サイバー攻撃や情報漏えいへの対策というと、

• ウイルス対策ソフトを導入する
• 多要素認証を設定する
• EDRを導入する
• データをバックアップする
• 情報セキュリティ規程を整備する

といった対策を思い浮かべる方が多いのではないでしょうか。

もちろん、これらはいずれも重要な対策です。

しかし、その前に確認しておきたいことがあります。

「そもそも、自社にはどのような重要情報があるのか」

「その情報はどこに保存され、誰が管理しているのか」

という点です。

顧客名簿、従業員情報、契約書、見積書、設計図、営業資料、会計データ、クラウド上のファイル――。

企業の中には、事業活動を支えるさまざまな情報があります。

ところが、

「重要な情報がどこにあるのか分からない」

「担当者しか保存場所を把握していない」

「どのクラウドサービスに何の情報が入っているか整理できていない」

という状態になっている企業もあります。

情報セキュリティ対策を考えるためには、まず「何を守るのか」を把握する必要があります。

そこで重要になるのが、情報資産の棚卸しです。

本記事では、IPA（独立行政法人情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン 第4.0版」も踏まえながら、情報資産棚卸しとは何か、情報資産管理台帳には何を書くのか、作成した台帳をどこに保管し、どのように更新すればよいのかまで解説します。

---

情報資産とは？

「情報資産」という言葉から、パソコンやサーバーなどのIT機器を想像する方もいるかもしれません。

しかし、情報資産として管理を考える対象は、機器だけではありません。

企業が事業活動の中で取得・作成・利用している情報そのものも重要な資産です。

例えば、次のようなものがあります。

顧客・取引先に関する情報

• 顧客名簿
• 顧客担当者情報
• 問い合わせ履歴
• 商談記録
• 契約情報
• 購買履歴
• 見積・請求情報

従業員・人事に関する情報

• 履歴書
• 雇用関係資料
• 給与情報
• 勤怠情報
• 人事評価情報
• マイナンバー
• 健康に関する情報

経営・財務に関する情報

• 事業計画
• 売上情報
• 原価情報
• 資金繰り情報
• 仕入情報
• 価格設定
• 会計情報

技術・ノウハウに関する情報

• 設計図
• 図面
• 製造情報
• ソースコード
• システム仕様書
• 研究開発情報
• 営業ノウハウ

契約・法務・行政関係の情報

• 契約書
• 秘密保持契約書（NDA）
• 社内規程
• 許認可関係資料
• 行政機関への申請・届出資料
• 補助金・認定制度関係資料
• 知的財産関係資料

さらに、それらの情報を取り扱う、

• PC
• サーバー
• スマートフォン
• ネットワーク機器
• ソフトウェア
• クラウド・SaaS

などについても、併せて把握しておく必要があります。

つまり情報資産管理では、「情報」と「情報を保存・処理する環境」の両方を見ることが重要です。

---

情報資産棚卸しとは？

情報資産棚卸しとは、企業が保有・利用している情報を洗い出し、

「何の情報があるのか」

「どこにあるのか」

「誰が管理しているのか」

「誰が利用できるのか」

「どの程度重要なのか」

などを整理する作業です。

例えば「顧客情報」という言葉だけでは、実際の管理状況は分かりません。

同じ顧客情報でも、

• 営業担当者のPC
• CRM
• クラウドストレージ
• メール
• 紙ファイル
• 外部委託先

など、複数の場所に存在する可能性があります。

また、

「営業部だけがアクセスできるのか」

「全従業員が閲覧できるのか」

「外部事業者にも共有しているのか」

によっても、管理上のリスクは変わります。

これらを一覧化するために用いられるのが、情報資産管理台帳です。

情報資産管理台帳の作成は一律の法的義務ではない

ここで注意したいのが、すべての事業者について「情報資産管理台帳」という名称の台帳を作成することが、一律に法令上義務付けられているわけではないという点です。

IPAが公開している資産管理台帳も、中小企業が情報資産を把握し、リスク分析や情報セキュリティ対策を進めるためのサンプルとして提供されているものです。IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」では、付録6として全9シートの「資産管理台帳（サンプル）」が公開されています。

