IT担当ゼロのサービス業が情シス外注を始めた事例（従業員50名）
背景と課題
都内のサービス業A社（従業員50名）は、創業以来IT専任者を置かず、総務担当者がIT業務を兼務していました。「パスワードを忘れた」「プリンタが動かない」「メールが送れない」といった問い合わせが1日に数件あり、総務の本来業務を圧迫していました。
セキュリティ面では、MFA未導入、パスワードは全員同じものを使用、PCのWindows Updateが数ヶ月放置という状態でした。
導入の経緯
取引先から「御社のメールにSPFが設定されていない」と指摘されたことをきっかけに、IT環境の整備を検討。正社員のIT担当者を採用しようとしたが、年収500万円以上の提示でも応募がなく、情シス代行サービスの利用を決断しました。
導入内容（運用支援 月10時間：月額¥120,000）
ヘルプデスク対応（メール・チャット）、M365ユーザー管理、SPF/DKIM/DMARC設定、MFAの全社導入、PCのWindows Update管理を実施しました。
導入効果
総務担当者のIT対応時間が月20時間→3時間に削減。MFAとメール認証の設定で、取引先からの信頼も回復しました。正社員採用と比較して月額30万円以上のコスト削減になっています。
お客様の声
「総務がIT対応から解放されて本来の仕事に集中できるようになった。この費用でこれだけカバーしてもらえるなら、正社員採用よりずっと合理的です」（総務部長）
※ご契約当時の料金体系での評価です。現在の料金は料金ページをご覧ください。
この事例から言えること
以下は本事例そのものの記録ではなく、同じ状態にある企業が検討する際の一般的な考え方です。
「取引先からの指摘」は珍しいきっかけではない
この事例では、SPF未設定を取引先から指摘されたことが着手のきっかけでした。同様のパターンは増えています。
取引先のセキュリティ基準が厳しくなり、取引開始時や更新時にチェックシートへの回答を求められるケースが一般化しつつあります。SPF/DKIM/DMARCの設定、MFAの適用状況、退職者アカウントの管理状況などが典型的な設問です。
社内の問題としては後回しにされがちなIT整備が、取引条件になった時点で優先度が上がるという構図です。指摘を受けてから慌てるより、先に押さえておくほうがコストは低くなります。
IT専任者の採用が難しいという前提
年収500万円台の提示で応募がないという状況は、この事例に限りません。中小企業のIT担当者採用は、次の理由で難易度が上がっています。
- ITエンジニアの需要が全体に高く、給与水準が上がっている
- 「ひとり情シス」は業務範囲が広く、敬遠されやすい
- 採用できても、1名では対応範囲に限界がある（ヘルプデスクとセキュリティと戦略を1人で担うのは無理がある）
採用と外注のどちらが適切かは、必要な業務量で決まります。 月20時間程度の実務であれば、採用よりも外部委託のほうが合理的な範囲に収まります。
IT担当ゼロの企業が最初にやるべきこと
同じ状態の企業が着手する場合、優先順位は次のようになります。
第1段階：止血（1〜2週間）
- MFAの全社適用 — 不正アクセス対策として最も効果が大きい
- パスワードの使い回しの解消
- Windows Update / OSアップデートの適用状況確認
第2段階：対外的な信用に関わる部分（2〜4週間）
- SPF / DKIM / DMARC の設定
- 退職者アカウントの棚卸しと無効化
- 外部共有されているファイルの確認
第3段階：継続運用の体制づくり（1〜3ヶ月）
- ヘルプデスクの窓口一本化
- IT資産（PC・ライセンス・SaaS）の台帳整備
- 入退社時の手順書作成
第1段階を後回しにしないことが重要です。台帳整備やルール策定から始めたくなりますが、MFAが未適用のまま数ヶ月かけて文書を作っても、その間の侵害リスクは下がりません。
効果測定の指標
外部委託の効果は「担当者の負荷が減った」という感覚だけでは経営層に説明しづらいため、数値で追える指標を決めておくと判断しやすくなります。
| 指標 | 測り方 |
|---|---|
| IT対応にかかった時間 | 兼任担当者の月間対応時間 |
| 問い合わせ件数と解決までの時間 | 月次レポートで集計 |
| セキュリティの状態 | M365セキュアスコア等のスコア推移 |
| 未処理の課題 | 退職者アカウント残存数、未適用の更新プログラム数 |
まとめ
- IT整備のきっかけは取引先からの指摘であることが増えている。取引条件になると優先度が上がる
- 中小企業のIT担当者採用は難易度が上がっており、年収500万円台でも応募がないケースは珍しくない
- 月20時間程度の実務量なら、採用より外部委託が合理的な範囲に収まる
- 着手順は①MFA・パスワード・更新プログラム（止血）→ ②SPF等の対外的な部分 → ③継続運用の体制
- 台帳整備やルール策定から始めない。MFA未適用のまま文書を作っても侵害リスクは下がらない
- 効果は対応時間・問い合わせ件数・セキュアスコア・未処理課題数で追うと経営層に説明しやすい
同じような体制で、何から手を付けるべきか判断がつかない場合は、情シス365の無料相談で現状の棚卸しからご相談いただけます。現在の料金は料金ページをご覧ください。