IT資産管理台帳のテンプレート｜機器・ソフト・ネットワークで記録する項目

IT資産管理台帳は、会社で使っているパソコンやサーバ、ソフトウェア、クラウドサービス、ネットワーク機器などを一覧にした表です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、IT資産管理を、社内で利用しているIT機器やソフトウェア、ライセンス、クラウドサービスなどを正確に把握し、適切に管理することだと説明しています。この記事では、台帳のテンプレートに入れておきたい項目を、資産の種類ごとに整理します。

IT資産管理でやること

ガイドラインのコラムでは、IT資産管理には次の活動が含まれると書かれています。台帳の列は、この4つを記録できるように作ります。

• 何の機器やソフトウェアが、どこで、誰によって使われているかの把握
• 購入・廃棄・更新の履歴管理
• ライセンスや契約の期限管理
• セキュリティ更新やパッチ適用の状況確認

未管理の機器やソフトウェアは、セキュリティホールになりがちだとも書かれています。資産が把握できていれば、脆弱性のあるソフトウェアや、サポート切れの機器を速やかに洗い出せます。

資産の種類ごとに入れたい項目

IPAの「資産管理台帳（サンプル）」（付録6）のハードウェア台帳・ソフトウェア台帳・ネットワーク機器台帳の列と、SCS評価制度★3の評価基準で把握を求められている情報をもとに、テンプレートの項目をまとめると次のようになります。

★3の評価基準では、パソコン・サーバ・スマートデバイスの製造元・OS・台数、ネットワーク機器の製造元・モデル・保守事業者を「把握するための仕組みを整備すること」が求められています。表計算ソフトの一覧でも、決まった列で漏れなく記録していれば、その仕組みの一部になります。

台帳とあわせて用意するもの

ネットワーク図

ガイドラインは、主要なネットワークセグメントやデバイスの配置等を記載したネットワーク図（構成図）を作成・版管理し、構成変更の度に更新して活用するよう勧めています。台帳の「ネットワーク名」と、図の中の名前をそろえておくと、照らし合わせやすくなります。

管理ルール

★3の評価基準では、情報機器・OS・ソフトウェアについて、導入、設置、ネットワーク接続及びセキュリティパッチ適用のルールを含む管理ルールを定めることも求められています。台帳はルールに沿って運用している記録にもなります。

台帳を作ってから続ける手順

1. 今ある機器・ソフト・クラウドサービス・ネットワーク機器を洗い出し、上の項目でテンプレートを埋める。
2. 購入・入れ替え・廃棄・担当者の交代があったら、その都度、台帳の行を直す。廃棄した機器は行を消さず、廃棄日と抹消処理の記録を残す。
3. サポートの期限やライセンス・契約の期限が近いものを、定期的に確かめる。
4. 点検の時期を決めて、台帳と現物・ネットワーク図を見比べ、点検した日・担当者・結果を記録する。

ガイドラインは、IT資産管理は単なるリスト作りや棚卸しではないとし、定期的な見直しを習慣化するよう勧めています。IT資産の管理に労力を割くことが難しい場合は、一元管理ができるIT資産管理ツールの導入やクラウドサービスの利用も選択肢に挙げています。なお、経済産業省のよくある質問では、SCS評価制度の評価基準を達成するにあたって、特定のセキュリティ対策製品の導入を求めるものではないと説明されています。