【情報セキュリティマネジメント】情報資産の洗出しと台帳、起点は機器ではなく業務｜対象範囲・管理責任・棚卸し

2026.08.27

情報資産台帳というと、PCやサーバの一覧を思い浮かべやすいですが、リスクアセスメントで確認すべき対象は自社所有の機器だけではありません。

業務で扱う情報、紙文書、外部サービス、アカウント、媒体、施設、委託先への依存、人に依存する重要な知識なども、管理対象又は依存関係として把握する必要があります。

この記事では、情報資産管理を何を把握するか・誰が責任を持つか・現在の実態と合っているかの三つで整理します。

読み終えるころには、事例に出てくる対象が台帳の管理対象に入るべきかを判断でき、管理責任を持つ役割と作業を行う担当を取り違えずに切り分けられるようになります。

先に結論：台帳では三つを確認する

確認すること 判断のポイント 典型的な漏れ
何を把握するか 業務に必要な情報資産と関連する依存関係を洗い出しているか 自社所有の機器だけを対象にする
誰が責任を持つか 管理方針や取扱条件に責任を持つ役割が明確か 保管・入力・設定を行う担当者と混同する
現在の実態と合っているか 所在、利用者、状態、委託関係などが最新か 台帳を作成したまま更新しない

ある対象が漏えい・改ざん・消失・利用不能になったときに業務へ影響するなら、少なくとも情報資産又はその依存関係として管理対象に含める必要がないかを検討します。

1．洗出しは業務から始める

機器一覧だけから始めると、情報そのものや外部サービスへの依存が漏れやすくなります。

例えば次の順で確認します。

  1. 対象となる業務
  2. その業務で扱う情報・文書
  3. 情報を処理・保存・送信するシステム、機器、媒体、サービス
  4. 利用者、管理者、アカウント・認証情報
  5. 保存場所、通信、委託先などの依存関係

SGシラバスが明示する範囲

現行SGシラバスVer.4.1は、リスク分析と評価の用語例として、

  • 情報資産の調査
  • 情報資産の重要性による分類と管理
  • 情報資産台帳

を明示しています。

一方、当該用語例では「人材」「施設」「文書」などの具体的な資産種類までは列挙していません。

したがって、これらを「SGシラバスが明示する情報資産の種類」とは扱わず、実務上の洗出しでは組織の定義・管理方法に応じて、情報を支える関連資産や依存関係まで確認すると整理します。

見落としやすい対象

種類 例
情報・文書 顧客情報、契約書、設計情報、ログ、紙資料
システム・機器・媒体 業務システム、PC、サーバ、スマートフォン、USBメモリ
ソフトウェア・外部サービス 業務アプリ、SaaS、クラウドストレージ、電子メール
認証・接続に関する情報 利用者ID、管理者アカウント、APIキー、電子証明書
物理・外部の依存先 サーバ室、保管庫、電源、通信回線、委託先、クラウド事業者
人に依存する知識・技能 復旧手順、設定ノウハウ、特定担当者だけが持つ業務知識

施設や人材を必ず情報資産台帳の独立した一行として登録するとは限りません。しかし、それらへ依存しているために情報の機密性・完全性・可用性へ影響するなら、依存関係として見落とさないことが重要です。

2．外部サービス上の情報も管理対象から外さない

SaaSやクラウドストレージに保存したデータは、自社設備の外にあっても、自組織が保護・管理すべき情報です。

サービス事業者との責任分界があっても、自組織側の把握は必要です。

必要に応じて、

  • 利用するサービス
  • 保存する情報
  • 利用部門
  • 管理責任
  • 利用アカウント
  • 委託・責任分界
  • 契約終了時のデータ取扱い

などを追えるようにします。

クラウドの責任共有モデルそのものは「クラウドの責任共有モデル」の記事で扱います。

3．複製・バックアップも所在を追えるようにする

原本を登録していても、複製データの管理が不要になるわけではありません。

分析用コピー、端末へ一時保存したファイル、バックアップなどについても、必要に応じて次を確認します。

  • 作成目的
  • 保存場所
  • 利用者・アクセス範囲
  • 保管期間
  • 利用終了後の処理

全ての複製を一件ずつ独立した台帳行にする必要があるとは限りません。重要なのは、どこに複製が存在し、誰がどの条件で管理しているかを追えることです。

4．情報資産台帳で所在・責任・状態を見えるようにする

情報資産台帳は、洗い出した情報資産について、所在や管理状態を継続して把握するために使います。

記載項目は組織によって異なりますが、例えば次があります。

  • 資産名・種類
  • 内容・利用目的
  • 利用部門・利用者範囲
  • 管理責任を持つ部門・役割
  • 媒体・保存場所
  • 外部サービス・委託先
  • 保管期間・現在の状態
  • 登録日・変更日・廃棄日
  • 重要度・取扱区分

