LASSIC Media らしくメディア
情シスの立ち上げでやること｜最初の1か月と3か月の12項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 情シスの立ち上げは、最初の1か月で機器・アカウント・委託先の一覧を作ることから始めます。
- 3か月目までに、自社診断・基本方針・IDの手続・事故の連絡手順などを決めて社内に伝えます。
- 判断と承認は社内に残し、棚卸しや更新のように量の多い作業は外部に頼めます。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
情シスを置くことになったが、何から手を付ければよいか分からない。前任者がいないので、PCやアカウントがどこにどれだけあるのかも見えない——。初めて情報システムの担当を置いた会社では、こうした戸惑いが起こりがちです。情シスの立ち上げとは、社内のIT機器・アカウント・委託先を把握し、守り方と担当を決めて、日々の運用を回せる状態にするまでの最初の取り組みを指します。
何をどの順で進めるかが決まっていれば、最初の数か月で土台を作れます。ただし万能の手順はなく、会社の規模や取引先からの求めによって、どこまで深く進めるかは変わります。本記事では、情シスを新しく置いた会社の担当者と経営者に向けて、最初の1か月と3か月目までにやること12項目、社内で持つことと外部に頼めること、そして外部に頼むときに確認したい点を整理します。
目次
情シスの立ち上げとは
IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、経営者が情報セキュリティ対策の担当者を任命し、指示をする必要があると述べています。*1 情シスの立ち上げは、この任命の直後から始まる仕事です。ガイドラインは取り組みを4つの段階に分けており、立ち上げの時期に何から手を付けるかを考える目安になります。*1
- STEP1 できるところから始める：「情報セキュリティ6か条」など、必要最低限の対策から始める
- STEP2 組織的な取り組みを開始する：自社診断で弱みを把握し、基本方針を作って周知する
- STEP3 本格的に取り組む：体制・規程・資産管理・取引先の管理などを整える
- STEP4 より強固にするための方策：リスク分析を行い、技術的な対策を強める
以下では、STEP1と、STEP2・STEP3の一部を最初の3か月に割り振ります。1か月・3か月の区切りは公的な基準ではなく、進める順番の目安です。
最初の1か月でやること
最初の1か月は、決めることよりも把握することに使います。次の6項目を、上から順に進めます。
| No | やること | 確かめる中身 |
|---|---|---|
| 1 | 役割と権限を決める | 情シスの担当範囲、自分で決めてよいこと、報告する相手を文書にする |
| 2 | 緊急時の連絡先リストを作る | 社内の責任者、保守会社、契約しているサービスの問い合わせ先 |
| 3 | IT資産の一覧を作る | 何の機器やソフトウェアが、どこで、誰に使われているか |
| 4 | アカウントの一覧を作る | 退職者のIDが残っていないか。共有IDや管理者IDを誰が持っているか |
| 5 | 委託先とクラウドサービスの一覧を作る | 何を頼んでいるか、契約の期限、問題が起きたときに誰に何を確かめるか |
| 6 | 6か条の対策状況を確かめる | OSの更新、ウイルス対策、パスワード、共有設定、バックアップ、攻撃の手口の周知 |
1と2は、IPAのガイドラインが体制の整備として挙げる、担当者の役割・責任を文書化し「平時及び有事に備えた連絡先リストを整備」することに当たります。*1 3は、ガイドラインの付録「資産管理台帳（サンプル）」の項目を借りると早く作れます。4と5は後で手続を作る材料なので、この時点では一覧に残すことを優先します。
6は、IPAが企業の規模に関わらず実行すべき基本の対策としてまとめた「情報セキュリティ6か条」です。*1 できていない項目が見つかったら、手続を決める前でも、OSの更新やバックアップの取得のようにすぐ手を打てるものから進めておきます。
3か月目までにやること
2か月目からは、1か月目に作った一覧をもとに、ルールと手続を決めて社内に伝えていきます。経営者の判断が要る項目が増えるため、報告の場を先に決めておきます。IPAも、対策の実施状況を「月次や四半期ごとなど適切な機会」に経営者へ報告させることを挙げています。*1
| No | やること | 確かめる中身 |
|---|---|---|
| 7 | 自社診断で現状を点数にする | 「5分でできる！情報セキュリティ自社診断」の25項目に答え、「わからない」の項目を拾う |
| 8 | 情報セキュリティ基本方針を作る | 管理体制、法令の順守、対策の実施、継続的な改善などを短い文書にして周知する |
| 9 | IDの発行から削除までの手続を決める | 入社・異動・退職のときに、誰が申請し、誰が作り、誰が消すか |
| 10 | バックアップの取り方と戻し方を決める | 対象・間隔・保管場所・世代の管理、正しく戻せるかの確認 |
| 11 | 事故のときの連絡と初動の手順を決める | 何を事故として扱うか、誰に報告するか、最初に何をするか |
| 12 | 委託先と情報の扱いを取り決める | 機密性の高い情報の扱い方、事故のときの連絡先、契約終了時のアクセス権の回収 |
7の自社診断は、25項目の設問に「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」マイナス1点で答える形式です。*1 点数そのものより、「わからない」と答えた項目が、担当者がまだ把握できていない場所を教えてくれます。8の基本方針には決まった書き方がなく、IPAのサンプルを土台に自社の事業に合わせて書けます。*1
