【規定サンプル】No.8120_機密保持管理規定

販売価格：15,000円（税別）

お支払い方法は、銀行振込・クレジットカード払いから選択可能です。クレジットカード払いであれば、即時商品のダウンロードが可能です！

2026年9月12日：Ver.2-0大幅改訂版でリリース！

---

「先月退職した方のアカウント、まだ生きていませんか？」

情報セキュリティの監査では、規定の厚さではなく運用の抜けが見られます。特に人の移動に伴う措置は、最も指摘されやすい項目です。

そして、次のような状態で指摘を受ける企業が少なくありません。

• 退職者のアカウントが残っている（名簿と照合すれば即座に判明する）
• 異動したが、旧部門のフォルダにアクセスできるまま
• 顧客監査で工場を歩かれ、他顧客の図面が掲示されていた
• 来訪者が単独で工場内を移動していた
• 機密情報の定義が曖昧で、何が機密か従業員が判断できない
• NDAを締結したが、有効期限が切れたまま情報をやり取りしている
• BCPの想定が自然災害のみで、サイバー攻撃が入っていない

これらは担当者の不注意ではなく、規定が「機密を守る」という一般論で終わり、具体的な措置を定めていないことが原因です。

本商品は、機密情報の定義から異動・退職時の措置、サイバー攻撃対応までを定義したVer.2-0として、金額据え置きでリリースしました。

---

こんな企業様におすすめです

• IATF16949の新規構築で、機密保持の文書を整備している
• 8.1.2（機密保持）への対応が一般論で終わっている
• 異動・退職時の情報管理ルールが決まっていない
• 顧客監査で他顧客情報の遮蔽を指摘された／不安がある
• NDAの有効期限管理ができていない
• BCPにサイバー攻撃を織り込みたい（6.1.2.3）
• 生成AI・クラウドサービスの利用ルールを定めたい
• 審査・顧客監査の前に、情報管理をセルフチェックしたい

このような企業様におすすめです。

---

本商品の最大の特長｜審査・顧客監査の確認ポイント18項目を収録

Ver.2-0最大の特長は、附属書として収録している「審査・顧客監査における確認ポイント」全18項目（A-1〜A-18）です。

要求事項の条文をなぞっただけの規定では、「規定はあるが、審査で何を聞かれるか分からない」という状態が残ります。そこで本商品では、認証機関の審査および顧客の第二者監査で、機密保持・情報セキュリティに関して実際に確認されることが多い事項を、次の3列で整理しました。

列	内容
確認事項	何を見られるか
確認の狙い	審査員・監査員がなぜそこを見るのか
備えるべき記録	どの記録を提示すればよいか

以下は収録内容の抜粋です。

No.	確認事項	確認の狙い（審査員・監査員の視点）
A-3	他顧客の情報が見える状態になっていないか	顧客監査で最も注意される。図面・掲示物を現場で確認される
A-10	退職者のアカウントが残っていないか	最も指摘されやすい項目。名簿と実際を照合される
A-16	サイバー攻撃が緊急事態に含まれているか	6.1.2.3。自然災害だけを想定していないかを見ている
A-17	バックアップの復旧試験を実施しているか	取得しているだけで復旧できるか試していない例が多い

このほか、機密情報の定義、格付けと表示、来訪者の同行、撮影禁止の掲示、機密保持誓約書、NDAの締結と期限、アクセス権限、退職時の返却、異動時の権限見直し、施錠保管、インシデントの報告ルート、顧客への通知、教育の実施など、計18項目を収録しています。

---

情報漏洩は「人が動くとき」に起きます

Ver.2-0で新設した第17章は、この規定の中核です。異動・退職時の措置を5事象で規定しました。

事象	実施すべき措置
部門間の異動	アクセス権限の見直し、旧部門の情報へのアクセス遮断、持出資料の返却
退職（自己都合・定年）	貸与機器・記録媒体・鍵・入館証の返却、アカウントの停止、退職時機密保持誓約書の締結
競合他社への転職が判明した場合	返却物の厳格な確認、競業避止に関する取決めの確認、必要に応じたアクセスログの確認
派遣・請負要員の契約終了	入館証・機器の返却、アカウントの停止、派遣元・請負元への通知
休職	アカウントの一時停止、貸与機器の返却要否の判断

