中小企業向け情報資産棚卸し・管理体制整備支援｜情報資産管理台帳の作成・運用を支援
Murata Kazuya自社の重要情報、「どこにあるか」把握できていますか？
顧客情報、従業員情報、契約書、営業資料、設計データ、会計情報、クラウド上のファイル――。
企業では日々、さまざまな情報を取り扱っています。
しかし、
「どのような重要情報を持っているのか」
「その情報がどこに保存されているのか」
「誰が管理し、誰がアクセスできるのか」
「どの外部事業者と共有しているのか」
まで一覧で把握できているでしょうか。
情報セキュリティ対策を検討する前提として、まず必要になるのが、「何を守るのか」を把握することです。
アイアンバード行政書士事務所では、中小企業・小規模事業者を対象に、企業が保有する情報を洗い出し、情報資産管理台帳等へ整理する「情報資産棚卸し・管理体制整備支援」を行っています。
こんなお悩みはありませんか？
次のような場合には、一度、自社の情報管理状況を整理することをおすすめします。
- 情報資産管理台帳を作ったことがない
- 自社にどのような重要情報があるのか一覧化できていない
- 顧客情報・従業員情報の保存場所が複数ある
- 部署ごとにクラウドサービスやSaaSを利用している
- 会社として利用しているクラウドサービスの全体像を把握できていない
- どのアカウントを誰が管理しているのか分からない
- 外部委託先へ何の情報を提供しているのか整理していない
- NDA等の対象となる秘密情報の管理方法を確認したい
- 個人情報、営業秘密、契約上の秘密情報をまとめて整理したい
- 生成AIへ入力してよい情報についてルールを検討したい
- 情報セキュリティ規程を作る前に現状を確認したい
- 取引先からセキュリティチェックシートへの回答を求められた
- SCS評価制度への対応準備として何から始めればよいか分からない
特に、
「取引先から情報セキュリティ対策を求められたものの、自社の現状を確認しなければ回答できない」
という場合には、個別のセキュリティ対策を検討する前に、情報資産や管理状況そのものを整理する必要があるかもしれません。
情報資産棚卸しとは？
情報資産棚卸しでは、企業が保有・利用している情報について、
- 何の情報があるのか
- どこに保存されているのか
- どの部署が管理しているのか
- 誰が利用できるのか
- 外部へ共有しているか
- どの程度重要なのか
などを整理します。
例えば「顧客情報」と一言でいっても、
- 顧客管理システム
- クラウドストレージ
- 担当者のPC
- メール
- 紙ファイル
- 外部委託先
など、複数の場所に存在することがあります。
こうした情報を一覧化することで、企業の情報管理状況を俯瞰できる状態をつくることが本サービスの目的です。
なお、「情報資産管理台帳」という名称の台帳を作成すること自体が、すべての事業者に一律に法令上義務付けられているものではありません。
情報資産管理台帳は、情報セキュリティ対策や個人情報・営業秘密・契約上の情報管理等を進めるための、実務上の管理手法の一つです。
情報資産棚卸しの考え方や、IPA「中小企業の情報セキュリティ対策ガイドライン」の資産管理台帳、台帳の保管・更新方法については、別記事
「中小企業の情報資産棚卸しとは？｜IPAの情報資産管理台帳から保管・更新方法まで解説」
で詳しく解説しています。
→ https://ironbird.jp/information-asset-inventory-guide/
アイアンバード行政書士事務所の情報資産棚卸し支援
当事務所では、IPA「中小企業の情報セキュリティ対策ガイドライン」における資産管理の考え方を参考にしながら、企業の情報資産を整理します。
ただし、単にPCやソフトウェアの一覧を作成するだけではありません。
当事務所では、
情報資産
× 個人情報
× 営業秘密
× 契約
× 外部委託
× 行政制度
といった複数の観点から整理することを重視しています。
※当事務所のサービスは、IPAによる認証・認定サービスではなく、IPAの様式への適合を認証するものでもありません。
どのような情報を整理するのか？
例えば、次のような情報を対象として棚卸しを行います。
顧客・取引先情報
- 顧客名簿
- 商談情報
- 問い合わせ情報
- 契約情報
- 見積・請求情報
従業員・人事情報
- 履歴書
- 雇用関係資料
- 給与・勤怠情報
- マイナンバー
- 健康に関する情報
経営・営業情報
- 事業計画
- 原価情報
- 価格情報
- 営業ノウハウ
- 売上・会計情報
技術・ノウハウ
- 設計図
- 図面
- 製造情報
- ソースコード
- システム仕様書
- 研究開発情報
契約・行政関係情報
- 契約書
- 秘密保持契約書（NDA）
- 社内規程
- 許認可関係資料
- 行政機関への申請・届出資料
- 補助金・認定制度関係資料
会社ごとに事業内容も情報の種類も異なるため、最初から固定された項目だけを確認するのではなく、業務内容を確認しながら対象となる情報を整理します。
法令・契約との関係も整理します
本サービスの特徴の一つが、情報の重要度だけでなく、法令・契約等との関係も整理することです。
例えば、
- 個人情報に該当するか
- 要配慮個人情報を含むか
