【サンプルあり】情報資産管理台帳とは？内容や作成方法を解説

IT技術の発展により、多くの企業がこれまで以上の情報を簡単に扱えるようになりました。利便性に優れており、ビジネスに活用しやすくなった反面、情報資産の管理が欠かせなくなっています。

その際、まず自社が保有する情報資産を洗い出すために利用されるのが、情報資産管理台帳です。情報資産を管理したい中小企業にとって、作成することは必須といえるでしょう。

そこで、この記事では情報資産管理台帳の基本的な内容や記入例、書式サンプル、作成方法に加え、ISMS審査で指摘を受けやすい運用の失敗ポイントまで、わかりやすく解説します。

情報資産とは？

情報資産とは、組織が保有または業務上利用・管理する、価値のある情報のことです。最近では、IT技術が進化し、組織のシステム化の普及に伴い、「ヒト」「モノ」「カネ」「情報」は4大経営資源として扱われているほど、重要視されています。

外部からのサイバー攻撃や不正アクセス、改ざん、情報資産の紛失・情報漏えいなどが派生すると、組織に多大な影響を与えることも多くあります。そのため、組織は情報資産を適切に管理できる体制を整備することが重要です。

情報資産の具体例

情報資産の具体例には、以下のようなものがあります。

• 顧客や従業員の個人情報
• 取引先の情報
• 取引先と結んだ契約書や請求書
• USB機器やSSD、サーバーなどの情報の保存機器
• 保存機器に記録されているデータや情報
• 自社の技術やノウハウ
• 自社の財務情報などの機密情報
• 社内システムのソースコード

文書化された情報だけでなく、音声や映像も情報資産に含まれます。情報資産の詳細については、以下の記事をご覧ください。

情報資産管理の必要性

情報資産管理は、デジタル化やクラウドサービスの普及に伴い、ますます重要になっています。利便性や生産性が向上する一方で、サイバー攻撃や内部不正による情報漏えいのリスクも高まっています。

情報資産が流出すると、金銭的損害だけでなく社会的信用の低下や事業継続への影響も生じるため、企業は情報資産を適切に管理する体制を整えることが重要です。

情報資産管理台帳とは？

情報資産管理台帳とは、組織が保有する情報資産をまとめ、「どのような情報資産があるのか」「どこに保管されているのか」「重要度はどの程度か」を一覧で把握できるようにした文書です。

情報資産の管理体制を整えるうえで、まず自社の情報資産を可視化する必要があり、その第一歩となるのが情報資産管理台帳の作成です。台帳を整備することで、リスク評価や対策の優先順位付けがしやすくなり、組織全体の情報セキュリティ対策の土台を築けます。

情報資産管理台帳を作成する目的

情報資産管理台帳を作成する主な目的は、自社が保有・利用する情報および関連資産を可視化し、管理責任や重要度を明確にすることです。

台帳の情報は、情報セキュリティリスクの評価、アクセス権限の設定、保存・廃棄ルールの策定、事故発生時の影響範囲の確認などに活用されます。また、情報セキュリティ方針や各種規程を検討する際の基礎資料にもなります。

情報セキュリティポリシーとは、自社の情報セキュリティ対策を推進するうえでの基本方針であり、最近ではホームページ上で公開している企業も少なくありません。

この方針を定めるには、まず自社にどのような情報資産があり、それぞれが事業継続にとってどの程度重要なのかを把握しておく必要があります。

そのため、各情報資産を洗い出し、リスク評価を行ったうえで情報資産管理台帳にまとめておくことが欠かせません。

ISO27001（ISMS）における位置づけ

ISO/IEC 27001:2022の附属書A 5.9では、情報およびその他の関連資産の目録を作成・維持し、それぞれの資産の所有者を特定する管理策が示されています。

情報資産管理台帳は、この管理策に対応する代表的な方法の一つです。ただし、規格が特定の名称や書式の台帳作成を一律に求めているわけではなく、組織の規模や管理方法に応じてExcelや管理システムなどを利用できます。

