先に結論：見積前に決めるべきなのは「規程を何ページ作るか」ではなく「どの情報をどう判断させるか」
情報漏えい対策の社内ルールを外部に見積依頼する時、「情報漏えいを防ぐ社内ルールを作ってください」とだけ伝えると、見積は比較できません。ある会社は規程本文だけを作ります。別の会社は情報分類、AI入力禁止情報、委託先共有、教育FAQ、個人情報漏えい時の初動、例外承認、月次レビューまで含めます。どちらも「社内ルール作成」と呼べるため、安い見積が本当に安いのか判断できなくなります。
見積前に決めるべきことは、規程本文の分量ではありません。次の8点です。
- 何を情報漏えいとして防ぐのか
- どの情報分類を対象にするのか
- どの部署、業務、AI・SaaS、委託先まで対象にするのか
- 社員が日常業務で判断できる表を作るのか
- 教育、FAQ、理解度確認まで含めるのか
- 個人情報漏えいが疑われる時の初動フローまで含めるのか
- 例外承認、ヒヤリハット、月次レビューまで運用するのか
- 初期納品と継続運用をどう分けるのか
この8点が決まっていない見積は、後から必ず追加費用が出ます。規程本文だけなら安く見えます。しかし、社員から「顧客名を伏せた議事録をAIに入れてよいのか」「採用候補者の経歴書をAIで要約してよいのか」「委託先がAIを使う場合はどうするのか」と聞かれた時に答えられなければ、結局判断表、教育、FAQ、承認フローを追加で作ることになります。
本記事は、情報漏えい社内ルールをこれから外部に見積依頼する会社向けです。既存ベンダーの成果物を引き継ぐ段階ではありません。複数候補会社へRFPを出す段階でもありません。見積前に、自社の範囲、費用、運用条件を整理するための記事です。
INSTANT ESTIMATE
計算式より、60秒で概算を出しませんか？
システム種別・規模・連携先を選ぶだけで、開発費用・期間・月額運用費の概算をその場で表示します。
この記事を読むべき会社
この記事は、情報漏えい対策の社内ルール、生成AI利用ルール、AI利用規程、セキュリティ規程、外部委託管理ルールをこれから作る、または既存の簡易ルールを見積依頼前に整理したい中小・中堅企業の経営者、DX責任者、情シス責任者、管理部門、法務向けです。
特に、次の状態なら本記事の検索意図に合います。
- 情報漏えい対策の社内ルールを作りたいが、何を依頼すればよいか分からない
- 生成AI、AI機能付きSaaS、クラウド共有、委託先共有の扱いを決めたい
- 個人情報、顧客情報、営業情報、技術情報、ソースコード、ログの分類が曖昧
- 見積を取る前に、初期費用と月次運用費を分けたい
- 法務、情シス、管理部門、現場の責任分界を先に整理したい
- 安い規程作成サービスで足りるのか、運用設計まで必要なのか判断したい
- 社員教育、FAQ、例外承認、ヒヤリハット、月次レビューまで含めるか迷っている
- 個人情報漏えい時の報告判断や本人通知について、社内の初動だけでも整えたい
逆に、既存ベンダーが作った成果物を別会社へ移す段階なら、既存ベンダー変更の記事が近いです。複数候補会社へ正式にRFPを出す段階なら、RFP記事が近いです。本記事は、見積依頼前の範囲整理に絞ります。
この記事の商談設計
この記事で作りたい相談は、情報漏えい社内ルールの見積前診断、情報資産棚卸し、AI入力禁止情報判断表、委託先共有ルール、個人情報漏えい初動フロー、社員教育FAQ、例外承認台帳、月次レビュー設計です。
売上への接続は、見積前診断から、情報分類、社内ルール作成、AI・SaaS利用ルール整備、委託先共有ルール、社員教育、個人情報漏えい初動訓練、月次監査へ段階受注することです。
利益への接続は、見積前整理シート、情報資産棚卸し表、AI入力禁止情報判断表、委託先共有チェックリスト、教育FAQ、例外承認台帳、月次レビュー表を標準化し、毎回ゼロから調査しない高粗利の伴走支援へ接続することです。
主要CTAは AI活用・AI社内ルールの相談 です。
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