- 特定個人情報を含むか
- 営業秘密として管理を検討すべき情報か
- NDA等による秘密保持義務の対象か
- 外部委託先へ提供しているか
- 保存期間に法令・契約上の根拠があるか
などを確認します。
「重要度が高い情報」だけが管理対象になるわけではありません。
自社では重要性を意識していなかった情報であっても、法令や取引先との契約によって一定の管理が求められている場合があります。
こうした関係を整理し、必要に応じて規程・契約・運用ルール等の検討につなげます。
クラウド・SaaSや生成AIの利用状況も確認します
情報は、社内PCやサーバーだけに保存されているとは限りません。
現在では、
- Google Workspace
- Microsoft 365
- クラウドストレージ
- CRM
- チャットツール
- クラウド会計
- その他のSaaS
など、多数のクラウドサービスを利用する企業も増えています。
そのため、
「どのサービスに、何の情報を保存・処理しているのか」
も整理します。
例えば、
- サービス名
- 利用目的
- 管理者
- 利用者
- 保存・処理している情報
- 外部共有の有無
- 多要素認証等の管理状況
などを確認します。
また、生成AIを業務で利用している場合には、
- どのサービスを利用しているか
- どのような業務で利用しているか
- 顧客情報・社内情報等を入力するルールがあるか
といった点も確認対象となります。
情報資産を把握することは、生成AIへ入力してよい情報・入力すべきでない情報のルールを検討する前提にもなります。
主な成果物
対象範囲や企業の状況に応じて、例えば次のような資料を作成します。
情報資産管理台帳
企業が保有する情報について、
- 情報資産名称
- 管理部署
- 管理者
- 利用者
- 保存場所
- 機密性・完全性・可用性
- 重要度
- 外部共有
- 個人情報等への該当
- 契約・制度との関係
- 保存期間
などを整理します。
SaaS・ソフトウェア台帳
利用しているクラウドサービス・ソフトウェアについて、
- サービス名
- 用途
- 管理者
- 利用者
- 保存・処理している情報
などを整理します。
ハードウェア・ネットワーク機器等の整理
必要に応じ、
- PC
- サーバー
- スマートフォン
- ルーター
- アクセスポイント
などについて、把握できる管理情報を整理します。
※技術的な設定内容の適否や脆弱性を診断するものではありません。
管理上の課題・今後の対応事項
棚卸しによって判明した、
- 管理者が不明
- アクセス範囲が広い
- 保存期間が決まっていない
- 委託先との情報共有が整理されていない
- バックアップ状況が不明
- 社内ルールと実態が一致していない
といった課題を整理します。
台帳は「作って終わり」ではありません
情報資産管理台帳は、作成すること自体が目的ではありません。
例えば、
- 新しいSaaSを導入した
- システムを変更・廃止した
- 新しい事業を開始した
- 組織変更を行った
- 外部委託先を変更した
- 情報の保存場所を変更した
といった場合には、企業の情報管理状況も変化します。
そのため本サービスでは、台帳作成後についても、
- どこを正本の保管場所とするか
- 誰に閲覧・編集権限を与えるか
- どのタイミングで更新するか
- バックアップをどう確保するか
といった保管・更新方法についても整理します。
なお、情報資産管理台帳には、
「どこに重要情報があるか」
「誰が管理しているか」
「どのサービスを利用しているか」
といった企業の情報管理状況が集約されます。
そのため、情報資産管理台帳そのものも重要な情報資産として取り扱う必要があります。
重要情報そのものをすべて提出する必要があるわけではありません
情報資産棚卸しについて、
「顧客名簿や営業秘密をすべて提出しなければならないのか」
と不安に思われる場合があります。
本サービスの目的は、秘密情報そのものを収集することではありません。
原則として確認するのは、
- どのような種類の情報があるか
- どこに保存されているか
- 誰が管理しているか
- 誰が利用できるか
- 外部へ共有しているか
といった情報の管理状況です。
したがって、
顧客名簿の全データ、営業秘密の具体的内容、パスワード、秘密鍵、APIキー、認証コード等を情報資産管理台帳へ記載することを目的とするものではありません。
必要な情報の範囲を確認しながら棚卸しを進めます。
支援の流れ
STEP1 事前ヒアリング
まず、
- 事業内容
- 従業員数
- 部署・拠点
- 主な取扱情報
- 利用システム
- クラウドサービス
- 外部委託先
- 現在の規程・台帳
等を確認します。
STEP2 棚卸し範囲の決定
会社全体を対象とするのか、
- 特定部署
- 特定業務
- 個人情報
- 特定システム
等から始めるのかを整理します。
最初から会社全体を対象にせず、対象を限定して始めることも可能です。
STEP3 情報資産の洗い出し
業務内容を確認しながら、企業が取り扱っている情報を抽出します。
STEP4 管理台帳への整理
情報資産、SaaS、ハードウェア等を、必要に応じて管理台帳へ整理します。
STEP5 重要度・法令・契約等との関係整理
機密性・完全性・可用性等から重要度を確認するとともに、