本記事では、情報セキュリティや法令・契約上の情報管理を進めるための実務的な手法として、情報資産の棚卸しと台帳管理を取り上げています。

---

なぜ情報資産棚卸しが必要なのか

情報資産棚卸しには、大きく分けて3つの意味があります。

1．何を守るべきか分かる

企業内のすべての情報を、同じレベルで守る必要があるとは限りません。

例えば、

「既にWebサイトで公開している会社案内」

と、

「顧客名簿」

「未公開の新製品設計図」

では、漏えいした場合の影響が異なります。

情報資産を整理することで、

特に優先して守るべき情報は何か

を判断しやすくなります。

---

2．管理の抜け漏れが見つかる

棚卸しをすると、

「このクラウドサービスは誰が管理しているのか」

「退職した担当者しか管理者権限を持っていない」

「重要な資料が個人PCにしか保存されていない」

「外部委託先へ提供している情報が一覧になっていない」

などの問題が見つかることがあります。

情報資産棚卸しは、単にリストを作る作業ではなく、情報管理上の問題を発見する作業でもあります。

---

3．情報セキュリティ対策の優先順位を決めやすくなる

情報資産の重要度が分かれば、

• アクセス制限
• 多要素認証
• 暗号化
• バックアップ
• ログ管理
• 委託先管理
• 社内規程

などについて、どこから優先的に対策すべきか検討しやすくなります。

限られた予算や人員の中で情報セキュリティ対策を行う中小企業にとって、リスクに応じて対策の優先順位を付けることは重要です。

---

IPAも情報資産の把握を重視している

IPAは2026年3月27日、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」を公開しました。

同ガイドラインは、個人事業主や小規模事業者を含む中小企業等が情報セキュリティ対策に取り組む際の考え方や実践方法をまとめたものです。

IPAは資産管理について、自社のIT基盤や資産の現状把握、情報の分類・保護の徹底が、情報漏えいや不正アクセス等のリスクを抑えるために重要であるとしています。

また、

• ハードウェア
• OS
• ソフトウェア
• ネットワーク

について、組織全体で正確に把握し、抜け漏れや管理の属人化を避けるよう示しています。

同ガイドラインの付録6として公開されている**「資産管理台帳（サンプル）」**は全9シートで構成され、

• 情報資産管理台帳
• ネットワーク機器台帳
• ソフトウェア台帳
• ハードウェア台帳
• リスク値算定

などを整理できる内容になっています。

中小企業が自社の情報資産管理を始める際には、参考になる資料の一つです。

---

情報資産管理台帳には何を書く？

IPAの情報資産管理台帳では、例えば次のような項目を整理します。

項目	内容
業務分類	人事、営業、経理等
情報資産名称	社員名簿、顧客名簿等
備考	情報の内容
利用者範囲	誰が利用するか
管理部署	管理する部署
管理者	管理責任者
媒体・保存先	PC、サーバー等
機密性	漏えい時の影響
完全性	改ざん時の影響
可用性	利用不能時の影響
重要度	総合的な重要度
保存期限	いつまで保存するか
登録日	台帳へ登録した日

これだけでも、情報管理の全体像がかなり見えやすくなります。

さらに企業の状況によっては、

• 個人情報への該当
• 要配慮個人情報の有無
• 特定個人情報の有無
• 営業秘密として管理を検討すべき情報か
• 契約上の秘密情報か
• 外部共有先
• 委託先
• 保存期間の根拠
• 廃棄方法

なども整理すると、より実務的な台帳になります。

---

「機密性・完全性・可用性」とは？

情報資産の重要度を考える際によく使われるのが、

機密性（Confidentiality）

完全性（Integrity）

可用性（Availability）

という3つの観点です。

頭文字を取って「CIA」と呼ばれます。

機密性

情報を、本来アクセスする権限のない者に見られないようにすることです。

例えば、

• 顧客情報
• 従業員情報
• 原価情報
• 技術情報
• 未公開の事業計画

などは、漏えいした場合に大きな影響が生じる可能性があります。

完全性

情報が正確な状態に保たれていることです。

例えば、

• 契約内容
• 会計データ
• 設計図
• 製造指示
• 価格情報

などが勝手に変更されたり、誤った内容になったりすると、事業上の損害につながる可能性があります。

可用性

必要なときに情報を利用できることです。

例えば、受発注システムや顧客管理システムがランサムウェア等によって利用できなくなれば、業務そのものが停止する可能性があります。

「漏えいさえしなければよい」というわけではなく、

正しい情報を、必要なときに利用できること

も情報セキュリティでは重要です。

---

情報資産棚卸しと個人情報保護

情報資産を棚卸しするときには、個人情報との関係も確認しておきたいところです。

企業が保有する情報には、

• 氏名
• 住所
• 電話番号
• メールアドレス
• 顧客情報
• 従業員情報
• 健康に関する情報

など、個人情報・個人データに該当するものが含まれている場合があります。

個人情報保護委員会は、「個人データの取扱状況を確認する手段の整備」について、いわゆる「個人情報取扱台帳」を作成すること自体が義務付けられているわけではないとしています。