既存記事との違い：この記事は「見積依頼前の範囲整理」に絞る
同じ情報漏えい社内ルールでも、検索意図は分ける必要があります。
| 記事テーマ | 主な読者の悩み | 本記事との違い |
|---|---|---|
| 情報漏えい社内ルールの既存ベンダー変更記事 | 既存ベンダーの成果物を次ベンダーへ移管したい | 本記事はまだ見積依頼前で、初期範囲・費用条件を整理する |
| 情報漏えい社内ルールのRFP記事 | 複数候補会社に正式提案依頼するため、要件・評価軸・契約条件を揃えたい | 本記事はRFP前に、社内で決めるべき前提を整理する |
| 情報漏えい従業員利用管理記事 | 社員の日常利用、AI入力、SaaS利用、持ち出し管理を運用したい | 本記事は社内ルール作成の見積条件が主題 |
| ChatGPT情報漏えい対策記事 | 生成AI利用時の入力情報・学習・外部送信リスクを知りたい | 本記事はAIだけでなく、個人情報、委託先、クラウド、教育、初動まで扱う |
本記事の主語は「見積を依頼する前に、自社が何を依頼対象にするか」です。ベンダー比較や契約交渉に入る前の段階です。
見積前に作るべき1枚の範囲整理表
最初に、次の1枚を作ってください。
| 項目 | 初期範囲に入れるか | 後続範囲にするか | 未定のまま見積に出すと起きること |
|---|---|---|---|
| 情報分類 | 必須 | なし | 禁止事項だけが増え、現場判断ができない |
| AI・SaaS利用ルール | 必須 | 詳細ログ連携は後続可 | 生成AIやAI機能付きSaaSの扱いが追加費用になる |
| 委託先共有ルール | 必須 | 委託契約改定は後続可 | 外部パートナー経由の漏えい対策が抜ける |
| 社員教育・FAQ | 必須 | eラーニング化は後続可 | ルール本文はあるが社員が使えない |
| 個人情報漏えい初動 | 必須 | 訓練は後続可 | 事故時に誰が何を判断するか決まらない |
| 例外承認台帳 | 初期に簡易版 | 運用改善は後続 | ルールと実態のズレが見えない |
| 月次レビュー | 設計だけ初期 | 実運用は後続 | 作って終わりになり、すぐ古くなる |
| 契約・権利確認 | 必須 | なし | 成果物を改定・再利用できない |
この表を作らずに見積依頼すると、候補会社は自社の得意範囲だけを見積に入れます。法務系の会社は規程本文、セキュリティ会社は技術対策、研修会社は教育、システム会社はツール導入を中心にします。どれも必要ですが、経営者が欲しいのは「社員が判断でき、事故時に説明でき、月次で直せるルール」です。
費用が変わる10の条件
情報漏えい社内ルールの費用は、ページ数ではなく条件で変わります。
| 条件 | 安くなる状態 | 高くなる状態 |
|---|---|---|
| 対象部署 | 管理部門と情シス中心 | 全社、拠点、現場、委託先まで含む |
| 情報分類 | 既存の情報資産台帳がある | 何の情報がどこにあるか不明 |
| AI・SaaS利用 | 利用ツールが把握済み | 個人アカウント、無料AI、野良SaaSが多い |
| 個人情報 | 扱う範囲が限定的 | 顧客、採用、従業員、問い合わせ、ログに広く含まれる |
| 委託先 | 委託先一覧と契約が整理済み | 外部パートナーが多く、再委託もある |
| 教育 | 既存教育がある | 初回教育、管理職教育、FAQをゼロから作る |
| 初動フロー | 既存の連絡網がある | 事故時の責任者、連絡先、判断者が未定 |
| 権限・ログ | 管理者とログ取得範囲が分かる | SaaSごとに管理者が違い、ログが取れない |
| 法務確認 | 顧問弁護士・法務担当がいる | 外部専門家確認も同時に必要 |
| 運用 | 月次レビュー担当がいる | 作成後の運用者が未定 |
見積前には、候補会社へ「いくらですか」と聞く前に、この10条件を自社で埋めてください。埋められない項目は、見積に「現状診断」として入れる必要があります。