ISO/IEC 27001の附属書Aには「情報及びその他の関連資産の目録」を作成・維持することが求められる管理策があり、情報資産管理台帳はこの要求事項に対応する文書として作成されます。

またISMSの認証審査では、資産の目録が適切に作成・維持され、実際の管理状況と整合しているかを確認されることがあります。

このように、

【記入例】情報資産管理台帳に記載すべき内容

情報資産管理台帳に記載すべき項目は、大きく分けて「どの情報資産か」「誰がどう管理するか」「重要度はどの程度か」の3つの観点で構成されます。

台帳の項目は企業によって多少異なりますが、最低限押さえておきたい基本項目を記入例とあわせてわかりやすく整理しました。

業務分類

業務分類には、その情報資産が関連する業務や部署名を記入します。

情報資産名

情報資産名には、その情報資産の名称や通称を記入します。

備考

備考には、情報資産名だけでは伝わりにくい内容を補足するための説明を記入します。

利用範囲

利用範囲には、その情報資産を利用できる部署名を記入します。
管理部署・管理責任者と混同されがちですが、利用範囲は「誰が使ってよいか」を示す項目です。

管理部署・管理責任者

管理部署・管理責任者には、その情報資産の管理責任を持つ部署名や担当者名を記入します。
こちらは「誰が守る責任を持つか」を示す項目であり、利用範囲とは役割が異なる点に注意しましょう。

媒体の種類・保存先

媒体の種類・保存先には、その情報資産の媒体や保存場所を記入します。
紙媒体と電子データの両方で管理している場合は、セキュリティ上のリスク評価が異なるため、それぞれ別の行として記入する必要があります。

個人情報の有無

個人情報の有無には、「個人情報」「要配慮個人情報」「マイナンバー」などの個人情報の種類と、その有無を記入します。
要配慮個人情報とは、人種や病歴など、不当な差別や偏見、不利益につながりかねない個人情報を指します。個人情報を含む資産は、含まない資産よりも重要度評価が高くなる傾向があるため、正確に記入しておくことが重要です。

評価値/重要度（機密性・完全性・可用性）

機密性・完全性・可用性について、自社で定めた基準に基づいて評価します。評価尺度に規格上の指定はなく、「高・中・低」や「1～3」「1～4」など、組織が継続的に運用しやすい方法を採用できます。

各評価基準や評価方法については、のちほど解説します。

保存期間

その情報資産の保存期間を記入します。法定保存期間が定められている法定文書においては、記入漏れや間違いがないよう注意しましょう。

登録日（更新日）

情報資産を登録・更新した日付を記入します。

情報資産管理台帳の書式サンプル

情報資産管理台帳の書式サンプルを以下にまとめました。企業で作成する際の参考にしてください。

情報資産管理台帳の作成方法

情報資産管理台帳の作成は、「洗い出し」「重要度評価」「入力」「定期的な見直し」という4つのステップで進めます。

いきなり完璧な台帳を作ろうとすると作業が止まってしまいがちなので、まずは全体の流れを把握したうえで、一つずつ着実に進めていきましょう。

1.情報資産の洗い出しを行う

まず、組織内の情報資産を洗い出します。
手当たり次第に情報資産をピックアップすると漏れてしまうことがあるため、業務フローを可視化し、プロセスごとに必要な情報資産を確認することがおすすめです。

ただし、ISMSの適用範囲内にある情報や、それを取り扱うシステム・端末・媒体・クラウドサービスなどを幅広く洗い出します。

すべてをファイル単位で細かく登録する必要はなく、「顧客情報」「人事情報」「契約書類」など、管理方法やリスクが共通する単位でまとめることも可能です。重要度が低い資産も含めて一度把握したうえで、リスクに応じて管理の粒度や対策の優先順位を決めます。

2.各情報資産の重要度を評価する

各情報資産の重要度を評価します。重要度を評価するには、まず情報セキュリティの三要素である機密性・完全性・可用性の観点からラベリングします。

• 機密性：アクセス権のある者だけが情報資産にアクセスできる状態
• 完全性：情報が不正に変更・削除されず、正確かつ完全な状態
• 可用性：アクセス権のある者が、必要なときにいつでも情報資産にアクセスできる状態

