【実務者必見】情報漏洩ゼロを目指す情報資産管理の方法とセキュリティ対策

2025年11月14日

顧客情報や機密技術は、企業の事業継続を支える“生命線”です。個人情報保護法などの法令を守るだけでなく、巧妙化するサイバー攻撃に耐えうる実効性のある運用が欠かせません。

本稿では、情報システム部門・セキュリティ担当の方が今日から回せる実務として、情報資産管理（台帳）の作り方、リスクアセスメントの手順、そしてマルウェア感染時の対処までをわかりやすく整理します。

この記事を監修したのは

代表弁護士春田 藤麿

第一東京弁護士会 所属

経歴

慶應義塾大学法学部卒業
慶應義塾大学法科大学院卒業
宅地建物取引士

詳しくはこちら

土台を固める：情報資産管理（台帳）の基本

情報セキュリティ対策の第一歩は、「何を守るべきか」を明確にすることです。これが情報資産管理です。

情報資産の「棚卸し」でリスクを可視化する

情報資産の棚卸しとは、企業内に存在するすべての情報、それを格納する機器、およびソフトウェアを洗い出す作業です。

対象範囲

 顧客データ、技術文書、従業員情報といったデータだけでなく、サーバー、PC、スマートフォン、紙媒体、クラウドサービス、さらには業務プロセスそのものも対象です。

重要度の分類

洗い出した資産に対し、機密性・完全性・可用性の観点から重要度を分類し、リスクを可視化します。

台帳で管理すべき項目：所在、重要度、担当者の明確化

情報資産管理台帳は、対策の根拠となる基礎資料です。最低限、以下の項目を網羅し、常に最新の状態に保つことが重要です。

脅威を評価する｜リスクアセスメントの進め方

情報資産を特定したら、次はそれに対するリスクアセスメント（評価）を実施し、対策の優先順位を決定します。

リスク評価のプロセス（特定、分析、評価）の進め方

リスクアセスメントは、以下の3ステップで進めます。

リスクの特定

情報資産に対し、どのような脅威（マルウェア、不正アクセス、誤操作など）があり、どのような脆弱性（OSの未更新、脆弱なパスワードなど）が存在するかを洗い出します。

リスクの分析

脅威が発生した場合の「影響度（損害の大きさ）」と、その脅威の「発生可能性（頻度）」を定量的に評価します。

リスクの評価

分析結果に基づき、「許容できないレベルのリスク」を決定し、対策の優先順位を付けます。

評価結果に基づいた管理策（技術的・組織的）の決定

評価で高リスクとされた項目に対しては、コストと効果を考慮し、以下のリスク対応策を決定します。

リスク低減

データを暗号化する、アクセス権を厳格化するなど、発生可能性や影響度を下げるための対策を実施します。

リスク移転

サイバー保険への加入など、リスクの一部を外部に移転します。

緊急事態に備える｜マルウェア感染時の対処と予防

ランサムウェアなどの感染は、情報漏洩や事業停止に直結します。感染が発覚した場合の適切な対処法を事前に確立しておくことが不可欠です。

感染発覚時の初動対応（ネットワークからの隔離と情報保全）

隔離

感染端末を直ちにネットワークから物理的または論理的に切断します。これにより、マルウェアの拡散を防ぎます。

報告

事態の責任者やCSIRT（セキュリティチーム）に速やかに報告し、外部への報告義務の有無を判断します。

保全

感染端末のハードディスクやメモリの状態を保全します。これは、後原因特定（フォレンジック）に不可欠です。

感染原因の特定と復旧手順の確立（BCP/CSIRT体制）

復旧計画

事前に策定したBCP（事業継続計画）に基づき、バックアップデータからの復旧手順を確認します。

事後対応

個人情報保護法に基づく委員会への報告、本人への通知を迅速に行う体制を稼働させます。

組織で守る｜教育・認証・制度の活用

技術的な対策だけでなく、組織全体でセキュリティ文化を醸成することが最も重要です。

パスワード管理の方法を含む「従業員教育」の重要性

マルウェア感染の多くは、フィッシングや脆弱なパスワードといった人為的なミスが起点となります。

パスワード管理の方法

「長く複雑な文字列（12桁以上）」「使い回し禁止」「多要素認証（MFA）の導入」を必須とするルールを策定し、周知徹底します。

教育の継続性

従業員教育は一度きりではなく、最新の脅威を盛り込み定期的に実施する必要があります。

組織の信頼性を高める「ISMS認証の取得方法」の概要

ISMS（情報セキュリティマネジメントシステム）認証（ISO/IEC 27001）は、情報セキュリティに関する国際規格です。

取得方法の概要

1. 適用範囲の定義: どの部門・業務を認証対象とするかを決定します。
2. リスクアセスメント: 規格に基づき、情報セキュリティリスクを特定・評価します。
3. 管理策の適用: リスクに対応するセキュリティ対策（管理策）を実施します。
4. 審査: 独立した第三者認証機関による審査を受け、適合が認められれば認証が発行されます。

国の基本指針：サイバーセキュリティ基本法が求める企業の役割

サイバーセキュリティ基本法は、サイバーセキュリティに関する国の施策の基本理念を定めた法律です。

求める企業の役割

• • 国や地方公共団体と連携し、サイバーセキュリティの確保に努めること。
  • 特に重要インフラ事業者や、そのサプライチェーンを構成する企業に対し、セキュリティ対策の継続的な実施を求めています。

よくある質問（FAQ）

Q：情報資産管理台帳は、紙の情報も記載すべきですか？

はい、物理的な情報（紙の顧客名簿、契約書、オフラインの外部記憶媒体など）も、漏洩リスクがある重要な情報資産です。これらを「情報資産」として台帳に含め、施錠管理や廃棄手順を明確に記載することで、物理的なセキュリティ対策を強化する必要があります。

Q：パスワードを毎回覚えるのが大変ですが、推奨される管理方法はありますか？

従業員が複雑なパスワードを安全に管理するために、パスワード管理ツール（パスワードマネージャー）の導入を推奨します。これにより、従業員はツールのマスターパスワードのみを覚えていれば、他のすべての複雑なパスワードを安全に生成・保管・利用できます。組織としてMFA（多要素認証）の利用を義務付けることも、アカウント乗っ取り対策として極めて有効です。

Q：リスクアセスメントは、どれくらいの頻度で実施すべきですか？

年に一度の定期的な実施が推奨されます。加えて、新しいシステムやクラウドサービスを導入した際、大規模な組織変更があった際、または重大なマルウェア感染などのセキュリティインシデントが発生した都度、影響を受ける範囲を対象に臨時のリスクアセスメントを実施し、管理策を見直す必要があります。

継続的な監査と改善がセキュリティを維持する

情報資産管理とセキュリティ対策は、一度構築すれば終わりではありません。新たな脅威や技術の登場に伴い、リスクアセスメントと管理策の実施を継続的に行うことが重要です。ISMS認証の取得は、その継続的な改善サイクル（PDCA）を回すための有効な手段となります。

情報セキュリティのコラムをもっと読む

※内容によってはご相談をお受けできない場合がありますので、ご了承ください。