初期費用と月次費用を分ける
情報漏えい社内ルール作成では、初期費用と月次費用を分けて考えます。
| 区分 | 内容 | 目安の見方 |
|---|---|---|
| 初期診断 | 情報資産、AI/SaaS、委託先、既存ルール、事故初動の棚卸し | 規程作成の前提を作る費用 |
| ルール作成 | 社内ルール本文、情報分類、AI入力禁止情報、委託先共有、初動フロー | 文書だけでなく判断表を含むか |
| 教育設計 | 社員向け資料、管理職向け資料、FAQ、理解度確認 | 初回教育だけか、更新前提か |
| 運用設計 | 例外承認、ヒヤリハット、月次レビュー、改定フロー | 作って終わりにしない費用 |
| 月次伴走 | 質問対応、例外承認レビュー、FAQ更新、ツール追加確認 | 継続的に事故を防ぐ費用 |
初期費用だけで判断すると、運用が抜けます。月次費用だけで判断すると、初期の情報分類が雑になります。見積依頼時は、初期診断、ルール作成、教育、運用、月次伴走を分けて出してもらうべきです。
最低限入れるべき要件
見積前に、最低限の要件を次のように整理してください。
- 対象情報を分類すること
- 生成AI、AI機能付きSaaS、クラウド共有、委託先共有を分けること
- 社員が使える入力禁止情報判断表を作ること
- 個人情報漏えいが疑われる時の初動フローを作ること
- 社員教育資料とFAQを作ること
- 例外承認の申請・承認・記録方法を決めること
- ヒヤリハットを月次レビューへ反映すること
- 成果物を編集可能形式で納品すること
- 次回改定、外部専門家確認、委託先展開の扱いを決めること
- 法的判断が必要な範囲を、GXO・法務・弁護士・個人情報保護専門家で分けること
この10項目がない見積は、規程本文としては成立しても、運用ルールとしては弱いです。
初期範囲に入れるべきこと、後回しにできること
全部を初期範囲に入れると費用が大きくなります。だからこそ、削ってよいものと削ってはいけないものを分けます。
| 項目 | 初期範囲 | 後回しにできる範囲 |
|---|---|---|
| 情報分類 | 個人情報、顧客情報、技術情報、営業情報、公開情報の大分類 | 部署ごとの詳細分類 |
| AI利用 | 入力禁止情報、許可・条件付き許可・申請制・禁止の区分 | AIゲートウェイやログ連携の実装 |
| 委託先共有 | 委託先へ渡してよい情報、再委託、削除証明 | 全契約書の一括改定 |
| 教育 | 全社員向け初回教育、FAQ、管理職説明 | eラーニング化、多言語化 |
| 初動 | 発見、報告、証拠保全、経営報告の流れ | 詳細な机上訓練、外部広報訓練 |
| 運用 | 例外承認台帳、月次レビュー表 | 自動ワークフロー化 |
| 監査 | 月次確認項目 | 内部監査制度の正式運用 |
削ってはいけないのは、情報分類、AI入力禁止情報、委託先共有、初動フロー、教育FAQです。これを削ると、安く作っても使えません。
業務別に見積条件を変える
情報漏えい社内ルールは、業務によって重点が違います。
| 業務 | 見積前に整理すること | 費用が増える条件 |
|---|---|---|
| 営業 | 商談メモ、顧客名、提案資料、CRM、AI要約 | 顧客別の機密条件が多い |
| CS | 問い合わせ履歴、画面キャプチャ、FAQ、委託先共有 | 個人情報やクレーム情報が多い |
| 開発 | ソースコード、ログ、APIキー、AIコーディング、委託開発 | 外部開発会社やGitHub権限が複雑 |
| 人事 | 履歴書、評価、面談メモ、採用AI | 採用代行や外部媒体連携が多い |
| 経理 | 請求、給与、振込、会計SaaS、士業共有 | 外部士業、BPO、権限が多い |
| 経営 | 未公開情報、資金繰り、M&A、役員資料 | 閲覧者と共有範囲が限定的 |
全業務を同じ深さでやる必要はありません。見積前には、情報漏えいが起きた時の影響が大きい業務から優先順位を付けます。
