第1部 立ち上げ
第2章 最初の90日 — 現状把握とIT資産の棚卸し
担当になって最初にやるべきは、対策でも刷新でもありません。「今、会社に何があるのか」を知ることです。見えないものは、守れません。
🎯 この章で学ぶこと
- なぜ「棚卸し」がすべての出発点なのか
- 何を、どの粒度で棚卸しするか(資産の全体像)
- 完璧を目指さず、スプレッドシート1枚から始める現実的なやり方
- 最初の90日をどう配分するか(把握 → 止血 → 計画)
2.1 なぜ棚卸しが最初なのか
新しく情シスを引き継いだあなたの前には、たいてい「地図のない土地」が広がっています。どこにどんなPCがあり、どのクラウドサービスに誰がお金を払い、どのサーバーが何のために動いているのか——前任者がいれば少しは聞けますが、いなければ手がかりすらありません。この状態で「セキュリティを強化しよう」「バックアップを整えよう」と動いても、対象が見えていないので必ず穴が残ります。
守るための大前提は「何があるかを知っていること」です。守るべき対象の一覧(資産台帳)がなければ、対策の抜け漏れは判断すらできません。だから一人情シスの最初の仕事は、格好いいツールの導入ではなく、地味な「棚卸し(たなおろし)」なのです。
「棚卸し」はもともと、お店が在庫を数えて帳簿と突き合わせる作業のことです。IT資産の棚卸しも同じで、「持っているもの」を一覧にして、実物と記録を合わせていく作業です。難しい技術ではなく、根気の作業です。だからこそ、忙しさに紛れて後回しにされがちで、多くの会社で「誰も全体を把握していない」状態が放置されています。
もう一つ、棚卸しには即効性のある副産物があります。作業の過程で、誰も使っていないのに課金され続けているサービス、退職者のまま生きているアカウント、目的の分からないサーバー——といった「見えていなかった問題」が次々と見つかります。棚卸しは、コスト削減とセキュリティ対策の両方の入り口なのです。
2.2 何を棚卸しするか
「IT資産」と一口に言っても範囲は広いです。まずは大きく6つのカテゴリで捉えると整理しやすくなります。最初から全部を完璧に埋める必要はありません。まずは「どんな箱があるか」を頭に入れましょう。
| カテゴリ | 棚卸しする対象の例 | 記録したい項目 |
|---|---|---|
| ハードウェア | ノート/デスクトップPC、サーバー、複合機、ルーター、スイッチ、Wi-Fiアクセスポイント、スマホ・タブレット | 機種、管理番号、使用者、設置場所、購入/リース時期、保証期限 |
| ソフト・ライセンス | OS、Office、業務ソフト、ウイルス対策ソフト、Adobe等 | ライセンス数、契約形態、更新日、割り当て先 |
| SaaS・クラウド | メール(Microsoft 365 / Google Workspace)、会計、勤怠、チャット、クラウドストレージ、レンタルサーバー | 用途、管理者、契約プラン、月額、ユーザー数 |
| アカウント・ID | 各サービスのログインID、管理者権限、共有アカウント、社内システムのユーザー | 誰の何の権限か、最終利用、退職者の残存有無 |
| 契約・ベンダー | 回線、保守契約、リース、ドメイン、SSL証明書、外部委託先 | 契約先、担当窓口、契約期間、自動更新の有無、月額/年額 |
| 重要データ | 顧客情報、会計データ、契約書、設計データ、ファイルサーバー上の共有フォルダ | 保管場所、機密度、バックアップの有無、アクセスできる人 |
この6分類のうち、特に優先度が高いのは「アカウント・ID」と「重要データ」です。前者は乗っ取りや退職者の残存アカウントという直接的なリスクに直結し、後者は「万が一失われたら会社が傾くもの」だからです。ハードウェアの台帳が多少不完全でも会社は回りますが、この2つの穴は事故につながります。
棚卸しで漏れやすいのは、物理的に目に見えないものです。個人が勝手に契約したSaaS(いわゆるシャドーIT、第7章)、クラウド上の仮想サーバー、退職者が作ったまま忘れられたアカウント、担当者の個人メールに届く更新通知——。「請求書・クレジットカードの明細」「メールの領収書」「ブラウザのブックマーク」を手がかりに探すと、隠れた資産が芋づる式に出てきます。
2.3 現実的なやり方 — スプレッドシート1枚から
「資産管理ツールを導入しなきゃ」と身構える必要はありません。一人情シスの棚卸しは、スプレッドシート(ExcelやGoogleスプレッドシート)1枚から始めるのが最も現実的です。立派な仕組みより、まず「書き出す」ことが大事です。
完璧を目指さず、少しずつ埋める
