LASSIC Media らしくメディア
情シスがいない会社のIT担当の決め方｜社員と外部人材の選び方
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 情シスがいない会社では、まずITの仕事を書き出し、経営者が持ち主を1人任命します。
- 最初の1人は、兼務の任命、中途採用、副業などの外部人材、委託サービスの特徴を比べて選びます。
- 外部に頼んでも、何を任せるかの判断と窓口は社内に残します。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
パソコンが動かなくなっても、誰に聞けばよいか分からない。新しく入った人のメールアドレスを、誰が作るのかも決まっていない——。社員が数名から数十名の会社では、こうした場面が起こりがちです。情シスがいない会社とは、社内のITを専任で見る担当者（情報システム担当）を置かず、パソコンやアカウント、ネットワークの面倒を、誰かが手の空いたときに見ている会社を指します。
最初の1人は、社員を任命するか、外部の人材に頼むかの大きく2通りで置けます。ただし万能な答えはなく、会社の人数や任せたい仕事の量で変わります。本記事では、中小企業の経営者や総務・人事の担当者に向けて、情シスがいない会社で起きること、持ち主の決め方、社員と外部人材の比べ方、進め方、外部に委託するときの確認点を整理します。
目次
情シスがいない会社で起きること
情シスがいない会社でも、ITの仕事はなくならず、持ち主が決まらないまま残ります。IPAが2024年度に中小企業4,191件へ行った調査では、情報セキュリティ対策の体制を「組織的には行っていない（各自の対応）」とした企業が69.7%でした。専門部署（担当者）がある企業は9.3%、兼務でも担当者を任命している企業は21.0%です。*1 セキュリティ対策に限った数字ですが、担当が決まっていない会社が多いことは読み取れます。
持ち主のいない仕事は、IPAのガイドブックが最初の段階で挙げる次の5つです。
| 仕事 | 資料に書かれた内容 |
|---|---|
| パソコンとソフトの更新 | OSやソフトウェアを最新にし、ウイルス対策ソフトを導入する。 |
| パスワードと権限 | パスワードを強くする。ウェブサービスやネットワークの権限設定を見直す。 |
| バックアップ | バックアップを取り、データや設定を戻せる状態にする。 |
| 機器とソフトの把握 | 何の機器やソフトウェアが、どこで、誰によって使われているかを把握する。購入・廃棄・更新の履歴と、ライセンスや契約の期限も管理する。 |
| 相談の窓口 | 従業員への周知と、社内の相談・報告の窓口として対応する。 |
担当者が辞めて情シスがいない会社になる場合も、持ち主を決める手順は同じです。後任の探し方や引き継ぎは、この記事では扱いません。
同じガイドブックは、責任者を確保しなかった結果、ランサムウェア（身代金を要求するウイルス）の被害が広がり、被害額が計1億2,400万円になった事例を載せています。*2
ITの仕事を誰が持つか
持ち主を決めるのは経営者の役目です。IPAの中小企業向けガイドラインは、経営者が担当者を任命して指示をする必要があり、任せきりにしてはいけないとしています。*3
持ち主は、IT全般に詳しい専門家でなくても構いません。IPAのガイドブックは、社内に担当者を兼務でも1人は確保するよう勧め、知見がある従業員がいなくても、少しでも関連業務の経験がある人に兼務させるとしています。*2 候補の探し方は次の3つです。
- 関連業務の経験がある人を任命する：パソコンの導入担当、現場の監督者、災害対策などの部署にいる人から探す
- 希望者を社内公募する：やってみたいという人に兼務してもらう
- パソコンをよく使う仕事の人から探す：業務でパソコンをどう使っているかを従業員に聞いて探す
従業員30名の建設業の例では、パソコンの使い方を聞き取り、Webサイトの作成を担当する人に兼務で任命しました。この人が社内とITベンダーの窓口になり、分からないことはITベンダーに聞いて、OSの最新化、ウイルス対策、バックアップを始められたと紹介されています。*2
兼務でよいのかと心配になるかもしれません。経済産業省とIPAの手引きは、専任である必要はないとしています。ただし兼務でも、問題が起きたときは司令塔の役割に専念できるようにすることを求めています。*4
最初の1人は社員か外部か
兼務の任命だけで回らないときは、どこから人を迎えるかを考えます。経済産業省とIPAの手引きは、セキュリティを主たる業務とする人材の確保方法を並べています。パソコンやアカウントの担当にも当てはめやすい考え方なので、委託サービスを加えた4つで比べます。*4
| 置き方 | 資料に書かれた特徴 | 気をつける点 |
|---|---|---|
| 社内の人を任命する | ITの管理・運用の経験がある人が知識を身につけて担う方法では、技術の考え方を理解しやすく、システムトラブルの対応経験も活かせる。 | 担当できるようになるまでに、十分な習熟期間が必要とされている。 |
| 中途採用する | 条件に見合う人が確保できれば、もっとも短期間で戦力にできると見込まれる。 | 需要が供給を上回る状況が続き、社内の処遇体系を相当に上回る待遇が必要になる可能性がある。 |
| 副業・兼業の外部人材に頼む | 常勤で雇う余裕がない場合は、特定の曜日だけの非常勤勤務が有効とされている。 | 作業を頼める時間に制約が生まれる。機密の面で、頼みにくい業務もある。 |
| 委託サービスを使う | IT資産管理は、代行サービスなどの外部委託も選択肢とされている。 | 丸投げではない役割分担と、品質が担保されたサービスの選定が重要とされている。 |
4つは組み合わせてもかまいません。迷ったときは、仕事の量で考えます。
- 窓口と日々の確認が中心で量が少ないなら、社内の人の兼務で始める
- 専門の作業は要るが常勤ほどの量ではないなら、決まった曜日だけ来てもらう外部人材を考える
- 毎日ITの仕事が発生し、兼務では本業が止まるなら、専任として採用することを考える
この3つは本記事の整理です。ガイドブックは、兼務で1人、兼務の複数名、専任という順に担当者を増やす流れを示しています。*2
