「ITに詳しい社員が、いつの間にか社内システムを全部管理している」
「総務がPCの購入やアカウント発行まで兼務しているが、管理方法が担当者任せになっている」
中小企業では、専任の情報システム部門を設けず、総務や経営者、ITに詳しい社員がIT管理を兼任することがあります。
この体制自体が問題というわけではありません。
注意したいのは、
- 会社に何台の端末があるか分からない
- 誰がどのクラウドサービスを使っているか分からない
- 管理者アカウントを担当者しか知らない
- 退職者のアカウントが残っている
- バックアップから復元できるか確認したことがない
といった、担当者がいなければ会社のIT環境を把握できない状態です。
この記事では、ひとり情シスや情シス不在の中小企業が、最初に整えたいIT管理を5項目に絞って解説します。
最初から高価なIT管理ツールやセキュリティ製品を導入する必要はありません。まずはExcelなどを使い、「会社が何を利用し、誰が使い、誰が管理し、誰がアクセスでき、失われたデータをどう戻すのか」を把握できる状態から始めます。
情シスがいないこと自体が問題なのではない
企業規模や事業内容によっては、専任の情シスを配置するほどの業務量がないこともあります。
そのため、「情シスがいないから危険」「ひとり情シスだから問題」と一律に考える必要はありません。
問題になりやすいのは、IT管理が人にひも付いているだけで、会社の仕組みになっていない状態です。
たとえば、社内で利用しているSaaSについて、
「契約者は誰か」
「管理者は誰か」
「退職時に誰がアカウントを停止するか」
を担当者本人しか知らなければ、その人が不在になったときに管理が難しくなります。
IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、中小企業が段階的に情報セキュリティ対策を進めるための具体的な手順が整理されています。今回の改訂では「バックアップを取ろう！」が基本対策へ追加され、「情報セキュリティ6か条」となりました（IPA, 2026）。
まず高度な仕組みを作るのではなく、自社が何を管理できていて、何が分からない状態なのかを確認することが出発点です。
最初に「誰が何を管理しているか」を見える化する
最初に確認したいのは、次の5項目です。
- アカウント・SaaS管理
- PC・スマートフォン等の端末管理
- 権限・管理者アカウント管理
- バックアップ管理
- 入退社・異動・引継ぎ管理
これらを一度に完璧に整える必要はありません。
まずExcelなどで一覧を作り、「不明」「要確認」「担当者しか分からない」項目を見つけることが重要です。
IPAの第4.0版には、資産管理台帳のサンプルも付録として用意されています。つまり、情報資産を把握し、管理対象を明確にすること自体が中小企業の情報セキュリティ対策の基礎として位置付けられています。
① アカウント・SaaS管理
最初に整理したいのが、会社で利用しているクラウドサービスやアカウントです。
たとえば、
- Microsoft 365やGoogle Workspace
- 会計ソフト
- 勤怠管理
- CRM・SFA
- ファイル共有
- Web会議
- 生成AIサービス
- Webサイト管理
- 各種SNS
などがあります。
最低限、次の情報を整理します。
| 項目 | 内容 |
|---|---|
| サービス名 | 利用しているSaaS |
| 利用者 | 誰が利用しているか |
| 部署 | 所属部門 |
| 管理者 | 誰が管理権限を持つか |
| 権限 | 一般・管理者など |
| MFA | 多要素認証の利用状況 |
| 状態 | 利用中・停止・要確認 |
| 最終確認日 | 最後に棚卸しした日 |
多要素認証（MFA）とは、パスワードなどの「知っているもの」、スマートフォンやICカードなどの「持っているもの」、指紋などの「本人自身に関するもの」といった異なる要素を複数組み合わせて本人確認を行う方式です。
IPAのガイドラインでも、VPNや重要なシステムでは、可能な場合に多要素認証やパスキーなどの認証強化機能を利用することが示されています（IPA, 2026）。
ただし、MFAを有効化しただけで不正アクセスを完全に防げるわけではありません。
「どのサービスが重要か」「誰が管理者か」「退職者のアカウントが残っていないか」といった運用管理も合わせて考える必要があります。
② PC・スマートフォンなどの端末管理
次に、会社が利用している端末を一覧化します。
最低限、
- 端末ID
- PC・スマートフォン等の種別
- 利用者
- OS
- シリアル番号
- 購入・貸与日
- 暗号化状況
- セキュリティ対策状況
- 使用中・返却済みなどの状態
を管理します。
たとえば社員が20人なのに、
「会社PCが全部で18台なのか22台なのか分からない」
という状態では、退職者の端末や予備端末が適切に管理されているか確認することも困難です。
また、OSやソフトウェアのサポート状況も確認します。
IPAの「情報セキュリティ6か条」でも、OSやソフトウェアを最新の状態にすることは基本対策の一つです。