個人情報漏えい時の初動は必ず含める
個人情報保護委員会は、個人情報の漏えい等が発生した場合の対応について情報を公開しています。報告要否や本人通知は個別事情で変わるため、見積前に決めるべきなのは、法的結論そのものではなく、社内で誰が、何を、いつ、どの資料で判断するかです。
見積依頼には、最低限次の初動フローを含めるべきです。
- 漏えい疑いを発見した社員の報告先
- 情シス、管理部門、法務、経営の初動会議
- 証拠保全の対象
- 個人情報、顧客情報、技術情報の分類
- 個人情報保護委員会、本人、取引先、委託先への連絡要否の判断者
- 社外説明文の作成者と承認者
- 再発防止策を社内ルールへ戻す流れ
これを含めない見積は、平時の禁止事項だけになります。事故時に使えない社内ルールは、経営者にとって不十分です。
見積依頼前に候補会社へ渡す質問票
見積依頼前に、候補会社へ次の質問を投げると比較しやすくなります。
| 質問 | 見たいこと |
|---|---|
| 規程本文だけでなく、情報分類表と判断表を作れますか | 現場運用まで見ているか |
| 生成AI、AI機能付きSaaS、クラウド共有、委託先共有を分けて設計できますか | AI時代の漏えい対策に対応できるか |
| 個人情報漏えい時の初動フローはどこまで支援できますか | 法務・情シス・経営の連携を設計できるか |
| 社員教育、FAQ、理解度確認まで含められますか | 定着まで見ているか |
| 例外承認、ヒヤリハット、月次レビューは成果物に含まれますか | 作って終わりを避けられるか |
| 成果物は編集可能形式で納品されますか | 次回改定や内製化ができるか |
| 法的助言と運用設計の責任分界をどう扱いますか | 断定リスクを避けられるか |
| 初期費用と月次費用を分けて提示できますか | 見積比較しやすいか |
回答が抽象的な会社は、見積も抽象的になります。見積前の質問票で、候補会社の実務力を見てください。
安い見積で抜けやすい項目
安い見積が悪いわけではありません。ただし、安い見積では次の項目が抜けやすいです。
- 情報資産棚卸し
- AI入力禁止情報判断表
- 委託先共有ルール
- 個人情報漏えい時の初動フロー
- 社員教育FAQ
- 例外承認台帳
- ヒヤリハット反映
- 月次レビュー
- 成果物の編集可能形式
- 法務・情シス・現場の責任分界整理
これらが抜けているなら、安いのではなく、範囲が狭いだけです。見積比較では、金額の横に「含まれる成果物」を並べてください。
100万円未満、100〜300万円、300万円超で何が違うか
実際の費用は会社規模、対象範囲、専門家確認、教育、運用範囲で変わりますが、経営判断としては次のように考えると整理しやすいです。
| 予算帯 | 向いている範囲 | 注意点 |
|---|---|---|
| 100万円未満 | 小規模会社の簡易ルール、情報分類の初版、AI入力禁止情報の簡易判断表 | 教育、初動訓練、月次運用は薄くなりやすい |
| 100〜300万円 | 情報分類、AI/SaaS、委託先共有、教育FAQ、初動フローまで整える | 法的確認や全社展開の深さを別途確認する |
| 300万円超 | 部門別ヒアリング、複数拠点、委託先、教育、訓練、月次運用まで含める | 初期と月次、法務と運用、システム実装を分ける |
金額だけでなく、どの成果物が残るかを見てください。社内ルール本文だけなら安くできます。しかし、社員が判断できる表、教育、初動、月次レビューまで含めると、費用は上がります。その代わり、事故予防と説明責任に使える資産になります。
社内で決める責任分界
見積前に、次の責任分界を決めてください。
| 領域 | 社内担当 | 外部支援会社 | 専門家 |
|---|---|---|---|
| 情報分類 | 情シス、管理部門、現場 | 棚卸し表と判断表を作る | 必要に応じて確認 |
| AI・SaaS利用 | DX、情シス、現場 | 許可区分と入力禁止情報を整理 | 法的・契約面を確認 |