これらの観点を判断する際には、以下のように評価します。

なお、可用性は機密区分を示す「極秘・部外秘」などとは評価軸が異なるため、この例ではレベル付けを設けず、評価値のみで管理しています。

また、ISO27001におけるリスク評価について以下の記事で解説しています。こちらも参考にしてください。

3.各項目を入力する

収集した情報資産の情報を、各項目にまとめて入力します。入力時は、管理方法やリスクが異なる単位で行を分けることが重要です。
たとえば、同じ情報資産を紙と電子データの両方で保管している場合は、保管場所や想定リスクが異なるため、別の行に分けて登録します。複数部署で利用する資産は、利用範囲を広く記載したうえで、管理責任を持つ部署・担当者を一つに明確化します。
粒度はファイル単位まで細分化するのではなく、「顧客情報」「契約書類」など、管理方法やリスクが共通する単位でまとめると運用しやすくなります。

4.定期的に見直しを実施する

情報資産は、事業活動を継続していくうちに変化していきます。また、社会情勢やセキュリティ脅威といった外部環境についても目まぐるしく変化するでしょう。

そのため、一度情報資産管理台帳を作成しても、定期的に見直しをすることが必要です。台帳は、自社で定めた頻度で定期的に見直すとともに、新しいシステムやクラウドサービスの導入、業務変更、組織変更、担当者の異動などが発生した際に随時更新します。

年1回の棚卸しを基本とする方法もありますが、変化の多い組織では、変更が発生した時点で台帳を更新する仕組みを設けることが重要です。

情報資産管理台帳の運用で失敗しやすいポイント

情報資産管理台帳は作成して終わりではなく、運用を継続することではじめて意味を持ちます。

作成した直後は実態を正しく反映していても、日々の業務の変化に台帳の更新が追いつかなくなると、本来の目的である情報セキュリティリスクの把握・管理が機能しなくなってしまいます。

ここでは、運用段階で特に陥りやすい3つの失敗パターンを紹介します。

台帳の内容が実態と乖離する

最も陥りやすい失敗は、台帳に記載された内容と実際の運用実態がずれてしまうことです。

新しいシステムやツールの導入、業務フローの変更、担当部署の再編などがあっても、台帳への反映が後回しになり、気づいたときには「使われていない情報資産が載っている」「新しく発生した情報資産が漏れている」といった状態になりがちです。

台帳を更新するタイミングをあらかじめ業務フローに組み込んでおくことが、乖離を防ぐポイントです。

管理責任者の記載が漏れる

台帳作成時には責任者を明記していても、人事異動や組織変更があった際に更新が漏れ、「実際には別の人が管理しているのに、台帳上は退職・異動済みの担当者のまま」というケースが少なくありません。
責任の所在が曖昧なままでは、情報資産に問題が発生した際の対応が遅れる原因にもなります。

異動・組織変更のタイミングで台帳を確認するルールを、あわせて整備しておきましょう。

ISMS審査での指摘リスク

台帳の未更新や実態との乖離、管理責任者の記載漏れは、ISMS審査で指摘を受けやすいポイントです。

審査では、台帳に記載された内容が実際の運用と一致しているかが重点的に確認されます。台帳上の情報が古いままだったり、責任者の記載が実態と異なっていたりすると、「情報資産が適切に管理されていない」と判断され、不適合の指摘につながるおそれがあります。

日頃から台帳を「作って終わり」にせず、実際の業務と連動させて更新し続ける仕組みを構築しておくことが、審査対応の観点でも重要です。

情報資産管理台帳の作成に役立つツール

最後に、情報資産管理台帳の作成に役立つツールを紹介します。

IT資産管理ツール

IT資産管理ツールとは、企業内のパソコンやサーバーなどのハードウェアやソフトウェアなどITに関する資産を管理するツールのことです。

一般的に企業の運用するハードウェアがExcelで管理しきれないほど増えてきた場合に、コンプライアンス・内部統制やセキュリティ体制の強化などを目的に導入されます。

MDM（モバイルデバイス管理）

モバイルデバイス管理（MDM：Mobile Device Management）とは、企業が所有するモバイル端末やタブレット端末を一元管理できる端末管理システムです。

