Lockiron / The Fortress of a Solo IT Manager | 一人情シスの砦
| | Management

IT資産管理で最初に決めるべきは「正確さ」ではない：100%を目指して失敗する一人情シスの罠

#IT資産管理 #情シス #監査対応 #効率化

「棚卸しの時期が憂鬱で仕方がない」 「台帳と実物が合わない。どこに行ったか分からないPCがある」 「社員が勝手に買ったiPadが経理の台帳から漏れている」

100人規模の企業で、たった一人でITを任されている貴方。 もし、完璧な「IT資産管理台帳」を作ろうとして、夜な夜なExcelと格闘しているなら、今すぐその手を止めてください。

その努力は、残念ながら報われません。それどころか、「正確な台帳」を目指すことこそが、貴方の管理体制を破綻させる最大の原因なのです。

本稿では、リソースの限られた一人情シスが、監査や経営からの要請に応えつつ、現実的に運用を回し続けるための「IT資産管理（ITAM）の生存戦略」について解説します。

1. なぜ「100%の管理」は危険なのか

多くの情シス担当者は、真面目ゆえに「全てのIT機器を把握しなければならない」という強迫観念に駆られます。 マウス、キーボード、ディスプレイケーブル、電源タップ……。 しかし、一人情シスがこれらを100%管理しようとすると、以下の「負のループ」に陥ります。

  1. 情報の爆発: 管理対象が数千点になり、Excelが限界を迎える。
  2. 更新の遅延: 日々の激務（ヘルプデスク、トラブル対応）に追われ、台帳更新が後回しになる。
  3. 精度の劣化: 一度でも更新が遅れると、「現在の状態」と「台帳」が乖離し始める。
  4. 信頼の崩壊: いざ監査で照合した時に合わず、「管理できていない」と判定される。

「最初から細かく管理しすぎたせいで、最も重要なPCの所在すら怪しくなる」。これこそが、一人情シスが陥る最大の罠です。

IPA（情報処理推進機構）の「IT資産管理導入ガイド」でも、資産管理の目的を明確にし、管理対象を選別することの重要性が説かれています。全てを管理する必要はないのです。

2. 「維持可能な粒度」を定義する

では、どこまで管理すればよいのでしょうか。 答えは**「監査とセキュリティで致命傷にならない最低ライン」**です。これを「維持可能な粒度」と呼びます。

PC・サーバー：個体管理（シリアル管理）

  • 管理レベル: 必須（High）
  • 理由: 情報漏洩の「器」であり、紛失時のインパクトが最大だからです。また、会計上の「資産」である場合が多く、減価償却の観点からも追跡が必要です。
  • やり方:
    • メーカー、型番、シリアルNo、利用者、購入日、ロケーション。
    • これだけはExcelでもスプレッドシートでも良いので、意地でも合わせます。

モニター・周辺機器：数量管理（バルク管理）

  • 管理レベル: 任意（Low）
  • 理由: モニターが無くなっても情報は漏れません（記憶媒体を持たないため）。
  • やり方:
    • 「24インチモニター：在庫5台」という**「数」だけの管理**に留めます。
    • シリアルNo管理はしません。誰がどのモニターを使っているかも記録しません。「壊れたら交換する消耗品」として扱います。
    • これをするだけで、管理工数は激減します。

スマートフォン・タブレット

  • 管理レベル: 条件付き必須（Medium）
  • 理由: 紛失しやすいですが、リモートワイプ（遠隔消去）ができるMDMが入っていれば、実物は「ただの板」になります。
  • やり方:
    • MDM上の登録情報を「正」とします。わざわざExcelに転記する時間を捨てます。
    • 「MDMを見れば全部わかる」状態を作り、MDM未登録の端末を撲滅することだけに集中します。

