情シス部門の作り方｜中小企業がゼロからIT管理体制を構築するステップ
「IT部門がない」からのスタート
従業員が増え、SaaSの契約が増え、セキュリティの問題が顕在化し——「そろそろIT管理をちゃんとしないとまずい」と感じたとき、何から始めればよいかを解説します。
ステップ1：現状の把握（1〜2週間）
最初にやるべきは現状の棚卸しです。PCの台数と利用者一覧、利用中のSaaS・クラウドサービスの一覧と月額費用、インターネット回線・ネットワーク機器の構成、管理者アカウント（M365/GWS/ルーター等）の所在、バックアップの有無と方法をExcelでもよいので一覧化してください。
「聞いて回る」より「請求から辿る」ほうが速く、漏れません。
- 経費精算とクレジットカードの明細 — 契約中のSaaSが月額課金の形で全部出てきます。情シスが把握していないサービスは、ここでしか見つかりません
- リース契約の一覧 — 複合機、PC、ネットワーク機器の保守期限が分かります
- ドメインの管理画面 — 誰が契約者で、更新はいつか。個人名義になっていることがあります
- 各サービスの管理コンソール — 現在のユーザー数と、退職者が残っていないか
最優先で特定すべきは「管理者アカウントの所在」です。 前任者しか知らない、退職した社員の個人アドレスに紐づいている、ベンダーが握っていて自社では変更できない——いずれも実際によくある状態で、判明が遅れるほど対処が難しくなります。
ステップ2：最低限のセキュリティ確保（1〜2週間）
棚卸しと並行して、最低限のセキュリティ対策を実施します。M365/GWSの多要素認証（MFA）を全ユーザーに適用、全PCのWindows Updateを最新化、管理者アカウントのパスワード変更（初期値・共通パスワードの廃止）、退職者のアカウント無効化の4つを最優先で実施してください。
ステップ3：IT管理の「窓口」を決める（即日）
社内でIT関連の窓口となる担当者を1名決めてください。ITに詳しくなくて構いません。「社員からのIT問い合わせを受け付ける」「外部パートナーとの連絡窓口になる」という役割です。これだけで「誰に聞けばいいかわからない」状態が解消されます。
ただし、窓口担当者を守る設計が必要です。 兼任で任命された担当者に問い合わせが集中し、本来の業務が回らなくなるのは典型的な失敗です。
- 「解決する人」ではなく「割り振る人」と定義する — 自分で対応するのではなく、外部パートナーに渡してよいと明示します
- 受付の窓口を1本にする — 個人宛のチャットや口頭依頼を受けると、記録が残らず抜け漏れが起きます。専用のメールアドレスやフォームを用意してください
- 業務時間の何割を充てるかを上長と合意する — これがないと、通常業務と板挟みになります
ステップ4：外注パートナーを選定（2〜4週間）
中小企業がゼロからIT部門を内製するのは現実的ではありません。情シスアウトソーシングの活用を前提に、外注パートナーを選定してください。ヘルプデスク対応、セキュリティ運用、アカウント管理を最低限カバーできるパートナーを選びましょう。
内製に残すものと、外注するもの
全部を任せる（丸投げ）と、意思決定まで外部に依存します。 判断は社内に残し、実作業を外に出すのが基本的な切り分けです。
| 領域 | 担当 |
|---|---|
| 何にいくら投資するか | 社内（経営判断） |
| どのサービスを使うか、契約するか | 社内（決定）＋外部（比較・提案） |
| アカウント発行・削除、キッティング | 外部 |
| 障害対応、ヘルプデスク | 外部 |
| セキュリティ設定の運用・監視 | 外部 |
| 社員からの一次受付 | 社内（窓口1名） |
選定時に確認すること
- 対応範囲がどこまでか — 「セキュリティ対応」と書かれていても、監視だけなのか設定変更まで含むのかで実態が違います
- 対応時間と、時間外の扱い — 夜間・休日にサーバーが止まったときにどうなるか