| 個人情報漏えい初動 | 管理部門、法務、経営 | 初動フローを設計 | 弁護士・個人情報専門家が判断支援 |
| 教育 | 管理部門、情シス | 教育資料、FAQ、理解度確認を作る | 必要に応じてレビュー |
| 委託先共有 | 管理部門、発注部門 | チェックリストを作る | 契約条項を確認 |
| 月次運用 | 情シス、管理部門 | レビュー表と改善会議を支援 | 必要に応じて助言 |
外部支援会社に全部丸投げすると、社内で守れません。社内だけで作ると、AI・SaaS・委託先・初動の抜けが出やすくなります。見積前に、誰が何を決めるかを分けることが重要です。
見積依頼書に入れる文例
見積依頼書には、次のように書くと候補会社が同じ前提で回答しやすくなります。
当社は、生成AI、AI機能付きSaaS、クラウド共有、外部委託の利用拡大に伴い、情報漏えい対策の社内ルールを整備したい。単なる規程本文の作成ではなく、情報分類、AI入力禁止情報判断表、委託先共有ルール、社員教育FAQ、個人情報漏えい時の初動フロー、例外承認、月次レビューの初期設計まで含めた見積を希望する。初期作成範囲と月次運用範囲を分け、成果物、工数、前提条件、別費用条件を明記してほしい。
この文例があるだけで、候補会社の見積はかなり揃います。曖昧な依頼では、規程本文だけの見積と運用設計込みの見積が混ざります。
見積依頼前チェックリスト
最後に、次のチェックリストを埋めてから見積依頼してください。
- 守るべき情報分類を5〜7分類で仮置きしたか
- 対象部署と優先順位を決めたか
- 利用中のAI・SaaS・クラウド共有を一覧化したか
- 委託先、外部パートナー、士業、開発会社、代理店を一覧化したか
- 個人情報漏えい時の初動担当を仮決めしたか
- 社員教育とFAQを初期範囲に入れるか決めたか
- 例外承認とヒヤリハットを記録する場所を決めたか
- 月次レビューを誰が見るか決めたか
- 成果物を編集可能形式で納品してもらう条件を入れたか
- 初期費用と月次費用を分けて見積依頼するか決めたか
これが埋まっていない場合、見積依頼の前に見積前診断を入れる方が安全です。
会社規模別に初期範囲を変える
情報漏えい社内ルールは、会社規模によって初期範囲を変えるべきです。小規模会社が大企業向けの統制を最初から入れると運用できません。一方で、従業員数が多い会社が簡易ルールだけで始めると、部署ごとの例外に耐えられません。
| 規模 | 初期範囲の考え方 | 見積前に決めること |
|---|---|---|
| 〜30名 | 代表、管理部門、情シス兼任者がすぐ説明できる簡易ルールを優先 | AI入力禁止情報、委託先共有、事故時連絡先、FAQを先に作る |
| 30〜100名 | 部署ごとの業務差が出るため、部門別の判断表を作る | 営業、CS、開発、管理、人事の5分類で情報を棚卸しする |
| 100〜300名 | 管理職教育、例外承認、月次レビューを初期設計に入れる | 部門責任者、承認者、月次レビュー会議を決める |
| 300名超 | グループ会社、拠点、委託先、監査対応を見越す | 規程体系、個別ルール、教育履歴、監査証跡の設計を分ける |
小規模会社では、完璧な規程体系よりも「これは入れてはいけない」「これは申請する」「事故時はここへ連絡する」を社員が理解することが先です。中規模以上では、部署ごとの判断差が出るため、情報分類と業務別判断表が必要です。見積依頼時に会社規模と対象部署を伝えないと、候補会社は一般論で見積を作ります。
業種別に漏えいリスクの重みを変える
同じ情報漏えい社内ルールでも、業種によって重点が変わります。
| 業種 | 重視すべき情報 | 見積前に入れるべき条件 |
|---|---|---|
| BtoB受託・制作・開発 | 顧客の未公開情報、仕様書、ソースコード、認証情報 | 委託元情報、開発ログ、AIコーディング、再委託の扱い |
| EC・小売 | 顧客情報、購買履歴、問い合わせ、広告データ | CRM、MA、広告代理店、CS委託先の共有ルール |
