実践編の2回目は、7分類の【特定】に入ります。テーマは情報資産の棚卸し――自社にどんなPC・サーバ・ソフト・データがあり、誰がどう使っているかを一覧にする作業です。地味に見えますが、すべての対策の出発点になります。
■ なぜ「棚卸し」が先なのか
守る対象が分からなければ、守りようがありません。どんなに高性能な鍵を買っても、扉の場所を知らなければ掛けられないのと同じです。棚卸しをせずに対策を進めると、次のような”穴”が残ります。
- 忘れられた機器が入口になる：退職者のアカウント、使っていない古いサーバ、設定したきりのルーター。管理されていない資産ほど、更新もされず攻撃者に狙われます。実際、警察庁の統計でも、インターネットに公開された機器の脆弱性を探る不審なアクセスは年々増え続けています。
- 優先順位が決められない：限られた予算と時間をどこに使うべきかは、「何が重要か」が見えて初めて判断できます。
- 事故対応が遅れる：いざ侵害が起きたとき、「そのサーバに何が入っていたか」がすぐ分かるかどうかで、初動の速さがまるで違います。
★3の評価でも【特定】は独立した分類として問われます。第6回で作った方針・体制の次は、この棚卸しです。
■ 何を洗い出すか――5つのカテゴリ
漏れなく洗い出すコツは、カテゴリを分けて順番に見ていくことです。
| カテゴリ | 例 | 見落としがちなもの |
|---|---|---|
| ハードウェア | PC、サーバ、スマホ・タブレット、複合機 | 倉庫の予備機、社長の私物兼用スマホ |
| ソフト・クラウド | 業務ソフト、会計・給与、Microsoft 365等 | 従業員が個人登録した無料サービス |
| データ | 顧客名簿、見積・契約書、設計図、人事情報 | 個人のPCやUSBに残ったコピー |
| アカウント | 各システムのID、管理者権限 | 退職者・異動者のID、共有アカウント |
| ネットワーク機器 | ルーター、UTM、Wi-Fiアクセスポイント、VPN機器 | 設置業者任せで誰も触っていない機器 |
■ 台帳の作り方――Excelで十分、まず1日で粗く
台帳は専用ツールでなくExcelで十分です。列は「資産名／種類／設置場所・保存場所／管理者／利用者／重要度／備考（購入日・更新状況など）」程度から始めましょう。
大切なのは最初から完璧を目指さないことです。まず半日～1日で「粗い一覧」を作り、月次で埋めていく方が確実に続きます。重要度は難しく考えず、次の2つの質問で「高・中・低」を付ければ十分です。
- 止まると業務が止まるか？（可用性）
- 漏れると顧客・取引先の信用を失うか？（機密性）
両方Yesなら「高」。高のものから、バックアップや認証強化などの対策を優先します。
■ 「野良IT」をあぶり出す
棚卸しで必ず出てくるのが、会社が把握していないまま従業員が使っているサービス――いわゆる野良IT（シャドーIT）です。無料の画像共有、個人契約のクラウドストレージ、チャットツール。悪気なく業務情報が置かれ、そのサービスが漏えい事故を起こしたとき、会社は「何が漏れたか」すら分かりません。
あぶり出しのコツは、犯人探しではなく申告キャンペーンにすることです。「業務で使っているサービスを教えてください。申告してくれたものは会社として使い方を決めます」と呼びかければ、実態が集まります。経費精算や請求書からたどるのも有効です。
■ 台帳を「生かす」運用のコツ
- 更新のタイミングを決める：入退社時・機器やサービスの導入時に必ず台帳を更新する、と第6回のルールに1行足しましょう。
- 年1回の全体見直し：方針・ルールの年次見直し（第6回）とセットで台帳も見直すと、忘れません。
- 退職者アカウントの即日停止：台帳にアカウント一覧があれば、退職日にどのIDを止めるかが一目で分かります。
なお、IPA「中小企業の情報セキュリティ対策ガイドライン」（今年7月に第4.0版へ改訂）の付属ツール「5分でできる！情報セキュリティ自社診断」も、自社の現状把握の入り口として併用できます。
■ よくある質問
Q1. 機器が多くて手が回りません。
A. 「重要度・高」になりそうなもの（基幹システム、顧客データのある場所、インターネットに面した機器）から先に台帳化してください。全部を一度にやる必要はありません。
Q2. クラウドサービスも台帳に入れるのですか？
A. 入れます。自社にサーバがなくても、データがどのサービスにあり、誰がアカウントを持っているかは自社の管理責任です。
Q3. 誰が作業すべきですか？
A. 実務は兼任担当で構いませんが、各部署への申告依頼は経営者名で出すと集まりが違います。ここでも第6回の「統治」が効いてきます。
次回（第8回）は【特定②】。洗い出した資産に対するリスクアセスメントの始め方――「どこから危ないか」を評価し、優先順位を付ける手順を解説します。
台帳のひな形づくりや棚卸しの進め方も、ヨドックがご支援します。