秋の終わり、ある製造業の会社に初めて訪問した朝のことを今でも覚えている。会議室のホワイトボードには「ISMS取得プロジェクト キックオフ」と書かれており、担当者は意気込んだ表情で資料を広げていた。しかし「御社の情報資産を教えてください」と尋ねた瞬間、室内の空気がわずかに変わった。「情報資産……というのは、パソコンのことですか」と、担当者は静かに聞き返した。その問いは責めるべきものでは少しもない。むしろ、この問いこそがISMS取得支援の現場で最もよく聞かれる、そして最も本質的な出発点なのだ。どこに何があるかわからない状態から、地図を描き始めること——それが棚卸しというプロセスの正体である。

「情報資産」という言葉が持つ、静かな広がり

情報資産とは何か。ISO/IEC 27001の文脈では、組織が価値を認める情報およびそれを支える仕組みの総体を指す。しかし実務の現場でこの定義を素直に当てはめると、対象の広さに多くの担当者が言葉を失う。顧客の氏名や住所が入った受注台帳。サーバーに保存された設計図。営業担当者の頭の中にある取引先との口頭合意。さらには紙の契約書が詰め込まれたキャビネット、退職した社員のIDが残ったままのクラウドサービス、倉庫の片隅で眠る旧型のノートパソコン——これらはすべて情報資産の候補である。「うちは大した情報を持っていない」と語る経営者ほど、棚卸しを始めると驚くほど多くの資産が姿を現す。その発見の瞬間は、驚きと同時に小さな緊張を伴う。

なぜ棚卸しはいつも「後回し」になるのか

ISMS取得のプロジェクトは、多くの場合、規程の整備やリスクアセスメントの枠組み作りから動き始める。文書を作る作業は目に見えて進んでいる感覚があり、担当者にとって達成感を得やすい。一方で情報資産の棚卸しは、組織の全部門を横断して聞き取りを行い、散在するデータを一枚の台帳に集約するという、地味で根気のいる作業である。しかも「ここまでやれば完了」という明確な終点が見えにくい。ある東京都内の物流企業では、棚卸しを「後でまとめてやる」と先送りにした結果、認証審査の直前になって資産台帳の不備が発覚し、プロジェクト全体が三ヶ月延期になった。棚卸しを後回しにすることのコストは、着手の遅れよりもはるかに大きい。

現場で使う「三層分類」という出発点

白紙から棚卸しを始めるとき、筆者が現場で最初に提案するのは「三層分類」と呼ぶ簡単な枠組みである。第一層は「情報そのもの」——顧客データ、従業員情報、財務記録、設計仕様書など、内容に着目した分類。第二層は「情報を入れる器」——サーバー、クラウドストレージ、紙の書類、USBメモリなど、媒体に着目した分類。第三層は「情報を動かす仕組み」——メールシステム、社内ポータル、EDIツールなど、情報の流れを支えるシステムに着目した分類。この三層を縦軸に、部門を横軸に並べたマトリクスを会議室のホワイトボードに描くだけで、多くの担当者が「あ、うちの経理はここに入る」「営業のスプレッドシートはどの層だろう」と自然に考え始める。分類の精度よりも、まず全員が同じ地図の上で話し始めることが大切だ。

ヒアリングという名の静かな探索

三層の枠組みができたら、次は各部門へのヒアリングに入る。このフェーズを「インタビュー」と呼ぶよりも「探索」と表現したい。担当者は自分が何を持っているかを完全には把握していないことが多く、問い方によって引き出せる情報の深さが変わるからだ。「どんなファイルを扱いますか」という閉じた質問ではなく、「一週間の仕事の流れを教えてください」と語りかけると、月曜の朝に得意先からFAXで届く注文書、それを手入力するExcelファイル、週末に外部の倉庫業者へメールで送る出荷リスト——といった情報の流れが自然に姿を現す。大阪のある食品会社での事例では、このヒアリングによって、誰も把握していなかった「退職した営業部長が個人のDropboxで管理していた顧客リスト」の存在が浮かび上がった。探索とはそういうものだ。

台帳に「命を吹き込む」記録の作り方

ヒアリングで集めた情報は、情報資産台帳として記録する。台帳に入れるべき項目は最低限に絞ることを勧める。資産の名称、資産の種別（情報・媒体・システム）、管理部門、保存場所、機密性・完全性・可用性それぞれの重要度、そして廃棄や更新のサイクル——この七項目があれば、初回の棚卸しとしては十分に機能する。ExcelでもGoogleスプレッドシートでもよい。大切なのは形式より、台帳を「生きたもの」として維持できるかどうかだ。半年に一度、各部門が「増えたものはないか、変わったものはないか」を確認してフォームを更新する運用ルールを最初から決めておく。台帳が完成した瞬間から劣化を始めることを、作り手は覚悟しておく必要がある。

「重要度の評価」が棚卸しを本物にする

情報資産を並べただけでは棚卸しは半分しか終わっていない。それぞれの資産に対して、機密性（漏れたらどうなるか）、完全性（改ざんされたらどうなるか）、可用性（使えなくなったらどうなるか）の三軸で重要度を評価することで、棚卸しはリスクアセスメントへの入口として機能し始める。評価の尺度は「高・中・低」の三段階で十分だ。たとえば顧客の個人情報が含まれる受注データは機密性「高」、完全性「高」、可用性「中」といった形で整理できる。この評価を部門担当者と一緒に行うことが重要で、外部コンサルタントが一人で点数をつけるのでは組織の実態を反映できない。重要度の評価は、組織がはじめて自分たちの情報の「重さ」を手で測る経験でもある。

棚卸しが終わった朝の、静かな手応え

冒頭で触れた製造業の会社では、初回訪問から約三ヶ月をかけて情報資産台帳が完成した。春の朝、担当者からメールが届いた。「台帳を印刷して眺めていたら、自分たちが何者かが少し見えてきた気がします」という一文があった。これはISMS取得という目的を超えた、組織の自己認識の話である。どの情報をどこに持ち、誰が管理し、何が失われたら困るのか——この問いに答えられることは、セキュリティ対策の土台であると同時に、経営の明晰さにもつながる。棚卸しは義務ではなく、組織が自分自身と向き合う時間だと、支援の現場で何度も感じてきた。

霧の中で地図を描く作業は、孤独で時間がかかる。しかし描き終えたとき、組織の風景はそれ以前とは少し違って見える。情報資産の棚卸しとは、そういう静かな変容の入口にある作業だと、筆者は今も思っている。