ISO27001の情報資産とは？洗い出し方・分類方法・管理台帳の作り方を具体例つきで初心者向けにわかりやすく解説

ISO27001における情報資産とは？

ISO27001における情報資産とは、組織にとって価値があり、守る必要がある情報や、その情報を扱うために必要なものを指します。
顧客情報、契約書、見積書、社員情報、会計データ、設計図、ソースコード、営業資料、業務マニュアルなどは分かりやすい情報資産です。

ただし、ISO27001で考える情報資産は、情報そのものだけに限りません。
情報を保存しているサーバーやパソコン、クラウドサービス、業務システム、USBメモリ、紙ファイル、アカウント情報、外部委託先に預けているデータ、担当者が持つ業務ノウハウも管理対象になることがあります。

初心者担当者が最初に意識したいのは、何を持っているかを完璧に列挙することではなく、自社が事業を続けるうえで守るべき情報は何かを業務単位で把握することです。
情報資産を整理できると、どの情報にどのリスクがあり、どのようなルールや管理策が必要かを考えやすくなります。

イソログに寄せられるリアルな声：情報資産の洗い出しで迷いやすいこと

ISO27001の取得準備では、情報資産の洗い出しに関する相談が多く寄せられます。
ひな形を見ても、自社では何を情報資産として書けばよいのか分からない。
部署ごとにヒアリングしても、粒度がバラバラで台帳がまとまらない。
作った台帳が審査で通用するのか不安。
こうした悩みは、初めて担当する方にとって自然なものです。

特に多いのは、情報資産を細かく分けすぎて更新できなくなるケースと、逆に大ざっぱにまとめすぎてリスクが見えなくなるケースです。
たとえば、契約書を1枚ずつ台帳に書く必要はありませんが、重要な契約書と一般的な営業資料を同じ扱いにすると、保管方法やアクセス権限の判断が曖昧になります。

ここでは、イソログに寄せられる相談内容をもとに、情報資産の洗い出しで初心者が迷いやすい場面を整理します。

イソログに寄せられる相談でも、情報資産の洗い出しでは同じような悩みが多くあります。

ISO27001で情報資産の洗い出しが重要な理由

ISO27001で情報資産の洗い出しが重要なのは、リスクアセスメントの前提になるからです。
何を守るべきかが分かっていなければ、漏えい、改ざん、紛失、利用停止、不正アクセスなどのリスクを評価できません。
リスクが見えなければ、どの管理策を選ぶべきかも判断しにくくなります。

たとえば、顧客情報を扱っているにもかかわらず台帳から抜けていれば、その情報に対するアクセス権限、保管場所、バックアップ、委託先管理、持ち出し制限などを検討できません。
逆に、重要度の低い情報まで高リスク扱いにすると、必要以上に厳しいルールになり、現場が運用しづらくなります。

情報資産の洗い出しは、審査でも確認されやすいポイントです。
審査員は、適用範囲内の業務で扱う重要な情報が台帳に反映されているか、台帳とリスクアセスメントがつながっているか、実際の運用と矛盾がないかを確認します。
つまり、情報資産の洗い出しは、ISO27001取得準備の入口であり、運用の土台でもあります。

情報資産に含まれるもの・含まれないもの

情報資産には、顧客情報、取引先情報、契約書、見積書、請求書、社員情報、給与情報、採用応募者情報、設計データ、ソースコード、業務マニュアル、教育資料、会計データ、営業資料、問い合わせ履歴など、業務上価値のある情報が含まれます。

また、その情報を保管・処理・利用するための媒体や仕組みも、管理対象として整理します。
たとえば、ファイルサーバー、クラウドストレージ、業務システム、ノートPC、スマートフォン、USBメモリ、紙ファイル、バックアップ媒体、アカウント一覧、権限管理表などです。

一方で、単なる備品をすべて情報資産として細かく登録する必要はありません。
椅子や机そのものは、通常は情報資産ではなく備品管理の対象です。
ただし、情報を保存しているPC、サーバー、記録媒体、紙文書の保管キャビネットなどは、情報の保護に関係するため、情報資産管理や関連する管理策の対象になります。
重要なのは、物をリスト化することではなく、その物や仕組みがどの情報を扱っているかを把握することです。

情報資産の主な分類

情報資産を管理しやすくするためには、分類を決めておくことが大切です。
分類がないまま台帳を作ると、顧客情報、契約書、クラウドサービス、PC、紙文書などが混在し、どの情報にどの管理が必要なのか分かりにくくなります。