そのうえで、次を明記しました。

✅ 返却チェックリストにより返却物を確認し、返却が完了するまで退職手続を完了としない
✅ アカウントの停止は、退職日当日中に実施する
✅ 退職者が業務上作成した文書・データは会社に帰属する。個人の記録媒体等へ複製して持ち出してはならない
✅ 退職時の誓約書には、退職後の機密保持義務及びその期間を明記する

---

8.1.2｜「機密情報」の範囲、条文どおりに定義していますか

8.1.2は、顧客が契約した製品及び開発中の製品、並びに関連するプロジェクト情報の機密保持を確実にすることを要求しています。「機密情報を守る」という一般論では、この要求を満たしません。

Ver.2-0では、対象を7区分で具体化しました。

区分	具体例
顧客が契約した製品に関する情報	図面、仕様書、価格、納入数量、顧客名、納入先
開発中の製品に関する情報	開発中の車種、デザイン、発売時期、性能目標、コードネーム
プロジェクト情報	開発日程、プロジェクト体制、顧客の社内呼称、会議の内容
当社固有の技術情報	工法、加工条件、ノウハウ、設備仕様、原価情報
個人情報	従業員の情報、顧客・仕入先担当者の情報
経営情報	事業計画、財務情報、人事情報、未公表の意思決定
仕入先に関する情報	調達価格、取引条件、仕入先固有の技術情報

格付け4区分で、取扱いを変える

「社外秘」の1区分だけでは、極めて重要な情報も一般的な社内資料も同じ扱いになります。Ver.2-0では4区分を定義しました。

格付け	取扱いの基準
極秘	指定された者のみ閲覧可。複製禁止。持出には経営者承認が必要
社外秘	社内のみ閲覧可。持出には部門長及び総務部の承認が必要
部外秘	当該部門内のみ閲覧可。他部門への開示は部門長承認による
一般	制限なし

「判断に迷う場合は上位（より厳しい区分）とする」というルールも明記しています。

---

顧客監査で、他顧客の図面が見えていませんか

顧客が工場に来るとき、最も注意されるのが他顧客情報の遮蔽です。自社が「きちんと管理する会社か」を、顧客は自社の情報の扱われ方として見ています。

Ver.2-0では、来訪者管理を規定しました。

✅ 来訪者記録に氏名、所属、訪問先、入退館時刻を記録する
✅ 識別票（入館証）を着用させ、社員と区別できる状態とする
✅ 制限区域へ立ち入らせる場合は社員が同行する。単独での立入りを禁止
✅ 工場内での写真撮影、録画及び録音は、事前の許可を得た場合を除き禁止。その旨を掲示する
✅ 他社の関係者が立ち入る場合、他顧客の情報が見えない状態とする（図面の収納、掲示物の一時撤去等）

---

6.1.2.3｜BCPの想定に、サイバー攻撃は入っていますか

6.1.2.3は、緊急事態の想定にサイバー攻撃を明示的に含めています。しかし多くのBCPは、地震・火災・停電までで止まっています。

Ver.2-0では、サイバー攻撃を6類型で規定しました。

想定事象	対応方針
ランサムウェア感染	ネットワークの即時遮断、バックアップからの復旧、身代金は支払わない方針とする
情報漏洩を伴う不正侵入	影響範囲の特定、顧客への通知、監督官庁への報告、公表の判断
基幹システムの停止	手作業による代替運用手順の発動、顧客への納期影響の連絡
取引先経由の攻撃	取引先への確認、接続の一時遮断、共同での原因究明
標的型メール攻撃	全社への注意喚起、パスワードの一斉変更、ログの確認
DDoS攻撃・回線障害	代替通信手段の確保、顧客への連絡手段の確保

あわせて、「基幹システム停止時に手作業で運用を継続する手順を定め、必要な帳票を紙で保持する」こと、目標復旧時間（RTO）の設定と年1回以上の訓練を規定しています。