情報資産の管理としては、端末を紛失した際にも、遠隔操作でロックできるため、情報漏えいを防止します。また、管理者が従業員用の端末を一元的に管理できるため、最新のアプリにアップデートしたり、必要なアプリを自動で割り当てたりするなどの操作が可能になります。

UEM（総合エンドポイント管理）

総合エンドポイント管理（UEM：Unified Endpoint Management）とは、自社のネットワークにつながっているモバイル端末やスマートフォン、パソコン、プリンタ、IoTなどを一元管理できる端末管理システムです。

MDMはモバイル端末やタブレット端末などのみが対象ですが、UEMではさまざまなハードウェアを一元管理できます。

情報資産管理台帳に関するよくある質問

情報資産管理台帳の作成・運用にあたって、担当者からよく寄せられる疑問をQ&A形式で解説します。

情報資産管理台帳とリスク管理台帳は違うものですか？

情報資産管理台帳とリスク管理台帳（リスクアセスメント表）は別の文書であり、情報資産管理台帳がリスク管理台帳のインプットになるという関係にあります。

情報資産管理台帳は、自社が保有する情報資産の種類・保管場所・重要度などを一覧化した文書です。一方、リスク管理台帳は、情報資産管理台帳で洗い出された各資産をもとに「どのようなリスクが想定されるか」「発生の可能性や影響度はどの程度か」「どう対応するか」を整理した文書です。

つまり、情報資産管理台帳で「何を守るべきか」を把握したうえで、リスク管理台帳で「どう守るか」を検討するという、順序立った関係にあります。

個人情報だけを扱っている場合でも台帳は必要ですか？

個人情報のみを扱っている場合でも、台帳の整備は必要です。

ISMS（ISO27001）の認証を目指す場合は、個人情報以外の情報資産（技術情報、契約書、システムなど）も対象となるため、通常どおり情報資産管理台帳の作成が求められます。一方、Pマークの取得のみを目指す場合は、個人情報に特化した「個人情報管理台帳」を作成するのが一般的です。

Excelで台帳を管理しても問題ありませんか？

Excelでの管理自体に問題はなく、小規模な組織であれば十分実用的な方法です。

ただし、情報資産の数が増えたり、複数の担当者が更新に関わったりするようになると、「最新版がどれかわからない」「更新履歴が追えない」といった管理上の課題が生じやすくなります。

台帳の規模が大きくなってきた場合にはIT資産管理ツールなどの導入も検討し、更新ルールや権限管理を明確にしたうえで運用することをおすすめします。

台帳はどのくらいの頻度で見直すべきですか？

定期的な見直しは年1回を目安に行い、あわせて組織や業務に大きな変化があった際には、そのタイミングでも随時更新することが望ましいです。

年に一度のリスク評価とあわせて棚卸しを行うことに加え、新しいシステムの導入、業務フローの変更、担当者の異動といった変化があった際に台帳を放置してしまうと、実態との乖離が生じやすくなります。

定期的な見直しと、変化のタイミングでの随時更新を組み合わせることが、台帳を形骸化させないポイントです。

まとめ

この記事では、情報資産管理台帳の概要・目的・記載項目・作成方法に加え、運用で失敗しやすいポイントやISMS審査での指摘リスク、よくある質問について解説しました。

ITシステムの発展と普及により、企業が抱える情報資産は増え、小さな規模の会社でも膨大な量の情報資産を抱えていることもあります。
そうした中で、情報資産の管理は事業継続性を高めるために欠かせない要素の一つです。

情報資産管理台帳は作成して終わりではありません。実態との乖離や管理責任者の更新漏れを防ぐため、定期的な棚卸しと、システム導入・業務変更・人事異動などの変化に応じた随時更新を組み合わせて運用しましょう。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。