よく使われる分類には、紙文書、電子データ、ソフトウェア、ハードウェア、クラウドサービス、外部委託先に預けている情報、人が持つノウハウなどがあります。
また、情報の性質として、個人情報、機密情報、社外秘情報、公開情報、業務上重要な情報に分ける方法もあります。

分類ルールは複雑にしすぎないことが重要です。
初心者担当者が最初から細かい分類を作りすぎると、部署ごとに判断が分かれ、台帳の更新が難しくなります。
まずは自社の業務に合う大分類を決め、必要に応じて中分類や備考で補足する形が実務的です。

情報資産を洗い出す前に決めておくこと

情報資産を洗い出す前に、適用範囲、対象部署、管理責任者、台帳の粒度、更新ルールを決めておくと、作業が進めやすくなります。
これらを決めずに部署へヒアリングすると、部署によって回答の細かさが変わり、後から整理し直す手間が増えます。

まず確認したいのは、ISO27001の適用範囲です。
会社全体を対象にするのか、特定部署や特定サービスだけを対象にするのかによって、洗い出す情報資産は変わります。
たとえば、システム開発部門だけが適用範囲であれば、開発案件、ソースコード、テストデータ、顧客から預かった仕様情報などが中心になります。
全社を対象にする場合は、人事、総務、経理、営業、情報システムなども含めて整理する必要があります。

次に、台帳の粒度と更新ルールを決めます。
管理方法が同じ情報資産はまとめる、保管場所や責任者が異なるものは分ける、重要度が高いものは個別に管理するなど、判断基準を先に置いておくと、台帳が使いやすくなります。
更新ルールは、新しいシステムを導入したとき、クラウドサービスを使い始めたとき、部署異動や退職があったとき、年1回の見直し時などを想定しておきましょう。

情報資産の洗い出し方の基本手順

情報資産の洗い出しは、業務フローを確認し、部署ごとに扱う情報を出し、保管場所や利用者を確認し、台帳に整理する流れで進めると実務的です。
いきなり全社の情報資産を白紙から出そうとすると抜け漏れが出やすいため、業務の流れに沿って確認することが大切です。

まず、対象部署の主な業務を整理します。
営業であれば、問い合わせ対応、商談、見積、契約、請求連携、顧客フォローといった流れがあります。
人事であれば、採用、入社手続き、勤怠、給与、評価、退職手続きなどがあります。
それぞれの業務で、どの情報を受け取り、作成し、保管し、共有し、廃棄しているかを確認します。

次に、情報の保管場所、利用者、管理者、外部共有の有無を確認します。
紙で保管しているのか、社内サーバーか、クラウドストレージか、業務システムか、委託先に預けているのかによって、必要な管理策は変わります。
最後に、情報資産名、分類、管理部署、責任者、保管場所、利用者、媒体、重要度、管理方法を台帳に整理します。

部署別に見る情報資産の具体例

情報資産は、部署ごとに扱う内容が大きく異なります。
営業部門では顧客情報や商談情報、人事部門では従業員情報や採用応募者情報、経理部門では請求書や会計データ、開発部門ではソースコードや仕様書、情報システム部門ではアカウント情報やサーバー情報が重要になりやすいです。

初心者担当者は、全社共通のひな形だけで洗い出そうとするより、部署ごとの業務に沿って具体例を出しながらヒアリングすると、抜け漏れを減らせます。
たとえば営業部門には、顧客リストはどこに保存しているか、提案書を誰と共有しているか、契約書の原本はどこにあるかを確認します。
人事部門には、履歴書、雇用契約書、給与情報、評価資料の保管場所や閲覧権限を確認します。

以下の表は、部署別に出てきやすい情報資産の例です。
実際には自社の業務内容に合わせて追加・削除してください。

業種別に見る情報資産の具体例

情報資産は、業種によって重要度が高くなりやすいものが変わります。
IT企業ではソースコードや顧客環境の接続情報、人材紹介会社では求職者情報や企業情報、士業事務所では顧問先資料や相談記録、建設業では図面や見積情報、製造業では設計データや品質記録、EC事業者では注文情報や決済関連情報が重要になりやすいです。

業種別の具体例を入れることで、自社では何を洗い出すべきかをイメージしやすくなります。
ただし、同じ業種でも事業内容、取引先要求、利用システム、委託範囲によって管理対象は変わります。
以下の表はあくまで出発点として使い、自社の業務フローに合わせて確認しましょう。