最初の1人を決める進め方
進め方は、次の4つの段階に分けられます。
最初は仕事の書き出しです。ガイドラインは、機器やソフトウェアの一覧表や管理台帳を作ることから始め、定期的な見直しを習慣にするよう勧めています。*3 一覧があれば、持ち主に頼む仕事の範囲を決められます。
次に窓口の1人を任命し、足りない分は外部に相談します。ガイドブックは、付き合いのあるITベンダー、商工会・商工会議所などの支援機関、IPAの相談窓口を相談先に挙げています。*2 何を聞くか迷うときは、「データの漏えいが心配」のような身近な心配からで構いません。
最後に、仕事の量が変わったときに見直します。手引きは、自社でやるか外部に頼むかの判断を、実務担当者の手の空き具合ではなく、より上の階層で決めるのが適切だとしています。*4
外部に委託するときに確認しておきたい点
外部に頼んでも、社内に残る仕事があります。手引きは、経営の判断に直結する分野は、少なくとも意思決定や管理を自社の要員で行うのが望ましいとし、外部委託を活用しても、自社のリスクを把握して対策を進める人を自社に置く必要があるとしています。*4 頼む前に、次の5点を確かめます。
- 任せる仕事と社内に残す仕事を分けているか：どこまで頼み、どこから自社で決めるかを書き出す
- 社内の窓口が決まっているか：連絡を受け、できあがりを確かめる人を1人置く
- 来てもらえる曜日と時間、連絡の手段が合っているか：非常勤では作業を頼める時間に制約が生まれる
- 見せてよい情報とアカウントの範囲を決めているか：機密の面で頼みにくい業務がある
- 仕事が増えたときに見直す時期を決めているか：量が増えたら担当の増員や専任化を考える
契約の形は専門家にも確かめてください。権限の渡し方は業務委託エンジニアの受け入れ時の権限管理、部門がある会社の見直しは情シス部門の役割再定義、作業ごとの外注は情シス代行の進め方で扱っています。
まとめ：情シスがいない会社で確かめておきたい3つの点
情シスがいない会社でITの担当を決めるうえで、確かめておきたい点は3つに整理できます。第一に、ITの仕事を書き出し、経営者が持ち主を1人任命すること。第二に、兼務の任命、中途採用、副業などの外部人材、委託サービスを、仕事の量に合わせて比べること。第三に、外部に頼んでも、判断と窓口は社内に残すことです。この3点を踏まえておけば、「パソコンが止まって初めて、持ち主がいないと気づいた」という事態を避けやすくなります。最初の1人を誰にするか迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
ITの知識がない人を担当に任命しても大丈夫ですか
任命の時点で、専門知識は求められていません。足りない知識は学んで補います。ガイドブックは、従業員10名の金属加工業で、担当者と社長が資格を取ったあと、ITベンダーの提案を理解したうえで採用できるようになった例を紹介しています。*2
従業員が5名以下でも、担当者を決める必要がありますか
ガイドブックは、全ての中小企業が実施すべき基本的な対策の段階で、担当者を兼務でも1人は確保するよう勧めています。従業員10名の金属加工業の例では、総務と兼務の担当者が窓口になっています。*2
最初の1人を決めたあと、見直しはいつ行えばよいですか
資料は見直しの間隔を示していません。ガイドラインは、一覧表や管理台帳の定期的な見直しを習慣にするよう勧めています。*3
最初の1人の置き方を相談
任せたい仕事と、社内で窓口になる人が決まっていれば、そのままご相談いただけます。社員で探すか外部の人材に頼むか迷っている段階でも構いません。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」（2025年5月）（PDF）（https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf）。出典：独立行政法人情報処理推進機構（IPA）。Webアンケート、有効回答4,191件。従業員規模（図3-5）、情報セキュリティ対策の体制（図3-28）、企業規模別の組織体制を参照（確認日2026年10月16日）（2026年10月確認）
- *2 参考：IPA「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」（2026年3月）（PDF）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_1.pdf）。出典：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン第4.0版」付録1。STEP1〜4の全体像、経営者向けの事例、STEP1（できるところから始める）と事例（従業員30名の建設業・従業員10名の金属加工業・従業員100名の卸売業）を参照（確認日2026年10月16日）（2026年10月確認）
- *3 参考：IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」本編（2026年3月）（PDF）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf）。出典：独立行政法人情報処理推進機構（IPA）。第1部の担当者の任命と指示、IT資産管理の解説（一覧表や管理台帳の作成、外部委託を含む選択肢）を参照（確認日2026年10月16日）（2026年10月確認）
- *4 参考：経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver2.0 付録F サイバーセキュリティ体制構築・人材確保の手引き（第2版）」（PDF）（https://www.meti.go.jp/policy/netsecurity/tebikihontai2.pdf）。出典：経済産業省 商務情報政策局 サイバーセキュリティ課、IPA。3.1【STEP4】の図表21（セキュリティを主たる業務とする人材を確保するための方法例）、自社実施と外部委託の切り分け（図表16）、専任である必要はないとの記載を参照（確認日2026年10月16日）（2026年10月確認）