最初から全項目を埋めようとすると、必ず途中で挫折します。おすすめは、まず「行(=資産の名前)」だけをひたすら列挙するやり方です。PC一覧、SaaS一覧、契約一覧……と、思いつくものをどんどん行に足していく。詳細(使用者や更新日)は後から少しずつ埋めます。「一覧に載っている」だけでも、把握のレベルは劇的に上がります。
「正確な台帳を来月から」より、「穴だらけでも今日から」です。空欄があってもかまいません。空欄はむしろ「まだ調べられていない=不明」という重要な情報です。第1章で触れた「完璧より着手」の精神は、棚卸しでこそ効きます。
自動収集の活用
手作業だけに頼らず、機械に集めさせられるところは任せましょう。深い技術は不要で、標準の機能でかなり分かります。
| 知りたいこと | 手がかり |
|---|---|
| 社内にどんなPCがあるか | 後述のMDM/資産管理ツール(第4章)、あるいはMicrosoft 365/Google Workspaceの管理画面に出る「サインインした端末」一覧 |
| 誰がどのSaaSを使っているか | クレジットカード明細、経費精算のデータ、SSO(第3章)のログ |
| どんなアカウントが存在するか | 各サービスの管理コンソールの「ユーザー一覧」をエクスポート(CSV書き出し) |
| ネットワークに何がつながっているか | ルーターの管理画面の接続端末一覧(第5章で詳述) |
PCの情報を1台ずつ手で入力するのは非現実的です。管理コンソールからCSVで書き出せるものは書き出し、スプレッドシートに貼り付けるだけでも土台ができます。より本格的な自動収集(スクリプトでの棚卸し)に興味が出たら、入門コース(🐍 Python × セキュリティ)第6章・第13章で、CSVの整形やファイル一覧の収集を扱っています。
2.4 契約・ライセンスの棚卸し
ハードウェアと並んで見落とされがちで、しかもお金に直結するのが「契約」です。ここは経営層にも喜ばれる分野なので、早めに手をつける価値があります。契約台帳には、最低限これらを記録します。
| 項目 | なぜ記録するか |
|---|---|
| 契約名・用途 | 「何のための契約か」が分からない契約が必ず出てくる |
| 契約先・担当窓口 | トラブル時に「どこに電話すればいいか」が命綱になる |
| 月額/年額のコスト | 全部を足すと「ITにいくら払っているか」が初めて見える |
| 契約期間・更新日 | 更新のタイミングが見直し・値引き交渉のチャンス |
| 自動更新の有無 | 不要なのに自動更新され続ける「払いっぱなし」を防ぐ |
| 支払い方法・名義 | 個人のカード払いになっていると、その人の退職で止まる |
「気づいたら1年分自動更新されていた」「解約したいのに解約期限を過ぎていた」は、中小企業で頻発します。さらに危険なのが、前任者や特定社員の個人アカウント・個人カードで契約されているサービスです。その人が辞めた瞬間、支払いが止まってサービスが使えなくなったり、逆に誰も管理できず払い続けたりします。契約は可能な限り会社名義・共有の管理者アカウントに寄せていくのが鉄則です(ID管理は第3章)。
2.5 記録の置き場所と維持
棚卸しをして台帳を作っても、それがあなたの個人PCのデスクトップだけにあるなら、第1章で警告した「属人化」そのものです。台帳は、作った瞬間から「維持」と「共有」を考える必要があります。
- 一箇所に集める — 資産台帳・契約台帳・アカウント一覧・構成図・手順書は、散らばらせず一つの場所(共有ドライブの決まったフォルダなど)にまとめます。「情シスのことはここを見れば分かる」という状態を目指します。
- 更新を習慣にする — 台帳は作った翌週から古くなります。「PCを配ったら台帳に1行足す」「サービスを解約したら台帳に反映する」を、作業とセットの習慣にします。棚卸しは一度きりのイベントではなく、運用です。
- 属人化させない — 少なくとも経営層か信頼できる別の1人が、台帳の在り処と最低限の中身を知っている状態にします。あなたが倒れても会社が動ける——これが第1章の続きであり、台帳を作る本当の目的です。
資産台帳、とくにアカウント一覧やネットワーク構成図は、攻撃者にとって「宝の地図」です。全社員が自由に閲覧・編集できる場所に置くのは危険です。閲覧できる人を限定し、パスワードそのものは台帳に平文で書かず、パスワードマネージャで別管理します(第3章)。共有と機密保護の両立を意識してください。
2.6 最初の90日プラン例
やることは山ほどありますが、最初の3か月は欲張らず「把握 → 止血 → 計画」の順で進めるのが現実的です。以下はあくまで一例です。自社の事情に合わせて調整してください。
| 期間 | テーマ | 主にやること |
