サイバーセキュリティ

Feb 26, 2026

最終更新: May 6, 2026

中小企業のIT資産管理の始め方｜Excel台帳から脱却する3ステップとSCS評価制度★3対応【2026年版】

現役情シス10年目（社会インフラ系・5,000名規模）が、中小企業向けにIT資産管理の始め方を解説。Excel台帳の限界を踏まえて、棚卸し→仕組み化→ツール導入の3ステップで進める手順をまとめました。SCS評価制度★3対応・シャドーIT/シャドーAI対策・サイバーセキュリティお助け隊サービス（新類型）の活用法、SharePointを4年で廃止した自社の失敗から学んだ「ツール先行ではなく業務フロー先行」の原則も収録。

「うちの会社で使っているパソコン、全部で何台あるか把握していますか？」

この質問に即答できる中小企業の社長は、意外と少ないのではないでしょうか。社員が日々使っているパソコンやスマートフォン、業務用のソフトウェアやクラウドサービス――これらを「IT資産」と呼びます。そして、このIT資産を正しく把握・管理する取り組みが「IT資産管理」です。

「そんな管理、うちの規模では必要ないよ」と感じる方もいるかもしれません。しかし2026年度末、経済産業省が主導するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）がスタートします。この制度では、取引先企業に対してセキュリティ対策の「見える化」が求められ、その第一歩が自社のIT資産を正確に把握することなのです。SCS評価制度の全体像と★3取得の流れは別記事で詳しく解説しています。

本記事では、IT初心者の方でも明日から取り組める具体的な方法を、3ステップでお伝えします。

想定読者

自社のIT資産を把握できていないと感じている中小企業の経営者・担当者の方
Excel台帳でIT資産を管理しているが、限界を感じている方
SCS評価制度に向けた準備を始めたいが、何から手をつければいいか分からない方

この記事で得られること

IT資産管理とは何か、なぜ中小企業に必要なのか
Excel台帳での管理に潜む「5つの限界」
Excel脱却の3ステップ（棚卸し → 仕組み化 → ツール導入）
SCS評価制度（★3）取得に向けた具体的な準備方法
国の支援策「サイバーセキュリティお助け隊サービス（新類型）」の活用法

私が情シスとして実際にやらかした「ツール先行」の失敗 ── IT資産管理にも同じ罠がある

私は現職（社会インフラ系企業・従業員約5,000名／情報システム部10年目）で、部長クラスのトップダウンで導入された SharePoint が4年で廃止に追い込まれた失敗案件 を間近で見てきました。撤退コストは約50万円、移行・撤去工数も含めるとそれ以上です。失敗の本質はシンプルで、文書保存ルールや業務フローを整備しないまま、ツールだけを先に入れた ことに尽きます。「使う側のルール」が無い箱は、結局誰も入れず、誰も維持しない。これはIT資産管理ツールの導入でも、まったく同じ構造で繰り返されます。

だから本記事では、いきなり「IT資産管理ツールはこれが良い」という比較記事の作り方をしません。ステップ1：棚卸し → ステップ2：仕組み化（誰がいつ更新するか／退職時のアカウント削除フローまで含む） → ステップ3：はじめてツール導入 という順番を守ります。SharePointの失敗から私が学んだのは、「ツール選定よりも先に、運用ルールと責任者を決めた人が勝つ」ということでした。SCS評価制度の★3が見ているのも結局はこの「網羅性と更新性」であり、Excelで小さく始めて運用が回ってからツールに乗せ換える方が、成功確率は高い と感じています。

【基礎知識】IT資産管理とは？ ── 社長が知っておくべき基本

IT資産とは「会社のIT関連のモノすべて」

IT資産管理の「IT資産」とは、会社で使っているIT関連のモノやサービスのすべてを指します。具体的には以下のようなものです。

graph TB
    style A fill:#1a5276,stroke:#5dade2,color:#ecf0f1,stroke-width:2px
    style B fill:#1e8449,stroke:#58d68d,color:#ecf0f1,stroke-width:2px
    style C fill:#b9770e,stroke:#f4d03f,color:#ecf0f1,stroke-width:2px
    style D fill:#7d3c98,stroke:#bb8fce,color:#ecf0f1,stroke-width:2px
    style E fill:#922b21,stroke:#f1948a,color:#ecf0f1,stroke-width:2px

