情報システム担当に着任したら、最初の90日で何をすべきか

情報システム担当に着任した方から、いちばん多く聞く言葉があります。「引き継ぎ資料がありません」。前任者がすでに退職していた、そもそも専任がいなかった、総務の方が兼務で見ていた——事情はさまざまですが、行き着く先は同じで、何がどこにあるのか分からない状態から始まることになります。

そして着任早々、「セキュリティ、大丈夫だよね？」と聞かれます。分からない、とは答えにくい。かといって大丈夫だと答えれば、その瞬間から責任を引き受けたことになる。この板挟みが、着任直後にかかるいちばん重い圧力です。

この記事では、最初の90日を30日ずつ3段階に分けて、何をどの順番でやるかを書きます。順番には理由があります。対策製品を調べたり、規程を書き始めたりするのは、どれも後回しで構いません。

先に、いま何があるのかを知ります。

着任1週目：聞いて回ることが、いちばん速い

棚卸しの前に、1週間だけ「聞く」ことに使ってください。技術の記録は残っていなくても、人の記憶には残っています。そして着任直後は、何を聞いても許される唯一の時期です。三か月もすれば「それはもう知っているはず」の側に回されます。この特権には期限があります。

聞く相手と、聞くこと。

• 経理・総務——IT関連の支払いはどこに記録されているか。契約書はどこに保管されているか。退職時の手続きはどうなっているか。
• 各部署の実務担当者——毎日必ず使うシステムは何か。それが半日止まったら何が困るか。今いちばん不便なことは何か。
• 前任者を知る人——前任者が何を気にしていたか。「これだけは触るな」と言われていたものはあるか。
• 外部の委託先・保守業者——何をどこまで見てくれているのか。契約の範囲外は何か。夜間・休日はつながるのか。
• 経営者——過去にトラブルはあったか。何を心配しているか。どこまでの権限を自分に与えてもらえるか。

この中でいちばん効くのが、各部署への「半日止まったら何が困るか」です。答えを並べると、会社にとって本当に重要なシステムの順位が出てきます。どの資料にも書かれていない情報で、後に「どこから守るか」を決めるとき、この順位がそのまま判断基準になります。

逆に、この1週間で言わないほうがよいことがあります。「前の担当のやり方は間違っている」。事実として正しくても、以後の協力が得られなくなります。前任者を知る人が社内に残っている限り、これは損しかしません。それに実際のところ、前任者が手を抜いていたのではなく、予算も時間も権限も与えられていなかっただけ、という事情のほうがずっと多いのです。

最初の30日：守る前に、数える

結論から書きます。最初の30日は、対策ではなく棚卸しに使ってください。

対策の効果は、把握している範囲を超えません。存在を知らない機器は守れず、存在を知らないアカウントは止められない。ここで完璧を目指す必要はなく、目標は正確な台帳ではなく、「知らないものが、あとどのくらいありそうか」の見当がつく状態です。

数えるべき5つのリスト

この中で着任直後にいちばん効くのは5番目の「経理の支払い一覧から辿る」です。技術の記録は残っていなくても、支払いの記録は必ず残っています。会社は使っていないものに払い続けることはあっても、使っているものを無料では使えません。つまり支払いの一覧は、それ自体がほぼ正確な「利用中サービス一覧」です。何を契約しているかを正確に知っているのは、たいてい情シスではなく経理の方だ、と覚えておいてください。

「台帳がない」のは、あなたの落ち度ではない

棚卸しを始めると、想像以上に何もないことに気づきます。自分を責める必要はありません。台帳が整っている中小企業のほうが例外です。いま作ろうとしていること自体が、その会社にとって最大の進歩です。

最初の台帳は表計算ソフト1ファイル、列は「名前・場所・管理者・最終確認日・備考」で足ります。立派な資産管理の仕組みを導入するのは、台帳を維持できるようになってからで構いません。続かない仕組みは、無い仕組みより悪いからです。更新されなくなった台帳は、消えてはくれません。正しいものとして参照され続けます。

