情報環境の棚卸し

このページでできること

セキュリティ対策を考えるとき、最初から「EDRを入れる」「クラウドへ移す」「紙をなくす」と製品や方式を決める必要はありません。

先に確認したいのは、いま仕事がどの情報に依存し、その情報を誰が、どの端末・アカウント・媒体で扱い、問題が起きたとき誰が戻せるのかです。

地方・中小事業者の現場では、電話、口頭、紙、FAX、Excel、USB、共有PC、私物端末、個人アカウント、クラウドストレージ、業務SaaSが同じ業務の中に混在することがあります。この状態は珍しいものとして扱わず、そのまま棚卸しの出発点にします。

このページでは、専任IT担当者がいなくても始められるように、まず30〜60分で現在地を記録する方法を示します。

まず「IT資産一覧」から始めなくてよい

PCやソフトの一覧だけを先に作ると、紙、電話、個人アカウント、外部業者、復旧用スマートフォンのような重要な依存を落としやすくなります。

最初は「仕事」を起点にします。例えば次のように書き出します。

この時点では「危険度70点」のような採点をしません。まず事実を記録します。

30〜60分で行う棚卸し

1. 記録とデータを見る

重要な業務について、次を確認します。

• そもそも後から参照できる記録が残るか
• 紙、Excel、メール、SaaS等のうち、どれを正本として扱うか
• 同じ情報を何度転記しているか
• 最新版がどれか判断できるか
• 訂正前の値や変更理由を追えるか
• 顧客、設備、契約、案件を安定して識別できるか
• 未処理や記録漏れを把握できるか
• 給与、個人情報、認証情報等を一般情報と区別しているか

「デジタルか紙か」より、何を正とし、誰が更新し、不一致時にどちらを採用するかが重要です。

2. 人・アカウント・権限を見る

次に「誰が使えるか」を確認します。

• PCへ利用者別にログインしているか、全員共通か
• Microsoft、Google、LINE、各種SaaS等を個人アカウントで業務利用していないか
• IDやパスワードを複数人で共有していないか
• MFAを使っているか
• 管理者権限を持つ人が誰か分かるか
• 退職・異動した人だけを個別に失効できるか
• 復旧用メール、電話番号、MFA端末が誰のものか分かるか
• 外部業者だけが管理者パスワードを持っていないか

小規模であることと、操作主体を区別できないことは別問題です。

3. 端末・USB・サービスを見る

次を一枚にまとめます。

• PC、スマートフォン、タブレット
• USB、SDカード、外付けHDD
• NAS、複合機、ルーター、Wi-Fi機器
• Microsoft 365、Google Workspace、会計、勤怠、顧客管理等のSaaS
• ドメイン、Webサイト、メールサービス

各項目について、最低限「誰のものか」「誰が管理するか」「更新できるか」「なくなったときどうするか」を記録します。

特に、会社の重要データを置いているのに所有者が個人、管理者が退職者、契約者が外部業者という状態は先に見つけます。

4. 情報がどう移動するかを見る

保存場所だけでなく、情報の移動経路を確認します。

• 電話で受けた変更をどこへ記録するか
• FAXを受けた後、誰がExcelへ転記するか
• ファイルをUSB、メール添付、共有フォルダ、クラウドのどれで渡すか
• 顧客や行政、委託先へ何をどう渡すか
• 「送信した」と「相手が受領・確認した」を区別しているか

事故は保存場所だけでなく、転記・共有・持出し・受渡しの途中でも起こります。

5. 保存場所とコピーを見る

同じデータがどこへ複製されるかを確認します。

例えばOneDriveにあるファイルでも、PCローカルへ同期され、スマートフォンへキャッシュされ、メール添付として送られ、外付けHDDへコピーされていれば、実際の所在は一か所ではありません。

最低限、次を区別します。

• 正本
• 作業コピー
• 同期コピー
• 外部共有
• バックアップ
• 紙原本・印刷物

「クラウドにある」という説明だけでは、所在や所有主体の棚卸しにはなりません。

6. 復旧と事業継続を見る

「バックアップがありますか」だけでは足りません。

次の事故を一つずつ想定します。

• ファイルを誤削除した
• PCが壊れた
• ランサムウェア等でファイルが読めなくなった
• MicrosoftやGoogle等のアカウントへ入れなくなった
• 担当者が急に不在になった
• 外部業者と連絡が取れなくなった
• インターネット回線やSaaSが停止した