| 人材・教育 | 求職者情報、評価、面談記録、学習履歴 | 採用AI、面談要約、外部媒体、講師・委託先共有 |
| 医療・介護・ヘルスケア | 健康情報、相談履歴、予約情報、家族情報 | 要配慮情報の扱い、AI入力禁止、本人説明、外部委託 |
| 建設・現場DX | 現場写真、位置情報、作業日報、協力会社情報 | 写真共有、現場アプリ、協力会社、端末紛失時対応 |
| 士業・コンサル | 顧客資料、財務、労務、相続、契約、訴訟関連 | 顧問先資料、外部AI、クラウド共有、補助者権限 |
業種別の重みを決めずに見積を取ると、一般的な禁止事項だけになります。見積前には「自社で漏れたら一番困る情報」を3つ決めてください。たとえば開発会社ならソースコード、APIキー、顧客仕様書です。ECなら顧客情報、購買履歴、広告セグメントです。この3つが決まると、見積の焦点が合います。
見積内訳テンプレート
候補会社から見積を取る時は、次の内訳で出してもらってください。
| 見積項目 | 成果物 | 確認ポイント |
|---|---|---|
| 1. キックオフ・現状ヒアリング | ヒアリングメモ、論点一覧 | 経営、情シス、管理部門、現場を含むか |
| 2. 情報資産棚卸し | 情報分類表、部署別情報一覧 | AI・SaaS・委託先まで見るか |
| 3. リスク整理 | 漏えいシナリオ、優先順位 | 単なる脅威一覧ではなく自社業務に紐づくか |
| 4. 社内ルール本文 | ルール本文、改定方針 | 現場が読める文体か |
| 5. 判断表 | AI入力禁止情報、委託先共有、クラウド共有 | 社員が迷う場面に答えているか |
| 6. 初動フロー | 報告、証拠保全、経営報告、外部連絡 | 個人情報漏えい時の判断者を含むか |
| 7. 教育・FAQ | 社員向け資料、管理職向け資料、FAQ | 初回教育だけか、更新可能か |
| 8. 運用設計 | 例外承認台帳、ヒヤリハット、月次レビュー | 作成後の責任者が決まるか |
| 9. 納品・説明 | 編集可能ファイル、説明会、改定手順 | 次回改定や内製化に使えるか |
| 10. 月次伴走 | 質問対応、FAQ更新、レビュー会議 | 月額費用と含まれる回数が明確か |
この内訳で出してもらえば、規程本文だけの安い見積と、運用設計込みの見積を比較できます。候補会社がこの内訳を嫌がる場合、成果物の粒度が曖昧な可能性があります。
候補会社の赤信号
見積依頼前の相談で、次の反応がある候補会社は注意してください。
| 赤信号 | なぜ危ないか |
|---|---|
| 「テンプレートがあるので短期間で作れます」とだけ言う | 自社の情報分類や業務差を見ない可能性がある |
| 「法令対応は問題ありません」と断定する | 個別事情や専門家確認の境界が曖昧 |
| 「AI利用は禁止にしましょう」で終わる | シャドーAIや現場の迂回を考えていない |
| 「教育は貴社でお願いします」と切り離す | ルールが現場に定着しない |
| 「事故対応は別途です」と初動フローを外す | 漏えい疑いの時に使えない |
| 「成果物はPDF納品です」と言う | 次回改定や内製化がしづらい |
| 「月次運用は不要です」と言う | AI・SaaS・委託先の変化に追いつけない |
もちろん、すべての会社が全範囲を担当する必要はありません。ただし、担当しない範囲を明確にしない会社は危険です。見積前には「どこまで含むか」だけでなく「どこから先は含まないか」を聞いてください。
30日で見積依頼前の準備を終える進め方
見積前整理は、だらだら続けると進みません。30日で終える前提にすると現実的です。
| 期間 | やること | 成果物 |
|---|---|---|
| 1週目 | 経営目的、対象部署、守るべき情報トップ3を決める | 見積前整理メモ |
| 2週目 | AI・SaaS、クラウド共有、委託先、個人情報の棚卸し | 情報資産棚卸し初版 |
| 3週目 | 初期範囲、後続範囲、月次運用、教育範囲を決める | 範囲整理表、費用条件表 |
