その機器、うちにありますか。Excelで作るIT資産台帳の実務

「今お使いのVPN機器、型番とファームウェアのバージョンは分かりますか」。取引先のセキュリティ担当者や、サイバー保険の代理店から、ある日こう聞かれます。総務に回せば「たしか型番までは分かるはずですが」、情報システム担当に回せば「前任者が選定したものなので」。どちらも嘘はついていません。ただ、答えられない。

これは特殊な会社の話ではありません。

この状態を抜け出すのに、いきなり立派な資産管理ツールを探しに行く必要はありません。むしろ、ツールを入れる前にやるべきことをやっていない会社の方がずっと多いのです。必要なのは、社内の機器と、使っている人と、置いてある場所を1行ずつ並べた、ただの表です。この記事では、Excel（表計算ソフト）だけで始められるIT資産台帳の作り方と、作った台帳を「続く仕組み」に変えるための工夫を書きます。

「台帳なら昔作った」という会社も少なくありません。ただ、その台帳を最後に開いたのがいつだったか思い出せないなら、実質的に台帳が無いのと変わりません。台帳の値打ちは、作った瞬間ではなく、今日この時点で正しいかどうかで決まります。

台帳がないと、脆弱性の情報が来ても「うちの話か」が分からない

ソフトウェアや機器に弱点が見つかると、製造元やIPA（情報処理推進機構）などから「この製品のこのバージョンには弱点があります」という情報が公表されます。善意の情報で、修正プログラムを当ててもらうために出されています。問題はその先、受け取った会社の側で起きます。

「該当する機器は自社にあるか」「あるとしたら、どこに何台あるか」「誰が面倒を見ているか」。ここに即答できなければ、せっかく届いた警告は読んだだけで終わります。実際には、社内の誰かが記憶を頼りに「たしかあの部屋のあれじゃないか」と探し回ることになり、探している間も、その機器はインターネットに面したまま弱点を抱え続けています。

台帳があれば、この確認は検索で終わります。

同じ問い合わせを受けたときの動きは単純です。機種名の列で該当する行を絞り込み、設置場所と持ち主部署を見て、その部署に連絡する。ここまでで数分。残った時間は、修正プログラムをいつ当てるか、止められない機器をその間どう守るかという、本来考えるべきことに使えます。

ある製造業の会社では、取引先から「特定機種のVPN機器に弱点が見つかったので、御社の使用状況を教えてほしい」という問い合わせを受けました。拠点ごとに電話をかけ、現物を見に行き、回答するまでに数日かかっています。担当者が怠けていたわけではありません。台帳がないと、まず「調べる作業」から始めなければならず、そこで数日が溶けます。対応が遅れた理由を後から辿ると、判断が遅かったのではなく、判断材料を集めるのに時間がかかっていた、という結論になる会社がほとんどです。

台帳に並べる列は、10個で足りる

最初から完璧な台帳を作ろうとすると、列を増やしすぎて挫折します。実務で意味を持つのは、次の10列です。機器名・種別・管理番号・設置場所・利用者・OSとバージョン・インターネットに面しているか・保守期限・更新日・持ち主部署。これだけあれば、「該当する機器はあるか」にも「誰が責任を持つ機器か」にも答えられます。

特に見落とされやすいのが「インターネットに面しているか」の列です。社内だけで使う複合機と、外から接続を受け付けるVPN機器とでは、同じ弱点が見つかったときの緊急度がまるで違います。この1列があるだけで、警告が来たときに先に見るべき行を機械的に絞り込めます。

「保守期限」と「更新日」を分けているのも意図があります。保守期限は製造元がサポートを終える日で、その日を過ぎると弱点が見つかっても修正プログラムは出てきません。更新日は、その行を自分たちが最後に見直した日です。この2つが離れているほど、その行は放置されています。

管理番号の列は、凝る必要がありません。購入順に通し番号を振り、同じ番号を小さなシールにして現物に貼る。それだけで、現物を前にしたときに台帳のどの行かが一目で分かります。そしてシールの貼られていない機器が見つかったら、それは台帳に載っていない機器です。棚卸しが、歩いて見て回るだけの作業になります。

厄介なのは、列を増やしたくなる誘惑の方です。購入先、保守業者の連絡先、機器のIPアドレス、帳簿上の価額、リース契約の満了日。どれも、あれば便利に見えます。ただ、列が1つ増えるたびに1行を埋める手間が増え、増えた手間の分だけ更新の頻度が落ちます。三か月経っても半分が空欄のままの列は、便利な列ではなく、開くたびに気を重くさせる列です。そういう列は足すのではなく、消す方が正しい。まずは今の10列で回してみて、運用しながら「これが無いと困った」と実感した列だけを後から足す。この順番を守った台帳は、たいてい生き残ります。