一方で、事業者が取り扱っている個人データとしてどのようなものがあるのかを明確化することは、その取扱状況を把握する上で有効な取組としています。

したがって、

「自社にはどのような個人データがあるのか」

を情報資産棚卸しの中で把握することは、個人情報管理を考える上でも有効です。

---

個人情報ではない「重要情報」もある

情報管理というと個人情報ばかり注目されがちですが、企業にとって重要な情報は個人情報だけではありません。

例えば、

• 原価
• 価格設定
• 製造方法
• 技術情報
• 設計情報
• 営業ノウハウ
• 顧客獲得ノウハウ
• 新規事業計画
• 研究開発情報

などがあります。

こうした情報の中には、不正競争防止法上の「営業秘密」として管理を検討すべきものもあります。

経済産業省は、不正競争防止法上の営業秘密について、

秘密管理性

有用性

非公知性

の3つの要件を満たす情報であると説明しています。

つまり、

「社長が秘密だと思っている」

「社外秘と呼んでいる」

だけで、当然に不正競争防止法上の営業秘密として保護されるわけではありません。

情報資産棚卸しを通じて、

「自社にとって秘密として管理すべき情報は何か」

を明確にすることは、営業秘密管理を考える第一歩にもなります。

---

NDA・契約上の秘密情報も棚卸しする

もう一つ見落としやすいのが、契約上の秘密情報です。

自社にとってはそれほど重要ではなくても、取引先との秘密保持契約（NDA）や業務委託契約によって、

「相手方から開示された情報を秘密として管理する」

義務を負っている場合があります。

この場合、

• どの取引先から受領したのか
• どのような種類の情報なのか
• どこに保存されているのか
• 誰がアクセスできるのか
• 再委託先へ提供しているか
• 契約終了後の返還・削除条件はどうなっているか

などを把握しておく必要があります。

したがって情報資産棚卸しでは、

自社にとって重要かどうか

だけでなく、

法令や契約によって管理を求められているか

という視点も重要です。

---

外部委託先へ渡している情報も確認する

現在の事業活動では、外部事業者と情報を共有することも珍しくありません。

例えば、

• 税理士
• 社会保険労務士
• 弁護士
• 行政書士
• IT事業者
• システム開発会社
• Web制作会社
• 広告会社
• フリーランス
• その他の業務委託先

などへ情報を提供する場合があります。

そこで、

「どの情報を、誰に渡しているのか」

も整理しておきたいところです。

情報資産管理台帳と委託先管理を組み合わせれば、

「この顧客情報はA社にも提供している」

「このデータはB社が提供するクラウドサービス上に保存されている」

といった情報の流れも把握しやすくなります。

---

SaaS・クラウドサービスの棚卸しも重要

近年、特に重要になっているのがクラウド・SaaSの棚卸しです。

企業では、

• Google Workspace
• Microsoft 365
• Dropbox
• Box
• Slack
• Chatwork
• LINE WORKS
• Salesforce
• kintone
• クラウド会計
• CRM

など、複数のクラウドサービスを利用することが一般的になっています。

便利な一方で、

「会社として何のサービスを契約しているのか分からない」

「部署ごとに別々のサービスを利用している」

「誰が管理者なのか分からない」

「退職者のアカウントが残っている」

という状態になることもあります。

さらに、従業員が会社の承認を得ずにクラウドサービス等を利用する、いわゆるシャドーITの問題もあります。

そのため情報資産だけでなく、

• サービス名
• 利用目的
• 管理者
• 利用者
• 保存している情報
• MFAの有無
• 外部共有
• 契約状況

などを、SaaS・ソフトウェア台帳として整理する方法も考えられます。

---

生成AIも棚卸しの対象になる

生成AIの利用が広がる中、

「従業員がどの生成AIを利用しているのか」

も確認したい項目になっています。

例えば、

• ChatGPT
• Microsoft Copilot
• Google Gemini
• その他の業務特化型AIサービス

などです。

生成AIを業務で利用する場合、

• 顧客から受領した資料
• 契約書
• 従業員情報
• 未公開の事業計画
• ソースコード
• 技術資料
• 営業資料

などを入力する可能性があります。

そのため、

「どの生成AIを利用しているのか」

だけではなく、

「どの種類の情報を入力してよいのか」

というルールも検討する必要があります。

その前提として、そもそも自社にどのような情報があるのかを把握しておくことが重要です。

---

作成した情報資産管理台帳はどこに保管する？

情報資産管理台帳を作成した後は、台帳そのものの管理にも注意しなければなりません。

なぜなら、台帳には、

• どのような重要情報を保有しているか
• どこに保存されているか
• 誰が管理しているか
• どのクラウドサービスを利用しているか
• どの外部事業者と情報を共有しているか
• どの情報の重要度が高いか

