Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第5部 5-1

情報資産台帳とは｜作り方の手順と列の例・IPAの無料サンプルの使い方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • チェックシートで「情報資産の管理台帳はありますか」と聞かれたとき
  • IPAのサンプルを使って、まず1日で台帳の下書きを作りたいとき
  • SGや支援士の勉強で、情報資産の洗い出しと重要度の付け方を実務の形でつかみたいとき

読み終えたあと、社内でこう言えます

「うちの情報を、何が・どこに・誰の管理かで台帳にまとめました」

結論：情報資産台帳とは、会社が持つ情報と置き場所を一覧にし、管理者と重要度を書いた表です。書き出すのは「何が・どこに・誰の管理で・どれだけ大事か」の4点です。情報処理推進機構（IPA）が無料で配る「資産管理台帳（サンプル）」を使えば、白紙から作る必要はありません。洗い出しは、パソコンの中ではなく毎日の業務から始めると漏れが減ります。作ったあとは、年1回と、機器やサービスを入れ替えたときに見直します。

情報資産台帳は、何が・どこに・誰の管理で・どれだけ大事かの4点を一覧にした表

情報資産台帳とは？何を書き出す表か

情報資産とは、会社にとって価値のある情報と、それを入れておく入れ物のことです。顧客名簿のような電子データだけでなく、紙の契約書や、データを置くパソコン・クラウドサービスも含みます。

この一覧があると、守る対象がはっきりします。国際規格ISO/IEC 27001:2022は附属書Aの5.9で、情報とその関連資産の目録を作り、維持することを管理策に挙げています。米国の国立標準技術研究所（NIST）も、サイバーセキュリティフレームワーク（CSF）2.0を2024年2月に公表しています。CSF 2.0は、機器・ソフト・データの一覧を保つことを「識別」の最初に置いています。

種類中小企業での例
電子データ顧客名簿、見積書、図面、給与データ、メール
紙の書類契約書の原本、健康診断の結果、請求書の控え
機器事務所のパソコン、ノートパソコン、スマホ、NAS（社内の共有ディスク）、USBメモリ
ソフト・クラウド会計ソフト、Microsoft 365やGoogle Workspace、販売管理のクラウド
ネットワークルーター、Wi-Fiのアクセスポイント、VPN（社外から社内につなぐ仕組み）

台帳は、このあとのリスクアセスメント（危なさの洗い出しと評価）の土台になります。何を持っているか分からなければ、どこが危ないかも判断できないからです。進め方はリスクアセスメントの手順で説明します。

台帳にはどんな列が要る？列の例

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）には、付録6として「資産管理台帳（サンプル）」（Excel）が付いています。その「情報資産管理台帳」シートの列を土台に、実務で足すと便利な列を加えたのが次の表です。

列書く内容
業務分類営業・経理・人事など、その情報を使う業務や部署
情報資産の名前「顧客リスト」など社内の呼び名でよい
利用者の範囲使ってよい部署や人
管理部署・管理者守る責任を持つ人。小さな会社は担当者名でよい
媒体・保存先事務所PC、社内サーバー、クラウド、書類など
機密性・完全性・可用性それぞれ3〜1で評価する
重要度3つの評価のうち一番大きい数字
保存期限法定の保存期間、または消す時期
登録日・更新日最後に見直した日
（追加）サービス名と管理者アカウントクラウドの場合、どの契約か、誰が管理者か
（追加）社外への持ち出し・委託先持ち出してよいか、外部に預けているか

機密性・完全性・可用性は、「見せない・書き換えさせない・止めない」の3つの軸です。詳しくは機密性・完全性・可用性とはをご覧ください。

サンプルには、ほかに「ネットワーク機器台帳」「ソフトウェア台帳」「ハードウェア台帳」のシートもあります。情報の台帳を1枚作ったら、それを置いている機器やソフトを、この3枚に書き足していく形です。

