情報資産台帳の作り方｜端末の一覧を業務・データ・責任者につなぐ

情報資産台帳は、機器を数えるためだけの表ではありません。業務で使う情報、保存先、サービス、管理者と、止まった場合の影響を結び付ける資料です。同じパソコンでも、公開資料を扱う端末と顧客情報を扱う端末では管理の優先度が変わります。台数だけで判断せず、何を守るための資産かを明らかにします。

会社が購入した機器の一覧には、個人が契約しているSaaSや外部に共有したファイルが載っていないことがあります。契約情報、認証基盤、バックアップの保存先まで調査範囲を広げ、業務担当者への確認と管理画面の記録を突き合わせます。台帳は完成させて放置する成果物ではなく、購入・導入・異動・廃止の都度更新する運用が必要です。

機器や保存先を洗い出した後の学習はSGの構成管理・CI・CMDBで、管理する単位と関係、承認された基準・記録・実態の違いを確認できます。 購入数と利用実態の照合はSGのライセンス管理で、利用権・割当先・導入端末の対応から整理できます。

所有者、利用者、管理者は同じとは限りません。クラウド事業者が機器を管理していても、情報の分類や共有権限を決める責任は利用組織側に残ります。台帳ではその境界を項目として残してください。

最初から全ての技術情報を集めるより、重要業務から必要な項目を決めます。現物、契約台帳、管理画面のいずれで確認したかを記録すると、未確認の情報を確定事項として扱うことを防げます。

台帳には確認日と確認者、根拠、未確認項目を残します。重要な変更は管理者の承認を経て、台帳の更新と実際の設定の一致を確かめます。

棚卸しの単位も決めます。複数の部署が同じサービスを使う場合、契約を一つとして数えても、情報の所有者と共有設定は部署ごとに違う場合があります。サービスの親項目と業務ごとの利用を結び付けると、重複と欠落を説明しやすくなります。調査できない端末は対象外として消すのでなく、所在と確認担当を残します。

廃止の判断では、端末本体だけでなく証明書、クラウド登録、保存情報へ影響します。購入一覧を最新にしても終了したサービスの認証が残るなら、資産管理の完了とは言えません。台帳から変更や廃止の手順へ進めることが運用上の価値です。

サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提は中小企業のサイバーセキュリティ対策、情報の分類と取扱いルールで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。