- 個人情報
- 営業秘密
- 契約
- 外部委託
- 保存期間
等との関係を整理します。
STEP6 課題と今後の対応を整理
棚卸しによって判明した課題を整理し、
- 管理体制
- 規程
- 契約
- 運用ルール
- 必要な技術的対策
など、今後検討すべき事項を確認します。
情報セキュリティの「技術診断」とは異なります
当事務所の情報資産棚卸し・管理体制整備支援は、
脆弱性診断やペネトレーションテスト等の技術的なセキュリティ診断ではありません。
例えば、
- 脆弱性診断
- ペネトレーションテスト
- マルウェア解析
- フォレンジック調査
- SOC監視
- EDRの導入・設定
- ファイアウォール設定
- サーバー・ネットワーク構築
等は、本サービスの対象外です。
棚卸しの結果、技術的な確認・対策が必要となった場合には、必要に応じてIT・情報セキュリティ分野の専門事業者との連携を検討します。
また、個別の紛争や権利侵害の成否等、他士業の専門業務に該当する事項についても、必要に応じて適切な専門家との連携を検討します。
SCS評価制度への対応準備を検討している企業にも
サプライチェーン全体で情報セキュリティ対策の重要性が高まる中、今後は取引先から自社の情報セキュリティ管理状況について説明を求められる場面が増える可能性があります。
また、IPAが運営する**SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）**では、2026年9月現在、★3・★4について2027年3月頃の運用開始が予定されています。
情報資産棚卸しは、SCS評価を取得することそのものではありません。
一方、
- 自社の情報資産
- システム
- ネットワーク
- クラウド
- 外部委託
- 管理規程
等の現状を把握することは、今後の制度対応を検討する際の基礎になります。
そのため本サービスは、SCS評価制度への対応準備として、まず自社の情報管理状況を整理したい企業にも活用いただけます。
※当事務所が、★3におけるSCSセキュリティ専門家による確認・署名や、★4における第三者評価・技術検証そのものを行うものではありません。SCS評価取得に必要となる専門家・評価機関等による対応については、制度上の要件に応じて別途対応が必要です。
よくあるご質問
Q．情報資産管理台帳を一度も作ったことがありませんが、相談できますか？
はい。
現在何がどこにあるのか整理できていない状態から、棚卸し範囲を決めていくことを想定しています。
最初から自社で情報資産の一覧を完成させていただく必要はありません。
Q．会社全体を一度に棚卸しする必要がありますか？
必ずしも必要ありません。
企業規模や業務内容によっては、
「まず営業部門だけ」
「まず顧客情報を扱う業務だけ」
など、対象を限定して始める方法も考えられます。
Q．IPAの資産管理台帳を作成することは法律上の義務ですか？
すべての事業者について、「情報資産管理台帳」という名称の台帳作成が一律に法令上義務付けられているわけではありません。
本サービスでは、情報セキュリティ、個人情報、営業秘密、契約管理等を進めるための実務的な手法として情報資産棚卸しを行います。
詳しくは、
「中小企業の情報資産棚卸しとは？｜IPAの情報資産管理台帳から保管・更新方法まで解説」
をご覧ください。
→ https://ironbird.jp/information-asset-inventory-guide/
Q．顧客名簿やパスワードを提出する必要がありますか？
原則として、顧客名簿の全データやパスワード等を台帳へ記載することを目的としていません。
「どの種類の情報を持っているか」「どこに保存しているか」「誰が管理しているか」など、管理状況を中心に確認します。
Q．台帳作成後の更新方法も相談できますか？
はい。
情報資産管理台帳は、一度作成して終わりではありません。
正本の保管場所、閲覧・編集権限、更新のタイミング、バックアップ等についても、企業の状況に応じて整理します。
Q．セキュリティ製品の導入やネットワーク診断も依頼できますか？
本サービスでは、情報資産や管理状況の整理を中心に支援します。
脆弱性診断、ネットワーク設定、EDR導入等の技術的な対応が必要な場合には、必要に応じてIT・情報セキュリティ分野の専門事業者との連携を検討します。
情報資産棚卸し・管理体制整備についてご相談ください
情報セキュリティ対策を考える際、いきなりセキュリティ製品やシステムを選ぶ前に、
「自社は何を守る必要があるのか」
を把握することが重要です。
情報資産を棚卸しすることで、
何の情報があるのか
どこにあるのか
誰が管理・利用しているのか
誰と共有しているのか
法令・契約上どのような管理を考える必要があるのか
を整理できます。
「情報資産管理台帳を作ったことがない」
「取引先からセキュリティ対応を求められた」
「個人情報や営業秘密も含め、一度自社の情報管理を整理したい」
「SCS評価制度等も見据えて、まず現状を把握したい」
という事業者様は、ご相談ください。
現在の管理状況を確認し、
「何を、どこまで棚卸しすればよいのか」
から整理します。
企業の情報を鳥の眼で俯瞰し、法令・契約・制度との関係を整理しながら、情報管理体制づくりを支援します。
