情報システム担当に着任したら、最初の90日で何をすべきか

情報システム担当に着任した方から、いちばん多く聞く言葉があります。「引き継ぎ資料がありません」。前任者が退職していた、そもそも専任がいなかった、総務の方が兼務で見ていた——事情はさまざまですが、結果は同じで、何がどこにあるのか分からない状態から始まることになります。

そして着任早々、「セキュリティ、大丈夫だよね？」と聞かれます。分からない、とは答えにくい。かといって大丈夫だと言えば、その瞬間から責任を負うことになる。この板挟みが、着任直後の情シスにかかる最大の圧力です。

この記事では、最初の90日をどう使うかを、30日ずつ3つの段階に分けて整理します。順番には理由があります。いきなり対策製品を検討したり、規程を書き始めたりするのは、順番として後です。まずは、いま何があるのかを知るところから始めます。

着任1週目：聞いて回ることが、いちばん速い

棚卸しの前に、1週間だけ「聞く」ことに使ってください。技術の記録は残っていなくても、人の記憶には残っています。そして着任直後は、何を聞いても許される唯一の時期です。この特権は数週間で失われます。

聞く相手と、聞くことを挙げます。

• 経理・総務——IT関連の支払いはどこに記録されているか。契約書はどこに保管されているか。退職時の手続きはどうなっているか。
• 各部署の実務担当者——毎日必ず使うシステムは何か。それが半日止まったら何が困るか。今いちばん不便なことは何か。
• 前任者を知る人——前任者が何を気にしていたか。「これだけは触るな」と言われていたものはあるか。
• 外部の委託先・保守業者——何をどこまで見てくれているのか。契約の範囲外は何か。夜間・休日はつながるのか。
• 経営者——過去にトラブルはあったか。何を心配しているか。どこまでの権限を自分に与えてもらえるか。

この中で最も重要なのが、各部署への「半日止まったら何が困るか」という質問です。答えを並べると、会社にとって本当に重要なシステムの順位が出てきます。これは、どの資料にも書かれていない情報です。後に「どこから守るか」を決めるとき、この順位がそのまま判断基準になります。

逆に、この1週間で言わないほうがよいことがあります。「前の担当のやり方は間違っている」という趣旨の発言です。事実として正しくても、以後の協力が得られなくなります。前任者を知る人が社内に残っている限り、これは損しかしません。

最初の30日：守る前に、数える

セキュリティ対策の効果は、対象を把握している範囲を超えません。存在を知らない機器は守れず、存在を知らないアカウントは止められません。だから最初の30日は、対策ではなく棚卸しに使います。

ここで完璧を目指す必要はありません。目標は「正確な台帳」ではなく、「知らないものが、あとどのくらいありそうか」の見当がつく状態です。

数えるべき5つのリスト

この中で、着任直後に最も価値が高いのは5番目の「経理の支払い一覧から辿る」方法です。技術の記録は残っていなくても、支払いの記録は必ず残っています。何にお金を払っているかを見れば、会社が何を使っているかがほぼ分かります。前任者の引き継ぎがない環境では、これが最短経路になります。

「台帳がない」のは、あなたの落ち度ではない

棚卸しを始めると、想像以上に何もないことに気づきます。ここで自分を責める必要はまったくありません。台帳が整っている中小企業のほうが例外です。むしろ、いま台帳を作ろうとしていること自体が、その会社にとって最大の進歩です。

実務的なコツとして、最初の台帳は表計算ソフト1ファイル、列は「名前・場所・管理者・最終確認日・備考」の5つで十分です。立派な資産管理システムの導入は、台帳を維持できるようになってからで構いません。続かない仕組みは、無い仕組みより悪いからです。

31〜60日：いちばん危ない扉から閉じる

棚卸しの結果を眺めると、危ないものが目に付きます。しかし全部を一度に直すことはできません。ここでの原則は「外から触れるもの」と「権限が強いもの」を先にです。

1. 管理者権限の棚卸し

最も費用がかからず、最も効果が大きい作業です。各サービス・各サーバーで、管理者権限を持っているアカウントを列挙します。ほぼ確実に、次のようなものが見つかります。

• 前任者のアカウントが管理者のまま残っている
• 誰も使っていない共用の管理者アカウントがあり、パスワードが数年変わっていない
• 普段の業務用アカウントが、そのまま管理者権限も持っている
• 外部の委託先のアカウントが、契約終了後も残っている

対応は、減らす・分ける・二重にするの3つです。使っていないものを消し、日常業務用と管理用のアカウントを分け、残った管理者アカウントには必ず多要素認証をかけます。すべてのアカウントに多要素認証を展開するのは大仕事ですが、管理者権限だけなら数が限られており、数日で終わります。

2. 退職者と委託先のアカウント

人事の在籍者名簿と、各サービスのアカウント一覧を突き合わせます。この作業は、一度やって終わりではなく退職手続きの中に組み込むことが目的です。退職時のチェックリストに「ITアカウントの停止」の欄を作り、人事に運用してもらう。ここまでやって初めて、この問題は解決します。