更新は「気づいたとき」ではなく、4つの出来事に紐づける

台帳が止まる原因は、たいてい更新のタイミングにあります。

「気づいたとき」「時間があるとき」に任せていると、気づかなければ更新されず、忙しければ後回しになります。確実なのは、更新のタイミングを、業務の中ですでに起きている出来事に紐づけてしまうことです。購入時・異動時・退職時・故障時の4点。

購入時がいちばん分かりやすい起点です。発注した人か、受け取った人が、その場で1行足す。ここで機種名・管理番号・保守期限まで埋めておけば、後から調べ直す手間が消えます。逆に、購入時に書かれなかった機器は、その後もほぼ確実に書かれないまま使われ続けます。

異動と退職は、利用者の列を書き換える機会であると同時に、機器の所在をもう一度確かめる機会でもあります。人が動けば、使っていたパソコンも一緒に動くのか、新しい部署で別の機器が用意されるのかが決まります。退職なら、いなくなった人の名前が残ったままの行を探す。人事の手続きの一部に台帳更新を入れておけば、忘れようがなくなります。

故障時は見落とされがちですが、実はいちばん効率のいい起点です。修理や交換を手配する過程で、機種名やシリアル番号を確認する作業がどうせ発生します。そのついでに該当行を直す。新しく作業時間を確保しなくていい、という点が効きます。

この4点から漏れやすいのが、予備機と貸出機です。誰の持ち物でもないので購入時にも異動時にも引っかからず、気づくと机の引き出しや倉庫に溜まっています。貸出簿を別に作ると、今度はその貸出簿が続きません。台帳の利用者の列に「貸出中（氏名）」と書いてしまう方が、結局は残ります。

新しい会議体も、専用の申請フォームも要りません。すでにある購入申請書、異動の辞令、退職手続きのチェックリスト、修理の依頼票——そのどれかに「台帳のこの行を更新しましたか」という一項目を差し込むだけです。

続かない仕組みは、無い仕組みより悪い

続かない仕組みは、無い仕組みより悪い。台帳が無ければ「うちには台帳がない」と全員が正しく認識できます。ところが更新の止まった台帳は、そこに書かれている情報が正しいという前提で読まれます。中身は半年前のままなのに、誰も気づかないまま「台帳を見れば分かる」と信じて動く。無いより悪い、というのはそういう意味です。

効くのは、時間を区切ることです。毎月1日の朝、あるいは月初の定例の冒頭に15分だけ、台帳を開く時間を固定で入れる。15分あれば、購入・異動・退職・故障のあった行を思い出して直すには足ります。「時間があるときにまとめて」は、ほぼ確実に先送りされ続けます。

もう一つは、完璧を目指さないことです。10列すべてを最初から埋めようとすると、空欄が視界に入るたびに気が重くなり、そのうち台帳を開くこと自体が億劫になります。まずは機器名・設置場所・利用者の3列だけ埋める。残りは分かった時点で1列ずつ増やす。完璧な台帳を1年後に作るより、粗い台帳を今日から更新し続ける方が、実務でははるかに役に立ちます。

誰が更新するかも、あいまいにしない方がよい点です。「みんなで更新しましょう」は、実際には誰も更新しない運用とほぼ同じ結果になります。担当を1人決め、その人が月初の15分に台帳を開き、周囲に「異動や購入はありましたか」と一言聞いて回る。この小さな役割を決めるだけで、台帳が止まる確率はかなり下がります。担当が不在のときに代わりに聞いて回る人を、もう1人決めておくとなお安定します。

クラウドサービスのアカウントも、同じ台帳の発想で管理できる

同じ考え方は、クラウド型のメールやグループウェア、業務で使う各種サービスのアカウントにもそのまま当てはまります。物理的に存在するかどうかが違うだけで、「誰が」「何を」「いつから」使っているかを一覧にしておく必要性は変わりません。

列も機器台帳とほぼ対応します。サービス名・利用者・管理者権限の有無・多要素認証の設定状況・契約更新日・持ち主部署。中でも管理者権限の有無は外せません。強い権限を持つアカウントが誰の手元にあるかを把握していない会社は、その権限が乗っ取られたときに被害の範囲を見積もることすらできません。