- 作業の記録が残るか — 何をしたかが見えないと、内製に戻す判断もできません
- 契約終了時にどうなるか — 管理者アカウントや設定情報を引き継げるか。ベンダーロックインを避ける最重要ポイントです
- 担当者が誰か — 中小企業向けの支援では、担当者の力量が品質を大きく左右します
ステップ5：運用ルールの策定（1ヶ月）
外注パートナーと協力して、基本的なITルールを策定します。入退社時のIT対応手順（チェックリスト化）、パスワードポリシー（文字数）、IT機器の利用ルール（私用PC禁止、USBメモリ禁止等）、IT関連の問い合わせフロー（誰に・どの手段で連絡するか）を文書化して全社に周知してください。
パスワードの定期変更を求めるルールは、現在は推奨されていません。 長さの確保と多要素認証の併用に切り替えてください（パスワード管理の最新の考え方）。
禁止ルールは、代替手段とセットで書いてください。 「USBメモリ禁止」だけを掲げると、現場は隠れて使います。ファイル共有の手段を用意したうえで禁止する、あるいは貸出制にするほうが実効性があります。守られないルールは、書いてあること自体が違反状態を生みます。
ステップ6：継続的な改善（以降ずっと）
月次で外注パートナーからレポートを受け取り、IT環境の状態と課題を把握します。四半期ごとにIT資産の棚卸し、セキュリティ対策の見直し、コストの最適化を行います。
経営層への報告は「金額」と「止まる時間」で
立ち上げを続けるには予算の承認が要ります。技術的な作業内容を並べても伝わりません。
- 「MFAを導入した」→「アカウント乗っ取りによる不正送金のリスクを、追加費用なしで下げた」
- 「棚卸しをした」→「使われていないSaaSが◯件見つかり、年間◯万円の削減になる」
- 「バックアップの復元テストをした」→「障害時に業務が◯日で戻せることを確認した」
最初の成果として出しやすいのは、コスト削減です。 棚卸しでは、退職者分のライセンス、重複したサービス、使われていない契約がほぼ確実に見つかります。削減額を示せると、以降のセキュリティ投資の議論が進めやすくなります。
よくある失敗
- 完璧な体制を設計してから動こうとする — 設計で数ヶ月を費やす間、リスクは放置されます。ステップ2のセキュリティ対策は、棚卸しの完了を待たずに着手してください
- 窓口担当者に権限がない — 問い合わせは集まるが、何も決められない状態。「誰に上げれば決まるか」を最初に決めておきます
- 外注に丸投げして中身が分からなくなる — 月次レポートを受け取るだけでなく、何をしてもらっているかを説明できる状態を保ってください
- ツールを増やして解決しようとする — 運用する人がいない状態でツールを入れても、アラートが増えるだけです
まとめ
- 棚卸しは請求・経費明細から辿る。聞いて回るより速く、漏れない
- 最優先は管理者アカウントの所在の特定。個人名義やベンダー保有は判明が遅れるほど厄介
- ステップ2のセキュリティ対策は、棚卸しの完了を待たずに着手する
- 窓口担当者は**「解決する人」ではなく「割り振る人」**。受付経路を1本にし、工数を上長と合意する
- 判断は社内、実作業は外部。丸投げは意思決定まで外部依存になる
- 外注選定では対応範囲・時間外の扱い・作業記録・契約終了時の引き継ぎを確認する
- パスワードの定期変更ルールは作らない。長さとMFAに切り替える
- 禁止ルールは代替手段とセットで。守られないルールは違反状態を生む
- 経営層には金額と止まる時間で報告する。最初の成果はコスト削減が出しやすい
- 失敗の典型は、完璧な設計待ち・窓口に権限がない・丸投げ・運用者不在のツール導入
情シス部門の構築は「人を採用する」ことではなく「IT管理の仕組みを作る」ことです。社内に窓口1名＋外部パートナーの体制で、中小企業でも十分なIT管理体制を構築できます。
情シス365のStart365は、ゼロからの情シス立ち上げを専門的に支援するサービスです。