3. 外から触れる機器の更新

棚卸しで見つけたVPN機器やリモート接続の入口について、ファームウェアの版と、製造元が公表している最新版を照合します。差があれば更新が必要です。ここで必ずぶつかるのが「更新すると業務が止まる」という壁です。

これは技術の問題ではなく、経営の判断が必要な問題です。担当者の一存で業務を止めることはできません。だから、この段階で経営者に上げます。「毎月第◯日曜の夜間は、更新のために止めてよい時間とする」という合意を一度取ってしまえば、以後この問題は再発しません。止めてよい時間を決めること——これが着任初期に取るべき、最も価値の高い意思決定です。

4. 共有フォルダの権限

これも費用がかからず、効果の大きい作業です。多くの会社の共有フォルダは、増築を繰り返した家のようになっています。誰でも見られる場所に人事や経理の資料が置かれていたり、退職者しか用途を知らないフォルダが残っていたりします。

一度に全部を整理するのは無理なので、「全員がアクセスできる場所に、限られた人しか見てはいけないものが置かれていないか」の一点だけを確認してください。該当するものを見つけたら、部署に確認したうえで権限を絞ります。ここは侵入された際の被害範囲に直結します。一台のパソコンが乗っ取られたとき、そこから何が見えるかを決めているのが、この設定です。

5. バックアップから戻せることの確認

バックアップ処理が成功していることと、そこから業務を再開できることは別です。1つでよいので、重要なファイルを実際に別の場所へ戻してみてください。所要時間を測り、記録に残します。この記録は、後で経営者に説明するときの最も強い材料になります。

あわせて、バックアップの保管先が社内ネットワークにつながったままになっていないかを確認します。つながっているものは、本番と一緒に暗号化されます。少なくとも1系統は、普段は切り離された場所に置く設計に変えます。

61〜90日：見えるようにして、伝える

ここまでで、危ない扉はある程度閉まりました。最後の30日は、次に何かが起きたときに気づける状態をつくり、それを経営に伝えることに使います。

1. 記録を残す設定にする

多くの機器やサービスは、初期設定のままだと記録の保存期間が短く設定されています。侵入の兆候は数週間前に出ていることが多いため、1か月分しか残っていない記録は、実質的に間に合いません。可能な範囲で保存期間を延ばし、少なくとも次の記録は残るようにします。

• 誰が、いつ、どこからログインしたか（特に管理者権限）
• 失敗したログインの試行
• 外部への大量のデータ送信
• アカウントの作成・権限の変更

ここで重要なのは、全部を毎日見る仕組みを作ろうとしないことです。一人情シスがそれをやると必ず破綻します。まずは「後から遡れる」状態にすることが目的で、常時監視の仕組みは次の段階の話です。

2. 社員が「おかしい」と言える経路をつくる

技術的な対策より効くことがあります。不審なメールを開いてしまった社員が、その日のうちに申し出られるかどうかで、被害の範囲は桁で変わります。逆に、怒られると思って黙っている一日が、最も高くつきます。

やることは3つだけです。連絡先を1つ決めて全員に周知する。「報告した人を責めない」と経営者の名前で明言してもらう。報告があったら、内容に関わらず礼を言う。費用はゼロで、効果は極めて大きい対策です。

3. 経営者に現状を説明する

90日目の仕上げは、報告です。ここでの伝え方が、その後の予算と権限を決めます。技術の言葉で説明しないでください。伝えるべきは次の3点に絞ります。

1. いま分かっていること。棚卸しで把握できた範囲を数で示します。「外から触れる機器は◯台」「管理者権限のアカウントは◯個あり、うち◯個を停止した」。
2. いま分かっていないこと。ここが最も重要です。「◯◯については記録が残っておらず、過去に何が起きたかは分かりません」と正直に書きます。分からない範囲を明示できることは、管理ができている証拠です。
3. 経営判断が必要なこと。更新のために業務を止めてよい時間帯、投資の要否、外部への委託の可否。担当者では決められないことを、決められる人に渡します。

この報告書は、A4で2〜3枚に収めてください。長い資料は読まれません。そして、この報告を四半期ごとに繰り返すと約束します。継続的に報告している担当者は、いざというときに信用されます。

よくある詰まりどころと、その抜け方

ここまでの手順は、実際にやってみると必ずどこかで詰まります。よくある4つと、現実的な抜け方を書いておきます。

「予算が付かない」

費用の話を「必要だから」という理由だけで通すのは、どの会社でも困難です。通りやすいのは、止まったときに何が起きるかを、金額ではなく業務の言葉で説明するやり方です。「受注が3日受けられません」「請求書が締め日に出せません」「給与計算のデータが戻せません」。経営者はこの形の情報なら判断できます。

加えて、最初の90日で提案すべきものの多くは費用がかからないことも強みです。管理者権限の整理、退職者アカウントの停止、記録の保存期間の延長、通報経路の周知——これらは予算を必要としません。「まず費用のかからないものを片付けました。残っているのはこれです」という順番で出すと、話が通りやすくなります。

