情シスがいない会社のセキュリティ担当の決め方｜社長・兼任担当・外部の分け方

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：情シスがいなくても、責任者は社長、手を動かすのは兼任の担当1人、専門的な作業は外部と分ければ回せます。担当は詳しい人より、社内の機器とアカウントを把握できる立場の人を選びます。社長は方針と予算を決め、担当は月1回の点検を報告し、外部には診断や設定のように専門知識が要る作業を任せます。

セキュリティの役割は、社長が方針と予算、兼任担当が台帳と月1回の点検、外部が診断と設定を受け持つ

なぜ「担当を決める」から始めるのか

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、対策は経営者が主導しないと機能しないとしたうえで、担当者を任命して指示することを求めています。経営者が行う「重要7項目の取組」の2つ目は「情報セキュリティ対策のための予算や人材などを確保する」で、専門的な外部サービスの利用も検討するよう書かれています。

取引先のチェックシートでも、「セキュリティの責任者・担当者を決めていますか」はよく聞かれます。経済産業省のSCS評価制度でも、★3の例に「自社のセキュリティ担当の明確化」が挙がっています。

3者の役割分担

誰が	やること
社長（責任者）	基本方針を決める。予算と担当の時間を確保する。事故のときに取引先への連絡や公表を決める。月1回の報告を聞く。
兼任の担当	機器とアカウントの台帳を持つ。入退社のときにアカウントを作る・止める。月1回の点検をする。チェックシートの窓口になる。
外部	脆弱性診断、メール認証やネットワーク機器の設定、事故のときの調査など、専門知識が要る作業。

外部に任せても、決めることと責任は社内に残ります。外部の会社に頼むときは、何を頼んで何を頼んでいないかを契約やメールで残しておきます。

兼任担当の選び方

入退社とパソコンの手配に関わっている人：総務や管理部門の人が向いています。アカウントの作成と停止を自然に把握できます。
社長に直接話せる人：予算や「やめてほしい」を伝える場面があるからです。
月に2時間ほど空けられる人：詳しさより、決まった日に点検を続けられることを優先します。
代わりの人も決める：担当が休んだときに、台帳と連絡網の場所が分かる人を1人。

任命は口頭で済ませず、次のような1枚を残すと、取引先に聞かれたときの根拠になります。

【情報セキュリティの役割】決定日：20XX年X月X日

責任者：代表取締役 〇〇 〇〇
担当：〇〇部 〇〇 〇〇（兼任・月2時間程度）
担当の代わり：〇〇 〇〇

担当がすること
・機器とアカウントの台帳を持ち、入退社のたびに直す
・月1回の点検をして、結果を責任者に報告する
・取引先からのチェックシートの窓口になる
・事故の連絡を受けたら、責任者に知らせる

外部に任せること
・〇〇社：Webサイトの更新と点検
・〇〇社：パソコンとネットワーク機器の保守

見直し：毎年〇月

担当が月1回やること

更新が止まっていないか：パソコンのOS・ブラウザ、ルーターやVPN機器、Webサイトの管理画面に更新の知らせがないかを見る。
アカウントの出入り：今月の入社・退社・異動に合わせて、作る・止める・権限を変えるを済ませる。手順は退職者アカウントの棚卸しへ。
バックアップ：最後に成功した日付を見る。数か月に1回は1つのファイルを戻してみる。詳しくはバックアップの置き方へ。
ウイルス対策：全台で有効になっているか、管理画面や各パソコンで見る。
報告：「できたこと・できていないこと・判断してほしいこと」を3行で社長に送る。

パスワードのルールはパスワードのルールの決め方、事故の連絡網は連絡網1枚のひな形を使ってください。

外部に任せる範囲の決め方

目安は「年に数回しかやらない」「間違えると止まる・漏れる」作業です。Webサイトの脆弱性診断、メールの送信ドメイン認証（SPF・DKIM・DMARC）の設定、事故が起きたときの調査がその例です。IPAは、中小企業に欠かせない監視や対処のサービスを民間事業者がひとまとめにして提供する「サイバーセキュリティお助け隊サービス」の一覧も公開しています。ガイドライン第4.0版には、セキュリティ人材の確保・育成の実践ガイドブックも付録として加わりました。

よくある質問

社員が数人で、社長しかいません。

社長が責任者と担当を兼ねて構いません。そのぶん、月1回の点検を予定表に入れ、専門的な作業は外部に任せる範囲を広げてください。

担当にはどんな資格が要りますか？

資格は要りません。台帳を持ち、決まった点検を続けられることが大事です。分からないことを外部に聞ける窓口を用意しておくと続けやすくなります。

IT保守の会社にすべて任せていれば、担当は要りませんか？

保守の会社が見るのは契約した範囲だけのことが多いです。入退社やクラウドサービスの利用など、社内でしか分からないことを把握する人は社内に要ります。

専門的な作業だけ、外に出す

Moshiruは、打合せなし・テキストのやり取りだけで、セキュリティの作業を引き受けます。自社サイトの外から見える弱点は無料スキャンで、取引先からのチェックシートは回答代行で。担当の方の手間を減らします。

無料スキャンを申し込む対象のURLと許可だけチェックシート回答代行20問まで1.5万円