など、企業の情報管理状況が集約されるためです。

つまり、

情報資産管理台帳そのものも重要な情報資産

と考える必要があります。

---

正本は会社管理下の環境へ

台帳の正本は、

会社が管理するクラウドサービスや社内サーバー等の、アクセス権限を限定した領域

へ保管することを基本とするとよいでしょう。

例えば、

• Google Workspace
• Microsoft 365／SharePoint
• 社内ファイルサーバー
• 会社契約のクラウドストレージ

などです。

一方、

• 担当者個人のクラウドアカウント
• 個人所有PC
• 個人USBメモリ
• 誰でもアクセスできる共有フォルダ

などを正本の保管場所とすることは避けたいところです。

---

閲覧・編集権限を限定する

情報資産管理台帳は、必ずしも全従業員が閲覧する必要のある資料ではありません。

例えば、

• 経営者
• 情報セキュリティ責任者
• 情報システム担当者
• 管理部門責任者

など、業務上必要な者にアクセスを限定します。

さらに、

「閲覧できる人」と「編集できる人」を分ける

ことも有効です。

台帳の内容を変更できる人は、必要最小限に限定した方が管理しやすくなります。

---

パスワード等は台帳に書かない

情報資産管理台帳には、

「管理者アカウントあり」

「MFA利用」

といった管理状況を記載することは考えられます。

一方、

• 実際のパスワード
• 秘密鍵
• APIキー
• 認証コード
• バックアップコード

など、認証に利用できる情報そのものを記載することは避けるべきです。

認証情報は、パスワード管理ツール等を利用するなど、台帳とは別に適切な方法で管理します。

---

情報資産管理台帳は一度作れば終わりではない

情報資産管理台帳は、作成した時点では正しくても、そのまま放置すれば実態と合わなくなっていきます。

例えば、

• 新しいSaaSを導入した
• システムを廃止した
• 新しい事業を開始した
• 拠点を新設した
• 委託先を変更した
• 保存方法を変更した
• 組織変更を行った

場合には、台帳も更新する必要があります。

したがって、

定期的な見直し

に加え、

情報管理環境に大きな変更があったときに随時更新する

という運用が重要です。

情報資産管理台帳についても、

• 正本を明確にする
• 最終更新日を記録する
• 更新者を記録する
• 定期的に内容を確認する

といった管理を行うとよいでしょう。

なお、IPA第4.0版でも、ネットワークについては構成図を作成・版管理し、構成変更のたびに更新して活用することが示されています。資産情報についても、実際の環境の変化に応じて管理情報を最新の状態に保つことが重要です。

---

インシデント時に台帳が見られなくなる場合も考える

情報資産管理台帳は、平常時だけではなく、情報セキュリティインシデントが発生したときにも重要な資料になります。

例えばランサムウェア被害が発生した場合、

• どのシステムを使用しているのか
• 重要データはどこにあるのか
• どのクラウドサービスを利用しているのか
• IT保守事業者はどこか
• どの外部事業者と情報を共有しているか

などを確認する必要があります。

ところが、台帳を普段の業務環境にしか保存していなければ、その環境自体が利用できなくなった際に台帳を確認できない可能性があります。

そのため、

正本とは別にバックアップを確保しておく

ことも検討します。

重要なのは、単にバックアップファイルが存在することではなく、

必要なときに復元・確認できる状態になっていること

です。

---

紙で保管するなら非常時用サマリーという方法も

詳細な情報資産管理台帳を常時紙で印刷すると、今度は紙資料の紛失・盗難というリスクが生じます。

そこで、

• 主要システム
• 重要クラウドサービス
• IT保守事業者
• 緊急連絡先
• バックアップの所在

など、非常時に最低限必要な情報だけを抽出した非常時用サマリーを作り、施錠できる場所へ保管する方法も考えられます。

詳細版と非常時用資料を分けて考えることがポイントです。

---

SCS評価制度との関係

今後、中小企業の情報セキュリティ対策を考える上で注目される制度の一つが、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。

2026年9月現在、★3・★4については2027年3月頃の運用開始が予定されています。

★3では、取得を希望する組織が要求事項・評価基準に基づいて自己評価を行い、SCS評価制度上のセキュリティ専門家による確認・署名を経て申請する仕組みが予定されています。

