中小企業のセキュリティ年次点検ガイド｜アクセス権・IT資産・社内ルールを年1回総点検して情報漏えいを防ぐ実践チェックリスト

「退職した社員のクラウドアカウントがまだ生きているかもしれない」「3年前に作ったIT利用規程を見直したことがない」「会社で使っているクラウドサービスの全体像を誰も把握していない」——こうした状況が続いている中小企業は少なくありません。

情報セキュリティは「一度設定したら終わり」ではありません。社員の入退社、新しいSaaS（クラウドサービス）の追加、テレワーク対応、業務フローの変更にともない、気づかないうちにアクセス権の漏れ・古いルール・把握できていないシステムが積み重なっていきます。

この記事では、従業員10～100名規模の中小企業が年に1回実施すべき「セキュリティ年次点検」について、アクセス権・IT資産・社内ルールの3領域を網羅した実践チェックリストと手順を解説します。専任のIT担当者がいなくても、半日程度で完了できる内容にまとめています。

セキュリティ年次点検とは？なぜ必要なのか

セキュリティ年次点検とは、社内で利用しているITシステム・クラウドサービス・アカウント・社内ルールを定期的に棚卸しし、「現状」と「本来あるべき姿」のズレを発見・是正する活動です。

大企業では「情報セキュリティ内部監査」として専門部署が担うことが多いですが、中小企業では経営者や総務担当者が主導する「年1回の総点検」として取り組むだけで十分な効果があります。

年次点検が必要な理由は、次のような「設定の自然劣化」が企業規模を問わず起きるからです。

・アカウントの放置: 退職者・異動者のアカウントが削除されずに残り、不正利用のリスクが高まる
・サービスの野放し: 部門ごとに無断で契約したSaaSが増え、セキュリティ設定が統一されていない
・ルールの陳腐化: 数年前に作ったIT利用規程が、今の業務実態（テレワーク・AI活用など）に対応していない
・担当者の属人化: 「あのシステムのパスワードは○○さんしか知らない」という状態が積み重なる

年次点検で期待できる効果

年1回の点検を習慣化することで、次の効果が期待できます（費用効果は規模・状況による想定例です）。

年次点検の実施タイミングと担当者

実施タイミングとして、次のいずれかに設定するのが現実的です。

・3月（年度末）: 退職・異動が集中する時期で、人事情報との照合がしやすい
・12月（年末）: 来年度のIT投資計画・セキュリティ予算の見直しと合わせて実施しやすい
・決算月の翌月: コスト（SaaS費用）の見直しと合わせて実施しやすい

担当者は「総務担当者1名」「経営者本人」「外部のIT支援業者」のいずれかで始めて問題ありません。専任のIT部門がなくても実施できます。

所要時間の目安（想定例）：

具体的な進め方（ステップバイステップ）

1. アクセス権の点検（目安：約1時間）

アクセス権の棚卸しは、情報漏えい防止において最も重要な点検項目です。確認すべき内容は次のとおりです。

・退職者・長期休職者のアカウント確認: 過去1年間の退職者・長期休職者を人事記録から洗い出し、各システム（メール・クラウドストレージ・業務システム等）のアカウントが無効化・削除されているかを確認する
・異動者の権限見直し: 部署異動した社員の権限が旧部署の状態を引き継いだまま残っていないかを確認する
・管理者権限の保有者確認: 誰がどのシステムの管理者（アドミン）権限を持っているかを一覧化し、不必要な管理者権限を削除する
・共有アカウントの棚卸し: 「全員が使える共有ID」が存在する場合は、利用実態を確認し、廃止できるものは廃止を検討する

照合作業の進め方：「人事台帳（退職者・異動者リスト）」と「各システムのユーザー一覧（管理画面からエクスポート）」をExcelで突き合わせる方法が最もシンプルです。

アクセス権管理の詳細な実践手順は、中小企業のアクセス権管理ガイドで解説しています。

2. IT資産・クラウドサービスの点検（目安：約1時間）

次に、会社が把握しているIT資産とクラウドサービスの棚卸しを行います。

・クラウドサービス一覧の更新: 現在契約・利用中のSaaS・クラウドサービスを洗い出し、利用実態（アクティブユーザー数・利用頻度）を確認する。使っていないサービスは解約を検討する
・シャドーIT（無断利用サービス）の発見: 業務で無断利用されているサービスがないか、ヒアリングや経費精算・クレジットカード明細から確認する
・PC・端末類の棚卸し: 会社所有のPC・スマートフォン・タブレットのリストを更新し、廃棄済みで記録に残っているものがないかを確認する
・ライセンス数の適正化: クラウドサービスの契約ライセンス数と実際の利用者数を照合し、過剰なライセンスがあれば翌月の更新時に削減する

情報資産台帳の整備については中小企業の情報資産台帳の作り方で詳しく解説しています。シャドーITの発見と対策手順は中小企業のシャドーIT対策ガイドを参照してください。

