IT資産管理台帳の作り方｜中小企業向けの記載項目とSCS対応

IT資産管理台帳は、会社が使用しているパソコン、サーバー、ネットワーク機器、ソフトウェアなどを一覧化するための管理表です。

台帳を作る目的は、きれいなExcelを完成させることではありません。「自社が何を使っているか分からない」という状態を解消し、更新、廃棄、アクセス管理、バックアップなど、次に必要な対策を判断できるようにすることです。

IPAは「中小企業の情報セキュリティ対策ガイドライン第4.0版」の付録として、無料の資産管理台帳Excelを公開しています。情報資産、ハードウェア、ソフトウェア、ネットワーク機器を整理できるため、初めて台帳を作る中小企業はゼロから様式を設計する必要がありません。

一方、最初からすべての項目を埋めようとすると、担当者の負担が大きくなり、台帳作成そのものが止まります。

まず名称、管理番号、利用者、管理者、場所の5項目から始め、その後にOS、サポート期限、MFA、バックアップなどを追加してください。完成度よりも、実態に合わせて更新できることのほうが重要です。

この記事の結論

• IPAの資産管理台帳Excelは無料で利用できる
• IT資産台帳と情報資産台帳は管理対象が異なる
• 初回棚卸しは5項目程度から始めてよい
• PCだけでなく、SaaSやクラウドサービスも管理する
• 購入時だけでなく、異動・退職・解約・廃棄時にも更新する
• SCS★3で重要なのは、特定のExcelではなく必要な情報を継続的に把握すること

IT資産管理台帳とは

IT資産管理台帳とは、会社が業務で使用するIT機器、ソフトウェア、ネットワーク、クラウドサービスなどを一覧にした管理表です。

主な管理対象には次のものがあります。

• デスクトップPC、ノートPC
• スマートフォン、タブレット
• サーバー、NAS
• ルーター、スイッチ、ファイアウォール
• プリンター、複合機、ネットワークカメラ
• OS、業務ソフト、セキュリティソフト
• クラウドサービス、SaaS
• USBメモリ、外付けストレージ

資産台帳がない会社では、「退職者が使っていたPCはどこにあるか」「古いOSの端末が何台残っているか」「誰がクラウドサービスの管理者か」と聞かれても、すぐに答えられません。

この状態では、セキュリティ製品を導入しても、守るべき対象から漏れる機器やサービスが生まれます。IT資産管理はセキュリティ対策そのものというより、他の対策を機能させるための土台です。

台帳を作る目的は「何があるか」を把握すること

台帳作成で最初に決めるのは、列の数やデザインではありません。何を判断するために作るかです。

たとえば、目的によって必要な情報は変わります。

目的	確認する情報
貸与機器を管理する	管理番号、利用者、設置場所、貸与日
更新対象を見つける	OS、バージョン、サポート期限、最終確認日
ライセンスを管理する	製品名、契約数、利用数、契約更新日
事故発生時に対象を特定する	IPアドレス、利用者、場所、接続先
情報漏えいを防ぐ	保存情報、利用者範囲、重要度、管理責任者
事業停止に備える	バックアップ先、取得頻度、復旧確認日

目的が曖昧なまま項目を増やすと、入力するだけで使われない台帳になります。自社が最初に答えたい質問を決め、その判断に必要な項目から作ってください。

IT資産台帳と情報資産台帳の違い

IT資産と情報資産は、同じものではありません。

台帳	管理するもの	主な例	答える質問
IT資産台帳	情報を処理・保存・通信する機器やサービス	PC、サーバー、ルーター、ソフトウェア、SaaS	何を使い、誰が管理しているか
情報資産台帳	会社が守るべき情報	顧客情報、契約書、設計図、給与データ	何を守り、どこに保存しているか

パソコンはIT資産、その中に保存される顧客名簿は情報資産です。クラウドストレージはITサービス、その中で共有している契約書は情報資産です。

両者を別々に一覧化するだけでなく、「どのIT資産に、どの情報資産が保存されているか」をつなぐことで、対策の優先順位を判断できます。

たとえば、同じノートPCでも、公開情報だけを扱う端末と、取引先から預かった設計情報を保存する端末では、故障や紛失が起きたときの影響が違います。

IPAの無料Excel資産管理台帳で管理できること

IPAは、中小企業や個人事業主、小規模事業者を対象とした「中小企業の情報セキュリティ対策ガイドライン」を公開しています。

2026年3月に公開された第4.0版には、付録6として資産管理台帳のExcelサンプルが用意されています。IPA「中小企業の情報セキュリティ対策ガイドライン」から無料でダウンロードできます。