    A["🖥️ IT資産の全体像"]
    A --> B["ハードウェア<br/>（形あるモノ）<br/>──────<br/>パソコン・サーバー<br/>スマートフォン<br/>タブレット<br/>プリンター<br/>Wi-Fiルーター"]
    A --> C["ソフトウェア<br/>（形のないモノ）<br/>──────<br/>OS（Windows等）<br/>Office製品<br/>ウイルス対策ソフト<br/>業務用アプリ<br/>会計ソフト"]
    A --> D["クラウドサービス<br/>（ネット上のサービス）<br/>──────<br/>Gmail / Microsoft 365<br/>Slack / Teams<br/>AWS / Azure<br/>Dropbox / Box<br/>freee / マネーフォワード"]
    A --> E["ライセンス・契約<br/>（利用する権利）<br/>──────<br/>ソフトの利用権<br/>月額サブスクリプション<br/>保守契約<br/>リース契約"]

IT資産管理の目的は「3つの守り」

IT資産管理には、大きく3つの目的があります。

1. セキュリティを守る

会社にどんなIT機器やソフトがあるか分からなければ、守りようがありません。たとえるなら「家にドアが何枚あるか分からないのに、鍵をかけている」ような状態です。IT資産を把握することで初めて、ウイルス対策ソフトの導入状況やOSの更新状況をチェックできるようになります。

2. コストを守る

「使っていないのに毎月料金が引き落とされているクラウドサービス」「退職した社員のライセンスが残ったままのソフト」――IT資産を管理していないと、こうした無駄なコストが発生します。退職・異動時のアカウント削除やライセンス棚卸しは、引き継ぎプロセスの一環として整備しておくことが重要です。具体的なテンプレート（システム一覧、ライセンス管理表など）は「情シスの「引き継ぎ」完全ガイド」で解説しています。

3. 取引先との信頼を守る（SCS評価制度への対応）

2026年度末に開始予定のSCS評価制度では、多くの中小企業がまず目指す**★3（基礎レベル）**で、自社のIT資産の把握が要求事項の一つとなっています。

【背景】なぜ今、IT資産管理が「待ったなし」なのか

SCS評価制度で「IT資産把握」が必須に

2025年12月26日、経済産業省はSCS評価制度の制度構築方針（案）を公表しました。この制度は、取引先ごとに異なるセキュリティ要件を共通の★基準で”見える化”することを目的としています。

graph TB
    style S5 fill:#922b21,stroke:#f1948a,color:#ecf0f1,stroke-width:2px
    style S4 fill:#b9770e,stroke:#f4d03f,color:#ecf0f1,stroke-width:2px
    style S3 fill:#1e8449,stroke:#58d68d,color:#ecf0f1,stroke-width:2px
    style S2 fill:#2c3e50,stroke:#85929e,color:#ecf0f1,stroke-width:2px
    style S1 fill:#2c3e50,stroke:#85929e,color:#ecf0f1,stroke-width:2px
    style NOTE fill:#1a5276,stroke:#5dade2,color:#ecf0f1,stroke-width:2px

    S5["★5 Advanced<br/>──────<br/>リスクベースの高度な対策<br/>（2026年度以降に具体化予定）"]
    S4["★4 Standard<br/>──────<br/>包括的なセキュリティ対策<br/>第三者評価が必要<br/>ITベンダー・重要インフラ向け"]
    S3["★3 Basic<br/>──────<br/>全サプライチェーン企業の<br/>最低限の基礎対策<br/>専門家確認付き自己評価"]
    S2["★2（SECURITY ACTION）<br/>──────<br/>情報セキュリティ<br/>基本方針の策定"]
    S1["★1（SECURITY ACTION）<br/>──────<br/>情報セキュリティ5か条<br/>に取り組むことを宣言"]

    S5 --> S4
    S4 --> S3
    S3 --> S2
    S2 --> S1

    NOTE["📌 中小企業がまず<br/>目指すべきは★3<br/>──────<br/>2026年度末に<br/>制度開始予定"]
    NOTE -.-> S3

★3では「特定（Identify）」のカテゴリで、自社のIT基盤を構成する資産やクラウドサービスの把握が明確に求められています。IT資産管理は、大企業との取引を続けるための前提条件になりつつあるのです。