| 4週目 | 候補会社質問票、見積依頼文、評価軸を作る | 見積依頼書、質問票、比較表 |
この30日で、完璧なルールを作る必要はありません。見積依頼に必要な前提を揃えることが目的です。ここを飛ばして見積を取ると、候補会社ごとに前提が違い、比較できません。
見積比較で使う採点表
見積が出てきたら、金額だけでなく次の100点表で見てください。
| 評価項目 | 配点 | 見るポイント |
|---|---|---|
| 検索意図・課題理解 | 15 | 情報漏えい社内ルールを、規程本文ではなく運用課題として捉えているか |
| 情報分類・業務理解 | 15 | 部署別、情報別、AI/SaaS別に整理できるか |
| AI・SaaS・委託先対応 | 15 | 生成AI、クラウド、委託先共有まで含むか |
| 初動フロー | 15 | 漏えい疑い時の報告、証拠保全、経営判断を含むか |
| 教育・FAQ | 10 | 社員が使える資料になるか |
| 運用設計 | 10 | 例外承認、ヒヤリハット、月次レビューがあるか |
| 成果物・権利 | 10 | 編集可能形式、再利用、改定が可能か |
| 費用透明性 | 10 | 初期費用、月次費用、別費用条件が分かれるか |
70点未満の見積は、安くても再確認が必要です。90点以上の見積は高く見えても、範囲が明確なら検討に値します。
成果物サンプルを見積条件に入れる
見積依頼時には、候補会社へ「成果物名」だけでなく「成果物の中身」を確認してください。たとえば「情報分類表」と書いてあっても、単なる分類名の一覧なのか、部署、保管場所、利用ツール、外部共有、AI入力可否まで含むのかで価値が大きく違います。
最低限、次の粒度を求めるべきです。
| 成果物 | 最低限ほしい中身 | 不十分な例 |
|---|---|---|
| 情報分類表 | 情報名、分類、部署、保管場所、利用ツール、外部共有可否、AI入力可否 | 「個人情報」「機密情報」など分類名だけ |
| AI入力禁止情報判断表 | 許可、条件付き許可、申請制、禁止、匿名化条件、レビュー者 | 「機密情報は入力禁止」とだけ書く |
| 委託先共有チェックリスト | 委託先名、共有情報、再委託、削除証明、AI利用可否、連絡期限 | NDA締結有無だけ |
| 初動フロー | 発見者、報告先、証拠保全、経営報告、外部連絡、再発防止 | 「速やかに報告する」とだけ書く |
| 教育FAQ | 業務別の質問、許可例、禁止例、申請例、違反時対応 | 規程本文を短くしただけ |
| 月次レビュー表 | 新規AI/SaaS、例外承認、ヒヤリハット、教育未受講、委託先変更 | 年1回の見直しだけ |
この粒度を見積条件に入れると、候補会社は手抜きできません。逆に、候補会社が「そこまで細かくなくてよい」と言う場合は、現場運用よりも文書納品を想定している可能性があります。
削ってはいけない範囲
費用を抑えたい時でも、次の5つは削らない方がよいです。
1つ目は、情報分類です。情報分類がないと、禁止事項が抽象的になります。「機密情報を入力しない」と言っても、営業メモ、議事録、問い合わせ履歴、ログ、契約書、採用資料のどれが該当するのか社員は判断できません。
2つ目は、AI入力禁止情報判断表です。生成AIやAI機能付きSaaSは、社員が日常的に触れるため、禁止だけでは迂回されます。許可、条件付き許可、申請制、禁止を分ける必要があります。
3つ目は、委託先共有ルールです。情報漏えいは社内だけで起きるわけではありません。制作会社、開発会社、広告代理店、BPO、士業、採用代行、保守会社へ情報を渡す場面を見ないと穴が残ります。
4つ目は、個人情報漏えい時の初動フローです。法的判断は専門家確認が必要でも、社内で誰が報告を受け、証拠を保全し、経営に上げるかは先に決められます。ここを削ると、事故時に社内が止まります。
5つ目は、教育FAQです。社内ルール本文を作っても、社員が読まなければ意味がありません。業務別のFAQに落とすことで、現場の判断速度が上がります。