情報資産台帳の作り方：5つの手順

IPAのガイドラインは、パソコンのハードディスクや机の引き出しを見るのではなく、日常どの情報を使って仕事をしているかから洗い出すよう勧めています。次の順で進めると、1日で下書きができます。

  1. 業務を並べる：受注、出荷、請求、給与、採用など、会社の業務を10個前後書き出します。
  2. 業務ごとに使う情報を書く：受注なら「注文書」「顧客リスト」「見積書」のように挙げます。
  3. 置き場所ごとに行を分ける：同じ見積書でも、PCの電子データと紙の控えは別の行にします。守り方と危なさが違うためです。
  4. 3つの軸に3〜1を付ける：付録6の「重要度定義」シートを見ながら評価します。重要度は3つのうち最大の値です。
  5. 管理者と見直し日を決める：行ごとに責任者を書き、年1回の見直し月を決めます。

ガイドラインでは、事故が起きると法的責任を問われる情報や、個人情報を含む情報は、計算の結果にかかわらず重要度を3にするとしています。個人情報保護法で安全管理が求められているからです。

たとえば社員25人の卸売業では（架空の例）

総務の1人が情報システムを兼務している会社を考えます。最初の1日で、次のような行ができました。

情報資産・保存先機・完・可重要度管理者
顧客リスト・販売管理クラウド3・2・33営業課長
顧客リスト・営業のノートPC3・2・23各営業担当
仕入価格表・共有フォルダ2・2・22購買担当
商品カタログ・ホームページ1・2・22総務

書き出してみると、顧客リストが営業のノートPCにも複製されていると分かりました。PCの紛失に備えた暗号化が、次の対策の候補になります。台帳は、こうした「知らなかった置き場所」を見つける道具でもあります。

IPAの資産管理台帳のサンプルで、リスク値まで出せる？

出せます。付録6の「リスク値算定」シートに、台帳の行ごとに「脅威の発生頻度」と「脆弱性」を3〜1で選ぶと、リスク値が自動で表示されます。脅威とは事故の原因になるもの、脆弱性とはそれにつけ込まれる弱点のことです。

シート名使い方
台帳記入例・重要度定義書き方の見本と、3〜1の判断基準
情報資産管理台帳洗い出した情報を書く本体
ネットワーク機器・ソフトウェア・ハードウェア台帳情報を置いている機器やソフトの詳細
リスク値算定脅威と脆弱性を選び、リスクの大・中・小を出す

ガイドライン第4.0版は、リスク値を「重要度×被害発生可能性」で求め、大きいものから対策を決める手順を示しています。なお、2026年10月時点のIPAの配布ページには「リスク分析シート」という名前の付録はなく、この算定は付録6の中で行います。算定の考え方はリスクアセスメントの手順で詳しく説明します。

台帳はいつ見直す？形だけにしないコツ

台帳は作った日から古くなります。情報処理技術者試験の情報セキュリティマネジメント試験（SG）のシラバスも、情報資産の受け入れ・管理者の変更・廃棄などを台帳に反映して維持することを求めています。

チェックシートではこう聞かれる

よくある設問答え方の例
情報資産の管理台帳を作成し、管理していますか。はい。IPAのサンプルを基に、保存先・管理者・重要度を記載した台帳を作り、年1回と機器の入れ替え時に更新しています。
情報資産を重要度に応じて分類していますか。はい。機密性・完全性・可用性を3段階で評価し、個人情報を含むものは最も高い区分にしています。
貴社が預かる当社の情報の保管場所を特定できますか。はい。台帳で保存先と管理者を特定しており、ご依頼があれば保管場所を回答できます。
ハードウェア・ソフトウェアの一覧を管理していますか。いいえ。現在は情報の台帳のみで、〇月までに機器とソフトの台帳を追加する予定です。