重要度の評価方法と機密区分は「機密区分と重要度評価」の記事で扱います。本記事では、その前提となる対象の識別と管理状態の把握に集中します。

5．管理責任者と実務担当者を区別する

管理責任を持つ者と、保管・設定・入力などの日常作業を行う担当者は、同一とは限りません。

管理責任者の具体的な権限は組織の規程によって定めますが、一般には、資産の利用目的、分類、利用範囲、保護方法などの管理上の判断に責任を持つ役割です。

一方、実務担当者は、承認された方針・手順に従って、アクセス権設定、保管、バックアップ、台帳入力、廃棄作業などを行います。

作業を委託しても、自組織側で必要な管理責任が自動的になくなるわけではありません。

6．ライフサイクルに合わせて台帳を更新する

情報資産の状態は変化します。

例えば、

取得・作成
→ 利用・保存
→ 共有・複製
→ 構成・責任者の変更
→ 移転・返却
→ 廃棄

という変化があります。これは固定された唯一のライフサイクルではなく、台帳更新の契機を考えるための例です。

新規導入、クラウド移行、組織再編、委託先変更、システム廃止などがあれば、保存場所、利用者、責任者、委託関係、状態などを更新します。

廃棄時は手続・処理・記録を確認する

廃棄では、台帳の行を削除するだけでは不十分です。

  1. 法令・契約・社内規程等による保存義務を確認する
  2. 定められた承認を得る
  3. 媒体、再利用の有無、情報の重要度に応じた適切な処理を行う
  4. 外部委託する場合は、処理条件と完了確認方法を定める
  5. 処理結果を記録し、台帳へ反映する

消去・破壊等の技術的な方式とバックアップの詳細は「データ保護とバックアップ」の記事で扱います。本記事では、廃棄時の管理手続と記録を押さえます。

7．棚卸しでは台帳と実態を照合する

棚卸しでは、台帳に記載があるかだけでなく、実際の所在・利用状況と照合します。

例えば次を確認します。

  • 未登録のSaaS、機器、アカウントがないか
  • 廃止済みの資産や不要なアカウントが残っていないか
  • 保存場所、利用者、管理責任者が変わっていないか
  • 不要な複製・期限切れデータが残っていないか
  • 委託先・契約の変更が反映されているか
  • 廃棄・返却の記録が残っているか

定期的な確認に加え、大きな導入・移行・組織変更・廃棄などの際にも台帳と実態を照合すると、変更の反映漏れを減らせます。

8．科目Bでの使われ方

科目Bでは、台帳の様式ではなく、管理対象の抜けと実態との差を見つける材料として使われます。

事例文の合図 確認すること
部門が独自にクラウドサービスを使い始めていた 台帳に未登録の外部サービス・アカウントがないか
組織変更で担当者が代わったが台帳はそのまま 保存場所・利用者・管理責任者が最新か
サーバを運用している担当者を管理責任者とした 管理上の判断に責任を持つ役割か、作業の担当か
使わなくなった端末を廃棄し、台帳の行を削除した 保存義務・承認・処理・完了確認・記録まで済んだか

次の順で確認します。

  1. 台帳に載っていない対象がないか

外部サービス、アカウント、複製、紙文書などを確認します。

  1. 情報資産と依存関係を狭く考えていないか

所有場所や媒体だけで除外しません。

  1. 管理責任者と作業担当者を混同していないか

誰が管理上の判断に責任を持つかを確認します。

  1. 変更が台帳へ反映されているか

クラウド移行、組織変更、委託先変更、廃棄などを確認します。

  1. 台帳と実態を照合しているか

登録件数だけでなく、現物・利用状況・契約・記録を確認します。

担当者としては、台帳の件数ではなく、実際の所在・利用状況・契約・記録と照合します。未登録の資産や不要なアカウントを見つけた場合は、独断で登録・削除せず、管理責任者や上位者へ報告して指示を仰ぎます。委託先が関わる場合は、契約担当者と協力して処理条件と完了確認の方法を確認します。

よくある取り違え

誤った理解 正しい整理
情報資産台帳はPC・サーバ一覧 情報・文書・サービス・アカウント等も管理対象として確認する
SGシラバスが人材・施設を情報資産例として明示している Ver.4.1の当該用語例は具体的な資産種類を列挙していない
外部サービス上のデータは事業者だけが管理する 自組織側でも保護・管理対象として把握する
原本を登録すれば複製は管理不要 複製・バックアップの所在・利用者・期間等も追えるようにする
サーバ管理者が必ず情報の管理責任者 管理上の責任と技術運用の担当は分けられる
一度台帳を作れば完了 導入・変更・移行・廃棄に応じて更新する
棚卸しは台帳の件数確認 台帳と実際の所在・利用状況を照合する
廃棄では台帳から削除すればよい 保存義務、承認、適切な処理、完了確認、記録まで確認する

まとめ

  • 現行SGシラバスは「情報資産の調査」「情報資産の重要性による分類と管理」「情報資産台帳」を明示している
  • 具体的な資産種類はシラバスの当該用語例には列挙されていない
  • 業務から情報、処理手段、アカウント、保存場所、外部依存へたどって洗い出す
  • 外部サービス、複製、バックアップ、施設や人に依存する知識も管理上の依存関係として見落とさない
  • 管理責任者と実務担当者を区別する
  • 導入・移行・変更・返却・廃棄に合わせて台帳を更新する
  • 棚卸しでは台帳と実態を照合する
  • 廃棄では保存義務、承認、適切な処理、完了確認、記録を確認する
  • 技術的な消去方式と、重要度・機密区分は別の記事で扱う

関連記事

  • C3-T02：情報セキュリティポリシーと諸規程
  • C3-T04：管理策の3つの軸を整理する
  • C4-T02：機密区分と重要度評価
  • C4-T03：リスクアセスメントの全体像
  • C5-T10：データ保護とバックアップ
  • C7-T04：クラウドの責任共有モデル
  • C7-T06：シャドーITとサイバーハイジーン
  • C11-T03：調達とベンダー選定

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
  • IPA「中小企業の情報セキュリティ対策ガイドライン 付録6 資産管理台帳（サンプル）」
  • 日本規格協会「JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護―情報セキュリティ管理策」
  • IPA「プラクティス4-1 経営への重要度や脅威の可能性を踏まえたサイバーセキュリティリスクの把握と対応」

関連する問題

コメント

タイトルとURLをコピーしました