3. 社内ルール・ポリシーの点検（目安：約1時間）

社内のルール・文書が現状の業務に合っているかを確認します。

・IT利用規程の更新確認: 新しいサービス（生成AIツール・新規SaaS等）の利用ルールが規程に反映されているかを確認し、記載のないサービスについてはルールを追記する
・テレワーク・BYOD（私物端末）ポリシーの確認: テレワーク実施状況の変化（頻度増減・新規実施等）に対応したポリシーになっているかを確認する
・セキュリティポリシーの最終更新日確認: 最終更新日が2年以上前のポリシーは内容を見直す。特に「パスワード運用」「クラウド利用ルール」「承認フロー」は陳腐化しやすい
・緊急連絡先・ベンダー連絡先の更新: サイバーインシデント発生時の連絡先リスト（IT担当者・セキュリティ保険会社・ベンダー等）を最新化する

IT利用規程の整備については中小企業のIT利用規程の作り方で詳しく解説しています。

4. 物理セキュリティの目視確認（目安：約30分）

最後に、物理的なセキュリティ状況を目視で確認します。

・入退室管理の確認: サーバー設置場所・書類保管庫の鍵が適切に管理されているか、電子錠のコードが定期的に変更されているかを確認する
・USBメモリ等の持ち出し管理: 業務でUSBメモリ等を使用している場合、持ち出し記録が残っているかを確認し、未記録なら記録を義務付けるルールを設ける
・離席時の施錠ルールの遵守確認: 社員が席を離れる際にPCをロックしているか、書類を机上に放置していないかを抜き打ちで確認する
・来訪者管理台帳の確認: 外来者（業者・宅配業者等）の入館記録が適切に残っているかを確認する

【費用】点検の実施コストと担い方

セキュリティ年次点検は、基本的に自社の人件費のみで実施できます。

点検後の是正作業（アカウント削除、ポリシー改訂等）は基本的に自社内で対応できます。複雑なシステム設定変更が必要な場合は、月額サポート契約のIT支援業者への相談を検討してください。

なお、中小企業向けの無料セキュリティ相談窓口として、IPA（情報処理推進機構）の「セキュリティ相談窓口」や都道府県の「中小企業支援センター」を活用する方法もあります。

年次点検チェックリスト（全項目まとめ）

以下が年次点検の全確認項目です。ExcelやGoogleスプレッドシートに貼り付けて実施記録として使用してください。

よくある失敗と回避策

年次点検を実施した企業でよくあるつまずきを3つ紹介します。

つまずき1：点検表を作ったが翌年に見つからない
一般的には、点検結果をExcelで管理してサーバー上の不定な場所に保存すると、翌年担当者が変わったときに見つからなくなります。「セキュリティ点検フォルダ」を社内共有フォルダの固定場所に作り、ファイル名に年度を入れて管理しましょう。

つまずき2：退職者のアカウントを削除したら業務が止まった
退職者のアカウントに紐づいていたシステム連携や自動処理が存在する場合、削除後に他の業務に影響が出ることがあります。アカウントを削除する前に「このアカウントで設定されている自動連携がないか」を確認するステップを入れましょう。退職者対応の詳細な手順は中小企業の退職者セキュリティ対策ガイドを参照してください。

つまずき3：点検が担当者の記憶に頼っている
「あのシステムのパスワードは○○さんしか知らない」という状態では、点検すら完了できない場合があります。点検を実施しながら「記録が存在しない情報」を洗い出し、パスワード管理ツールへの登録や管理台帳の整備を並行して進めましょう。

年次点検を継続するための仕組みづくり

年次点検を1回で終わらせず、毎年継続するための工夫を4つ紹介します。

・会社カレンダーへの登録: 毎年3月（または決算月）の最終週に「セキュリティ年次点検」の作業日を登録し、担当者へのリマインド通知も設定する
・チェックリストの雛形化: 今年実施した点検表をテンプレートとして保存し、翌年はそれをコピーして使う
・経営者への結果報告: 点検結果の概要（発見した問題・是正内容）を経営者に報告する場を設け、改善に必要な予算承認や担当者任命が遅れないようにする
・IT支援業者との年間サポート活用: 月額契約のITサポート業者がある場合、年次点検をサービスの一環として依頼する方法もある

より体系的にセキュリティリスクを評価したい場合は、中小企業の情報セキュリティリスクアセスメント入門も合わせて参照してください。

セキュリティ対策の技術的な詳細については、姉妹サイトセキュリティマスターズ.TOKYOでも詳しく解説しています。

本記事のまとめ

中小企業のセキュリティ年次点検について、アクセス権・IT資産・社内ルール・物理セキュリティの4領域を網羅したチェックリストと実践手順を解説しました。

・点検の4領域: ①アクセス権、②IT資産・クラウドサービス、③社内ルール・ポリシー、④物理セキュリティ
・実施タイミング: 年度末・年末・決算月のいずれかに固定する
・所要時間の目安: 初回4時間（半日）、2回目以降は2時間程度（想定例）
・最も重要な点検項目: 退職者アカウントの削除確認（見落としが起きやすい領域の一つ）
・継続のコツ: カレンダー登録・チェックリスト雛形化・経営者への結果報告の3点を仕組みにする

年1回のセキュリティ総点検は、特別な予算や専門知識がなくても始められます。まずは今年の実施日をカレンダーに入れることから始めてみてください。