社員30名の中小製造業を経営しているある社長が、取引先のセキュリティ調査票に記入しようとして困り果てました。「お客様の個人情報はどこに、どのような形で保管されていますか？」という設問に、正直に答えられなかったのです。
顧客データはクラウドの会計ソフトに入っているはず。設計図面は担当者のPCの中だったような。営業部が使い始めたクラウドサービスは何があったっけ……。把握している人が誰もいない——そんな状況は、中小企業では珍しくありません。
この問題を解決する出発点が「情報資産台帳」です。自社が保有・利用するすべての情報（デジタルデータ・紙書類・システム・クラウドサービス）を一覧化した管理表で、情報漏えいリスクの見える化に直結します。
この記事では、情報資産台帳の基本から実際の作成手順、Excelで作れるシンプルなフォーマット、定期更新の仕組みまで、従業員10～100名規模の中小企業向けに解説します。
情報資産台帳とは？中小企業でも必要な理由
情報資産台帳とは、自社が保有・利用するすべての「情報」を一覧化した管理文書です。「情報」には次のものが含まれます。
・電子データ: 顧客情報・設計図面・契約書・財務データ・人事データなど
・紙書類: 契約書の原本・請求書の控え・社員名簿など
・システム・ソフトウェア: 会計ソフト・勤怠管理ツール・メール環境など
・クラウドサービス: Google Workspace・Dropbox・kintone・LINE WORKSなど
・記録媒体: 業務で使うUSBメモリ・外付けHDD・スマートフォンなど
「情報資産台帳はISMS（情報セキュリティマネジメントシステム）やPマーク取得を目指す大企業のもの」という誤解が多いのですが、実態は逆です。むしろ、IT担当者がいない中小企業こそ「何が・どこに・誰の管理で存在するか」が把握されていないケースが多く、漏えい事故が起きてから初めて状況が明らかになります。
経済産業省の調査では、情報漏えい事故の原因の約55%が「誤操作・紛失・管理ミス」によるもの——悪意ある外部攻撃ではありません。つまり「自社に何があるかを知っていれば防げた事故」が半数以上を占めているのです。
情報資産台帳を作る3つの具体的なメリット
1. どこにリスクがあるかが見える
台帳を作ると、「この顧客データは暗号化されていない」「このクラウドサービスはMFA（多要素認証）を設定していない社員がいる」といったリスクが一覧で見えるようになります。
対策が必要な箇所を絞り込めるため、「まず何から手をつければいいかわからない」という状態から抜け出せます。問題の全体像が見えて初めて、優先順位をつけた対応が可能になります。
2. アクセス権の整備が進む
台帳に「誰がアクセスできるか」を紐付けると、退職者のアカウントが残っている・必要以上に多くの社員がアクセスできているといった問題が自然と浮かび上がります。
アクセス権管理の基本（最小権限の原則）と組み合わせることで、内部不正や情報漏えいを体系的に防げる環境が整います。情報が「どこに・誰の手で管理されているか」が可視化されてこそ、適切な制限をかけられます。
3. 法令対応・外部認証の土台になる
個人情報保護法への対応、取引先のセキュリティ調査票への回答、将来的なISMS・Pマーク取得——これらはすべて「自社が何の情報を持っているか」を答えることから始まります。台帳を作っておけば、こうした対応が格段に楽になります。
また、情報セキュリティに関する補助金の申請でも「どのような情報をどのように管理しているか」を説明する場面があり、台帳の存在が直接役立ちます。
情報資産台帳の作り方（4ステップ）
1. 情報資産を洗い出す
最初のステップは、社内に存在するすべての「情報」を部門・担当者別にリストアップすることです。
「誰に聞けばわかるか」を起点にするのが効果的です。営業部長・経理担当・総務担当・各システムの主な利用者に個別に確認することで、台帳に入れるべき情報が集まります。次の確認項目をチェックリストとして使ってください。
・顧客・取引先情報: 氏名・住所・電話番号・メールアドレスなどの個人情報（どのシステム・どのファイルに入っているか）
・社員情報: 給与データ・健康診断結果・雇用契約書など
・財務情報: 会計ソフトのデータ・銀行情報・決算書類
・業務データ: 設計図面・仕様書・営業資料・見積書
・利用中のシステム・クラウドサービス: 会計ソフト・勤怠管理・クラウドストレージなど
・紙書類: 契約書原本・捺印書類・各種申請書
・記録媒体: USBメモリ・外付けHDD・スマートフォン