IPA第4.0版の資産管理台帳

IPAのExcelには、主に次の内容が収録されています。

• 利用方法
• 台帳記入例
• 重要度定義
• 情報資産管理台帳
• ネットワーク機器台帳
• ソフトウェア台帳
• ハードウェア台帳
• リスク値算定

単純なPC一覧ではなく、会社が保有する情報を洗い出し、機密性・完全性・可用性の観点から重要度を判断できる点が特徴です。

ハードウェア、ソフトウェア、ネットワーク機器の記入例もあるため、初めて台帳を作る会社はIPA版を基準にできます。

情報資産・ハードウェア・ソフトウェア・ネットワークの違い

IPAの台帳は、管理対象を次のように分けています。

台帳	主な管理対象
情報資産管理台帳	顧客情報、従業員情報、契約書、設計情報、財務情報
ハードウェア台帳	PC、サーバー、スマートフォン、記憶媒体
ソフトウェア台帳	OS、業務アプリ、セキュリティソフト、ライセンス
ネットワーク機器台帳	ルーター、ファイアウォール、スイッチ、VPN機器

この4分類は、管理対象の漏れを防ぐために役立ちます。ただし、すべての企業が必ず4つのExcelシートに分けなければならないわけではありません。

小規模な会社なら、最初は一つの一覧にまとめても構いません。重要なのは、必要な情報を確認でき、変更があったときに更新できることです。

リスク値算定シートの役割

IPAのテンプレートでは、情報資産について機密性・完全性・可用性を評価し、脅威の発生頻度と現在の対策状況を加えてリスク値を算定できます。

• 機密性：許可されていない人へ漏れた場合の影響
• 完全性：誤りや改ざんが起きた場合の影響
• 可用性：必要なときに使えない場合の影響

すべてを重要度「高」にすると、何から対策すべきか決められません。顧客や取引先への影響、法令上の管理義務、事業停止時の影響を基準に評価してください。

中小企業のIT資産管理台帳に必要な項目

最初から何十項目も入力する必要はありません。台帳を作る段階を「初回棚卸し」と「セキュリティ確認」に分けます。

段階	最初に確認する内容	目的
初回棚卸し	名称、種別、管理番号、利用者、管理者、設置・利用場所	何があるか分からない状態を解消する
セキュリティ確認	OS・バージョン、サポート期限、MFA、保存情報、バックアップ、最終確認日	優先的に改善すべき対象を見つける

最初は5項目から棚卸しする

初回は、次の5項目を優先します。

1. 資産名・機器名
2. 管理番号
3. 利用者
4. 管理者
5. 設置場所・利用場所

管理番号がなければ、重複しない番号を付けます。PC本体へ管理番号のシールを貼ると、台帳と実物を照合しやすくなります。

利用者と管理者は分けて考えます。利用者は日常的に機器やサービスを使う人、管理者は設定変更、契約、故障対応などについて責任を持つ人です。

不明な項目を空欄のまま放置するのではなく、「未確認」と入力し、確認する担当者と期限を決めてください。分からないものを発見することも、初回棚卸しの成果です。

SCS準備ではセキュリティ項目を追加する

基本情報を把握したら、次の項目を追加します。

• OS・ファームウェア・ソフトウェアのバージョン
• サポート期限
• インターネットから接続できるか
• 管理者アカウント
• MFAの設定状況
• 保存している重要情報
• バックアップの有無と保存先
• 最終更新確認日
• 最終棚卸し日
• 廃棄・返却時のデータ消去

これらは、製品を購入するための項目ではありません。更新が必要な機器、MFAを優先すべきサービス、バックアップすべき情報を見つけるための項目です。

MFAの対象と設定方法は「SCS評価制度の多要素認証対応」で詳しく解説しています。

SaaSとクラウドも管理対象にする

IT資産というと、社内にあるパソコンやサーバーだけを数えがちです。しかし現在は、メール、ファイル共有、会計、顧客管理、勤怠、チャットなど、多くの業務がSaaSで行われています。

SaaSでは、少なくとも次を確認します。

• サービス名
• 利用目的
• 契約者
• 管理者
• 利用部署・利用者
• 保存している情報
• 管理者アカウント
• MFAの有無
• 契約更新日
• 解約時のデータ出力・削除方法

会社が把握していない状態で、従業員が個別に契約しているサービスにも注意が必要です。経費明細、法人カード、ブラウザの保存パスワード、各部署への聞き取りなどから確認します。