「いいえ」でも、予定と代わりの管理を添えると誠実な回答になります。書き方の全体はチェックシートの回答の書き方を参考にしてください。

試験ではここが問われる

SG・支援士・Security+ 5・CISSP 2・CISM 2

  • 台帳の目的：守る対象を特定し、リスクアセスメントの土台にすること。資産の価値・脅威・脆弱性の評価は台帳から始まります。
  • 重要度の付け方：機密性・完全性・可用性をそれぞれ評価し、最も高いものを重要度とする考え方がよく出ます。
  • 資産の管理者（オーナー）：資産ごとに責任者を決めます。CISSPやCISMでは、分類を決める責任はデータの所有者にあると整理されます。
  • 維持管理：SGのシラバスは、受け入れ・配置・管理者変更・構成変更・移転・廃棄の反映を挙げています。
  • 英語：asset inventory（資産目録）、asset owner（資産の管理責任者）、data classification（データの分類）。

確認問題

問1 情報資産台帳を作るときの進め方として、最も適切なものはどれですか。

  1. ア 全社員のパソコンのフォルダを1つずつ開き、ファイル名をすべて書き写す
  2. イ 業務ごとに使っている情報を挙げ、保存先ごとに行を分けて書く
  3. ウ 重要度の高い情報だけを書き、それ以外は台帳に載せない
  4. エ 機器の一覧を作れば、情報の一覧は作らなくてよい
答えと解説
正解：イ　業務から洗い出すと漏れが減り、保存先ごとに分けると守り方の違いを書けます。アは手間が大きく、まとまりで管理する考え方に合いません。ウは重要度を判断する前に対象を外しています。エは、守る中身である情報が抜けます。

問2 社員18人の会計事務所（架空）で、顧問先の給与データを評価しました。機密性3、完全性3、可用性2です。IPAのサンプルの考え方で、重要度はいくつですか。

  1. ア 2
  2. イ 3
  3. ウ 8（3つの合計）
  4. エ 18（3つの積）
答えと解説
正解：イ　重要度は3つの評価のうち最大の値です。最大が3なので重要度は3です。さらに給与データは個人情報を含むため、計算にかかわらず3とする扱いにも当たります。合計や積で求める方式ではありません。

問3 情報資産台帳を更新するきっかけとして、最も適切でないものはどれですか。

  1. ア 新しいクラウドサービスを契約した
  2. イ 情報の管理者が異動した
  3. ウ 古いノートパソコンを廃棄した
  4. エ 社員がパスワードを定期的に変更した
答えと解説
正解：エ　パスワードの変更では、資産の種類・置き場所・管理者は変わりません。アは資産の受け入れ、イは管理者の変更、ウは廃棄に当たり、台帳への反映が必要です。

よくある質問

情報資産台帳は、Excelで作ってもよいですか？
はい、Excelで十分です。IPAが配るサンプルもExcelです。大事なのは形式よりも、管理者と更新日が書かれ、実際に見直されていることです。台帳のファイル自体も重要な情報なので、見られる人を絞って保管してください。
情報資産台帳と、IT資産管理ツールの一覧は何が違いますか？
情報資産台帳は「どの情報がどこにあり、どれだけ大事か」を書く表で、IT資産管理ツールは主に機器とソフトの一覧です。IPAのサンプルも、情報の台帳と機器・ソフトの台帳を分けています。ツールの一覧は、機器やソフトの台帳の代わりとして使えます。
社員10人の会社でも、情報資産台帳は必要ですか？
はい、規模に合わせた簡単なもので構いません。10人の会社なら、10〜20行ほどで主な情報は書き出せます。取引先のチェックシートでもよく聞かれるため、先に作っておくと回答が楽になります。

この記事のまとめ

台帳の設問は、回答案を確かめて出すだけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の台帳や管理の実態に合わせた回答を作ってお返しします。台帳がまだない場合は、「いいえ」の項目の書き方と、整える順番も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）と付録6「資産管理台帳（サンプル）」
  2. ISO「ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements」（2022年10月）
  3. NIST「The NIST Cybersecurity Framework (CSF) 2.0」（2024年2月）
  4. 日本産業標準調査会（JISC）「JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語」（2019年）※JIS検索から閲覧
  5. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）