企業や組織が保有する情報には、業務の中核をなす「情報資産」が数多く含まれています。
しかし、具体的に「どんなものが情報資産なのか？」「どうやって守ればいいのか？」があいまいなままでは、万一の事故や攻撃に十分対応できません。
この記事では、情報資産の定義から代表的な例、守るためのポイントまでをわかりやすく解説します。
情報セキュリティ対策を進めたい方、情報資産台帳の作成を検討中の方はぜひ参考にしてください。
セキュリティ対策の出発点
セキュリティ対策というと、ウイルス対策ソフトやパスワードの強化を思い浮かべる方が多いかもしれません。
もちろんそれで間違えではないのですが、先にはっきりさせるべきことがあります。
それは、「何を守るべきか」を明確にすることです。
家の防犯対策を考えてみましょう。
家の中に多額の現金を保管するなら、金庫に入れて保管したり、監視カメラをつけて厳重に守ります。
逆に、特に守る必要がないのであれば、金庫や監視カメラは不要です。
情報セキュリティも同じです。
守るべきもの＝「情報資産」を洗い出すことが、対策の第一歩です。
情報資産とは何か？
「資産」と聞くと、お金や土地などを思い浮かべるかもしれません。
情報セキュリティでいう「情報資産」は、次のようなものを指します。
【個人の場合】
- メール、SNSやショッピングサイトのサービス登録情報（メールアドレス、ID、パスワード）
- 写真や動画などの思い出のデータ
- 自分の個人情報、家族や友人の連絡先
- 個人資料（履歴書、保険、年金、契約書など）
- 趣味の記録（ゲーム、旅行、読書メモなど）
【個人事業主・中小企業の場合】
- 顧客リストや予約情報
- 見積書・請求書・経理データ
- 製品、サービスなどの機密情報
- 社員の個人情報
- 外注先やパートナーとのやりとり記録
つまり、「失ったら困るもの」「他人に見られたくないもの」はすべて情報資産です。
なぜ情報資産の管理が重要なのか
情報資産を適切に管理しないと、知らないうちに大きなリスクに巻き込まれるおそれがあります。
ここでは、個人と企業に分けて、よくあるリスクとその影響を具体的に紹介します。
個人にとってのリスク
情報資産の管理を怠ることで、以下のようなトラブルが発生する可能性があります。
1. パスワードの使い回しによる不正ログイン
- 事例：同じパスワードをSNSとショッピングサイトで使っていたところ、片方のサイトから情報が漏えい。もう一方のアカウントにも不正アクセスされた。
- 影響：個人情報やクレジットカード情報の流出、身に覚えのない買い物被害。
2. 端末の紛失・盗難
- 事例：スマートフォンに保存していた写真やメモ帳の内容が第三者に見られてしまった。
- 影響：プライバシーの侵害や、連絡先に迷惑メールが送られるなどの二次被害。
3. クラウドサービスの設定ミス
- 事例：Google ドライブに保存したファイルを「リンクを知っている人なら誰でも閲覧可」に設定したまま放置。
- 影響：履歴書やマイナンバーなど、機密性の高い情報が誰でも見られる状態に。
個人事業主・中小企業にとってのリスク
組織においては、情報資産の流出が経営に直結する重大リスクになります。
1. 顧客情報の漏えい
- 事例：Excelで管理していた顧客名簿を誤って外部に送信。パスワードもかけていなかった。
- 影響：信頼失墜、損害賠償請求、個人情報保護委員会からの指導。
2. サイバー攻撃による業務停止
- 事例：社内サーバーがランサムウェアに感染し、業務データにアクセスできなくなった。
- 影響：数日間の業務停止、復旧費用や損害額が数百万円以上に。
3. 機密文書の社外持ち出し
影響：競合他社への情報漏えい、取引停止、社内処分など。
事例：営業担当がUSBメモリで資料を社外に持ち出し、紛失。バックアップも取られていなかった。
資産を洗い出すためのステップ
情報資産は、ただ思いつくまま書き出すだけでは不十分です。
次のステップで整理すると、漏れが少なくなります。
ステップ1：使っている機器を確認
- パソコン、スマホ、外付けHDD、USBメモリなどをすべて書き出しましょう。
ステップ2：使っているサービスを確認
- メール、クラウドストレージ、SNS、ネットバンキングなど。
ステップ3：そこに保存されている情報を確認
- 文書データ、写真、顧客情報、契約書など。
ステップ4：それぞれの重要度を考える
- 「もし漏れたらどうなるか」「失ったら困るか」で優先順位をつけましょう。
ステップ5：情報資産台帳としてまとめる
- EXCEL等のスプレッドシートで一覧表にまとめます。
例：以下は企業向けの例ですが個人の場合も同様に整理をしましょう
| 名称 | 所有者 | 種類 | 重要度 | 備考 |
|---|---|---|---|---|
| 顧客名簿（CSV） | 営業部 | 個人情報 | 高 | 社内サーバー上に保管 |
| 製品設計図（PDF） | 開発部 | 知的財産 | 高 | クラウドストレージで共有 |
| 月次報告書（紙） | 管理部 | 業務資料 | 中 | キャビネット保管 |
こうして整理することで、本当に守るべき資産が見えてきます。
洗い出しのあとにやるべきこと
１. 管理レベルを定める
情報資産の重要度に応じて、適切な対策を設定します。
- 「高」…パスワード保護＋暗号化＋アクセス制限＋バックアップ
- 「中」…アクセス制限＋バックアップ
- 「低」…必要に応じて保管または廃棄
考慮すべき対策には以下のようなものがあります。
- 不要なデータの削除や整理
- パスワードの強化や2段階認証の導入
- データのバックアップを定期的に取る
- アクセス権限を制限する
- セキュリティソフトの導入と更新
やるべきことは多く感じるかもしれませんが、ひとつひとつ実践していくことが大切です。
２. 定期的に見直す
情報資産は時間とともに変化します。
たとえば、新たなサービスや機器の導入などにより、リスク構造が変わることもあります。
年1回以上を目安に、情報資産の棚卸しと対策の見直しを行いましょう。
守るべきものが見えてこそ、守れる
セキュリティ対策は、何かを「守る」ために行います。
ですが、何を守るのかがあいまいだと、効果的な対策はできません。
また、守る必要がないものを守っても意味がありません。
まずは、あなたやあなたのビジネスにとって大切な重要情報を洗い出しましょう。
コメント