---

情報が漏れたとき、顧客に伝えますか

インシデント対応が「総務部へ連絡」で止まっている規定は少なくありません。しかし顧客情報が漏洩した場合、顧客への通知は義務です。

Ver.2-0では、対応を8ステップで規定しました。

ステップ	実施事項	期限の目安
① 報告	発見者が直ちに上長及び総務部へ報告	認知後直ちに
② 被害拡大の防止	ネットワークからの切断、アカウント停止、機器の隔離	報告後直ちに
③ 事実確認	発生日時、影響範囲、漏洩した情報の内容・件数を特定	24時間以内
④ 経営者への報告	総務部長が経営者へ報告	24時間以内
⑤ 顧客・関係先への通知	顧客情報が含まれる場合、顧客へ通知する	事実確認後速やかに
⑥ 監督官庁への報告	法令上の報告義務を確認し、必要な場合は報告	法令に定める期限
⑦ 原因究明・是正	原因を究明し、是正処置を実施	30日以内
⑧ 再発防止の水平展開	他部門・他システムへの同様のリスクを確認	是正処置と同時

「顧客から提供された情報が含まれる場合、顧客への通知を省略してはならない」と明記しました。あわせて、「発見者は事故の疑いがある段階で報告する。確証を得てからの報告を求めない」「報告した者に不利益な取扱いを行ってはならない」ことも規定しています。

---

生成AIに、機密情報を入力していませんか

クラウドサービスと生成AIの業務利用が広がるなか、ルールがない企業が多く見られます。

Ver.2-0では、次を規定しました。

✅ クラウドサービスの利用は事前に総務部の承認を得る
✅ 承認時に、提供事業者の信頼性、データの保存場所（国内／国外）、契約終了時のデータ削除、顧客がクラウド利用を制限していないかを確認
✅ 承認を得ていないサービスへ、機密情報をアップロードしてはならない
✅ 生成AIサービスへ機密情報を入力してはならない。業務利用する場合は、総務部の承認及び利用範囲の指定を受ける
✅ 利用しているサービスの一覧を維持し、年1回以上見直す

---

前版Ver.1-0と新版Ver.2-0の違い

内容	Ver.1-0	Ver.2-0
章構成	5章	全25章＋附属書A
本文の分量	約2,300字	約17,700字
用語の定義	―	14用語
引用文書一覧・記録の保管期間	―	○（記録12種）
責任と権限	4行	11区分のマトリクス
機密情報の対象（8.1.2）	一般論のみ	7区分（顧客契約製品・開発中製品・プロジェクト情報を含む）
機密情報の格付け	「社外秘」のみ	4区分×取扱い基準
機密情報の表示及び識別	―	媒体別5区分
機密保持誓約書・NDA	○	○＋確認6項目・有効期限の管理
機密情報の取扱い（開示・複製・保管）	―	Need to Know・クリアデスク・クリアスクリーン
機密情報の伝達	メール暗号化1行	伝達方法5区分×取扱い
パスワード要件	文が途中で切れている	12文字以上・3種類以上＋多要素認証
ネットワーク・マルウェア対策	○	○＋リモートアクセス・無線LAN
アクセス権限の管理	―	設定・申請・年1回の見直し・ログ取得
外部への持ち出し	○	○＋持出時の取扱い5項目・私有機器の制限
物理的セキュリティ・来訪者管理	―	入退室管理＋来訪者6項目
クラウド・生成AIの利用	―	承認4項目＋生成AIの制限
個人情報の保護	―	○
人事異動・退職時の措置	記載なし	5事象×措置＋返却チェックリスト
インシデント対応	3行	8ステップ×期限＋顧客通知の義務
サイバー攻撃と事業継続（6.1.2.3）	記載なし	6類型×対応方針＋RTO・訓練
情報のバックアップ	2行	○＋オフライン保管・年1回の復旧試験
情報の廃棄	○	○＋保管期間の確認・顧客への証跡提出
教育及び周知	1行	対象5区分×内容×頻度
有効性の評価及び改善	1行	○＋評価指標6種
顧客固有要求事項（CSR）	―	確認8項目（TISAX等を含む）
審査・顧客監査 確認ポイント	―	18項目
表紙・承認欄・文書管理情報	―	○
ページ番号つき目次（自動更新）	―	○
対応要求事項の対比表	2件	9件（該当箇条つき）
ページ数	3ページ	20ページ
Word編集	○	○
販売価格	15,000円（税別）	15,000円（税別）