削るなら、eラーニング化、多言語化、自動ワークフロー、詳細な監査制度、全契約書の一括改定などです。初期段階では、社員が判断できる最低限の道具を先に作り、仕組み化は後続に回す方が現実的です。
見積前診断で聞くべき社内質問
外部に相談する前に、社内で次の質問に答えてください。
| 質問 | 答えられない時に起きること |
|---|---|
| 自社で一番漏れて困る情報は何か | 候補会社が一般論で設計する |
| どの部署がAIや外部SaaSを最も使っているか | シャドーAIの把握が遅れる |
| 委託先へ渡している情報は誰が把握しているか | 外部共有ルールが抜ける |
| 事故時に最初に経営へ上げる担当は誰か | 初動が遅れる |
| 社員が迷っている具体例は何か | FAQが机上の空論になる |
| 月次で誰が例外承認を確認するか | 作って終わりになる |
| 成果物を社内で改定する担当は誰か | 毎回外部依存になる |
この質問に答えられないこと自体は問題ではありません。問題は、答えられないまま見積を取ることです。答えられない項目は、見積の中に「診断・棚卸し」として入れるべきです。
見積前診断の価値は、答えを全部そろえることではなく、未決定の項目を見積条件として明示することにあります。未決定のまま隠すと追加費用になりますが、未決定であることを候補会社に伝えれば、調査費、設計費、後続費用として正しく分けられます。
GXOに相談すべきタイミング
GXOに相談すべきタイミングは、見積を取った後ではありません。見積を取る前です。
次の状態なら、先に相談してください。
- 情報漏えい社内ルールの見積範囲を決められない
- AI・SaaS利用、委託先共有、個人情報漏えい初動をどこまで入れるべきか迷っている
- 規程本文だけの安い見積で足りるか判断できない
- 社員教育、FAQ、例外承認、月次レビューを含めるか決めたい
- 法務、情シス、管理部門、現場の責任分界を整理したい
- 見積依頼書や候補会社への質問票を作りたい
GXOでは、情報漏えい社内ルールの見積前診断、情報資産棚卸し、AI入力禁止情報判断表、委託先共有ルール、個人情報漏えい初動フロー、教育FAQ、例外承認台帳、月次レビュー設計まで、見積依頼前に必要な範囲を整理します。
相談先は AI活用・AI社内ルールの相談 です。規程本文のページ数ではなく、社員が判断でき、事故時に説明でき、月次で改善できる範囲を決めるために使ってください。
内部リンク
- 生成AI・AI社内ルール全体の親ピラー: 生成AI社内ルール・ガバナンス
- 情報漏えい社内ルールの既存ベンダー変更: 情報漏えい社内ルール作成で既存ベンダーを変更する前に見る引き継ぎ条件・責任分界
- ChatGPT・生成AI利用時の情報漏えいリスク: 社内 ChatGPT で起きる情報漏えいリスクと対策
- AI台帳とシャドーAI対策: 国内企業がAI台帳を作るべき理由
- 相談導線: AI活用・AI社内ルールの相談
参照した一次情報・確認日
- 個人情報保護委員会「漏えい等の対応」: 2026-07-08 HTTP 200確認
- IPA「情報セキュリティ10大脅威」: 2026-07-08 HTTP 200確認
- NIST Cybersecurity Framework: 2026-07-08 HTTP 200確認
- OWASP Top 10 for LLM Applications: 2026-07-08 HTTP 200確認
- NISC: 2026-07-08 HTTP 403確認のため、本文の断定根拠には使わず残余確認扱い
この記事は法的助言ではありません。個人情報漏えいの報告要否、本人通知、契約責任、損害賠償、監督官庁対応は、個別事情に応じて弁護士、個人情報保護の専門家、セキュリティ専門家と確認してください。GXOの役割は、情報漏えい社内ルール、AI・SaaS利用判断、見積条件、教育、例外承認、月次運用を、経営と現場が使える形に整理することです。