9〜12は、1か月目の一覧を手続に変える作業です。退職者のIDが見つかったなら、9で「退職の日に誰が消すか」を決めます。IPAのガイドラインは、取引先との契約終了時に機密性の高い情報とアクセス権を回収または破棄し、チェックシートで記録を残すことも勧めています。*1
社内で持つことと外部に頼めること
立ち上げの12項目を、全部社内でこなす必要はありません。IPAの人材確保・育成のガイドブックは、最初の段階では兼務でもセキュリティ担当者を1人は確保し、社内だけで難しい対策は外部の専門家に相談するよう勧めています。*2 進んだ段階で外部委託を使うときも、必要性の判断と委託仕様の策定は自社で行うとしています。*2 判断は社内に残し、作業は外部にも頼める、という分け方です。
| 仕事 | 社内で持つこと | 外部に頼めること |
|---|---|---|
| 体制と方針 | 役割と権限の決定、基本方針の承認 | 方針や規程の案づくりの支援 |
| IT資産 | 何を管理するかの決定、台帳の最終確認 | 棚卸しの作業、台帳の作成、管理ツールの導入 |
| アカウント | 権限を与えてよいかの承認 | 発行と削除の作業、定期的な棚卸し |
| 日々の運用 | 優先順位の判断、社内への周知 | PCの準備、OSの更新、問い合わせの一次対応 |
| 事故への備え | 報告を受ける人と判断する人の決定 | 監視、手順書づくり、訓練の支援 |
| 委託先の管理 | 委託先の選定と評価、契約内容の確認 | 委託先の対策状況を確かめる方法の整理 |
IPAのガイドライン本編も、IT資産管理に手が回らない場合の選択肢として、管理ツールの導入と並べて「IT 資産管理代行サービスの利用」を挙げています。*1 量が多く手順が決まった作業ほど外部に頼みやすく、会社として責任を負う判断ほど社内に残すと考えると線を引けます。棚卸しの外注はIT資産の棚卸しを外注する進め方で扱っています。
外部に頼むときに確認しておきたい点
立ち上げの一部を外部に頼む場合、見積もりを取る前に次の点を決めておくと話が早く進みます。立ち上げ期の依頼は範囲があいまいになりやすいためです。
- 範囲：12項目のうちどれを頼み、どれを社内で持つか。判断と承認は誰がするか
- 期間と進め方：最初の3か月で終える作業と、その後も続ける作業（更新・問い合わせ対応・棚卸し）を分けて伝える
- 体制と窓口：社内の担当者と外部の担当者がそれぞれ誰か。報告の頻度と形
- 権限の扱い：外部の担当者に渡す管理者IDの範囲と、契約が終わるときの回収の方法
- 引き継ぎ：台帳・手順書・設定の記録を、どこに、誰が更新できる形で残すか
特に権限の扱いは決め忘れやすい点です。外部の担当者の管理者IDも、9の手続と12の取り決めの対象になります。ひとり情シスの体制で外部と分担する考え方はひとり情シスの課題を外注（情シス代行）で解決する進め方にまとめています。
まとめ：情シスの立ち上げで確かめておきたい3つの点
情シスの立ち上げを進めるうえで、確かめておきたい点は3つに整理できます。第一に、最初の1か月は直すより先に、機器・アカウント・委託先の一覧を作ること。第二に、3か月目までに一覧を手続と取り決めに変え、経営者への報告の場を決めること。第三に、判断と承認は社内に残し、量の多い作業は外部に頼めるよう範囲を決めることです。この3点を踏まえておけば、「担当は置いたが、3か月たっても何がどこにあるか分からない」という事態を避けやすくなります。立ち上げの進め方や分担に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
情シスの担当者は専任でないといけませんか
最初から専任である必要はありません。IPAのガイドブックは、最初の段階では兼務でもセキュリティ担当者を1人は確保することを勧め、本格的な対策の段階で専任の担当者を確保・育成するとしています。*2 兼務の場合は、情シスの仕事に使える時間を経営者と先に決めておくと、立ち上げが止まりにくくなります。
3か月で12項目が終わらないときはどうすればよいですか
1か月目の一覧づくりを先に終わらせることを優先します。一覧が無いまま手続を決めると、対象の抜けた手続になりやすいためです。終わらなかった項目は経営者への報告で残りとして示し、外部に頼むか時期をずらすかを決めます。
立ち上げが終わったあとは何を続けますか
一覧の更新、IDの棚卸し、自社診断の定期的な見直しが中心になります。IPAは、自社診断を定期的に使うことで常に最新の状態を保ち、変化するリスクに対応できるとしています。*1
情シスの立ち上げと運用のご相談
IT資産とアカウントの一覧づくりから、手続の整備、立ち上げ後の運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：第1部の担当者の任命と重要7項目の取組（月次や四半期ごとの報告）、第2部のSTEP1〜4、情報セキュリティ6か条、5分でできる！情報セキュリティ自社診断（25項目・採点方法）、基本方針、体制の整備、IT資産管理のコラム、取引先/外部情報サービスの管理の記述を参照（2026年10月確認）
- *2 参考：独立行政法人情報処理推進機構（IPA）「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」（同ガイドライン付録1）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_1.pdf）。出典：STEP1〜4の全体像（兼務でも1人の担当者の確保、外部の専門家への相談、専任の担当者の確保・育成、必要性の判断と委託仕様の策定を自社で行う外部委託）の記述を参照（2026年10月確認）