ソフトウェア・ライセンス

  • 管理レベル: 有償のみ管理（Medium）
  • 理由: 著作権法違反（違法コピー）のリスクがあるため。
  • やり方:
    • Microsoft 365やAdobeなど、サブスクリプション型のものは管理コンソールで数が分かります。
    • パッケージ版（買い切り）の古いソフトだけ台帳管理します。
    • フリーソフトの数まで数えないでください。 脆弱性管理としては必要ですが、資産管理としてはノイズです。

3. 監査・経営への「言い訳」ロジック

「モニターの管理をしていないのか？」と監査で突っ込まれた時、どう答えるか。 ここでも「手が回っていなくて」ではなく、**「リスクベースアプローチ」**で説明します。

説明ロジック例

「当社のIT資産管理ポリシーは、『情報漏洩リスク』と『コンプライアンスリスク』の低減にフォーカスしています。 記憶媒体を持たない外部モニターやケーブル類については、紛失時の情報セキュリティリスクが極めて低いため、費用対効果（管理コスト vs 紛失コスト）の観点から個体管理の対象外としています。 そのリソースを、PCやサーバーといった高リスク資産の管理に集中させています」

このロジックであれば、合理的な経営判断として受け入れられます。 「完璧ではありませんが、重要なところは完璧です」と言うのです。

4. いつ「管理レベル」を上げるべきか

「今はやらない」と決めたことも、将来はやる必要が出てくるかもしれません。その「トリガー」を決めておきます。

  1. ISMS（ISO27001）認証を取得する時:
    • 情報資産の洗い出しが必須要件になります。このタイミングで、管理対象を広げる（または管理ツールを導入する）予算を会社に要求します。
  2. 上場準備（IPO）:
    • 固定資産管理の厳格化が求められます。経理部門と連携し、10万円以上の備品には管理シールを貼るオペレーションを開始します。
  3. PC台数が300台を超えた時:
    • Excel管理の物理的限界点です。専用のIT資産管理ツール（Lanscope, SkySea, AssetViewなど）の導入を検討します。

結論：台帳の「白紙」を恐れない

一人情シスが一番恐れるべきは、**「台帳上は完璧だが、実態はボロボロ」**という状態です。 これは、いざインシデントが起きた時に「あるはずのPCがない」「消したはずのアカウントが残っている」という最悪の事態を招きます。

それよりは、**「この範囲しか管理していません（残りは白紙です）」**と宣言し、その範囲だけは実態と100%合致している状態を維持する方が、はるかに健全で、プロフェッショナルな仕事です。

「捨てる勇気」を持ってください。 モニターのシリアル番号をExcelに入力しているその時間は、もっと重要な「会社のセキュリティを守る」業務のために使われるべきなのですから。

AIに相談するためのプロンプト（テンプレート）

完璧主義の呪縛から逃れ、監査に耐えうる「管理ポリシー」を策定するためのプロンプトです。

あなたはIT資産管理（ITAM）とリスクコンサルティングの専門家です。
私の会社（社員数[例: 150名]）では、今までExcelで全ての備品を管理しようとして挫折しました。
記事にある「リスクベースアプローチ」に基づき、管理対象の「断捨離（濃淡付け）」を行いたいと思います。
以下の資産リストに対し、推奨される管理レベル（個体管理・数量管理・管理不要）を判定し、その理由となるポリシー案を作成してください。

# 管理対象候補
1.  ノートPC（Windows/Mac）
2.  外付けモニター（50台以上）
3.  スマートフォン（社用携帯）
4.  キーボード・マウス
5.  サーバー用UPS
6.  LANケーブル・変換アダプタ類

# 相談したいこと
1.  **管理レベルの仕分け**: 上記各アイテムを「厳格管理（シリアル追跡）」「数量管理（在庫数のみ）」「管理外（消耗品）」に分類してください。
2.  **ポリシー文書案**: 監査人に対し、「なぜモニターのシリアルを管理していないのか」と問われた際に提示する、「資産管理規定」の条文（リスク評価のロジック）を作成してください。
ホームに戻る