PC・アカウント・ライセンスのIT資産管理 — 中小企業のための最小限の始め方

IT資産管理とは、会社が保有・契約しているIT関連の「モノ」と「権利」を、所在・利用者・状態・期限とセットで把握し続ける業務のことである。対象はパソコンやスマートフォンといったハードウェアだけではない。業務で使っているクラウドサービスのアカウント、ソフトウェアのライセンス、ドメインやSSL証明書の契約、社内ネットワーク機器まで含めて考えるのが一般的だ。「全部でいくつあり、誰が使い、いつ期限が切れるか」を答えられる状態を作る、というのが実務上のゴールになる。

大企業では専門部署が専用ツールで管理する領域だが、中小企業では担当者不在のまま台数だけが増えていくことが多い。まずは完璧な管理を目指すのではなく、「答えられない質問をなくす」ところから始めるのが現実的である。

IT資産の把握が甘い会社で実際に起きるのは、次のような静かな損失である。どれも単発では小さいが、数年積み重なると無視できない金額と時間になる。

使っていないSaaSの月額課金が数年間払われ続けている
退職者のアカウントが残り、社外から社内データにアクセスできる状態になっている
何台のパソコンにどのソフトが入っているか分からず、ライセンス違反のリスクを抱える
サポート終了（EOL）したOSのパソコンが業務で使われ続けている
故障時に「そのパソコンは誰がいつ買ったのか」が分からず、保証も引き継ぎ資料もない

特にアカウントの残存は、金銭的な無駄にとどまらずセキュリティ事故に直結する。退職者のアクセス権については退職者のクラウドアカウント、消していますかで詳しく扱っている。OSやソフトのサポート終了への備えは「サポート終了」への備えを参照してほしい。

何もかもを一度に管理しようとすると挫折する。対象を4つに分け、リスクと金額の大きいものから順に手をつけるとよい。

優先度をアカウントと契約に置いているのは、放置したときの被害が「お金の無駄」ではなく「情報漏えい」や「サービス停止」になり得るためだ。ドメインやSSL証明書の更新漏れは、ある日突然サイトが表示されなくなる形で表面化する。

初回の棚卸は、完璧さより「一巡させること」を目標にする。従業員30名程度の会社であれば、2〜3日の作業時間で一通りの形にはなる。

1. 支払いから逆引きする — クレジットカード明細と銀行の引き落とし履歴を12ヶ月分見て、IT関連の支払いを全部書き出す。使途不明の課金がここで見つかる
2. 人から引く — 従業員名簿を軸に「この人が使っているPC・アカウント」を各人に申告してもらう
3. 現物を数える — 倉庫や事務所の予備機・退職者返却分も含めて実機を数え、台帳と突き合わせる
4. 管理者を決める — 各サービスの管理者アカウントが誰の個人アドレスに紐づいているかを確認し、個人名義なら会社共有のアドレスに移す
5. 更新日を1枚のカレンダーに集約する — ドメイン・証明書・保守契約・ライセンスの更新月を1箇所にまとめる

特に効果が大きいのが1と4である。支払いからの逆引きは「誰も申告しない、しかし課金され続けているサービス」を確実に拾える唯一の方法だ。管理者アカウントの名義確認は、担当者の退職時にサービスごと使えなくなる事態を防ぐ。この属人化リスクについては退職でシステムがブラックボックス化する前にで詳述している。

IT資産管理ツールは市販されているが、規模によっては表計算ソフトの台帳で十分に機能する。判断の目安は次のとおりである。

上記の金額は一般的な相場感であり、機能や契約条件によって幅がある。ツールを入れる最大のメリットは「PCが自動で自分の情報を報告してくれる」点にあり、台帳が実態とずれにくくなることだ。逆に言えば、台数が少なく異動も少ない会社では、半年に一度の手動棚卸で十分に運用できる。担当者を置けない場合の外部委託については情シス代行・IT顧問の使い方と費用相場にまとめている。

棚卸は一度やって終わりにすると、半年で台帳が使い物にならなくなる。維持のために決めておきたいのは次の4点だけでよい。

入退社時に台帳を更新することを、入社手続き・退職手続きのチェックリストに1行として組み込む
IT関連の新規契約は必ず1人の承認を通す（誰でも申し込める状態をやめる）
年1回、更新月の集約カレンダーを見直す日を決める
台帳の置き場所を全員が知っている場所にし、担当者の個人PCに置かない

この4点は、どれも新しいツールも予算も必要としない。IT資産管理が続かない原因の大半はツールの不足ではなく、更新のきっかけが業務フローに埋め込まれていないことにある。ひとり情シス・兼任担当者の業務整理という観点ではひとり情シス・兼任情シスの業務整理術も参考になる。

会社のPC台数を即答できるか
直近12ヶ月のIT関連の支払いを一覧化できるか
各クラウドサービスの管理者アカウントが会社名義になっているか
退職者のアカウントが停止されているか確認したのはいつか
ドメイン・SSL証明書の更新日を把握しているか
サポート終了したOSのPCが業務で使われていないか

このうち2つ以上に即答できなければ、棚卸に着手する価値がある。IT資産管理は攻めの投資ではないが、無駄な課金の停止という形で初回だけは金銭的なリターンが出やすい領域でもある。セキュリティ全般の優先順位づけは中小企業のITリスク対策 完全ガイドで全体像を整理している。