|---|---|---|
| 〜30日 | 全体把握 | 資産・契約・アカウント・データのざっくり棚卸し。台帳の骨組みを作る。関係者(経営層・主要ベンダー・キーパーソン社員)に挨拶し、話を聞く。 |
| 〜60日 | リスクの高い穴を塞ぐ(止血) | 棚卸しで見つかった「明らかにヤバいもの」を優先対処。退職者アカウントの停止、バックアップが動いているかの確認、管理者パスワードの把握と保護、期限切れ間近の契約の確認。 |
| 〜90日 | 改善計画を作る | 把握とリスクを踏まえ、「今期何をやるか」の優先順位付きロードマップを作成。経営層に現状と計画を報告し、必要な予算の合意を取る(経営との対話は第10章)。 |
30日ほどで一度、経営層に「現状こうなっています」と簡単に報告するのがおすすめです。棚卸しで見えた事実(例:「退職者のアカウントが5件生きていました」「使われていないサービスに月3万円払っていました」)は、あなたの働きを可視化し、以降の予算や協力を得る強力な材料になります。地味な棚卸しは、実は最高の「実績アピール」になります。
高価なセキュリティ製品を導入する前に、棚卸しをするだけで守りは大きく前進します。退職者の生きたアカウント、目的不明の「野良サーバー」、初期パスワードのままの機器、誰も更新していないソフト——これらは棚卸しをして初めて存在に気づけるリスクです。攻撃者は、あなたが把握していない資産(管理されていない=対策もされていない資産)を狙います。「知らないものは守れない」の裏返しで、「一覧にした瞬間、守り始められる」のです。攻撃者視点でどう資産が狙われるかを深く知りたい場合は、セキュリティ中級・上級コース第2章(脅威モデリング)が役立ちます。
まとめ
- 守るための大前提は「何があるかを知る」こと。棚卸しがすべての出発点
- 棚卸し対象は6分類(ハード/ソフト/SaaS/アカウント/契約/データ)。特にアカウントとデータを優先
- ツールより先にスプレッドシート1枚から。行の列挙 → 詳細を後埋めで、60点の台帳を今日作る
- 契約台帳で自動更新・個人名義の罠を発見。コスト削減という経営に喜ばれる成果も出る
- 台帳は一箇所に集め、更新を習慣化し、属人化させない。台帳自体も機密として保護する
- 最初の90日は「把握 → 止血 → 計画」の順で。30日目の経過報告が味方を作る
演習(自社の点検)
スプレッドシートを1枚開き、まずは「自社が課金しているSaaS・クラウドサービス」を思いつく限り行に書き出してください。1つずつ「月額いくらか」「誰が管理者か」「支払い名義は会社か個人か」を埋めていくと、どんな発見がありましたか。
考え方
多くの会社で、この作業だけで「用途が思い出せないサービス」「個人カード払いのサービス」「実は誰も使っていないサービス」が1つ2つ見つかります。手がかりはクレジットカード明細と経費精算データです。金額を合計すると「ITに毎月いくら払っているか」が初めて見える点も重要です。全部を一度に埋めきる必要はありません。空欄=「まだ調べていない」という宿題リストだと捉え、埋まった行から会社の見通しが良くなっていく感覚をつかんでください。
あなたの会社で「もし失われたら事業が止まる、最も重要なデータ」を3つ挙げてください。それぞれについて、①どこに保管されているか、②バックアップはあるか、③誰がアクセスできるか、を書き出してみましょう。
考え方
顧客情報、会計データ、契約書や設計データなどが典型です。書き出してみると「バックアップがあると思っていたが、実は取れていない」「アクセス権が全社員に開いている」といった穴が見えることがあります。これは第6章(バックアップ)や第3章(アクセス権)の宿題に直結します。重要なのは、答えを完璧に埋めることより、「一番大事なものが、実はきちんと守られていないかもしれない」という気づきを得ることです。止血フェーズ(〜60日)で最優先に手をつけるべき対象が、ここから見えてきます。
あなたが今日作った台帳や記録は、「もし来週あなたが1週間休んでも、他の誰かが在り処と中身にたどり着けますか?」——たどり着けないとしたら、どこを直せばそうなりますか。
考え方
個人PCのデスクトップにしかない、ファイル名が自分にしか分からない、共有はしているが誰も場所を知らない——といった状態なら、それは第1章で警告した属人化です。改善の第一歩は、①決まった共有フォルダ1つに集約する、②経営層か別の1人に「情シスの記録はここにあります」と伝えておく、の2点です。台帳の内容を完璧にするより先に、まず「在り処が共有されている」状態を作ることが、あなた自身を守ることにつながります。ただし台帳は機密情報なので、閲覧範囲は絞ることを忘れないでください。