サプライチェーン攻撃で中小企業が「入口」にされている

IPAが発表した「情報セキュリティ10大脅威 2025」では、サプライチェーンを狙った攻撃が第2位にランクインしました。攻撃者は、セキュリティが手薄な中小企業を踏み台にして、大企業のシステムに侵入するケースが増えています。

IT資産を正確に把握していない状態は、自社だけでなく取引先全体にリスクを広げかねない状況です。私はここに中小企業の最大のリスクの一つがあると感じています。

【問題点】Excel台帳でのIT資産管理──「5つの限界」

多くの中小企業では、今でもExcelでIT資産を管理しています。もちろんExcelは手軽に始められる優れたツールですが、管理対象が増えてくると限界に直面します。

限界①：更新が追いつかない

Excelは手入力が基本です。パソコンを新しく購入したとき、ソフトをインストールしたとき、その都度手動で台帳を更新しなければなりません。忙しい日々の中で、更新を忘れてしまうことは珍しくありませんよね。

限界②：情報の正確性を保てない

「台帳にはWindows 10と書いてあるが、実際にはWindows 11にアップグレード済み」「ウイルス対策ソフトのバージョンが古いまま記載されている」──手入力である以上、こうした情報のズレは避けられません。

限界③：リアルタイム性がない

OSのバージョンやセキュリティパッチの適用状況は日々変わります。Excelでは、調べた時点の情報しか記録できず、「今この瞬間」のIT資産の状態を知ることができません。

限界④：シャドーIT・シャドーAIを発見できない

シャドーITとは、会社が把握していないITツールやサービスを社員が勝手に使っている状態のことです。最近では、ChatGPTなどの生成AIサービスを社員が無断で業務に使う**「シャドーAI」**も新たなリスクとして注目されています。

Excelでの管理では、そもそも「会社が把握しているもの」しか台帳に載りません。私はこの「見えないIT」こそ、中小企業が最も警戒すべきリスクの一つだと考えています。

限界⑤：SCS評価制度の要件を満たせない

SCS評価制度の★3では、エンドポイント機器の存在とその管理状況を網羅的に把握することが前提とされています。Excelでの手入力管理では、この「網羅性」を証明することが困難です。

graph TB
    style EXCEL fill:#922b21,stroke:#f1948a,color:#ecf0f1,stroke-width:2px
    style L1 fill:#b9770e,stroke:#f4d03f,color:#1a1a2e,stroke-width:2px
    style L2 fill:#b9770e,stroke:#f4d03f,color:#1a1a2e,stroke-width:2px
    style L3 fill:#b9770e,stroke:#f4d03f,color:#1a1a2e,stroke-width:2px
    style L4 fill:#b9770e,stroke:#f4d03f,color:#1a1a2e,stroke-width:2px
    style L5 fill:#b9770e,stroke:#f4d03f,color:#1a1a2e,stroke-width:2px
    style RISK fill:#7d3c98,stroke:#bb8fce,color:#ecf0f1,stroke-width:2px

    EXCEL["📊 Excel台帳での管理"]
    L1["❌ 更新が追いつかない<br/>手入力に依存"]
    L2["❌ 情報の正確性が低い<br/>入力ミス・記載漏れ"]
    L3["❌ リアルタイム性がない<br/>「今」の状態が分からない"]
    L4["❌ シャドーIT/AIを<br/>発見できない"]
    L5["❌ SCS評価制度の<br/>要件を満たせない"]
    RISK["⚠️ セキュリティリスク増大<br/>取引機会の損失"]

    EXCEL --> L1
    EXCEL --> L2
    EXCEL --> L3
    EXCEL --> L4
    EXCEL --> L5
    L1 --> RISK
    L2 --> RISK
    L3 --> RISK
    L4 --> RISK
    L5 --> RISK

【3ステップ】Excel台帳から脱却する具体的な方法

では、具体的にどう進めればよいのでしょうか。私がお勧めする3ステップを紹介します。いきなりツールを導入するのではなく、まず「手元の整理」から始めることがポイントです。

