← 記事一覧へ

情報環境の棚卸し基礎

公開: 2026/9/12 ・ 更新: 2026/9/12

地方・中小事業者の情報環境を棚卸しする

このページでできること

セキュリティ対策を考えるとき、最初から「EDRを入れる」「クラウドへ移す」「紙をなくす」と製品や方式を決める必要はありません。

先に確認したいのは、いま仕事がどの情報に依存し、その情報を誰が、どの端末・アカウント・媒体で扱い、問題が起きたとき誰が戻せるのかです。

地方・中小事業者の現場では、電話、口頭、紙、FAX、Excel、USB、共有PC、私物端末、個人アカウント、クラウドストレージ、業務SaaSが同じ業務の中に混在することがあります。この状態は珍しいものとして扱わず、そのまま棚卸しの出発点にします。

このページでは、専任IT担当者がいなくても始められるように、まず30〜60分で現在地を記録する方法を示します。

まず「IT資産一覧」から始めなくてよい

PCやソフトの一覧だけを先に作ると、紙、電話、個人アカウント、外部業者、復旧用スマートフォンのような重要な依存を落としやすくなります。

最初は「仕事」を起点にします。例えば次のように書き出します。

業務 重要な情報 正本・主な保存場所 主な利用者 止まったとき困ること
受注 顧客、注文内容、納期 FAX原本＋Excel 事務2名 出荷できない
請求 請求先、金額、入金状態 会計SaaS 経理1名 請求・入金確認が止まる
現場記録 写真、点検値、報告書 紙＋スマホ＋共有フォルダ 現場4名 報告根拠を出せない

この時点では「危険度70点」のような採点をしません。まず事実を記録します。

30〜60分で行う棚卸し

1. 記録とデータを見る

重要な業務について、次を確認します。

「デジタルか紙か」より、何を正とし、誰が更新し、不一致時にどちらを採用するかが重要です。

2. 人・アカウント・権限を見る

次に「誰が使えるか」を確認します。

小規模であることと、操作主体を区別できないことは別問題です。

3. 端末・USB・サービスを見る

次を一枚にまとめます。

各項目について、最低限「誰のものか」「誰が管理するか」「更新できるか」「なくなったときどうするか」を記録します。

特に、会社の重要データを置いているのに所有者が個人、管理者が退職者、契約者が外部業者という状態は先に見つけます。

4. 情報がどう移動するかを見る

保存場所だけでなく、情報の移動経路を確認します。

事故は保存場所だけでなく、転記・共有・持出し・受渡しの途中でも起こります。

5. 保存場所とコピーを見る

同じデータがどこへ複製されるかを確認します。

例えばOneDriveにあるファイルでも、PCローカルへ同期され、スマートフォンへキャッシュされ、メール添付として送られ、外付けHDDへコピーされていれば、実際の所在は一か所ではありません。

最低限、次を区別します。

「クラウドにある」という説明だけでは、所在や所有主体の棚卸しにはなりません。

6. 復旧と事業継続を見る

「バックアップがありますか」だけでは足りません。

次の事故を一つずつ想定します。

それぞれについて「何を使えば戻せるか」「誰が戻せるか」「実際に試したことがあるか」を書きます。

同期、バージョン履歴、ごみ箱、サービス側復元、別媒体バックアップは、同じ復旧手段ではありません。

7. 管理主体と契約を見る

技術設定だけでなく、管理権限と契約も確認します。

「動いている」ことと「自社が管理権限を持っている」ことは同じではありません。

8. 問題が起きたときの連絡先を見る

最後に、事故時の入口を確認します。

高度なインシデント対応計画を最初から作る必要はありません。まず「異常に気づいた人が一人で抱え込まない」状態を作ります。

棚卸し用の最小シート

ExcelやGoogleスプレッドシートを使うなら、最初は次の列だけでも構いません。

列 書くこと
対象 業務、情報、端末、サービス、アカウント等
現在の状態 紙、共有PC、個人OneDrive、USB等をそのまま記録
所有・管理主体 会社、社長個人、従業員個人、外部業者等
利用者 実際に使う人
正本・保存場所 どこを正としているか
外部共有・複製 メール、USB、同期端末等
止まった場合 業務への影響
復旧方法 誰が何を使って戻すか
気になる点 共有PW、退職者権限、未更新OS等
最初の一手 今日直せることを一つ

完璧な台帳を作ることより、現在説明できない部分を見つけることを優先します。

最初に直すものの決め方

棚卸しで大量の問題が見つかっても、一度に直しません。次の順で見ると、実務上の優先順位を付けやすくなります。

  1. 事故時の影響が大きく、代替や復旧がないもの
    • 正本が1台のPCにしかない、管理者が一人しかいない、復旧方法がない等。
  2. 低コストで明確に是正できるもの
    • 共有パスワード、退職者アカウント、不要な外部共有、MFA未設定等。
  3. 他の改善の前提になるもの
    • 端末一覧、アカウント所有者、データ所在、管理者の把握等。
  4. 期限切れ・放置で悪化するもの
    • サポート終了OS、更新停止、契約名義不明、バックアップ失敗通知の放置等。
  5. 基礎ができた後で効く高度な対策
    • 詳細な監査、端末集中管理、自動化、高度な監視等。

製品を買う前に、共有IDをやめる、管理者を確認する、MFAを有効にする、不要共有を解除するといった改善が先にできる場合があります。

典型的な「先に止めたい」状態

次は、見つけたら少なくとも確認を先送りしない状態です。

これらが見つかったからといって、直ちに特定製品を導入する必要があるとは限りません。まず所有主体、権限、復旧経路を整理します。

紙やFAXがあること自体を不合格にしない

紙には検索・共有・複製管理が難しい場面があります。一方、クラウドには誤削除や誤共有が短時間で複数端末へ反映されるような別の失敗形態があります。

そのため、この棚卸しでは「紙だから遅れている」「クラウドだから安全」という判定をしません。

見るのは、必要な記録が残るか、正本が分かるか、権限を止められるか、所在を説明できるか、事故後に戻せるかです。

公的な無料資料との使い分け

IPAは、個人事業主・小規模事業者を含む中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しています。自社診断、情報セキュリティ関連規程、資産管理台帳、クラウドサービス安全利用、インシデント対応等の付録も無料で提供されています。

このサイトはそれらを置き換えるものではありません。

公的ガイドを読む前に「自社では何が起きているか」が分からない場合の入口として使ってください。

この棚卸しがしないこと

次に読む

個人用MicrosoftアカウントやOneDrive Personalを業務で使っている場合は、OneDrive Personalを業務利用するときの境界で利用形態を分けて確認できます。

今後、共有ID、退職者アカウント、私物端末、同期とバックアップ、外部業者の管理権限等を個別記事として追加します。

参照した一次・公式情報

確認時点: 2026-09-12

このサイト内での分類

このページは、内部では55軸の情報環境マトリクスへ接続しています。55軸は利用者を一律採点するためではなく、記事の収録coverageを管理するために使います。