外部サービスや保守事業者を含む管理は「委託先のセキュリティ管理」でも解説しています。

IT資産管理台帳の作り方

ステップ1　管理対象と担当者を決める

最初に「どこまでを台帳へ載せるか」を決めます。

会社所有の端末だけでなく、業務利用を認めている個人端末、レンタル・リース機器、クラウド上のサーバー、外部委託先が管理するシステムも検討対象です。

同時に、台帳の更新責任者を決めます。「誰でも更新できる」は、「誰も更新しない」状態になりがちです。

更新責任者を一人決めたうえで、購入担当、人事担当、各部署、外部IT事業者から変更情報が届く仕組みを作ります。

ステップ2　社内の機器を棚卸しする

事務所、会議室、倉庫、店舗などを確認し、実物の機器を数えます。

購入履歴や経費明細だけでは、廃棄済みの機器と使用中の機器を区別できない場合があります。現物と台帳を照合してください。

在宅勤務用に持ち出しているPCや、予備機、故障して保管中の機器も対象です。使用中・予備・修理中・廃棄予定・廃棄済みなど、現在の状態を記録します。

ステップ3　ソフトウェアとSaaSを確認する

端末へインストールされているソフトウェアと、ブラウザから利用するSaaSを確認します。

すべての小さなアプリを最初から登録する必要はありません。まず、次を優先してください。

• OS
• セキュリティソフト
• 基幹業務ソフト
• 顧客・従業員・取引先情報を扱うソフト
• インターネットから接続できるサービス
• 管理者権限を持つツール
• 業務停止時の影響が大きいサービス

ライセンス数と実際の利用数も確認すると、未使用契約やライセンス不足を見つけられます。

ステップ4　情報資産と保存先をつなぐ

IT機器とサービスを一覧化したら、そこに保存されている重要情報を確認します。

たとえば、顧客名簿という情報資産が、営業担当者のPC、クラウドストレージ、スマートフォンへ複製されている場合があります。同じ情報が複数の場所にあるなら、保存場所ごとにリスクと対策を確認します。

最低限、次の情報から始めます。

• 顧客・取引先情報
• 従業員情報
• 契約・受発注情報
• 会計・決済情報
• 設計・開発情報
• 認証情報、秘密鍵
• 取引先から預かった情報

ステップ5　未確認項目に担当者と期限を付ける

初回棚卸しで、すべての項目が分かることはほとんどありません。

分からない項目を推測で埋めず、未確認として残します。そのうえで、次の3項目を付けます。

• 誰が確認するか
• いつまでに確認するか
• どこへ問い合わせるか

台帳の完成率より、重要な未確認事項が放置されていないことのほうが重要です。

IT資産管理台帳を更新するタイミング

台帳を年に一度だけ更新する運用では、変更が多い会社ほど実態とずれます。

定期的な棚卸しに加えて、資産や人に変更があったタイミングで更新します。

発生したこと	更新する内容
PC・機器を購入した	管理番号、利用者、設置場所、購入日
従業員が入社・異動した	利用者、アクセス権、貸与機器
従業員が退職した	返却、アカウント停止、データ引継ぎ
SaaSを契約・解約した	契約者、管理者、保存情報、MFA、解約確認
OS・ソフトウェアを更新した	バージョン、確認日、サポート期限
機器を廃棄・返却した	データ消去、廃棄日、証明書の保存先
定期棚卸しを行った	所在、利用状態、管理者、未確認事項

購入・貸与・異動・退職時に更新する

台帳更新をIT担当者だけの仕事にすると、人の異動情報が届かず、利用者情報が古くなります。

人事担当者は入社・異動・退職、購入担当者は機器購入・返却、各部署は利用者変更を台帳管理者へ連絡するルールを作ります。

退職時には、機器の返却だけでなく、アカウント停止、データ引継ぎ、共有権限の削除まで確認してください。

SaaSの契約・解約時に更新する

SaaSは端末のように現物がないため、台帳から漏れやすい資産です。

契約開始時に管理者、利用者、保存情報を登録し、解約時には必要なデータを出力したか、アカウントと保存データを削除したかを記録します。

担当者個人のメールアドレスやクレジットカードで契約すると、退職後に管理できなくなる場合があります。会社が管理できる契約者・管理者を設定してください。

定期棚卸しで実態と照合する

日常の変更時に更新していても、記入漏れは発生します。半年ごと、年度末など、自社が実施できる周期を決めて実物・契約・台帳を照合します。

棚卸しでは、登録されている資産を確認するだけでなく、「台帳にない機器やサービスがないか」を探すことが重要です。

IT資産管理台帳とSCS★3の関係

SCS★3では、業務で使用する情報機器、OS、ソフトウェアやネットワークに関する情報を把握し、適切に管理することが求められます。

ただし、特定のExcel様式を使用することが目的ではありません。自社のIT基盤について必要な情報を継続的に把握し、求められたときに説明できる状態を作ることが重要です。