なお、会社が把握していない個人利用のサービス（シャドーIT）の存在も見逃せません。シャドーIT対策のガイドと合わせて確認しておくことをお勧めします。
2. 重要度とリスクを評価する
洗い出した情報資産に対して、次の3軸で評価します。
・機密性（C）: 外部に漏れたらどれだけ困るか（高・中・低）
・完全性（I）: 改ざんや消失が起きたらどれだけ困るか（高・中・低）
・可用性（A）: 使えなくなったらどれだけ困るか（高・中・低）
この3軸は「CIA評価」と呼ばれ、ISMSでも採用されている標準的な評価方法です。すべてを「高」にすると対策が多くなりすぎて現実的ではないため、業務への影響度合いを正直に評価することが大切です。
たとえば、顧客の個人情報は「機密性・高」、社内向けの業務マニュアルは「機密性・低、完全性・中」といった具合に分類します。評価の結果、「機密性・高」の情報が意外と多いことに気づく企業が大半です。
3. 管理責任者を決める
各情報資産に「管理責任者（オーナー）」を設定します。管理責任者の役割は次の通りです。
・その情報へのアクセス許可を判断する
・利用目的の変更や廃棄のタイミングを判断する
・定期棚卸しのときに台帳の内容を確認・更新する
担当者名ではなく「役職・部門」単位で設定するのがポイントです。担当者が異動・退職しても台帳の管理が引き継がれるようにします。
退職者が発生した際のアカウント削除・アクセス権剥奪の手順については、退職者セキュリティ対策ガイドで詳しく解説しています。台帳の管理責任者設定と合わせて参照してください。
4. 台帳を運用・更新する仕組みを作る
台帳を作って終わりにしてしまうのが最大の失敗パターンです。情報は常に増減するため、定期的な更新が欠かせません。次のルールを社内で決めておきましょう。
・年1回の「情報資産棚卸し」を実施し、全部門に確認をとる
・新しいサービスの導入・廃止の際は台帳への登録・削除を必須とする
・入退社があった際は管理責任者の見直しを行う
・台帳自体へのアクセスは管理責任者と情報セキュリティ担当者に限定する
更新作業の目安工数は、最初の作成が5～10時間（従業員30名規模）、その後の年次更新が2～3時間程度です。専任のIT担当者がいなくても、総務担当者が兼務で対応できる作業量です。
情報資産台帳のフォーマット（Excelで作れるシンプル版）
台帳はExcelで十分作成できます。次が基本的な列構成です。
| 列名 | 記載内容 | 記載例 |
|---|---|---|
| 資産ID | 連番（例: INF-001） | INF-001 |
| 資産名 | 情報・システムの名称 | 顧客マスタ（CRM） |
| 種別 | 電子データ/紙書類/システム/クラウドなど | クラウドサービス |
| 保管場所 | どこにあるか | Salesforce（クラウド） |
| 管理部門 | どの部門が管理しているか | 営業部 |
| 管理責任者 | 役職・氏名 | 営業部長 田中 |
| 機密性（C） | 高・中・低 | 高 |
| 完全性（I） | 高・中・低 | 高 |
| 可用性（A） | 高・中・低 | 中 |
| バックアップ | あり/なし、頻度 | あり（日次） |
| アクセス制限 | 誰がアクセスできるか | 営業部員のみ |
| 廃棄予定 | 廃棄タイミング・方法 | 取引終了後5年・電子削除 |
| 備考 | 特記事項 | MFA設定必須 |
台帳の登録件数の目安
従業員30名規模の企業では、20～50件程度の情報資産を登録するのが一般的です。最初から完璧を目指さず、「機密性が高いもの」から優先的に登録し、徐々に拡充していく方針が長続きします。
個々のファイルを1件ずつ登録する必要はありません。「顧客マスタ（CRM）」「給与計算データ（会計ソフト）」のように、データの集合体を1件として登録するのが実用的です。
【コスト】作成にかかる費用と使える補助金
【コスト】自社で作成する場合
情報資産台帳はExcelで作れるため、ソフトウェアのコストはほぼゼロです。かかるのは社員の工数のみで、初回作成に5～10人時（従業員30名規模の場合）が目安です。
外部の支援機関（よろず支援拠点・商工会議所）に相談すれば、無料でひな形や作成サポートを受けられる場合もあります。
【コスト】専門家に支援してもらう場合
情報セキュリティコンサルタントに台帳作成を支援してもらう場合の費用目安です（執筆時点：2026年7月・税込）。
| 支援内容 | 費用目安 |
|---|---|
| 台帳テンプレート提供のみ | 無料～5万円 |
| 台帳作成ワークショップ（半日） | 5万～15万円 |
| 台帳作成支援（全工程伴走） | 10万～30万円 |
