情報資産管理台帳とは

情報資産管理台帳は、組織が扱う情報について、何を、どこに保管し、誰が管理し、どれほど重要で、どう保護するかを整理する台帳です。

顧客情報や契約書の一覧を作るだけでなく、漏えい・改ざん・消失・利用停止による影響を評価し、必要なセキュリティ対策を決めるために使います。システムを作る人にとっては、アクセス制御、バックアップ、ログ、保存・削除などの要件を考える土台になります。

本記事は、IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」の付録6と添付のExcelを基に、実務上の補足を加えて整理しています。項目や評価方法は、組織の業務に合わせて調整してください。

情報資産とは

情報資産とは、組織にとって価値があり、管理・保護すべき情報や、それを支える資源です。電子データだけでなく、紙の書類や技術ノウハウも対象になります。

広い意味では機器やシステムも含みますが、台帳を設計するときは「守る情報」と「情報を扱うIT資産」を区別すると整理しやすくなります。本記事では、情報資産管理台帳は主に情報そのもの、IT資産台帳は主に機器・ソフトウェア・サービスを記録するものとして説明します。

情報の種類	具体例	主な保護の観点
顧客・取引先情報	顧客名簿、連絡先、本人確認書類	漏えい防止、利用範囲の限定
人事情報	社員名簿、給与情報、健康診断結果	閲覧権限の限定、適切な保存・廃棄
契約・会計情報	契約書、請求書、会計データ	改ざん防止、保存、証跡
業務・取引情報	注文、約定、残高、決済データ	正確性、継続利用、復旧
技術情報	ソースコード、設計書、研究データ	秘密管理、変更管理、バックアップ
公開情報	Webサイト、製品カタログ	正確性、改ざん防止、公開継続
運用・認証情報	監査ログ、構成情報、鍵・認証情報	アクセス制御、証跡保全、安全な保管

公開情報でも、改ざんされたり利用できなくなったりすると被害が生じます。 機密情報かどうかだけで管理対象を決めないことが大切です。

情報資産管理はなぜ必要か

守る情報とその所在が分からなければ、必要な対策や事故の影響範囲を判断できません。情報は、業務システムだけでなく、PC、メール、クラウド、紙、バックアップ、委託先にも存在します。

目的	台帳によって判断できること
保護対象の把握	重要な情報がどこにあり、複製や社外保管があるか
責任の明確化	利用・共有・削除・リスク受容を誰が判断するか
対策の優先順位付け	限られた予算・人員で、どのリスクから対応するか
法令・契約への対応	適用される取扱条件や保存義務を、どの情報に反映するか
事故対応	漏えい・障害の影響を受ける情報、関係部署、連絡先は何か
廃棄・移行の管理	契約終了やシステム廃止時に、何を移管・削除するか

台帳に記載しただけで安全になるわけではありません。記載内容を対策、点検、変更管理につなげることが必要です。

情報資産管理台帳とIT資産台帳と資産管理台帳との違い

名称の使い方は組織によって異なり、必ずしも統一されていません。台帳名よりも、管理対象と目的を明確にしてください。

台帳	主な管理対象	主な目的	記載例
情報資産管理台帳	データ、書類、業務上の情報	情報の保護、重要度評価、リスク分析	顧客情報、管理部署、保存先、機密性・完全性・可用性
IT資産台帳	機器、ソフトウェア、クラウド、通信・接続資産	利用状況、構成、契約、ライフサイクル、セキュリティの管理	PC、OS、ライセンス、クラウド契約、保守期限
資産管理台帳	組織が定める資産全般	管理目的に応じた把握・統制	IT資産の総称として使う場合も、設備等の管理に使う場合もある
固定資産台帳	会計上の固定資産	取得価額、減価償却、除却等の会計管理	取得日、取得価額、耐用年数、帳簿価額

IPAの付録6は「資産管理台帳」という名称ですが、情報資産管理台帳に加え、ネットワーク機器・ソフトウェア・ハードウェアの台帳やリスク値算定シートを含む、セキュリティ管理用の資料です。

IT資産台帳の対象

分類	対象例	記録するとよい情報
ハードウェア資産	PC、サーバー、スマートフォン、ストレージ	管理番号、製造番号、利用者、設置場所、保守・サポート期限
ソフトウェア・ライセンス	OS、ミドルウェア、業務アプリ、サブスクリプション	バージョン、導入先、契約数、使用数、更新期限、サポート期限
クラウドサービス	SaaS、IaaS、PaaS	テナント・アカウント、管理者、契約、利用目的、リージョン、終了時のデータ取扱い
通信・接続資産	ルーター、ファイアウォール、回線、VPN、ドメイン、DNS	構成、接続先、公開範囲、契約、管理者、更新期限

クラウドは、契約・テナント単位で管理するものと、個々の技術リソースを構成管理するものを分けると運用しやすくなります。自動で増減するリソースをすべて手作業で転記する必要はありません。