端末管理の目的は「台帳を埋めること」ではありません。
会社に何が存在し、現在誰が使い、不要になったときにどう回収・廃棄するかを追える状態にすることです。
③ 権限・管理者アカウント管理
一般ユーザーのアカウントだけでなく、管理者権限も整理します。
管理者権限を持つアカウントは、通常の利用者よりも広い操作が可能です。
たとえば、
- 他ユーザーの追加・削除
- セキュリティ設定の変更
- データへの広範なアクセス
- システム設定の変更
などが可能な場合があります。
そのため、
「社長だから管理者」
「ITに詳しいから管理者」
と必要以上に権限を付けるのではなく、業務上必要な範囲へ限定します。
IPAの第4.0版でも、ユーザーID・管理者IDの発行・変更・削除手続きを定め、必要最小限の原則に沿って管理することや、異動・退職に伴う権限の変更・削除漏れを防ぐ管理ルールが示されています。
また、重要な情報へのアクセスについては、多要素認証など認証強度を高める考え方や、管理者権限のリモート接続等に対して接続元や端末要件を設定する考え方も示されています。
まず確認したいのは、
- 管理者権限を持つ人を一覧化できるか
- 共有管理者IDが残っていないか
- 退職・異動時に権限を見直しているか
です。
④ バックアップ管理
バックアップは、「取っているつもり」になりやすい項目です。
確認したいのは、
- 何をバックアップしているか
- どこに保存しているか
- どの頻度で取得しているか
- 何世代保持しているか
- 誰が管理しているか
- 最後にいつ正常取得を確認したか
- 最後にいつ復元できることを確認したか
です。
IPAは2026年のガイドライン改訂で、ランサムウェア対策やBCPの観点から、バックアップを中小企業が初めに取り組む基本対策へ追加しました。
同ガイドラインでは、複数世代のバックアップや、可能な限り遠隔地・物理的に分離された場所への保管例も示されています。
さらに重要なのは、「バックアップファイルが存在する」と「実際に復旧できる」は同じではないということです。
事業上重要なシステムについては、IPAもRTO（目標復旧時間）やRPO（目標復旧時点）に合わせたバックアップ・復旧手順を整備し、訓練で実効性を確認する考え方を示しています。
中小企業で最初から厳密なBCP設計をする必要はありませんが、
「このデータが消えたら、何日分まで失ってよいか」
「何時間・何日以内に戻したいか」
を考えるだけでも、バックアップ設計は変わります。
⑤ 入退社・異動・引継ぎ管理
IT管理が属人化しやすい場面の一つが、入社・異動・退職です。
入社時には、
- 端末貸与
- 必要アカウントの発行
- 必要な権限の付与
- MFA設定
- 情報セキュリティルールの説明
を行います。
異動時には、追加する権限だけでなく、不要になった権限を削除することが重要です。
退職・契約終了時には、
- アカウント停止
- 管理者権限解除
- SaaSアクセス停止
- PC・スマートフォン・記録媒体の返却
- 業務データの引継ぎ
- 外部委託先のアクセス終了
を確認します。
「退職した本人のMicrosoft 365アカウントは消したが、以前利用していた別のSaaSアカウントは残っていた」という状態を避けるには、サービスごとのアカウント台帳が役立ちます。
Excelで始める3つのIT管理台帳
最初からIT資産管理システムを導入する必要はありません。
たとえば、次の3表から始められます。
アカウント・SaaS台帳
| service_id | サービス | 利用者 | 管理者 | 権限 | MFA | 状態 |
|---|---|---|---|---|---|---|
| S001 | Microsoft 365 | 山田 | 総務A | 一般 | 有 | 利用中 |
| S002 | 会計SaaS | 佐藤 | 経理B | 管理者 | 有 | 利用中 |
| S003 | 旧CRM | 退職者C | 不明 | 一般 | 不明 | 要確認 |
※すべて説明用の架空データです。
「退職者C」「管理者不明」「MFA不明」という行があれば、それ自体が確認対象になります。
端末・IT資産台帳
| asset_id | 種別 | 利用者 | OS | 暗号化 | 管理状況 | 状態 |
|---|---|---|---|---|---|---|
| PC001 | ノートPC | 山田 | Windows 11 | 有 | 管理済み | 使用中 |
| PC002 | ノートPC | 佐藤 | Windows 11 | 有 | 管理済み | 使用中 |
| PC003 | ノートPC | 退職者C | 不明 | 不明 | 不明 | 要確認 |
ここでも、「不明」を無理に埋める必要はありません。
最初の棚卸しでは、分からないことを分からないと記録することにも意味があります。
バックアップ管理台帳
| backup_id | 対象 | 保存先 | 頻度 | 保持 | 担当 | 最終成功 | 最終復元確認 |
|---|---|---|---|---|---|---|---|