情報資産はどこまで細かく洗い出せばいい？

情報資産の洗い出しでよくある悩みが、どこまで細かく書けばよいのかという点です。
細かく書きすぎると台帳の行数が増えすぎ、更新できなくなります。
一方で、粗くまとめすぎると重要なリスクが見えなくなり、管理策を決めにくくなります。

実務では、管理方法、保管場所、責任者、利用者、リスクが同じものはまとめて管理する考え方が使いやすいです。
たとえば、個別の見積書を1件ずつ台帳に書くのではなく、営業部の見積書データとしてまとめる方法があります。
ただし、特定の重要顧客情報や機密性の高い開発情報など、他と管理方法が異なるものは分けたほうがよい場合もあります。

判断に迷う場合は、漏えいしたときの影響、改ざんされたときの影響、使えなくなったときの影響、保管場所、責任者、アクセス権限を見ます。
これらが大きく違う情報資産は分け、ほぼ同じ管理でよいものはまとめると、審査対応と日常運用の両方で扱いやすくなります。

情報資産管理台帳とは？

情報資産管理台帳とは、組織が保有・利用している情報資産を一覧で整理するための台帳です。
情報資産名、分類、管理部署、管理責任者、保管場所、利用者、媒体、重要度、リスク、管理方法などを記録します。

ISO27001では、情報資産を把握したうえでリスクを評価し、必要な管理策を決めていきます。
そのため、情報資産管理台帳は単なる一覧表ではなく、リスクアセスメントや管理策の選定につながる基礎資料です。
台帳が実態と合っていないと、どの情報を守るべきか、どのリスクを優先すべきかが曖昧になります。

管理台帳は、最初から完璧に作ることよりも、継続して更新できる形にすることが大切です。
現場が使っているクラウドサービスや外部委託先に預けている情報、退職者のアカウントなど、見落としやすい部分も含めて、定期的に見直せる仕組みにしましょう。

情報資産管理台帳に記載する主な項目

情報資産管理台帳に記載する項目は、会社の規模や運用方法によって変わりますが、基本的には情報資産名、分類、管理部署、管理責任者、保管場所、利用者、媒体、機密性、完全性、可用性、管理方法、リスク、更新日などを整理します。

初心者担当者は、項目を増やしすぎないことも大切です。
台帳に書く項目が多すぎると、最初の作成はできても更新が続かないことがあります。
まずは審査やリスク評価に必要な項目を押さえ、必要に応じて備考欄で補足すると運用しやすくなります。

また、各項目の書き方を部署任せにすると、同じ内容でも表記がばらつきます。
たとえば、保管場所はクラウド名、共有フォルダ名、紙保管場所を一定のルールで書く、利用者は全社員、営業部、管理者のみなど選択肢を決めると、後から検索や見直しがしやすくなります。

情報資産管理台帳の記入例

情報資産管理台帳は、具体例を見るとイメージしやすくなります。
ここでは、顧客リスト、従業員情報、契約書、ソースコード、クラウドストレージ、会計データなど、さまざまな会社で出てきやすい情報資産の記入例を整理します。

実際の台帳では、会社ごとの分類ルールや評価基準に合わせて調整が必要です。
たとえば、顧客リストを営業部で管理している会社もあれば、CRMシステムで全社管理している会社もあります。
契約書も、紙原本を総務で保管し、電子データをクラウドで保管している場合は、保管場所や管理方法を分けて書いたほうがよいことがあります。

以下の表は初心者向けの例です。
自社で使う場合は、責任者名、保存先、権限範囲、評価基準、更新日を具体化しましょう。

情報資産の分類方法

情報資産の分類方法には、媒体による分類と、情報の性質による分類があります。
媒体による分類では、紙文書、電子データ、システム、クラウドサービス、ハードウェア、外部委託先保有情報などに分けます。
情報の性質による分類では、個人情報、機密情報、社外秘情報、公開情報、業務上重要な情報などに分けます。

ISO27001の実務では、両方の視点が必要です。
たとえば、顧客情報は個人情報であり、電子データとしてCRMに保存されていることもあれば、紙の申込書として保管されていることもあります。
同じ顧客情報でも、媒体や保管場所が異なれば管理方法も変わります。

分類ルールは、現場が判断できる言葉で作ることが大切です。
機密、社外秘、公開などの区分を作る場合は、それぞれの定義と具体例を示しましょう。
たとえば、機密は漏えいすると取引先や会社に大きな影響がある情報、社外秘は社外公開を前提としていない業務情報、公開情報はWebサイトやパンフレットに掲載してよい情報、といった形です。

