ひとり情シスが最初の1か月でやること 権限・台帳・契約の棚卸し手順

前任者が辞め、来月からあなたが情シスに。引き継ぎは2週間、資料は前任者のメモだけという例は、中小企業では珍しくありません。最初の1か月は「直す」より「知る」に使うとその後が楽になるので、週ごとにやることをまとめました。

ひとりで情シスを担う会社は少なくない

中小企業では、ITを専任で見る人がいないことが普通です。IPAが2025年5月に公表した中小企業4,191社の調査では、情報セキュリティの体制について次の答えでした。

調査会社のノークリサーチは2025年10月、年商500億円未満の企業の調査結果を発表しました。情シスの人員が「1名」の割合は、2023年の21.3%から2025年は24.5%に増えています。突然ひとりで任される人は、これからも出てきます。

最初の1か月の全体像

1か月を4つに分けます。それぞれの週で、できあがるものを決めておくと、上司への報告もしやすくなります。

1週目 管理者権限と障害時の連絡先を押さえる

最初にやるのは、管理者権限の確保です。noteで1人目の情シスの経験を書いた筆者も、「特権管理権限をゲットしないことには始まらない」と振り返っています。前任者がいる間なら、聞けば分かることばかりです。

管理者アカウントを洗い出す

次の表の「誰が管理者か」「どのアカウントでログインするか」を全部埋めます。

管理者は1人に集めすぎず、0人にもしないのが基本です。Microsoftは、全体管理者の権限を持つ緊急用のアカウントを2つ以上用意し、少なくとも90日ごとに使えるかを確かめるよう勧めています。理由の1つに、全体管理者の権限を持つ人が組織を離れることを挙げています。

Googleも、特権管理者のアカウントを複数用意し、それぞれ別の人が管理するよう勧めています。共有はせず、日常の業務には特権管理者のアカウントを使わないことも求めています。

障害時の連絡先の表を作る

ネットがつながらない、複合機が動かないといったとき、どこに電話するかを1枚にまとめます。

紙に印刷して、総務の机にも置いておきます。障害でパソコンが使えないときに、ファイルの中の連絡表は開けないからです。

1週目のうちに、主な部署の責任者へ短くあいさつもしておきます。「来月から情シスを担当します。来週以降、お話を聞かせてください」と伝えるだけで、4週目のヒアリングが進めやすくなります。

2週目 アカウント・端末・ソフトの台帳を作る

2週目は「数える」週です。IPAの中小企業向けガイドライン第4.0版は、付録6の「資産管理台帳(サンプル)」を参考にするよう勧めています。

ガイドラインの言葉では「一覧表や管理台帳の作成から始め、定期的な見直しを習慣化しましょう」です。サンプルはExcelで、情報資産、ネットワーク機器、ソフトウェア、ハードウェアの台帳がシートに分かれています。

完璧を目指さず、分かるところから埋めます。アカウントの台帳では、すでに辞めた人のアカウントが残っていないかを必ず見てください。

IPAが配る規程のサンプル(付録5)は、管理者の権限(特権アカウント)が要らなくなったら、翌日までに削除か無効化すると定めています。見つけた退職者のアカウントは、上司の了承を得て止めておきます。

3週目 契約・支払い・ドメインの期限を押さえる

3週目はお金と期限です。契約書が見つからなくても、お金の流れは経理に残っています。

noteの筆者も、経理から支払いの情報をもらい、どこにいくら払っているかを突き止めたと書いています。使っていないアカウントに毎月払っている例も「ある話」だと書いています。

ドメインは期限切れで失うと危ない

会社のドメイン(example.co.jpのような、Webサイトやメールの住所)は、期限切れで失うと深刻です。JPRSは、廃止されたドメインを第三者が登録し、同じメールアドレスを作ってなりすましメールに悪用される可能性があると注意を呼びかけています。

JPRSによると、期限を過ぎて意図せず廃止になっても、廃止から20日以内なら登録の回復を申請できます。ただし扱いは登録している事業者によって違い、通常は手数料がかかります。台帳には、次のことを書いておきます。

• ドメイン名と有効期限(WHOISという公開の検索で調べられる)
• 登録している事業者と、管理画面のログインID
• 登録者の名義と連絡先が、自社になっているか
• 支払い方法と、自動更新が有効か

登録者の連絡先が制作会社のままになっていることもあります。JPRSは、登録者と異なる第三者の連絡先が登録されている場合、登録者自身の連絡先に変えるよう呼びかけています。

WebサイトのSSL/TLS証明書の期限も、同じ表に入れておきます。証明書の有効期間は段階的に短くなっており、2026年3月からは最長200日です。

4週目 全部署の話を聞き、自社診断で優先順位を決める

4週目は外に出ます。Qiitaで1人目の情シスの進め方を書いた筆者は、「いちばん大切なこと」に現場の社員と仲良くなることを挙げています。

同じ筆者は、入社後1〜2か月かけて全部門の人とランチに行くよう勧めています。困りごとは、頼まれる前に聞きに行くほうが早く集まります。

ヒアリングで聞く5つのこと

1. 毎日の仕事で使っているシステムやサービスは何か
2. 困っていること、遅くて待たされていることは何か
3. 部署で独自に契約しているサービスや、私物で使っているものはあるか
4. 止まると一番困るシステムは何か。止まったらどうしているか
5. 情シスにお願いしたいことを1つ挙げるなら何か

3番目の答えから、台帳に載っていないサービスが見つかります。責めずに聞くのがこつです。

IPAの自社診断で点数を付ける

聞いた話と台帳がそろったら、IPAの「5分でできる!情報セキュリティ自社診断」で今の状態を点数にします。ガイドライン第4.0版の付録3で、Excel版もあります。

各問に「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」マイナス1点を付けます。合計25問で100点満点です。

IPAは、70〜99点なら「部分的に不十分な点があるようです」、49点以下なら「いつ情報流出などの事故が起きても不思議ではありません」としています。点の低い問いが、そのまま次の3か月の課題の候補になります。

最後に、課題リストと3か月の計画を上司に見せて、優先順位の合意を取ります。Qiitaの筆者も、ロードマップは上司と合意してから実行し、四半期ごとに見直すよう勧めています。

最初の1か月は大きく変えない

着任すると、古い機器や危なっかしい運用が次々に目に入ります。ただ、最初の月に大きな入れ替えや厳しいルールを持ち込むと、現場の反発を招きやすくなります。全体が見えないまま変えると、思わぬところが止まることもあります。

最初の月に手を付けてよいのは、次のような「放っておくと危ない」ものだけです。

• 退職者のアカウントが使える状態のまま残っている
• 管理者の権限や支払いが、個人のアカウントやカードにひもづいている
• ドメインや証明書の期限が1か月以内に迫っている
• バックアップがまったく取られていない

今日からできること

最後に、着任した週に手を付けたいことをチェックリストにしました。

• 管理者アカウントの一覧表を作り、全部の行を埋め始めた
• 前任者の個人アカウントや個人カードにひもづいたものを洗い出した
• Microsoft 365やGoogle Workspaceの管理者が2人以上いるか確かめた
• 障害時の連絡表を作り、紙でも置いた
• 経理に、IT関係の支払いの一覧をお願いした
• ドメインの有効期限と登録者の名義を確かめた
• 主な部署の責任者に、ヒアリングのお願いをした
• IPAの自社診断をダウンロードした

ひとり情シスの最初の1か月は、地味な表づくりの連続です。それでも、権限と台帳と連絡先がそろえば、障害が起きても慌てずに動けます。