31〜60日：いちばん危ない扉から閉じる

棚卸しの結果を眺めると、危ないものが目に付きます。全部を一度に直すことはできません。優先順位の原則はひとつで、「外から触れるもの」と「権限が強いもの」を先に。

1. 管理者権限の棚卸し

費用がかからず、効果が大きい作業です。各サービス・各サーバーで、管理者権限を持っているアカウントを列挙します。ほぼ確実に、前任者のアカウントが管理者のまま残っています。誰も使っていない共用の管理者アカウントが出てきて、そのパスワードは数年変わっていません。普段の業務用アカウントがそのまま管理者権限も持っていて、その人が不審なメールを一通開いた瞬間に会社の管理権限が渡る構造になっています。契約が終わったはずの委託先のアカウントも、たいてい生きたままです。

やることは単純です。使っていないものを消し、日常業務用と管理用を分け、残った管理者アカウントには多要素認証をかける。全社員に多要素認証を展開するのは大仕事ですが、管理者権限だけなら数が限られており、数日で終わります。

2. 退職者と委託先のアカウント

人事の在籍者名簿と、各サービスのアカウント一覧を突き合わせます。ただしこの作業の目的は、一度きれいにすることではありません。退職手続きの中に組み込むことです。退職時のチェックリストに「ITアカウントの停止」の欄を作り、人事に運用してもらう。ここまでやって初めて、この問題は再発しなくなります。

3. 外から触れる機器の更新

棚卸しで見つけたVPN機器やリモート接続の入口について、ファームウェアの版と、製造元が公表している最新版を照合します。差があれば更新します。ここで必ずぶつかるのが「更新すると業務が止まる」という壁です。

これは技術ではなく経営の判断です。担当者の一存で業務は止められません。だからこの段階で経営者に上げます。「毎月第◯日曜の夜間は、更新のために止めてよい時間とする」という合意を一度取ってしまえば、以後この問題は再発しません。止めてよい時間を決めてもらうこと——着任初期に取れるもののなかで、これがいちばん値打ちのある決定です。

4. 共有フォルダの権限

多くの会社の共有フォルダは、増築を繰り返した家に似ています。最初は整っていたはずの入口があり、その脇に誰かが後から足した部屋があり、そこへ通じる廊下だけが妙に広い。誰でも見られる場所に人事や経理の資料が置かれ、用途を知っている人がとっくに退職しているフォルダが残っています。一度に全部を整理するのは無理です。「全員がアクセスできる場所に、限られた人しか見てはいけないものが置かれていないか」の一点だけを見てください。該当するものがあれば、その部署に確認したうえで権限を絞ります。ここは侵入されたときの被害範囲に直結します。一台のパソコンが乗っ取られたとき、そこから何が見えるかを決めているのは、対策製品ではなくこの設定です。

5. バックアップから戻せることの確認

バックアップ処理が成功していることと、そこから業務を再開できることは別です。1つでよいので、重要なファイルを実際に別の場所へ戻してみてください。所要時間を測り、記録に残します。この記録は、後で経営者に説明するときにいちばん強い材料になります。

あわせて、バックアップの保管先が社内ネットワークにつながったままになっていないかを見ます。つながっているものは、本番と一緒に暗号化されます。少なくとも1系統は、普段は切り離された場所に置く設計へ変えます。

61〜90日：見えるようにして、伝える

危ない扉はある程度閉まりました。最後の30日は、次に何かが起きたときに気づける状態をつくり、それを経営に伝えることに使います。

1. 記録を残す設定にする

多くの機器やサービスは、初期設定のままだと記録の保存期間が短く取られています。侵入の兆候は数週間前に出ていることが多いため、1か月分しか残っていない記録は、調べ始めた時点ですでに間に合っていません。可能な範囲で保存期間を延ばし、少なくとも次のものは残るようにします。