ステップ1：情報資産とIT資産を棚卸しする

IT資産管理の最初の一歩は、「自社に何があるか」を洗い出すことです。ここで大切なのは、IT資産だけでなく「情報資産」も併せて整理することです。

情報資産とは、顧客データ、設計図面、契約書、財務データなど、会社にとって価値のある情報そのもののことです。IT資産はあくまで「情報資産を保管・処理する器」にすぎません。

graph TB
    style A fill:#1a5276,stroke:#5dade2,color:#ecf0f1,stroke-width:2px
    style B fill:#1e8449,stroke:#58d68d,color:#ecf0f1,stroke-width:2px
    style C fill:#b9770e,stroke:#f4d03f,color:#ecf0f1,stroke-width:2px
    style D fill:#7d3c98,stroke:#bb8fce,color:#ecf0f1,stroke-width:2px
    style E fill:#922b21,stroke:#f1948a,color:#ecf0f1,stroke-width:2px

    A["🔍 ステップ1<br/>棚卸しの進め方"]
    B["① 情報資産の洗い出し<br/>──────<br/>顧客データ / 設計図面<br/>契約書 / 財務情報<br/>人事データ / 技術ノウハウ"]
    C["② 重要度ランク付け<br/>──────<br/>S：漏洩すると事業存続に関わる<br/>A：漏洩すると大きな損害<br/>B：漏洩すると影響あり<br/>C：公開情報"]
    D["③ 保管場所の特定<br/>──────<br/>どのPC / サーバーに保管？<br/>クラウド上？紙で保管？<br/>誰がアクセスできる？"]
    E["④ IT資産の一覧化<br/>──────<br/>全PC / スマホ / サーバー<br/>ソフト / クラウドサービス<br/>ネットワーク機器"]

    A --> B
    B --> C
    C --> D
    D --> E

具体的な棚卸しの手順

手順1：情報資産を洗い出す

「うちの会社で守るべき大切な情報は何か？」を考えます。部門ごとに以下のようにリストアップしてみてください。

部門	情報資産の例
営業部	顧客リスト、見積書、商談記録、取引先情報
製造部	設計図面、製造レシピ、品質検査データ
総務・経理	従業員の個人情報、給与データ、決算書
経営層	事業計画書、M&A情報、株主情報

手順2：情報資産の重要度をランク付けする

すべてを同じレベルで守ろうとするとコストが膨大になるため、メリハリをつけることが大切です。

ランク	基準	例
S（最重要）	漏洩すると事業存続に関わる	顧客の個人情報、設計図面の原本
A（重要）	漏洩すると大きな損害が発生する	決算データ、取引先リスト
B（一般）	漏洩すると業務に影響がある	社内連絡先、業務マニュアル
C（公開）	漏洩しても影響は限定的	会社パンフレット、公開済みプレスリリース

手順3：保管場所と管理状況を整理する

ランク付けした情報資産が「どこに」「どのように」保管されているかを調べます。どのパソコン・クラウドサービスに保管されているか、誰がアクセスできる状態か、バックアップは取られているかなどを確認しましょう。

手順4：IT資産を一覧化する

ここが**シャドーITやシャドーAIを「あぶり出す」**タイミングです。社員全員に「業務で使っているツール・サービス」をアンケート形式で聞くのが効果的です。クラウドサービス（SaaS）に焦点を当てた一覧の作り方や棚卸しチェックシート、コスト最適化の進め方は「SaaS管理入門」で詳しく解説しています。生成AIの利用ルールを定めたい場合は、情報セキュリティポリシーの策定とあわせて進めると、一貫した体制を整えられます。

💡 ポイント 「怒られるかも」と思って正直に答えてもらえないこともあります。**「現状把握が目的であり、罰則を設ける調査ではない」**と伝えることが大切です。

以下の項目を記録しましょう。

管理項目	記録すべき内容
機器名・型番	Dell Latitude 5540 など
管理番号	社内で割り当てる番号（PC-001 など）
利用者	田中太郎（営業部）
OS・バージョン	Windows 11 Pro 24H2
ウイルス対策ソフト	○○セキュリティ v12.3（更新済み）
インストール済みソフト	Office 365, Chrome, Slack, 会計ソフトxx
クラウドサービス利用状況	Google Workspace, Dropbox, ChatGPT