機密性・完全性・可用性で評価する考え方

ISO27001では、情報セキュリティの基本として機密性、完全性、可用性の3つの観点がよく使われます。
機密性は、許可された人だけが情報を見られる状態です。
完全性は、情報が正確で改ざんや誤りがない状態です。
可用性は、必要なときに情報やシステムを利用できる状態です。

情報資産を評価するときは、漏えいしたらどれくらい困るか、改ざんされたらどれくらい困るか、使えなくなったらどれくらい困るかを考えます。
顧客リストは機密性が高く、会計データは完全性が高く、受注システムや予約システムは可用性が高くなりやすいです。

評価方法は会社ごとに決めますが、初心者向けには高・中・低や3段階評価から始めると分かりやすいです。
大切なのは、点数をつけること自体ではなく、なぜその評価にしたのかを説明できることです。
審査でも、評価基準と実際の評価に無理がないかを確認されることがあります。

CIA評価の具体例

CIA評価は、情報資産ごとに機密性、完全性、可用性の重要度を考える作業です。
同じ情報資産でも、会社の業務内容や利用方法によって評価は変わります。
たとえば、顧客情報は多くの会社で機密性が高くなりますが、リアルタイムで利用できないと業務が止まるシステム上の顧客情報であれば、可用性も高くなることがあります。

初心者担当者は、評価を難しく考えすぎず、漏えい、改ざん、利用停止が起きた場合に、顧客、取引先、業務、法令、売上、信用にどのような影響があるかを考えましょう。
評価の理由を残しておくと、後で見直すときや審査で説明するときに役立ちます。

以下は、情報資産ごとの評価例です。
実際には自社の評価基準に合わせて調整してください。

情報資産の洗い出しからリスクアセスメントにつなげる流れ

情報資産を洗い出した後は、その情報資産にどのようなリスクがあるかを評価します。
これがリスクアセスメントです。
情報資産台帳は、リスクアセスメントの出発点になります。

流れとしては、まず情報資産を洗い出し、機密性、完全性、可用性などで重要度を評価します。
次に、その情報資産に対して起こり得る脅威を考えます。
脅威には、誤送信、端末紛失、不正アクセス、マルウェア感染、内部不正、システム障害、災害、委託先の管理不備などがあります。
そのうえで、現在の弱点や管理状況を確認し、リスクの大きさを評価します。

最後に、リスクを受け入れるのか、低減するのか、回避するのか、移転するのかを決め、必要な管理策を選びます。
たとえば、顧客リストの漏えいリスクが高い場合は、アクセス権限の制限、持ち出しルール、退職者権限削除、ログ確認、教育などの管理策につなげます。

情報資産管理でよくある失敗例

情報資産管理でよくある失敗は、台帳を作っただけで更新しないことです。
ISO27001取得準備のときに一度台帳を作っても、新しいクラウドサービスの利用、部署異動、退職、委託先変更、新規システム導入などが反映されなければ、台帳と実態がずれていきます。

また、情報資産の粒度が細かすぎる失敗もあります。
台帳の行数が増えすぎると、担当者だけでは更新できず、現場からも面倒な作業として見られやすくなります。
逆に、全社の情報資産を業務データの一言でまとめるような粗すぎる台帳では、リスクアセスメントにつながりません。

見落としやすいものとして、クラウドサービス、チャットツール、外部委託先に預けている情報、退職者や異動者のアカウント、個人のPCやローカル保存、紙文書、バックアップデータがあります。
これらは日常業務に溶け込んでいるため、意識しないと台帳から抜けやすい部分です。

審査で見られやすいポイント

ISO27001の審査では、情報資産管理台帳があるかどうかだけでなく、台帳が適用範囲や実態と合っているかを確認されやすくなります。
たとえば、適用範囲がシステム開発部門なのに、ソースコード、仕様書、顧客から預かったデータ、開発環境のアカウント情報が台帳に入っていなければ、重要な情報資産が漏れていると見られる可能性があります。

また、情報資産台帳とリスクアセスメントがつながっているかも重要です。
台帳に顧客リストがあるのに、顧客リストの漏えいリスクやアクセス権限の管理が評価されていない場合、台帳が形だけになっている印象を与えます。
逆に、台帳、重要度評価、リスク評価、管理策、教育や運用記録が自然につながっていれば、実態に合ったISMSとして説明しやすくなります。