| ISMS・Pマーク取得支援（一式） | 50万～150万円 |
【コスト】使える補助金・制度
情報資産台帳の作成単体を直接補助する制度はありませんが、次のケースで費用を抑えられます。
・IT導入補助金（セキュリティ対策推進枠）: 情報セキュリティ管理ツール（ID管理・認証管理ツール等）の導入と合わせることで補助対象になる場合がある（2026年度・公募状況は事務局に要確認）
・よろず支援拠点・商工会議所の無料相談: 台帳作成のひな形提供・作成アドバイスを無料で受けられることが多い
・中小企業診断士・情報処理安全確保支援士: 士業の初回相談無料制度を活用できる場合がある
よくある失敗と回避策
失敗1: 作ったまま更新されない
最も多いのが「初年度だけ作って以降は放置」というパターンです。古い台帳は実態と乖離した内容になり、セキュリティ上の穴を見落とす原因になります。
回避策: 毎年同じ時期（例: 3月末）に棚卸しを行うことを社内カレンダーに登録し、担当者に通知が飛ぶ仕組みを作ります。kintoneやSmartHRなどの業務管理ツールにタスクとして設定しておくだけで定着率が上がります。
失敗2: 粒度が細かすぎて入力が終わらない
「すべてのファイル・フォルダを登録しなければ」という発想で始めると、途中で挫折します。データの集合体（システム・フォルダ単位）で登録すれば十分です。
回避策: 「顧客マスタ（会計ソフト）」「給与データ（給与計算ソフト）」のように、管理の単位で1件として登録します。個別ファイルを1件ずつ登録する必要はありません。
失敗3: 管理責任者が「すべて社長」になっている
社長がすべての管理責任者になると、実際の運用が機能しなくなります。社長は意思決定だけに集中し、現場での確認・更新は各部門長が担う形が理想です。
回避策: 顧客データは営業部長、財務データは経理責任者、人事データは総務責任者というように部門ごとに責任者を分散させます。
失敗4: 個人情報の場所が特定できない
台帳を作ろうとしたときに「どのシステムに個人情報が入っているか把握できていない」という問題が発覚するケースが多くあります。
回避策: 台帳作成の前段階として「個人情報マッピング」（保有する個人情報の種類と場所を一覧化する作業）を行います。個人情報保護法対応ガイドも参考にしてください。
失敗5: 台帳の管理が属人化している
台帳を作った担当者が退職・異動すると、台帳の在り処がわからなくなるケースがあります。
回避策: 台帳はGoogle DriveやSharePointなど、組織アカウントで管理できる場所に保存し、後任者へのアクセス付与を退職・異動手続きのチェックリストに組み込みます。
情報漏えい防止・ISMS認証への発展
情報資産台帳は、情報漏えい防止の体制整備の第一歩です。台帳が完成したら、次のステップとして各資産のリスクに合わせた対策（アクセス制限の見直し・バックアップ体制の確認・廃棄手順の策定）を進めます。
将来的にISMS（ISO 27001）やPマークの取得を検討している場合、情報資産台帳の整備は必須要件です。ISMS認証取得ガイドもあわせてご覧ください。認証取得を目標にせず、まず「社内の情報を把握する」という目的だけで台帳を作ることも十分に意義があります。
セキュリティ対策全般については、姉妹サイトセキュリティマスターズ.TOKYOで技術面の詳しい情報を提供しています。
本記事のまとめ
情報資産台帳は「何が・どこに・誰の管理で存在するか」を見える化するための土台となる文書です。
| ステップ | 内容 | 目安工数 |
|---|---|---|
| 1. 洗い出し | 部門ごとにデータ・システム・紙書類を一覧化する | 2～4時間 |
| 2. リスク評価 | 機密性・完全性・可用性の3軸で重要度を評価する | 1～2時間 |
| 3. 責任者設定 | 部門・役職単位で管理責任者を割り当てる | 1時間 |
| 4. 運用設計 | 年次棚卸し・更新ルールを社内で共有する | 1時間 |
「難しそう」と思われがちですが、Excelで作るシンプルな一覧表から始めて構いません。最初の台帳が完成した時点で、多くの企業が「こんなに把握できていないことがあったのか」と気づきます。その気づきが、情報セキュリティ改善の最初の一歩です。
PR
ランサムウェア対策 実践ガイド（田中啓介・山重徹／マイナビ出版）
情報資産の管理体制が整っていない企業がランサムウェア被害を受けた場合の対処から、被害を防ぐ社内ルール整備まで実務視点で解説。情報資産台帳の作成と並行して手元に置いておきたい一冊です。