ステップ2：管理ルールを仕組み化する

棚卸しが完了したら、次は管理を「継続する仕組み」を作るステップです。IT資産管理は、一度台帳を作って終わりではありません。定期的な棚卸しのサイクルを回すこと――これがIT資産管理で最も大切な考え方です。

最低限決めておくべき4つのルール：

graph TB
    style A fill:#1a5276,stroke:#5dade2,color:#ecf0f1,stroke-width:2px
    style B fill:#1e8449,stroke:#58d68d,color:#ecf0f1,stroke-width:2px
    style C fill:#b9770e,stroke:#f4d03f,color:#ecf0f1,stroke-width:2px
    style D fill:#7d3c98,stroke:#bb8fce,color:#ecf0f1,stroke-width:2px
    style E fill:#922b21,stroke:#f1948a,color:#ecf0f1,stroke-width:2px

    A["📋 管理ルールの仕組み化"]
    B["ルール①<br/>IT機器の購入・廃棄時に<br/>必ず台帳を更新する"]
    C["ルール②<br/>ソフト・サービスの<br/>導入には申請を必須にする"]
    D["ルール③<br/>四半期に1回<br/>棚卸しを実施する"]
    E["ルール④<br/>管理担当者を<br/>明確に決める"]

    A --> B
    A --> C
    A --> D
    A --> E

ルール① IT機器の購入・廃棄時に必ず台帳を更新する
ルール② ソフトウェア・クラウドサービスの導入には申請を必須にする（シャドーIT・シャドーAI対策の要です）
ルール③ 四半期に1回、棚卸しを実施する
ルール④ 管理担当者を明確に決める（兼任でOK）

ステップ3：クラウド型IT資産管理ツールを導入する

ステップ1・2で管理の土台ができたら、いよいよツールによる自動化・効率化に進みます。最初からツールを導入するのではなく、まず手作業で全体像を把握してからツールに移行する方が、結果的にスムーズに進むと思います。

なぜ「クラウド型」がおすすめなのか

IT資産管理ツールには、自社サーバーに設置する「オンプレミス型」と、インターネット経由で利用する「クラウド型」があります。中小企業には、以下の理由からクラウド型をお勧めします。自社サーバーからクラウドへの移行を検討されている方は「クラウド移行ロードマップ」もあわせてご参照ください。

比較項目	クラウド型	オンプレミス型
初期費用	低い（月額制）	高い（サーバー購入が必要）
導入の手間	少ない（申込みですぐ使える）	多い（設計・構築が必要）
テレワーク対応	○（どこからでもアクセス可）	△（VPN設定が必要）
月額コスト目安	1台あたり300〜500円程度	─

ツール選定の5つのチェックポイント

✅ 1. 自動収集機能：PCにインストールしたエージェントが情報を自動で収集できるか
✅ 2. 対応OS・デバイス：Windows / Mac / iOS / Android に対応しているか
✅ 3. セキュリティ機能：OS更新状況の確認、操作ログの取得ができるか
✅ 4. コスト：月額料金・最低利用台数・無料トライアルの有無
✅ 5. サポート体制：日本語サポートの有無・導入支援サービス

**特に重要なのは「1. 自動収集機能」**です。エージェントが自動で情報を集めてくれるので、手入力の手間がなくなり、情報の正確性も大幅に向上します。

中小企業に導入実績が多い主要ツール比較（2026年2月時点）

日本の中小企業での導入実績が多いクラウド型IT資産管理ツールを以下に整理しました。各社の公式サイトに掲載された情報をもとにしています（2026年2月時点）。料金はプランや契約台数によって異なるため、導入前に必ず各社の公式サイトで最新情報をご確認ください。

ツール名	提供会社	主な機能	対応デバイス	月額料金目安（税別・定価）	無料トライアル
LANSCOPE Cat	エムオーテックス㈱	ハード・ソフト管理、操作ログ収集、セキュリティポリシーチェック、レポート出力	Win / macOS	396円/台/月〜	30日間
AssetView CLOUD	㈱ハンモック	IT資産・ライセンス管理、セキュリティ対策、稼働状況把握	Win / macOS / iOS / Android	330円/台/月〜	30日間
SKYSEA Client View	Sky㈱	資産管理・操作ログ・ファイル操作管理・リモート接続（国内導入実績多数）	Win / macOS / iOS / Android	主にオンプレミス型・要見積もり	要問合せ
ISM CloudOne	クオリティソフト㈱	クラウドネイティブ設計、ハード・ソフト・セキュリティ状況の一元管理	Win / macOS / iOS / Android	330円/台/月〜	30日間
GS EVOLUTION	富士通Japan㈱	PC・周辺機器・ソフト・ライセンス管理（中堅・中小企業向けパッケージ）	Win	要問合せ	要問合せ