| B001 | 会計データ | クラウド＋別保管 | 毎日 | 30日 | 経理B | 9/19 | 8/1 |
| B002 | 共有ファイル | クラウド | 毎日 | 不明 | 総務A | 不明 | 未実施 |
この表なら、「バックアップ対象になっている」という事実だけでなく、復元確認まで追えます。
なお、台帳には管理者パスワードそのものを平文で記載しないでください。
月次・四半期で確認したい項目
IT管理は、一度台帳を作って終わりではありません。
たとえば月次では、
- 新規入社・退職者の反映
- 新規端末・返却端末
- 新しく契約したSaaS
- バックアップ失敗の有無
を確認します。
四半期程度では、
- SaaS利用者の棚卸し
- 管理者権限の確認
- 不要アカウントの確認
- OS・ソフトウェアのサポート状況
- バックアップ・復元状況
- IT関連の契約更新
などを確認する方法があります。
企業規模やリスクによって適切な頻度は異なるため、「必ず月1回」と固定する必要はありません。
重要なのは、誰が、いつ確認するかを決めておくことです。
ひとり情シス・情シス不在企業で起きやすい落とし穴
台帳を作ったまま更新しない
Excelを作成しただけで半年後には実態と合わなくなれば、管理には使いにくくなります。
入力担当者と確認タイミングを決めます。
パスワードまで台帳に書く
IT資産台帳と認証情報管理は分けて考えます。
管理者IDの存在や管理責任者は把握しても、パスワードそのものを平文Excelへ記録する方法は避けます。
クラウドだからバックアップ不要と考える
クラウドサービスにはさまざまなバックアップ・復元機能がありますが、その範囲はサービスによって異なります。
誤削除、アカウント侵害、保存期間など、自社に必要な復旧条件を踏まえて確認します。
一人にすべて任せる
ひとり情シスであっても、
- 主要サービス一覧
- ベンダー連絡先
- 管理者の所在
- バックアップ概要
- 緊急時の連絡方法
などは、経営者や別の担当者も確認できる状態にしておいた方が引継ぎや緊急対応を行いやすくなります。
Excel管理から専用ツールへ移行する目安
社員数や端末数が少ないうちは、Excelでも管理できます。
一方、
- 端末やSaaSが増え、更新負荷が高い
- 入退社が頻繁
- 複数拠点がある
- 管理者権限の申請・承認が必要
- PC設定を統一したい
- アカウント発行・停止を効率化したい
- ログを含めた管理が必要
となれば、IT資産管理ツール、MDM（Mobile Device Management）、ID管理サービスなどを検討する余地があります。
ただし、製品ありきで考えるのではなく、
現在どの管理作業に困っているのか
を先に整理した方が、必要な機能を選びやすくなります。
KAMUSHIRUBE・KANAMEBAで相談できること
IT管理の棚卸しを始めると、
「MFAはどこまで設定すればよいか」
「このSaaSはバックアップが必要か」
「IT資産管理ツールを導入すべきか」
「専任情シスを採用した方がよいか」
など、自社だけでは判断しにくい論点が出てくることがあります。
SCI総合研究所株式会社のKAMUSHIRUBEでは、IT・DX・セキュリティについて、「まず何から着手すべきか」という技術相談に対応しています。
一方、
- IT資産管理を実際に整理したい
- アカウント・権限管理の仕組みを整えたい
- ITガバナンスやセキュリティ運用を改善したい
- ベンダーとの調整やDX・ITプロジェクトを進めたい
といった実行支援まで必要な場合は、KANAMEBAでの支援を検討できます。
まとめ
ひとり情シス・情シス不在の企業が、最初から大規模なIT管理システムを導入する必要はありません。
まず、
- アカウント・SaaS
- PC・スマートフォン等の端末
- 権限・管理者アカウント
- バックアップ
- 入退社・異動・引継ぎ
の5項目を確認します。
大切なのは、きれいな台帳を作ることではありません。
会社が何を利用し、誰が使い、誰が管理し、誰がアクセスでき、問題が起きた場合にどう復旧するのかを説明できる状態にすることです。
まずExcelで棚卸しし、「不明」「要確認」の項目を洗い出すだけでも、次に取り組むべき課題が見えやすくなります。
棚卸しはできたものの、どこから優先して改善すべきか判断しにくい場合はKAMUSHIRUBE、実際のIT管理・セキュリティ体制の整備まで必要な場合はKANAMEBAでの相談もご活用ください。
参考文献
- 独立行政法人情報処理推進機構. 2026. 中小企業の情報セキュリティ対策ガイドライン 第4.0版. 独立行政法人情報処理推進機構.
IPA「中小企業の情報セキュリティ対策ガイドライン」 - 独立行政法人情報処理推進機構. 2026. プレス発表「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開. 独立行政法人情報処理推進機構.
IPA プレスリリース - 独立行政法人情報処理推進機構. 2026. SECURITY ACTION 情報セキュリティ6か条. 独立行政法人情報処理推進機構.
IPA「情報セキュリティ6か条」