それぞれについて「何を使えば戻せるか」「誰が戻せるか」「実際に試したことがあるか」を書きます。

同期、バージョン履歴、ごみ箱、サービス側復元、別媒体バックアップは、同じ復旧手段ではありません。

7. 管理主体と契約を見る

技術設定だけでなく、管理権限と契約も確認します。

• SaaSの契約名義は誰か
• ドメインの登録・更新を誰が管理するか
• 管理者アカウントは自社が保持しているか
• 外部業者の権限を契約終了時に止められるか
• Personal向け・無料版等を業務利用している場合、実際の利用方法と契約条件が合っているか
• 保存期間や削除方針を誰が決めるか

「動いている」ことと「自社が管理権限を持っている」ことは同じではありません。

8. 問題が起きたときの連絡先を見る

最後に、事故時の入口を確認します。

• 最初に誰へ連絡するか
• PCをネットワークから切る等、勝手にしてよい初動が決まっているか
• 警告やバックアップ失敗通知を誰が見るか
• 顧客、取引先、委託先、保険、専門家等へ連絡する条件が分かるか

高度なインシデント対応計画を最初から作る必要はありません。まず「異常に気づいた人が一人で抱え込まない」状態を作ります。

棚卸し用の最小シート

ExcelやGoogleスプレッドシートを使うなら、最初は次の列だけでも構いません。

完璧な台帳を作ることより、現在説明できない部分を見つけることを優先します。

最初に直すものの決め方

棚卸しで大量の問題が見つかっても、一度に直しません。次の順で見ると、実務上の優先順位を付けやすくなります。

1. 事故時の影響が大きく、代替や復旧がないもの
   • 正本が1台のPCにしかない、管理者が一人しかいない、復旧方法がない等。
2. 低コストで明確に是正できるもの
   • 共有パスワード、退職者アカウント、不要な外部共有、MFA未設定等。
3. 他の改善の前提になるもの
   • 端末一覧、アカウント所有者、データ所在、管理者の把握等。
4. 期限切れ・放置で悪化するもの
   • サポート終了OS、更新停止、契約名義不明、バックアップ失敗通知の放置等。
5. 基礎ができた後で効く高度な対策
   • 詳細な監査、端末集中管理、自動化、高度な監視等。

製品を買う前に、共有IDをやめる、管理者を確認する、MFAを有効にする、不要共有を解除するといった改善が先にできる場合があります。

典型的な「先に止めたい」状態

次は、見つけたら少なくとも確認を先送りしない状態です。

• 会社の主要クラウドを一人の個人アカウントだけが所有している
• 複数人が同じID・パスワードを共有している
• 退職者や元委託先がまだアクセスできる
• 重要データの正本がどれか分からない
• バックアップと思っていたものが単なる同期だけだった
• サポート終了または更新不能な端末を重要業務で使っている
• 復旧用メールやMFA端末が退職者・外部業者のものになっている
• Webサイト、ドメイン、SaaS等の管理者を自社が把握していない

これらが見つかったからといって、直ちに特定製品を導入する必要があるとは限りません。まず所有主体、権限、復旧経路を整理します。

紙やFAXがあること自体を不合格にしない

紙には検索・共有・複製管理が難しい場面があります。一方、クラウドには誤削除や誤共有が短時間で複数端末へ反映されるような別の失敗形態があります。

そのため、この棚卸しでは「紙だから遅れている」「クラウドだから安全」という判定をしません。

見るのは、必要な記録が残るか、正本が分かるか、権限を止められるか、所在を説明できるか、事故後に戻せるかです。

公的な無料資料との使い分け

IPAは、個人事業主・小規模事業者を含む中小企業向けに「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しています。自社診断、情報セキュリティ関連規程、資産管理台帳、クラウドサービス安全利用、インシデント対応等の付録も無料で提供されています。

このサイトはそれらを置き換えるものではありません。

• このページ: 混在している現場から、まず現在地を言語化する
• IPA等の公的資料: 組織的な対策、規程、診断、より体系的な実践へ進む
• 個別記事: 共有ID、個人クラウド、退職者権限、バックアップ等の一つの困りごとを具体化する

公的ガイドを読む前に「自社では何が起きているか」が分からない場合の入口として使ってください。

この棚卸しがしないこと

• 単一の成熟度点数を付けません。
• 紙や古い仕組みを存在だけで不合格にしません。
• クラウドや最新製品を導入しただけで合格にしません。
• すべての事業者へ同じEnterprise統制を要求しません。
• 個別企業の法令適合性や監査適合性を判定しません。
• 特定ベンダーの製品購入を結論にしません。

次に読む

個人用MicrosoftアカウントやOneDrive Personalを業務で使っている場合は、OneDrive Personalを業務利用するときの境界で利用形態を分けて確認できます。

このサイト内での分類

このページは、内部では55軸の情報環境マトリクスへ接続しています。55軸は利用者を一律採点するためではなく、記事の収録範囲を管理するために使います。