情報資産管理台帳の作り方｜IPAのサンプルに沿った項目と重要度の付け方

情報資産管理台帳は、会社が業務で使っている電子データや書類（情報資産）を一覧にし、それぞれがどれだけ大切かを決めて管理するための表です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、付録として「資産管理台帳（サンプル）」（付録6）がExcelで付いており、その中の「情報資産管理台帳」シートを使って、自社の情報資産を把握する手順が説明されています。この記事では、そのサンプルに沿って、台帳の項目と重要度の付け方をまとめます。

IPAの資産管理台帳（サンプル）の構成

付録6の資産管理台帳（サンプル）は、全9シートのExcelファイルです。ガイドラインでは、情報資産と、関連するネットワーク機器・ソフトウェア・ハードウェアを一覧化したもののサンプルと説明されています。主なシートは次のとおりです。

情報資産管理台帳に書く項目

サンプルの「情報資産管理台帳」シートには、次の項目が並んでいます。

• 業務分類（人事、経理、営業など）
• 情報資産名称と備考（社員名簿、顧客リスト、受注契約書など）
• 利用者範囲と管理部署
• 管理者名と管理者連絡先
• 媒体・保存先（書類、事務所のパソコン、社内サーバー、社外サーバー、モバイル機器など）
• 評価値（機密性・完全性・可用性）と重要度
• 保存期限と登録日

同じ顧客リストでも、持ち運ぶ電子媒体に入っているものと、モバイル機器に入っているものは、保存先ごとに行を分けて書く例になっています。どこに保存しているかが分かれば、守り方を保存先ごとに考えられます。

台帳の作り方と重要度の付け方

ガイドラインでは、次の順番で台帳を作り、重要度を決める方法が説明されています。

1. 情報資産を洗い出す。パソコンのハードディスクや机の引き出しを見るのではなく、日常どのような電子データや書類を利用して業務を行っているかを考えて洗い出すと、作成しやすくなります。
2. 情報資産ごとに、機密性・完全性・可用性の評価値を付ける。漏えいや改ざん、誤びゅう（誤記、計算違い）が起きたり、必要な時に利用できなかったりしたときの事業への影響や、法律で安全管理義務があるかどうかなどを踏まえて、評価値3～1を記入します。
3. 重要度を決める。重要度は、機密性・完全性・可用性のいずれかの最大値で判断します。
4. 例外を当てはめる。事故が起きると法的責任を問われたり、取引先・顧客・個人に大きな影響があったり、企業の存続を左右しかねない場合や、個人情報を含む場合は、計算の結果にかかわらず重要度を3とします。

機密性・完全性・可用性の考え方

機密性

アクセスを許可された者だけが情報にアクセスできることです。サンプルの「重要度定義」シートでは、漏えいすると事業に大きな影響があるものを2、漏えいしても事業にほとんど影響がないもの（自社製品のカタログなど）を1とする例が示されています。

完全性

情報や情報の処理方法が正確で完全であることです。改ざんされると事業に大きな影響があるもの（自社の会計情報など）を2とする例が示されています。

可用性

許可された者が必要な時に情報資産にアクセスできることです。利用できなくなると取引先や顧客に大きな影響があるもの（顧客に提供しているサービスなど）を高く評価します。

作った後に続けたいこと

ガイドラインは、IT資産管理は単なるリスト作りや棚卸しではないとし、一覧表や管理台帳の作成から始めて、定期的な見直しを習慣化するよう勧めています。新しい業務が始まった、保存先をクラウドに移した、担当者が替わった、といった変化があれば、台帳の行を直し、登録日や見直した日を残しておきます。

また、情報資産管理台帳とあわせて、パソコンやサーバ、ネットワーク機器、ソフトウェアの台帳も整えておくと、どの機器にどの情報が入っているかをたどれるようになります。IT資産の管理に労力を割くことが難しい場合は、一元管理ができるIT資産管理ツールの導入やクラウドサービスの利用も選択肢として挙げられています。