情報とIT資産を関連付ける

たとえば「顧客情報」は情報資産、「顧客管理SaaS」はIT資産です。両者をIDで関連付けると、サービスの障害や契約終了時に影響する情報が分かります。

情報資産ID	情報資産	関連するIT資産ID	保存先・用途
INFO-001	顧客情報	IT-010	顧客管理SaaSの本番データ
INFO-001	顧客情報	IT-020	バックアップ用ストレージ
INFO-002	契約書	IT-010	同じSaaSに保存する契約書データ

一つの情報資産が複数のIT資産に保存される場合も、一つのIT資産が複数の情報資産を扱う場合もあります。媒体や権限・重要度・リスクが異なる保存形態は、別行または関連する明細として管理します。

情報資産管理台帳に記載する項目

IPAの添付サンプルの基本項目

項目	記載内容・例
業務分類	人事、経理、営業、システム運用など
情報資産名称	社員名簿、顧客情報、受注契約書など
備考	含まれる情報や対象範囲を補足する
利用者範囲	利用を許可する部署・役割
管理部署	管理責任を持つ部署
管理者名	情報セキュリティ上の管理責任者
管理者連絡先	問い合わせ・事故対応に使う連絡先
媒体・保存先	紙、PC、サーバー、可搬媒体、社外サーバー等
機密性・完全性・可用性	それぞれの評価値（1～3）
重要度	上記3評価値の最大値。添付サンプルでは自動算定
保存期限	保存が必要な期間、廃棄・消去する期限
登録日	登録日。添付サンプルの説明では更新時に更新日へ修正

保存期限は、サンプルの記入例をそのまま採用せず、対象の文書・データに適用される法令、契約、業務上の必要性を確認して決めます。期間だけでなく「契約終了から」などの起算点も記載します。

実務で追加するとよい項目

以下は本記事で提案する補足項目です。IPAの情報資産管理台帳シートに、すべてが専用列として存在するわけではありません。

項目	目的・記載例
情報資産ID・関連IT資産ID	台帳間の関連付け、名称変更時の追跡
情報の分類	公開、社内限定、機密等。分類ごとの取扱ルールを定める
個人情報等の種類	個人情報、要配慮個人情報、マイナンバー、営業秘密等の該当性
利用目的・提供先	何に使い、誰に共有・委託するか
保存先の詳細	システム名、フォルダー、テナント、アカウント、リージョン等
アクセス・共有条件	許可するロール、社外共有可否、権限見直し方法
現行対策・確認証拠	暗号化、MFA、バックアップ、ログ、設定確認結果等
復旧要件	許容停止時間、許容データ損失、復元試験の結果
保存・削除ルール	保存根拠、起算点、削除方法、バックアップの扱い
リスク評価への参照	リスクID、評価根拠、対策計画へのリンク
更新・点検情報	作成日、最終更新日、最終確認日、次回確認予定

台帳にはパスワード、秘密鍵、APIキーの値を記載しません。保管先の識別子と管理責任者を記録し、秘密情報は専用の管理基盤で保護します。

一行にまとめる単位

ファイルを一つずつ登録するよりも、業務、管理方法、重要度が共通する情報のまとまりで登録すると継続しやすくなります。

ただし、同じ契約書でも、紙の原本とクラウド上のPDFでは紛失・アクセス・復旧の条件が異なります。添付サンプルでも、紙と電子データで保存する場合は別行にするよう説明されています。バックアップ、テスト環境、委託先のコピーも確認対象に含めます。

情報資産管理台帳を用いたリスク分析の実施方法

リスク分析では、情報の重要度に加え、どのような事故が起こり得るか、現行対策でどこまで防げるかを評価します。以下では、添付のIPAサンプルの簡易評価と、対策を実行するための補足を説明します。

1. 業務から情報資産を洗い出す

部署や業務ごとに、情報の取得・作成、利用、共有、保存、廃棄をたどります。担当者への聞き取りと、システム・契約・保管場所の確認を組み合わせます。

初回は顧客情報や業務停止の影響が大きい情報から着手し、対象範囲と未確認事項を記録して広げます。機器の自動検出だけでは、紙の書類や情報の意味・重要度までは把握できません。

2. 機密性・完全性・可用性を評価する

観点	確認すること	対策につながる例
機密性（C）	許可されていない人に知られると、どんな被害が出るか	閲覧権限、暗号化、共有制限
完全性（I）	改ざん、誤更新、欠落によって、どんな被害が出るか	承認、変更履歴、照合、改ざん検知
可用性（A）	必要なときに利用できないと、どんな被害が出るか	冗長化、バックアップ、復旧手順

