社内にIT担当がいない会社は、外部に任せる範囲をどう決めるか

この記事の要点

• IT担当がいない会社は、「作業」ではなく「判断」で切り分ける。何を守るか・いくらかけるか・誰が決めるかは社内に残す。
• その前提は、機器台帳・契約回線・アカウント・保守期限・バックアップ・連絡先という6つの管理情報を自社で持つこと。
• 外部に任せても管理責任は自社に残る。対応範囲や契約終了時の返却まで文書にしておく。

1. 機器台帳をつくり、保守期限を書き添える

パソコン、サーバー・NAS、ルーター、無線アクセスポイント、複合機、電話機、カメラを、機種・設置場所・使用者・購入時期の順に一覧にし、保守契約やサポート終了の時期も並べます。IPAのガイドラインには付録6「資産管理台帳（サンプル）」が付きます。

2. 契約回線と外部サービスを書き出す

契約者名・契約番号・請求先・更新月をそろえ、名義が不明な契約をつぶします。

3. アカウントと権限を棚卸しする

管理者アカウントが誰のものか、退職者のIDが残っていないかを確認します。所有者は自社にしておくのが原則です。

4. バックアップを決める

IPAは第4.0版で「情報セキュリティ6か条」に「バックアップを取ろう！」を加えました。取得先、世代数、戻せるかを確かめる担当を決めます。

5. 連絡先を1枚にまとめ、窓口を一本化する

IPAのガイドラインも、インシデント発生時の通知義務・連絡先を文書化し、役割分担と連絡体制を相手先と合意するとしています。

6. 取り決めを文書にする

対応範囲、連絡方法と受付時間、訪問と遠隔のどちらで対応するか、作業記録の残り方、契約終了時に設定情報とアクセス権をどう返してもらうか。IPA「中小企業のためのクラウドサービス安全利用の手引き」も、サポートの受付時間・連絡方法、利用終了時のデータの取扱い条件、再委託先の管理監督責任の明記を確認項目に挙げています。

有限会社GT.engineerは、静岡県三島市長伏52-3にIT部門を置き、沼津市・三島市・清水町・長泉町を中心に、伊豆市・伊豆の国市を含む伊豆地域全体でご相談を受けています。ネットワーク・Wi-Fi、サーバー・NAS、パソコン、複合機、ビジネスフォン、防犯カメラ、UTM、IT保守・伴走支援などを扱っており、分野をまたいだ相談にも対応します。訪問と遠隔のどちらで対応するかは、地域と相談内容に応じて確認します。切り分けの考え方はIT保守・伴走支援のページに、ご相談はお問い合わせから。

Q. 設定情報やパスワードは、業者に預けてよいのでしょうか

A. 預けるかどうかより、「自社も同じ情報を持っているか」が要点です。管理者アカウントの所有者は自社とし、必要な権限を業者に渡す形にしておくと引き継ぎで困りません。IPAのクラウドサービス安全利用の手引きでも、ID・パスワードを共有しないことが挙げられています。

Q. 窓口を一本化すると、かえって遅くなりませんか

A. 窓口が複数あるほど「どこに聞けばよいか分からない」時間が長くなります。社内の連絡担当と不在時の代理を決め、外部への連絡も1系統に絞り、業務が止まる規模の障害だけ別経路を用意しておけば、速さは損なわれません。

Q. SECURITY ACTIONは宣言しておいた方がよいですか

A. 中小企業が自ら情報セキュリティ対策に取り組むことを宣言する制度です。「一つ星」は「情報セキュリティ6か条」に取り組むことの宣言で、対策の実施前でも申し込めます。IPAによる認定ではないため、「認定」「取得」という言い方は避けてください。2026年4月1日以降の申込にはGビズIDプライムまたはメンバーアカウントが必要です。