各ツールのポイント：

LANSCOPE Cat（エムオーテックス） 国内での導入実績が豊富で、IT資産管理と操作ログ管理を一体で提供しています。エージェントをPCにインストールするだけで、ハードウェア情報・インストール済みソフトを自動収集します。SCS評価制度の要求事項に対応したレポート出力機能も備えており、★3取得に向けた証跡収集に役立ちます。

AssetView CLOUD（ハンモック） シンプルな操作性と、ソフトウェアライセンスの過不足管理（余剰ライセンスの可視化）に強みがあります。IT導入補助金の対象ツールにもなっており、初期コストを抑えた導入が可能です。1台からクラウドで管理を始められる点が小規模企業にも向いています。

SKYSEA Client View（Sky） 国内の大企業・中堅企業を中心に圧倒的な導入実績を持ちます。資産管理に加えて、操作ログ・ファイル持ち出し監視など内部不正対策機能が充実しています。主にオンプレミス型のため自社サーバーが必要ですが、クラウド環境との連携オプションも拡充されています。

ISM CloudOne（クオリティソフト） クラウドネイティブ設計で、テレワーク中のPCも含めてリアルタイムで管理できます。セキュリティパッチの適用状況確認やOSバージョン管理に強みがあり、SCS評価制度の「特定（Identify）」要求事項への対応に役立ちます。

GS EVOLUTION（富士通Japan） 富士通が中堅・中小企業向けに展開するIT資産管理ソリューションです。PC本体だけでなく、プリンターやネットワーク機器などの周辺機器まで含めた幅広い資産管理に対応しています。富士通のサポート体制を活用できるため、IT専任担当者が少ない企業でも安心して導入できます。

💡 規模別のツール選びの目安

〜30台規模：LANSCOPE Cat・AssetView CLOUDなど月額費用が低くトライアルが充実したクラウド型から始めるのがおすすめです

30〜100台規模：IT資産管理に加えて操作ログ・内部不正対策も必要な場合は SKYSEA Client View や LANSCOPE Cat が有力な選択肢です

Microsoft 365利用企業：既存の Microsoft Intune（Microsoft 365 Business Premium に含まれる）を活用することで、追加費用なしにエンドポイント管理を強化できる場合があります

【最新情報】2026年2月：国の支援策を活用しよう

サイバーセキュリティお助け隊サービス（新類型）とは

2026年2月19日、経済産業省は「サイバーセキュリティお助け隊サービス（新類型）」の詳細を公表しました。これは、中小企業がSCS評価制度の★3や★4を取得するための支援サービスです。

STEP1：セキュリティ対策状況の評価：自社のセキュリティ対策が★3や★4の要求事項をどの程度満たしているかを専門家が評価します。
STEP2：未達成項目の達成支援：評価で不足している項目について、ITツールの導入や人的支援によって達成を支援します。

2026年8月頃から約1年間、この新類型サービスの実証事業が開始予定です。実証事業に参加すると、SCS評価制度対応のためのセキュリティサービスを実証期間中は無料で受けられます。

私としては、国の後押しがあるこのタイミングこそ、セキュリティ投資の絶好のチャンスだと考えています。SCS評価制度が本格運用された後に慌てて対応するよりも、実証事業の段階で無料の支援を受けながら体制を整える方が、圧倒的にコストパフォーマンスが高いはずです。

