ルールが形骸化する3つの原因

2026年8月28日

社員のIT利用ルール、守ってもらえるルールの作り方

セキュリティー

「パスワードは定期変更」「私物USBは禁止」「フリーソフトは勝手に入れない」――ルールを作ったのに、気づけば誰も守っていない。多くの中小企業が経験する悩みです。実は、ルールが守られない原因の大半は社員のモラルではなく、ルールの「作り方」と「伝え方」にあります。この記事では、ルールが形骸化する3つの原因と、現場に定着させる5つのステップを解説します。

IT利用ルールとは？――「何を決めるか」を先に整理する

IT利用ルールとは、社員が業務でITを使うときの約束事をまとめたものです。呼び方は「情報セキュリティ規程」「IT利用規程」「情報取扱ルール」など会社によってさまざまですが、中身はおおむね次のような項目で構成されます。

ID・パスワードの管理：使い回しの禁止、多要素認証の利用など
機器の利用：私物端末（BYOD）やUSBメモリの扱い、離席時の画面ロック
ソフトウェア・クラウド：業務利用してよいツールの範囲、勝手なインストールの扱い
データの取り扱い：持ち出し、共有、保存場所、廃棄の手順
インシデント時の行動：「おかしい」と思ったら誰に・どう報告するか

よくあるのは「立派な規程を作って、配って、終わり」というパターンです。規程集はファイルサーバの奥深くに眠り、読んだことのある社員はほとんどいない。ルールは存在しているのに、現場の行動は何も変わっていない――。この状態を本記事では「形骸化」と呼びます。形骸化したルールは、無いよりも厄介です。「対策済み」という誤った安心感だけが残るからです。

なぜ今、ルールの「作り直し」が必要なのか

理由1：公式ガイドラインが2026年3月に大きく改訂された

中小企業のセキュリティ対策の事実上の標準である、IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」が、2026年3月27日に第4.0版へ改訂されました。基本の心得だった「情報セキュリティ5か条」は、「バックアップを取ろう！」が加わって「6か条」に拡充。ランサムウェア被害やサプライチェーン攻撃の拡大を踏まえた内容になっています。自社ルールを何年も見直していないなら、最新のガイドラインと突き合わせる絶好のタイミングです。

理由2：ITの使われ方が、ルールより速く変わっている

クラウドサービス、チャットツール、生成AI、テレワーク――。この数年で社員のITの使い方は激変しました。数年前に作ったルールには、そもそも今使われているツールが登場しないことも珍しくありません。ルールに書かれていない領域では、社員それぞれの自己判断が積み重なり、会社が把握していないツール利用（いわゆるシャドーIT）が広がっていきます。詳しくは「シャドーITとは？知らないうちに増える業務利用ツールの管理」で解説しています。

理由3：内部起因の事故は、ルールの穴から起きる

IPAの「情報セキュリティ10大脅威2026」組織編では、「内部不正による情報漏えい等」（7位）や「リモートワーク等の環境や仕組みを狙った攻撃」（8位）がランクインしています。悪意のある不正だけでなく、「知らなかった」「うっかり」によるルール違反も事故の入り口になります。ルールが現場に浸透しているかどうかは、そのまま会社の守りの強さに直結します。

なぜ守られないのか――形骸化する3つの原因

図1：ルールが形骸化する3つの原因。いずれも作り方と運用で防げる

3つの原因に共通するのは、ルールの中身そのものではなく、作るプロセスと運用に問題があるという点です。つまり、作り方を変えれば結果は変えられます。

守ってもらえるルールの作り方、5つのステップ

まず「今どう使われているか」を把握する
ルールは現実の上にしか立ちません。社内にどんな機器があり、誰がどんなツールを使っているかを先に見える化します。把握していないUSBメモリの利用や無許可のクラウドツールは、この段階で洗い出しておきます。
ゼロから書かず、公式のひな形から始める
IPAのガイドライン第4.0版には、「情報セキュリティ基本方針（サンプル）」「情報セキュリティ関連規程（サンプル）」「ハンドブックひな形」などの付録が用意されています。これを土台に、自社の実態に合わない項目を削り、足りない項目を足すのが最短ルートです。
「禁止」には必ず「代わりの手段」をセットにする
「私物USB禁止」なら会社支給のUSBや共有フォルダを、「無料クラウド禁止」なら会社契約のツールを用意する。業務を止めないルールだけが守られます。禁止だけのルールは、善意の社員にすら破られます。
理由とセットで伝え、質問できる場を作る
配布やイントラ掲載だけでは伝わりません。「なぜこのルールがあるのか」を実際の事故例とともに短時間で説明し、現場から「これでは業務が回らない」という声を拾う場を作ります。ルールは押し付けるものではなく、現場と一緒に育てるものです。
年に1回、「ルールと実態のズレ」を点検する
ツールも働き方も毎年変わります。ルールが実態と合っているか、守られているかを定期的に確認し、合わなくなった項目は直します。「作って終わり」ではなく「回して育てる」が定着の条件です。

図2：把握→作成→周知→確認のサイクルを回し続けることが定着の条件

ルールに「監視」の要素を入れるときの注意

ルールの実効性を高めるために、利用ログの確認やロック状況のチェックなど、何らかのモニタリングを取り入れる会社もあります。その場合は、目的をあらかじめ特定して社内規程に定め、社員に明示することが大前提です。個人情報保護委員会も、従業者のモニタリングにあたっては目的の明示・責任者の設定・ルールの策定・運用の確認という留意点を示しています。「守らせるための監視」が「見張られている」という不信感に変わると、ルール全体への協力が失われます。あくまで情報を守るための安全管理として、オープンに設計しましょう。

いいルールとは、厳しいルールではなく、
「守れる形になっていて、守る理由が腹落ちしている」ルールです。