★4では、評価機関による第三者評価に加え、技術検証の実施が求められる仕組みとなっています。

SCS評価制度へ対応する場合にも、

• 自社の情報資産
• システム
• ネットワーク
• クラウドサービス
• 外部委託
• 管理規程

など、現在の情報管理状況を把握することが重要になります。

情報資産棚卸しは、SCS評価制度だけを目的として行うものではありませんが、今後のセキュリティ制度対応を検討するための基礎資料にもなります。

なお、SCS評価制度は運用開始に向けて準備が進められている段階です。実際に評価取得を検討する場合は、IPA・経済産業省等が公表する最新の要求事項・評価基準・申請方法等を確認する必要があります。

---

情報資産棚卸しはどこから始める？

初めて情報資産棚卸しを行う企業が、最初から社内のすべてを完璧に調査しようとすると負担が大きくなります。

まずは、次のような順序で整理すると分かりやすくなります。

1．業務を分ける

営業、人事、経理、総務、開発など、業務単位で考えます。

2．各業務で使う情報を洗い出す

「営業では何の情報を扱っているか」

「人事では何の情報を持っているか」

を確認します。

3．保存場所を確認する

PC、サーバー、クラウド、紙など、どこに保存しているか整理します。

4．管理者・利用者を確認する

誰が責任を持ち、誰が利用できるのかを確認します。

5．重要度を評価する

機密性・完全性・可用性等から重要度を整理します。

6．法令・契約との関係を確認する

個人情報、営業秘密、NDA等との関係を確認します。

7．課題を整理する

例えば、

「アクセス権が広すぎる」

「保存期間が決まっていない」

「バックアップがない」

「委託先との情報共有が整理されていない」

といった問題を抽出します。

最初から完璧な台帳を目指すより、まず現状を可視化し、その後更新していくという考え方の方が現実的です。

---

こんな企業は一度棚卸しを検討してみる

例えば次のような場合には、情報資産管理の現状を一度確認してみる意味があります。

• 情報資産管理台帳を作ったことがない
• 自社にどのような重要情報があるのか一覧化できていない
• 顧客情報の保存場所が複数ある
• 部署ごとにクラウドサービスを契約している
• SaaSの利用状況を把握できていない
• 個人PCやスマートフォンでも業務情報を扱っている
• クラウドサービスの管理者が分からない
• 外部委託先へ何の情報を提供しているか整理していない
• NDAの対象情報を社内で区別していない
• 個人情報の保存期間が決まっていない
• 生成AIへ入力してよい情報についてルールがない
• 取引先からセキュリティチェックシートを渡された

特に、

「セキュリティチェックシートへの回答を求められたが、自社の状況を確認しなければ答えられない」

という場合には、個別のセキュリティ対策以前に、現在の情報管理状況を整理する必要があるかもしれません。

---

まとめ｜情報を守る第一歩は「何を持っているか」を知ること

情報セキュリティ対策というと、新しいセキュリティ製品やシステムの導入に目が向きがちです。

しかし、会社によって、

守るべき情報も、重要度も、保存場所も、利用しているシステムも異なります。

そのため、まずは、

自社には何の情報があるのか

どこに保存されているのか

誰が管理・利用しているのか

誰と共有しているのか

漏えい・改ざん・利用不能となった場合にどの程度影響があるのか

を把握することが重要です。

情報資産棚卸しは、

• 情報セキュリティ
• 個人情報保護
• 営業秘密管理
• 契約管理
• 委託先管理
• クラウド管理
• 生成AI利用ルール
• SCS評価制度等への対応

を考えるための土台になります。

そして、情報資産管理台帳は作成すること自体が目的ではありません。

作成した台帳を適切に保管し、企業の環境変化に応じて更新しながら、実際の情報管理に活用していくことが重要です。

---

情報資産棚卸しを自社だけで進めることが難しい場合

情報資産の種類が多い、複数のクラウドサービスを利用している、個人情報・営業秘密・契約との関係まで整理したいなど、自社だけで棚卸しを進めることが難しい場合には、外部専門家の支援を利用する方法もあります。

アイアンバード行政書士事務所でも、IPA「中小企業の情報セキュリティ対策ガイドライン」の資産管理の考え方を参考に、企業の情報資産を整理する「情報資産棚卸し・管理体制整備支援」を行っています。

具体的な支援内容については、別途「情報資産棚卸し・管理体制整備支援」のページでご案内します。