「現場が協力してくれない」

セキュリティの依頼は、現場から見れば「仕事が増える」話です。反発は自然な反応であって、相手の意識が低いわけではありません。効くのは、まず現場の不便を1つ解決することです。遅いパソコンを速くする、面倒な手順を1つ減らす、共有フォルダを整理する。信用ができてから制約をお願いすると、通り方がまったく違います。

「前任者の設定が分からない」

触るのが怖くて手が出せない、という状況はよくあります。ここでの原則は、分からないものを消さない、しかし記録は残すです。用途不明のアカウントやサーバーを見つけたら、いきなり削除せず、まず「無効化して1か月様子を見る」。誰からも苦情が来なければ、それは使われていなかったということです。この手順なら、業務を止めずに整理が進みます。

「外部の委託先が何をしているか分からない」

保守を委託している場合、どこまでが相手の責任範囲かが曖昧になっていることが非常に多いです。契約書を読んでも書いていない場合は、質問を書面で送って、書面で答えをもらうのが確実です。「ファームウェアの更新は御社の作業範囲に含まれますか」「バックアップの復旧テストは実施されていますか」。この2問だけでも、責任の所在がはっきりします。曖昧なままにしておくと、事故が起きた日に「そちらの範囲だと思っていた」という会話が発生します。

最初の90日では、やらなくていいこと

着任直後に手を出したくなるが、優先度としては後にすべきものを挙げます。

• 情報セキュリティ規程の全面改訂。実態を把握する前に規程を書いても、守られない文書が増えるだけです。棚卸しが終わってからのほうが、はるかに良いものが書けます。
• 新しい対策製品の導入検討。いま何があるか分からない状態で製品を選ぶと、既に持っている機能を二重に買うことになります。
• 全社員向けの大規模な研修。まずは通報経路の周知だけで十分です。研修は、伝えるべき具体例が手元にたまってからのほうが刺さります。
• 認証や資格の取得。目的が「取引先から求められている」であれば別ですが、内部の改善が目的なら、順番としては後です。

逆に言えば、最初の90日でやることは数える・閉じる・見えるようにする・伝えるの4つだけです。新しいものを買う必要はほとんどありません。

90日目以降に向けて、いま置いておく布石

90日で土台ができたら、次の段階に進みます。ここで急に難しくなるので、先に方向だけ示しておきます。次の3つが、その後の中心的なテーマになります。

1. 侵入されている前提に切り替える

最初の90日でやったことは、ほとんどが「入られないようにする」対策でした。次の段階は、入られた後に気づき、被害を小さく抑えるための設計です。記録を残す設定にしたのは、その入口にあたります。そこから先は、記録を実際に見る仕組み、社内を移動されたときに気づく仕組みへと進みます。

2. 内側の平坦さを解消する

多くの中小企業のネットワークは、外周だけが硬く、内側は一続きです。一台が乗っ取られると社内のほぼ全域に手が届きます。これを分けていく作業——たとえば、事務用のネットワークと、工場や設備の制御に使うネットワークを分ける、経理のサーバーには特定の端末からしか届かないようにする——は、費用も手間もかかりますが、被害の上限を決める最も効果的な手段です。

3. 委託先を含めた管理に広げる

自社の対策が進むほど、相対的に弱くなるのは委託先や取引先との接続点です。個人情報を預けている委託先には、法律上も監督の義務があります。年に一度、確認の書面を交わすところから始めれば十分です。

この3つはいずれも、最初の90日で作った台帳と記録が前提になります。棚卸しは、それ自体が目的ではなく、その後すべての土台です。だから最初にやります。

一人情シスが潰れないために

最後に、実務的な話をします。情報システム担当は、社内でただ一人「できて当たり前、できないと責められる」役割になりがちです。加えて、この仕事は成果が見えにくい。何も起きなかった月は、何もしていないように見えます。

だからこそ、記録を残してください。やったこと、見つけたこと、直したこと、直せなかったことと理由。四半期の報告書は、経営への説明であると同時に、自分の仕事を可視化する装置です。「何も起きなかった」ではなく「これだけのことをして、何も起きなかった」に変わります。

そして、一人で抱えないための線を引いておいてください。24時間動き続けることはできません。夜間・休日に何かが起きたときに誰へつなぐのか、外部に頼る判断は誰が下すのかを、平時に決めておく。これは自分を守るためであると同時に、会社を守るための設計でもあります。

参考になる公的資料

• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」——付録に、そのまま使える台帳やチェックシートの様式が含まれています。ゼロから作る必要はありません。
• IPA「SECURITY ACTION」——中小企業が自社の取り組みを宣言する制度で、取り組みの最初の目標として使いやすい枠組みです。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者に説明する際、共通言語として引用できます。「これは経営者が指示すべき10項目に含まれています」という言い方ができます。
• IPA「情報セキュリティ10大脅威」——研修の材料として、その年に何が起きているかを示すのに使えます。

次回は、認証の話を扱います。「パスワードを複雑にしましょう」という指導がなぜ効かなくなったのか、そして多要素認証で守れる範囲と守れない範囲を整理します。