更新のきっかけも同じ4点で、購入（契約）時・異動時・退職時・故障（不審なログインなど）時に紐づきます。退職時だけは、機器と違って「終わったことが見た目で分からない」という特徴があります。パソコンを返却しても、そのパソコンからログインしていたクラウドサービスのアカウントが生きたまま残っていることは珍しくありません。台帳に「このサービスは誰が使っているか」が書いてあれば、退職手続きに「台帳に載っているサービスを1つずつ確認する」という項目を足すだけで、この漏れは防げます。

棚に置きっぱなしの古いパソコンは、いつか誰かが目にして「これは何だろう」と気づきます。使われなくなったアカウントは、誰かが意識して見に行かない限り、存在ごと忘れられたまま残り続けます。

もう一つ、機器の台帳には出てこない種類の行があります。部署で1つのIDを共有しているアカウントです。誰が使っているかを1人の名前で書けないので台帳から漏れやすく、人が辞めても誰も止めません。利用者の欄に部署名しか書けないアカウントは、それだけで要注意の行として扱った方がいい。

Excelで十分な段階と、専用ツールに移るべき段階

台帳を続けていくと、表計算ソフトでは扱いにくくなる瞬間が来ます。目安になるのは行数ではなく、「誰が更新して、いつ変わったのか」を追いたくなったかどうかです。複数人が同じファイルを触り始めると、上書きの履歴が分からない、誰かが開いている間は他の人が編集できない、といった不便が出てきます。

ここまで来て初めて、専用の資産管理ツールを検討する価値が出ます。ネットワークをスキャンして接続されている機器を自動で洗い出す機能や、保守期限が近づいた機器を知らせる機能は、手作業の漏れを確実に減らします。ただし、どの列を、何のために、誰が更新するのかが決まっていない状態で道具だけ入れても、空欄だらけの高機能な表ができるだけです。

もう一つ確かめておきたいのは、誰がその道具を日常的に動かすのか、という点です。設定項目が多い道具ほど、導入直後は担当者が丁寧に使いこなし、その担当者が異動や退職をした途端に運用が止まります。

道具を入れても、月初の15分が消えてなくなるわけではありません。減るのは、埋める手間と、洗い出しに歩く時間の方です。見直して判断する15分は、どこまで行っても人の側に残ります。

順番としては、まずExcelで10列の台帳を作り、更新のきっかけを4点に紐づけて数か月回してみる。そこで感じた不便——台帳が大きくなりすぎた、複数人の更新がぶつかる、手作業の洗い出しが追いつかない——が、そのまま道具を選ぶときの要件になります。構成や規模によって向き不向きが変わるので、この段階まで来たら個別にご相談ください。

最初の15分で、何を書けばいいか

今すぐExcelを開いて、1枚のシートの1行目に先ほどの10列を並べる。次に、目の前のパソコンとVPN機器、それに社内の複合機について、分かる範囲だけ埋める。全部の機器を一度に洗い出そうとせず、5台でも10台でも構いません。

空欄が残っていても、それは失敗ではなく現状です。空欄が多いということは、それだけ把握できていない機器が多いということで、その事実が目に見える形になっただけでも前進です。次にやるのは、空欄を埋める担当を決め、月初の15分にその確認を差し込むことだけです。自社の機器にすでに知られた弱点が残っていないかを外部の視点で確認したい場合も、台帳がある状態の方が診断の精度は上がります。

もし今日、手を動かせる時間が5分しかないなら、確かめる問いは1つで足ります。社内でいちばん古いパソコンは、何年前のものか。即答できないなら、台帳を作る理由はもう十分にあります。

情報システム担当が1人しかいない、あるいは兼務で見ているという会社なら、この台帳作りは着任直後に片付けておく作業です。台帳がないまま日々の問い合わせ対応に追われていると、いつまで経っても「自社に何があるか」を把握する時間は取れません。最初の数週間で粗い台帳だけでも作っておけば、その後のあらゆる判断の土台になります。

半年続いた粗い台帳と、一度も更新されなかった立派な道具。いざというときに役に立つのは、前者です。

参考になる公的資料

社内でこの話を始めるときの共通の土台として、以下の公開資料が使いやすいと思います。いずれも無償で、専門家向けではなく企業の担当者向けに書かれています。

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」——資産の洗い出しを対策の出発点として位置づけています。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者が把握すべき資産の範囲について整理されています。
• IPA「情報セキュリティ10大脅威」——毎年公表される脅威の傾向を確認でき、台帳の優先順位付けの参考になります。
• NISC「サイバーセキュリティ関係法令Q&Aハンドブック」——資産管理と関連する法的な位置づけを確認できます。
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」——個人情報を扱う機器やアカウントを特定する際の前提整理に役立ちます。