【ユースケース】業種別の対応策

ケース1：製造業（従業員50名）

状況：大手メーカーの二次下請け。IT担当は総務の兼任者1名。パソコンは30台あるが、正確な台数を把握できていない。

対応策：全PCの棚卸しを実施（工場と事務所を分けてリスト化）→ 設計図面データの保管場所を特定し重要度Sランクに設定 → クラウド型IT資産管理ツールを導入

ケース2：IT系サービス業（従業員20名）

状況：大手企業からシステム開発を受託。社員はリモートワーク中心で、自宅からクラウドサービスを多用。シャドーITが蔓延している可能性がある。

対応策：全社員に利用ツールのアンケートを実施しシャドーITを可視化 → 承認済みツールリストを作成 → テレワーク環境も含めたIT資産管理ツールを導入

ケース3：サービス業・小売業（従業員15名）

状況：ECサイトも運営する小売店。生成AIで商品説明文を作成する際、顧客データを入力してしまう社員がいる。

対応策：顧客データを最重要情報資産（Sランク）として特定 → 生成AI利用のガイドラインを策定（顧客データの入力を禁止）

よくある質問（FAQ）

Q1. パソコンが10台以下の小規模企業でも、IT資産管理は必要ですか？

A. はい、必要です。台数が少ないからこそ、1台でもセキュリティの穴があると致命的です。ただし、10台以下であればExcelでの管理でもある程度対応可能です。クラウドサービスやソフトウェアの管理も忘れずに行いましょう。

Q2. IT資産管理ツールの費用はどのくらいかかりますか？

A. クラウド型の場合、1台あたり月額300〜500円程度が相場です。30台の企業であれば月額9,000〜15,000円程度が目安かと思います。IT導入補助金の対象となるツールもありますので、導入コストをさらに抑えられる可能性があります。

Q3. シャドーITとシャドーAIの違いは何ですか？

A. シャドーITは「会社が把握していないITツールやサービス全般」を指します。シャドーAIはその一種で、「ChatGPTや画像生成AIなどの生成AIサービスを会社の許可なく業務で使用すること」を指します。入力した情報がAIの学習データに使われ、外部に漏洩するリスクがあるため、通常のシャドーITよりも情報漏洩リスクが高いとされています。

Q4. SCS評価制度の★3取得にはどのくらいの期間がかかりますか？

A. 企業の現状によりますが、目安として3〜6ヶ月程度です。すでにSECURITY ACTION（★1・★2）を宣言している企業であれば、比較的スムーズに進められます。

【アクションリスト】明日から始めること

今週中にやること

自社のパソコン・タブレット・スマートフォンの台数を数える
利用中のクラウドサービスをリストアップする
IT資産管理の担当者（兼任でOK）を決める

今月中にやること

部門ごとに情報資産を洗い出し、重要度をランク付けする
社員全員に利用ツールのアンケートを実施する（シャドーIT/AI調査）
IT資産台帳の初版を作成する

3ヶ月以内にやること

SECURITY ACTION ★1・★2 を宣言する（未実施の場合）
クラウド型IT資産管理ツールの無料トライアルを試す
SCS評価制度の★3要求事項と自社の現状を照らし合わせる（ギャップ分析）

【まとめ】IT資産管理は「守り」と「攻め」の両方を強くする

本記事の内容をまとめると、こんな感じになります。

IT資産管理とは、会社のPC・ソフト・クラウドサービスを把握・管理する取り組み
SCS評価制度の★3では、IT資産の把握が必須要件になっている
Excel台帳管理には「更新漏れ」「リアルタイム性のなさ」「シャドーITの発見困難」など5つの限界がある
まずは棚卸し（ステップ1）→ 管理ルールの仕組み化（ステップ2）→ ツール導入（ステップ3）の順で進める
2026年8月から国の実証事業でセキュリティ支援を無料で受けられるチャンスがある

IT資産管理を「面倒な作業」と捉えるか、「コスト最適化と取引先との信頼構築を同時に実現する投資」と捉えるかで、会社の将来は大きく変わると思います。

まずは今週中に、自社のパソコンの台数を数えることから始めてみてください。その小さな一歩が、会社の「守り」と「攻め」の両方を強くする大きな一歩になるはずです。DX推進の全体像や自社の現在地を把握したい方は、DX成熟度のセルフ診断もあわせてご覧ください。

以上となります。

最後まで読んでいただき、ありがとうございました。

参考：

経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」経済産業省、2025年12月26日
経済産業省「サイバーセキュリティお助け隊サービス（新類型）」経済産業省、2026年2月19日更新
IPA「情報セキュリティ10大脅威 2025」IPA

サイバーセキュリティの記事をもっと読む →