情報資産の洗い出しとは？中小企業が最初に整理すべきポイントを解説

セキュリティ対策は「何を守るか」から始まる

セキュリティ対策を考えるとき、
最初にやるべきことは、ツールを入れることではありません。

まず大切なのは、
自社にとって守るべき情報やシステムを整理することです。

たとえば、

・顧客情報
・取引先情報
・契約書
・請求書
・見積書
・業務で使うクラウドサービス
・社内の共有フォルダ

などです。

これらは会社にとって重要な情報や仕組みであり、
失われたり、漏えいしたり、使えなくなったりすると、
業務に影響が出る可能性があります。

このような守るべき情報やシステムを整理することを、
情報資産の洗い出しといいます。

情報資産とは何か

情報資産とは、
会社が業務で利用している重要な情報や、
その情報を扱うための仕組みのことです。

「資産」と聞くと、
お金や設備のようなものをイメージするかもしれません。

しかし、会社にとっては情報も重要な資産です。

たとえば、顧客情報が使えなくなれば、
問い合わせ対応や請求業務に影響が出るかもしれません。

契約書や見積書が漏えいすれば、
取引先との信頼に関わる可能性があります。

業務で使うクラウドサービスにログインできなくなれば、
日々の作業が止まることもあります。

このように、情報資産は、
会社の業務を支える重要なものとして考える必要があります。

なぜ情報資産の洗い出しが必要なのか

情報資産の洗い出しが必要なのは、
何を守るべきかが分からないと、
必要な対策を判断できないためです。

たとえば、

・どのデータをバックアップすべきか
・どのアカウントに多要素認証を設定すべきか
・どのフォルダの権限を見直すべきか
・どの委託先を優先して確認すべきか
・事故時にどの情報を優先して確認すべきか

といった判断は、
守るべき情報が整理されていないと難しくなります。

セキュリティ対策は、
すべてを同じように守ることが目的ではありません。

重要なものから優先して守ることが大切です。

そのための最初の作業が、
情報資産の洗い出しです。

中小企業で見落とされやすい理由

中小企業では、
情報資産の整理が後回しになることがあります。

理由としては、

・日々の業務が忙しい
・どこから整理すればよいか分からない
・担当者が明確に決まっていない
・昔からの運用で管理している
・クラウドサービスが増えて把握しきれていない

といったことが挙げられます。

また、少人数で業務を回している会社では、
「だいたい分かっている」と考えていることもあります。

しかし実際には、
誰がどの情報を持っているのか、
どのクラウドサービスを使っているのか、
どこに重要なデータが保存されているのかが、
曖昧になっていることがあります。

普段は問題にならなくても、
退職、事故、取引先からの確認、システム変更などのタイミングで、
管理の曖昧さが表面化することがあります。

まず洗い出したい情報

最初から細かく分類する必要はありません。

まずは、業務で使っている重要な情報を大まかに整理することから始めます。

たとえば、

・顧客情報
・取引先情報
・従業員情報
・契約書
・請求書
・見積書
・設計資料
・業務マニュアル
・会計データ
・問い合わせ履歴

などです。

ここで重要なのは、
「漏えいしたら困るか」
「なくなったら困るか」
「使えなくなったら業務が止まるか」
という視点です。

この視点で見ると、
守るべき情報が見えやすくなります。

情報がどこにあるかを確認する

情報の種類を整理したら、
次に確認したいのは保存場所です。

同じ顧客情報でも、
保存されている場所は会社によって異なります。

たとえば、

・パソコン内
・社内サーバー
・クラウドストレージ
・メール
・チャットツール
・会計ソフト
・顧客管理システム
・外部委託先の環境

などです。

情報がどこにあるか分からないと、
バックアップ、アクセス権限、事故時の確認が難しくなります。

特にクラウドサービスを複数使っている場合、
重要な情報がいろいろな場所に分散していることがあります。

まずは、
重要な情報がどこに保存されているかを把握することが大切です。

誰がアクセスできるかを確認する

情報資産を洗い出すときは、
誰がアクセスできるかも確認します。

たとえば、

・社内の全員が見られるのか
・特定の担当者だけが見られるのか
・管理者権限を持つ人は誰か
・外部委託先もアクセスできるのか
・退職者や異動者の権限が残っていないか

といった点です。

重要な情報に必要以上の人がアクセスできる状態だと、
誤操作や情報漏えいの影響が大きくなる可能性があります。

アクセス権限は、
「必要な人が、必要な範囲だけ使える状態」
を目指すことが重要です。

すべてを厳しく制限する必要はありませんが、
影響が大きい情報から優先して確認することが現実的です。

重要度を分けて考える

情報資産を洗い出したら、
次に重要度を分けて考えます。

すべての情報を同じように管理しようとすると、
負担が大きくなり、運用が続きにくくなります。

そのため、

・漏えいすると影響が大きい情報
・失うと業務が止まる情報
・取引先や顧客に影響する情報
・法律や契約上、管理が求められる情報

を優先して整理します。

たとえば、
顧客情報や契約書、請求情報、業務に不可欠なデータは、
優先度が高い情報として考えやすいです。

一方で、公開済みの資料や影響が小さい情報は、
最初から細かく管理しすぎなくてもよい場合があります。

重要なのは、
影響が大きいものから順番に整理することです。

洗い出しは一度で完璧にしなくてよい

情報資産の洗い出しというと、
すべてを正確に一覧化しなければならないと感じるかもしれません。

しかし、最初から完璧に行う必要はありません。

まずは、

・重要そうな情報
・よく使っているシステム
・取引先から確認されやすい情報
・業務が止まると困るデータ

から整理するだけでも十分です。

洗い出しは、一度で完成させるものではありません。

業務の変化やクラウドサービスの追加、
社員の入退社に合わせて、少しずつ見直していくものです。

最初は簡単な一覧でもよいので、
現状を見える形にすることが大切です。

まず押さえたいポイント

最初は、次の3つを整理するだけでも十分です。

①どのような重要情報を扱っているか
②その情報がどこに保存されているか
③誰がアクセスできる状態か

この3つが整理できると、
自社の情報資産の全体像が見えやすくなります。

そのうえで、
バックアップ、権限管理、ログ管理、委託先管理などの対策を考えると、
優先順位を決めやすくなります。

セキュリティ対策は、
何となく始めるよりも、
守るべきものを整理してから進める方が現実的です。

まとめ

情報資産の洗い出しは、
セキュリティ対策の最初に行いたい重要な整理です。

何を守るべきかが分からないと、
どの対策を優先すべきか判断しづらくなります。

まずは、
自社で扱っている重要な情報、保存場所、アクセスできる人を整理することから始めるのが現実的です。

すべてを一度に完璧に整理する必要はありません。

影響が大きい情報から順番に確認し、
必要な対策につなげていくことが重要です。

情報資産を整理することで、
バックアップ、権限管理、委託先管理、取引先対応など、
他のセキュリティ対策も進めやすくなります。

無料相談のご案内

自社で何を守るべきか分からない、
どこからセキュリティ対策を始めればよいか迷っている場合は、
無料相談で現状を整理しながら進め方をご案内しています。

Shelltasでは、
専門的な内容も分かりやすく整理し、
中小企業でも無理なく進められる方法をご提案しています。

まずは現状整理からでも構いませんので、
お気軽にご相談ください。