• 誰が、いつ、どこからログインしたか（特に管理者権限）
• 失敗したログインの試行
• 外部への大量のデータ送信
• アカウントの作成・権限の変更

全部を毎日見る仕組みを作ろうとはしないでください。一人情シスがそれをやると必ず破綻します。まずは「後から遡れる」状態にするのが目的で、常時監視の仕組みは次の段階の話です。

2. 社員が「おかしい」と言える経路をつくる

技術的な対策より効くことがあります。不審なメールを開いてしまった社員が、その日のうちに申し出られるかどうかで、被害の範囲は桁が変わります。怒られると思って黙っている一日が、いちばん高くつきます。

やることは少ないです。連絡先を1つ決めて全員に周知する。「報告した人を責めない」と経営者の名前で明言してもらう。報告があったら、中身に関わらず礼を言う。費用はかからず、効果は大きい対策です。

3. 経営者に現状を説明する

90日目の仕上げは報告です。ここでの伝え方が、その後の予算と権限を決めます。技術の言葉で説明しないでください。伝えるのは次の3点に絞ります。

1. いま分かっていること。棚卸しで把握できた範囲を数で示します。「外から触れる機器は◯台」「管理者権限のアカウントは◯個あり、うち◯個を停止した」。
2. いま分かっていないこと。ここを省かないでください。「◯◯については記録が残っておらず、過去に何が起きたかは分かりません」と正直に書きます。分からない範囲を明示できることは、管理ができている証拠です。
3. 経営判断が必要なこと。更新のために業務を止めてよい時間帯、投資の要否、外部への委託の可否。担当者では決められないことを、決められる人に渡します。

報告書はA4で2〜3枚に収めてください。長い資料は読まれません。そして、この報告を四半期ごとに繰り返すと約束します。続けて報告している担当者は、いざというときに信用されます。

よくある詰まりどころと、その抜け方

ここまでの手順は、実際にやってみると必ずどこかで詰まります。詰まりやすいところを、現実的な抜け方とあわせて並べます。

「予算が付かない」

費用の話を「必要だから」という理由だけで通すのは、どの会社でも難しい。通りやすいのは、止まったときに何が起きるかを、お金ではなく業務の言葉で説明するやり方です。「受注が3日受けられません」「請求書が締め日に出せません」「給与計算のデータが戻せません」。経営者はこの形の情報なら判断できます。

加えて、最初の90日で提案するものの多くは費用がかからない。管理者権限の整理、退職者アカウントの停止、記録の保存期間の延長、通報経路の周知——どれも予算を必要としません。「まず費用のかからないものを片付けました。残っているのはこれです」という順番で出すと、話が通りやすくなります。

「現場が協力してくれない」

セキュリティの依頼は、現場から見れば「仕事が増える」話です。反発は自然な反応であって、相手の意識が低いわけではありません。効くのは、まず現場の不便を1つ解決すること。遅いパソコンを速くする、面倒な手順を1つ減らす、共有フォルダを整理する。信用ができてから制約をお願いすると、通り方がまったく違います。

「前任者の設定が分からない」

触るのが怖くて手が出せない、という状況はよくあります。原則は分からないものを消さない、しかし記録は残す。用途不明のアカウントやサーバーを見つけたら、いきなり削除せず、まず無効化して1か月様子を見る。誰からも苦情が来なければ、それは使われていなかったということです。逆に3日目に悲鳴が上がれば、それがそのまま用途の説明になります。どちらに転んでも情報が手に入り、業務は止まりません。

「外部の委託先が何をしているか分からない」

保守を委託している場合、どこまでが相手の責任範囲かが曖昧になっていることが非常に多いです。契約書を読んでも書いていないなら、質問を書面で送って、書面で答えをもらうのが確実です。「ファームウェアの更新は御社の作業範囲に含まれますか」「バックアップの復旧テストは実施されていますか」。この2問だけでも、責任の所在がはっきりします。曖昧なままにしておくと、事故が起きた日に「そちらの範囲だと思っていました」という会話が発生します。