機密を守るという方針だけでなく、格付け・異動退職時の措置・インシデント対応・サイバー攻撃・審査対策まで一連で整備したい方におすすめです。

---

規定だけでは運用は始まりません｜記録様式もあわせてご活用ください

規定に「〇〇に記録する」と書いても、その様式がなければ運用は始まりません。本規定が引用している帳票をご用意しています。

商品	本規定での引用箇所
【帳票】No.6123_緊急事態対応計画表(BCP)	サイバー攻撃と事業継続
【帳票】No.713_工場インフラストラクチャリスト	情報システムの特定
【帳票】No.1023_不適合・是正処置報告書	インシデント後の是正
【帳票】No.1020_ヒヤリハット報告書	事故の疑いの段階での報告

---

機密保持は関連するQMS文書とセットで考える

情報セキュリティは、この規定だけで完結するものではありません。

商品	本規定との関係
【規定】No.7501_文書管理規定	文書・記録の保護と保管期間
【規定】No.7131_工場施設設備管理規定	情報処理システム・インフラの管理
【規定】No.6121_リスク分析管理規定	緊急事態対応計画（BCP）の策定
【規定】No.8210_受注契約プロセス管理規定	顧客情報の受領・NDAの締結
【規定】No.8401_購買管理規定	仕入先への情報提供・再委託
【規定】No.7201_教育訓練管理規定	情報セキュリティ教育の実施
【規定】No.5301_組織管理規定	従業員行動規範・倫理提報
【規定】No.1030_是正・予防・改善管理規定	インシデント後の是正処置

特に、サイバー攻撃への対応はBCPと接続しなければ、事業継続の観点が抜け落ちます。

---

社内教育とあわせてご活用ください

情報セキュリティは、全従業員が対象となる数少ない領域です。規定を発行しても、一人ひとりの行動が変わらなければ漏洩は防げません。

▶ 【実践教材 No.10】BCP・緊急事態対応の進め方_教育資料 ▶ 【実践教材 No.30】文書管理・記録管理の実践方法_教育資料 ▶ 【実践教材 No.9】IATFで求められる日常管理_教育資料

---

自社の機密保持管理に迷ったらご相談ください

情報管理の水準は、顧客構成・事業規模・IT環境によって異なるため、規定を自社化する際には必ず判断に迷う場面が出てきます。

「機密情報の格付け、4区分は多すぎないか。2区分でよいか」 「退職者のアクセスログ、どこまで確認してよいか」 「顧客監査の前に、どこまで遮蔽すればよいか」 「生成AIの業務利用、どこまで許可すべきか」 「現在の規定を見て、8.1.2への対応が足りているか確認してほしい」

といった場合は、QMS認証パートナーのIATF16949メールコンサルティング・オンラインコンサルティングをご活用ください。現在お使いの規定や運用状況を確認しながら、個別にご相談いただけます。

▶ 無料お試しはこちらからご連絡ください

---

商品仕様

項目	内容
商品区分	規定教材
商品名	No.8120 機密保持管理規定
対応規格	IATF16949／ISO9001
関連対応条項	8.1.2／6.1.2.3／7.1.3／7.5.3／7.5.3.1／7.5.3.2.1／8.4.3／8.4.3.1／8.5.3／7.3／7.3.1／10.2.1／10.2.2
ファイル形式	.docx
ページ数	A4判 20ページ
構成	全25章＋附属書A
用語の定義	14用語
機密情報の対象	7区分
機密情報の格付け	4区分
伝達方法別の取扱い	5区分
異動・退職時の措置	5事象
インシデント対応	8ステップ×期限
サイバー攻撃の想定	6類型
教育の対象	5区分
有効性の評価指標	6指標
記録の保管期間一覧	12種
審査・顧客監査 確認ポイント	18項目
表紙・承認欄	あり
目次	ページ番号つき（自動更新フィールド）
編集	Wordで自由に編集可能
販売価格	15,000円（税別）

---

ご購入について

① お支払い完了後、ダウンロード可能になります（その他のお支払い条件はお問い合わせください）。
② 商品は .docx形式 での納品です。
③ ダウンロードは 1回・10日以内 に行ってください。期限を過ぎるとダウンロードできなくなります。
④ 請求書・領収書の発行が可能です：https://partner.iatf-iso.net/receipt/

---

© 2022〜 Millebrains LLC. All rights reserved. IATF16949はIATFの登録商標です。