添付サンプルでは各観点を1～3で評価し、最大値を重要度にします。

重要度 = MAX（機密性、完全性、可用性）

評価基準は「重要度定義」シートにあります。一般的な影響の大小だけでなく、機密性・完全性では安全管理が法令上求められる情報なども高い評価の判断対象です。組織内で基準を統一し、評価理由を残してください。

3. 脅威と脆弱性を確認する

脅威は被害を起こす要因や出来事、脆弱性は被害につながる弱点です。脆弱性には、ソフトウェアの欠陥だけでなく、共有設定や運用手順の不備も含まれます。

情報資産・保存形態	脅威の例	脆弱性の例
クラウド上の顧客情報	不正アクセス、誤公開	過剰な権限、公開リンク、認証対策の不足
PC上の業務データ	ランサムウェア、端末紛失	更新不足、暗号化不足、復旧可能なバックアップの不足
紙の契約書	持ち出し、紛失、火災	施錠・持出管理・代替保管の不足
取引データ	誤更新、改ざん、障害	承認・照合・変更履歴・復旧手順の不足

「バックアップあり」などの自己申告だけでなく、対象、保存先、復元試験などの証拠を確認します。

4. IPAサンプルの方法でリスク値を算定する

添付サンプルでは、脅威の発生頻度と脆弱性をそれぞれ1～3で入力します。脅威の発生頻度は、対策を講じない場合を想定する評価です。

評価値	脅威の発生頻度の考え方	脆弱性の考え方
1	通常は発生せず、可能性が極めて低い	必要な対策を十分に実施している
2	特定の状況で発生する可能性がある	対策が部分的、または不十分
3	日常の業務で発生し得る	対策が未実施、または実施状況が不明

添付Excelの数式では、被害発生可能性を次のように算定します。これは確率の百分率ではなく、優先順位付けのための段階評価です。

被害発生可能性 = 切り上げ［脅威の発生頻度 ÷（4 − 脆弱性）］

脅威の発生頻度	脆弱性1	脆弱性2	脆弱性3
1	1	1	1
2	1	1	2
3	1	2	3

リスク値 = 重要度 × 被害発生可能性

リスク値	添付サンプルの区分
6・9	リスク大
4	リスク中
1・2・3	リスク小

1～3同士を掛けるため、5・7・8は生じません。「重要度 × 脅威 × 脆弱性」という単純な3要素の積とは異なる計算です。

添付ファイルの「リスク値算定」シートでは、資産情報の入力欄と評価欄を確認し、台帳と同じ対象情報を入力・転記したうえで評価します。資産情報がすべて自動連携する前提で使わず、行の対応と計算式の範囲を確認してください。「台帳記入例」シートへの記入だけでは分析できません。

5. 対策を決め、残留リスクを確認する

以下は説明用の仮想例です。実際の評価値は、自組織の条件と証拠に基づいて判断します。

項目	対策前	対策実施・確認後
対象	クラウドに保存する顧客情報	同左
C・I・A／重要度	3・3・2／3	3・3・2／3
脅威の発生頻度	3	3
脆弱性	3：共有・認証・権限の対策が不足	1：評価対象に必要な対策を実施・検証
被害発生可能性	3	1
リスク値	9：大	3：小

対策例は、共有範囲の制限、権限の整理、MFA、アクセスログの確認です。対策したから情報そのものの重要度が下がるわけではありません。また、点数が小さくなっても、被害が起きないという保証にはなりません。

リスク値は対応順を検討する目安です。重大な業務影響、法令・契約上の要求、評価の不確実性も考慮して判断します。必要な対策を点数だけで省略しないでください。

対策計画には、リスクID、対応内容、担当者、期限、完了証拠、再評価結果、残留リスクの承認者を記録します。対応には、活動をやめる「回避」、対策で下げる「低減」、保険や契約等を用いる「移転・共有」、責任者が判断する「受容」があります。外部に委託しても、自組織の責任やリスクがすべて消えるわけではありません。

台帳を継続的に運用する

実務上の運用例として、新システム・新サービスの導入、保存先や権限の変更、委託先の変更、廃止・削除時に台帳を更新します。加えて、半年または年1回など、リスクに応じた定期点検を設定します。この頻度は本記事の提案であり、一律のIPA指定ではありません。

業務部門は情報の内容・重要度・利用目的を確認し、IT部門は保存先・構成・技術対策を確認します。セキュリティ担当は評価基準と対策状況を点検し、権限を持つ責任者が残留リスクを判断します。小規模組織では兼務でも構いませんが、責任を明記します。

台帳自体も保存先や管理者などの機微な情報を含みます。閲覧・編集権限を限定し、変更履歴とバックアップを管理してください。自動収集できるIT資産情報と、業務担当者が判断する情報の重要度を組み合わせることで、更新負担を抑えられます。

参考資料

本記事のIPA項目・計算方法は、独立行政法人情報処理推進機構（IPA）の付録6と、提供されたExcelを基に説明しています。追加項目、具体例、運用案は本記事の補足です。