審査では、更新履歴や見直しの有無も確認されることがあります。
新しいシステムやクラウドサービスを導入したのに台帳が古いままだと、情報資産管理が継続運用されていないと判断されるリスクがあります。
台帳は作成日だけでなく、最終確認日や更新履歴を残しておくとよいでしょう。

情報資産管理台帳を更新するタイミング

情報資産管理台帳は、一度作って終わりではありません。
業務やシステムが変われば、情報資産も変わります。
新しいシステムを導入したとき、新しいクラウドサービスを使い始めたとき、取引先から新しい種類のデータを預かったとき、委託先が変わったとき、部署異動や退職があったときなどは、台帳の見直しが必要です。

年1回の定期見直しも重要です。
定期見直しでは、台帳に載っている情報資産が今も存在するか、保管場所や管理責任者が変わっていないか、利用者やアクセス権限が適切か、不要になった情報が残っていないかを確認します。
内部監査の前に台帳を確認しておくと、実態とのズレを見つけやすくなります。

更新ルールは、情報システム部門だけでなく、各部署の責任者にも共有しておきましょう。
現場で新しいツールや情報の扱いが始まったとき、ISO担当者に連絡される仕組みがないと、台帳が古くなりやすくなります。

初心者担当者が最初にやるべきこと

初心者担当者が最初にやるべきことは、適用範囲を確認し、対象部署ごとの主要な業務と情報を把握することです。
いきなり完璧な情報資産管理台帳を作ろうとすると、細かさや分類で迷いやすくなります。
まずは、どの部署が、どの業務で、どの情報を扱っているのかを大まかに整理しましょう。

次に、部署ごとのヒアリング項目を用意します。
扱っている情報、保管場所、利用者、管理責任者、外部共有の有無、委託先の有無、紙文書の保管場所、クラウドサービスの利用状況を確認します。
最初から専門用語を多く使うより、普段どの資料を使っていますか、誰が見られますか、どこに保存していますか、と聞くほうが現場から情報を引き出しやすくなります。

そのうえで、主要な情報資産から台帳化します。
完璧を目指しすぎず、まずは重要度が高い情報から整理し、リスクアセスメントにつなげられる状態を作ることが大切です。
台帳の粒度や分類は、運用しながら改善していく前提で考えると進めやすくなります。

自社だけで情報資産の洗い出しが難しい場合

自社だけで情報資産の洗い出しが難しい場合は、ISO27001に詳しい外部の専門家へ相談する方法もあります。
特に、どの粒度で台帳を作るべきか分からない、部署ごとのヒアリングがまとまらない、リスクアセスメントまでつなげられない、審査で通用する内容か不安という場合は、早めに相談したほうが手戻りを減らせます。

コンサル会社へ相談する場合は、情報資産管理台帳だけを作ってもらうのではなく、自社の業務に合った洗い出し方、分類ルール、CIA評価、リスク評価、管理策の選び方まで一緒に整理してもらえるかを確認しましょう。
ひな形を渡されるだけでは、現場で運用できない台帳になることがあります。

低額な支援サービスを検討する場合も、支援範囲を確認することが大切です。
現状調査、情報資産の洗い出し、文書作成、リスクアセスメント、内部監査、審査対応、維持運用サポートまで含まれているかを見ると、自社に合った支援か判断しやすくなります。

まとめ：情報資産の洗い出しはISO27001取得準備の土台になる

ISO27001の情報資産とは、顧客情報や契約書だけでなく、電子データ、紙文書、システム、クラウド、アカウント情報、外部委託先に預けている情報、業務ノウハウなど、自社が守るべき情報や情報を扱う仕組みを指します。

情報資産を適切に洗い出せると、リスクアセスメント、管理策の選定、社内ルール作り、教育、内部監査、審査対応が進めやすくなります。
一方で、台帳が実態と合っていなかったり、細かすぎて更新できなかったりすると、ISO27001の運用が形だけになりやすくなります。

まずは適用範囲を確認し、部署ごとの業務フローに沿って主要な情報資産を洗い出しましょう。
そのうえで、分類、責任者、保管場所、利用者、CIA評価、管理方法を台帳に整理し、定期的に見直せる状態を作ることが大切です。
情報資産管理に不安がある場合は、ISO27001に詳しい専門家へ相談し、自社の業務に合った運用しやすい台帳を整える方法もあります。

よくある質問