最新の要求内容はIPA「SCS評価制度の要求事項・評価基準」で確認できます。

SCSが求めるのはExcelの様式ではなく継続的な把握

IPAの資産管理台帳は有力な出発点ですが、そのファイルをダウンロードしただけでSCSへ対応したことにはなりません。

台帳の内容が実態と一致していること、変更時に更新されること、管理者が決まっていることが必要です。

会社の規模や管理方法によっては、ExcelではなくIT資産管理ツールやクラウドサービスを使用しても構いません。資産数が増え、複数部署で同時に更新し、更新履歴や自動取得が必要になったら、専用ツールを検討します。

制度全体と2027年3月頃までの準備は「SCS評価制度とは？中小企業が2027年3月までに準備すること」で解説しています。

台帳からMFA・更新・バックアップの対象を決める

台帳を作ると、次の判断ができるようになります。

• サポートが終了したOSや機器はないか
• インターネットから接続できる管理画面はどれか
• MFAを設定すべき重要サービスはどれか
• 顧客情報や設計情報はどこに保存されているか
• バックアップが必要なシステムとデータはどれか
• 退職者のアカウントが残っていないか

バックアップは「取得しているか」だけでなく、「必要なデータを戻せるか」まで確認します。具体的な確認方法は「バックアップの実効性を確認する方法」を参照してください。

台帳を専門家へ説明できる記録にする

SCS★3では、自社の自己評価を登録された専門家が確認します。

専門家へ「管理しています」と説明するだけでなく、台帳、更新日、棚卸し記録、改善中の項目などを示せるようにします。

未対応項目がある場合も、担当者、期限、改善内容が決まっていれば、自社が状況を把握していることを説明しやすくなります。

台帳を作った後の対策全体は「セキュリティ対策は何から始めるか」で整理しています。

IT資産管理台帳についてよくある質問

Excelで管理しても問題ありませんか？

資産数が少なく、更新担当者が限定されている中小企業なら、Excelから始められます。複数部署で頻繁に変更があり、自動収集、操作履歴、権限管理が必要になったら専用ツールを検討してください。

IT資産台帳と固定資産台帳は同じですか？

目的が異なります。固定資産台帳は主に会計・税務上の資産を管理します。IT資産台帳は、少額の機器、レンタル端末、SaaS、ソフトウェアなど、会計上の固定資産にならないものも管理対象にします。

個人所有の端末も記載しますか？

個人所有でも、会社が業務利用を認め、会社の情報やシステムへアクセスする端末は把握する必要があります。所有者、利用者、アクセス可能な情報、必要な対策を確認してください。

SaaSやクラウドサービスも記載しますか？

記載します。契約者、管理者、利用部署、保存情報、MFA、契約更新日、解約方法などを管理します。現物がないため、PCより漏れやすい管理対象です。

何台から管理ツールを検討すべきですか？

台数だけでは決まりません。拠点・部署・更新担当者が複数に分かれる、変更が頻繁にある、Excelの更新漏れが増えた、自動取得や操作履歴が必要になった場合が移行の目安です。

台帳はどのくらいの頻度で更新しますか？

購入、貸与、異動、退職、契約、解約、廃棄などの変更時に更新します。それに加えて、半年ごと、年1回など、自社が継続できる周期で実態と照合します。

まとめ｜完璧な台帳より、更新できる台帳を作る

IT資産管理台帳は、すべての項目を一度に埋めなければ使えないものではありません。

最初は、資産名、管理番号、利用者、管理者、場所から始めてください。何があるか分からない状態を解消した後、OS、サポート期限、SaaS、MFA、保存情報、バックアップなどを追加します。

IPAの無料Excelを使えば、ゼロから様式を設計する必要はありません。ただし、ファイルをダウンロードしただけでは、資産を管理したことにはなりません。

購入、異動、退職、契約、解約、廃棄のタイミングで更新し、定期的に実態と照合する。その運用まで決めることで、台帳はセキュリティ対策とSCS準備の土台になります。

完璧な台帳を目指して着手を遅らせるより、まず社内にあるPCを数え、5項目を入力するところから始めてください。