最初の90日では、やらなくていいこと

着任直後に手を出したくなるけれども、後回しでよいものを挙げます。

• 情報セキュリティ規程の全面改訂。実態を把握する前に規程を書いても、守られない文書が増えるだけです。棚卸しが終わってからのほうが、はるかに良いものが書けます。
• 新しい対策製品の導入検討。いま何があるか分からない状態で製品を選ぶと、既に持っている機能を二重に買うことになります。
• 全社員向けの大規模な研修。まずは通報経路の周知だけで十分です。研修は、伝えるべき具体例が手元にたまってからのほうが刺さります。
• 認証や資格の取得。目的が「取引先から求められている」であれば別ですが、内部の改善が目的なら、順番としては後です。

最初の90日でやることは数える・閉じる・見えるようにする・伝えるの4つだけです。新しいものを買う必要は、ほとんどありません。

90日目以降に向けて、いま置いておく布石

90日で土台ができたら、次の段階に進みます。ここから急に難しくなるので、方向だけ先に示しておきます。

1. 侵入されている前提に切り替える

最初の90日でやったことは、ほとんどが「入られないようにする」対策でした。次は、入られた後に気づき、被害を小さく抑えるための設計です。記録を残す設定にしたのは、その入口にあたります。そこから先は、記録を実際に見る仕組み、社内を移動されたときに気づく仕組みへと進みます。

2. 内側の平坦さを解消する

多くの中小企業のネットワークは、外周だけが硬く、内側は一続きです。一台が乗っ取られると社内のほぼ全域に手が届きます。これを分けていく作業——事務用のネットワークと、工場や設備の制御に使うネットワークを分ける、経理のサーバーには特定の端末からしか届かないようにする——は、費用も手間もかかりますが、被害の上限を決める手段としては最も効きます。

3. 委託先を含めた管理に広げる

自社の対策が進むほど、相対的に弱くなるのは委託先や取引先との接続点です。個人情報を預けている委託先には、個人情報保護法の上でも監督の義務があります。年に一度、確認の書面を交わすところから始めれば十分です。

どれも、最初の90日で作った台帳と記録が前提になります。棚卸しは、それ自体が目的ではなく、その後すべての土台です。だから最初にやります。

一人情シスが潰れないために

最後に、実務的な話をします。情報システム担当は、社内でただ一人「できて当たり前、できないと責められる」役割になりがちです。しかも成果が見えにくい。何も起きなかった月は、何もしていないように見えます。

だからこそ、記録を残してください。やったこと、見つけたこと、直したこと、直せなかったことと理由。四半期の報告書は、経営への説明であると同時に、自分の仕事を可視化する装置です。「何も起きませんでした」が「これだけのことをして、何も起きませんでした」に変わります。

そして、一人で抱えないための線を引いておいてください。24時間動き続けることはできません。夜間・休日に何かが起きたときに誰へつなぐのか、外部に頼る判断は誰が下すのか。平時に決めておく。これは自分を守るためであると同時に、会社を守るための設計でもあります。

参考になる公的資料

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」——付録に、そのまま使える台帳やチェックシートの様式が含まれています。ゼロから作る必要はありません。
• IPA「SECURITY ACTION」——中小企業が自社の取り組みを宣言する制度で、取り組みの最初の目標として使いやすい枠組みです。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者に説明する際、共通言語として引用できます。「これは経営者が指示すべき10項目に含まれています」という言い方ができます。
• IPA「情報セキュリティ10大脅威」——研修の材料として、その年に何が起きているかを示すのに使えます。

次回は、認証の話を扱います。「パスワードを複雑にしましょう」という指導がなぜ効かなくなったのか、そして多要素認証で守れる範囲と守れない範囲を整理します。