している」「退職時の確認が担当者任せ」という会社は、情報管理を含む労務管理を点検してみませんか。イイズカ事務所では、就業規則・関連規程の作成や改定、入退社の人事労務手続き、管理職への説明、継続的な労務相談についてご相談を承ります。
ご依頼内容に応じて、規程の見直し箇所、入退社時の確認事項、担当者間の連絡手順を具体化します。現在の就業規則と従業員数、困っている業務をお知らせください。ISO認証の取得予定が決まっていない段階でも、人事・労務の整備から着手できます。技術対策はITの専門家、認証の審査は認証機関が担い、当事務所は人事・労務の実務から支援します。
就業規則と情報管理についてイイズカ事務所へ相談する