社内データの分類ルールの作り方

自社の「データ」の準備度は？10問・約3分で確かめる（無料・登録不要）

「このファイルをAIに入力してよいか」「取引先に送ってよいか」を、そのたびに上司に確かめていると、AIの活用は広がりません。この記事では、データを区分に分け、区分ごとの扱いを決める分類ルールの作り方を整理します。

分類ルールとは、何を決めるものですか？

分類ルールとは、社内のデータを大切さに応じて区分に分け、区分ごとに扱い方を決めた社内の決まりのことです。決めることは、次の5つです。

• 区分：「公開」「社内限り」などの段階と、その定義
• 判断の基準：どのデータをどの区分にするかの目安と例
• 扱い：区分ごとの保存場所、見られる人、社外への共有、持ち出し、AIへの入力、廃棄の方法
• 表示：区分をファイルや書類にどう示すか
• 責任と見直し：誰が区分を決め、いつ見直すか

経済産業省の資料は、秘密情報の管理の出発点を、保有する情報を把握し、適切に格付けすることとしています。格付けの考え方として、損失の大きさで情報を並べる方法と、損失の大きさそのものを評価する方法が紹介されています。分類ルールは、この格付けを社内で使える形にしたものです。

なぜ、AIの活用で分類ルールが必要なのですか？

AIを業務に使うと、社員がデータをAIに入力したり、AIに社内の資料を読ませたりする場面が増えます。そのたびに「このデータは大丈夫か」を一から考えるのは、時間がかかり、人によって判断がばらつきます。

分類ルールで区分ごとに「AIに入力してよいか」「AIに読ませる資料に含めてよいか」を決めておくと、社員は区分を見るだけで判断できます。社内の資料をAIで探せるようにする仕組みでも、区分に合わせて見られる人を設定しやすくなります。

区分は、どう決めればよいですか？

区分の数に決まりはありません。段階が多いと判断に迷うため、3〜4段階が使いやすい数です。次は4段階の例です（名称や定義は自社に合わせて決めます）。

区分を決めるときは、漏えい・改ざん・使えなくなったときの影響の大きさを目安にします。IPAの資産管理台帳（サンプル）の「重要度定義」では、機密性・完全性・可用性の3つの観点で影響を3から1で評価する方法が示されており、「法律で安全管理が義務付けられている」ものや、取引先から秘密として提供された情報を、評価の高い側の例に挙げています。個人データ（個人情報保護法）や、取引先と秘密保持の契約を結んで預かった情報は、上の区分で扱う目安になります。

判断に迷ったときは上の区分で扱う、と決めておくと、運用が安定します。

区分ごとの扱いは、どう決めればよいですか？

区分ごとの扱いは、1枚の表にまとめると社員が参照しやすくなります。次は例です。

生成AIへの入力の扱いは、使うツールの契約や設定（入力した情報が学習に使われるかなど）によっても変わります。ツールごとに「この区分まで入力してよい」という上限を決める方法もあります。生成AIの利用ルール全体の作り方は「生成AIの利用ルールの作り方」で整理しています。

経済産業省が紹介する秘密情報の保護ハンドブックは、情報の漏えい対策の目的として、接近の制御、持出し困難化、視認性の確保、秘密情報に対する認識向上、信頼関係の維持・向上等の5つを挙げています。扱いの表を作るときは、各区分で「見られる人を絞る」「持ち出しにくくする」「見られていることが分かる」「秘密だと分かる」がそろっているかを確かめると、抜けに気づきやすくなります。

どんな手順で作ればよいですか？

① 目的と対象の範囲を決めます。 「AIの活用と情報漏えいの防止の両立」など、目的を一文にします。紙・電子データ・クラウドのサービスなど、対象の範囲も決めます。

② 区分と定義を決めます。 3〜4段階の区分と、その定義を書きます。

③ 判断の基準と例を書きます。 区分ごとに、該当するデータの例を部署ごとに挙げます。「社内データの棚卸しの進め方」の一覧があれば、それぞれのデータに区分を当てはめます。

④ 区分ごとの扱いの表を作ります。 情報システム部門、法務・総務、業務部門で、実際にできる扱いかを確かめます。

⑤ 表示の方法を決めます。 ファイル名やフォルダ名、書類の表紙、文書の上部などへの表示の仕方を決めます。上位の区分にだけ表示を求め、表示のないものは「社内限り」として扱う方法もあります。

⑥ 責任者と見直しの時期を決めます。 区分を決めるのはデータの責任者、迷ったときに相談する窓口、年に1回などの見直しの時期を決めます。

⑦ 社員に伝えます。 判断の例を中心に説明し、研修や問い合わせの窓口を用意します。

IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）は、付録に情報セキュリティ関連規程のサンプル（付録5）や資産管理台帳のサンプル（付録6）を用意しています。社内の規程の形にするときの参考になります。分類ルールの記入用の様式は、ひな形「社内データの分類ルール」をご覧ください。

営業秘密や個人データの扱いとは、どう関係しますか？

営業秘密：不正競争防止法で営業秘密として保護されるには、秘密として管理されていること（秘密管理性）、事業に役立つ情報であること（有用性）、一般に知られていないこと（非公知性）の3つの要件を満たす必要があります。経済産業省の資料は、秘密管理性について、その情報に接することができる社員などから見て秘密だと分かる程度に、アクセスの制限やマル秘の表示などの管理の措置がとられていることとしています。分類ルールに沿った区分の表示とアクセスの制限は、この管理の措置の一部として役立ちます。AIの活用と営業秘密の関係は「営業秘密を守りながらAIを使う」で整理しています。

個人データ：個人情報保護委員会のガイドライン（通則編）は、安全管理措置の手法の例として、個人データを取り扱う責任者や取扱部署、アクセス権を有する者などをあらかじめ明確にすることを挙げています。個人データを含むデータの区分と見られる人を決めることは、この取り組みにもつながります。ただし、分類ルールは法令の義務を置き換えるものではありません。詳しくは専門家にご確認ください。

チェックリスト

• 分類ルールの目的と対象の範囲を決めている
• 3〜4段階の区分と、その定義を決めている
• 区分ごとに、部署ごとのデータの例を挙げている
• 迷ったときは上の区分で扱うことを決めている
• 区分ごとの保存場所・共有・持ち出し・AIへの入力・廃棄の扱いを表にしている
• AIツールごとに、入力してよい区分の上限を決めている
• 区分の表示の方法を決めている
• 区分を決める責任者と、相談の窓口を決めている
• 見直しの時期を決め、社員に伝えている