特定の社員がひとりで社内のIT関連業務をすべて引き受けている状態、いわゆる「ひとり情シス」。一見、コストもかからず効率的に見える体制ですが、その体制は「そのひとりが問題なく在籍し続けること」を前提にした、非常に不安定なものです。
免責事項：本記事は一般的な情報提供を目的としており、特定の事案に対する助言を行うものではありません。実務対応の際は専門家へのご相談、またはIPA（情報処理推進機構）、経済産業省などが公表する最新の情報等をご確認ください。
「ひとり情シス問題」はなぜ起きるのか
「ひとり情シス」とは、パソコンのセットアップ、サーバー管理、アカウント・パスワード管理、トラブル対応、セキュリティ対策などの社内のIT関連業務を、専任・兼任を問わず実質的にひとりで把握・担当している人、またはそのような状態をいいます。担当者すら決まっていない「ゼロ情シス」の状態も、同じ問題を抱えています。
なぜそのような状態になるのか、主な原因としては次のようなことが考えられます。
専任の管理部門や、複数人による管理体制を構築する人員・予算の余裕がなく、ひとりに業務が集中してしまう。
偶然ITやセキュリティに詳しい社員がいた場合、その人に業務を任せきりにしてしまう。また、ITやセキュリティを「わからないもの」と敬遠しがちで、体制を見直す機会がないまま、その状態が固定化しやすい。
日々の業務に追われ、手順の文書化や人材育成など、「やらなくても今日は困らない」業務の優先順位は下がり続ける傾向にある。
ひとり情シスのリスク
ひとり情シス自体は以前からある課題ですが、近年はクラウド・外部サービス（SaaS）の利用拡大やサイバー攻撃の高度化、サプライチェーン全体のリスク管理強化などから、放置したときのリスク（影響）は大きくなっています。
| リスク | 内容 |
|---|---|
| IT業務が止まる | 急な休職や退職により、システムの管理方法や認証情報が分からなくなり、PC・メール・サーバー・外部サービスなどが利用できなくなる。 |
| セキュリティ対策が機能しない | ひとりの判断・作業に依存するため、設定ミスや古いままの設定、誤った運用が放置されていても、誰も気づけない。 |
| 不正や人的ミスの発見が遅れる | IT業務がブラックボックス化すると、内部での不正やヒューマンエラーが表面化しにくくなる。 |
| 契約・権限が個人に紐づいてしまう | 外部サービスなどが担当者個人名義で契約され、退職時に引き継ぎ漏れが発生する。また、不要アカウントの放置が不正アクセスの原因になる。最悪の場合必要なデータやサービスが利用できなくなる。 |
| 担当者本人の負担増加 | 関連業務をひとりで抱え込むことで、健康面の問題や離職原因につながる。 |
| 経営判断ができなくなる | IT投資やサービス選定の妥当性を経営層が判断できず、担当者任せになる。コストの重複や不要な契約に気づけないリスクもある。 |
ひとり情シスリスクへの対策
社内のIT管理や情報セキュリティ体制を保つため、次のようなことを、後回しにせずに始めましょう。
普段の作業手順を文書化しておきましょう。完璧である必要はなく、「PCが不調時に優先的に確認すること」「バックアップからの復旧手順」「自分のPCでマルウエア感染が発覚した場合の初期対応」など、経営上の影響が大きいこと（止まると困ること）から書き出すのが現実的です。
利用中のサービス、管理者権限アカウント、利用端末、契約先と契約名義などは台帳として会社で管理し、個人名義の契約は会社が管理できるようにします（年に一度は棚卸しをしましょう）。
台帳は担当者以外にも数名は参照できるようにしましょう。パスワードは法人向け管理ツールなどで管理し、多要素認証（MFA）の復旧用コードも個人の端末だけにしないように設定しましょう。
契約先のサポート窓口や担当者の連絡先を一枚にまとめ、複数人が把握できるようにしましょう。システム停止時にも見られるよう、印刷したものも保管しておくと安心です。
アカウントの発行・削除や端末など支給品の貸与・返却の手続きを仕組み化して管理しましょう。特に退職時のアカウント無効化、貸与端末の回収、管理者権限の移管などはチェックリストで確認し、抜け漏れがないようにしましょう。
バックアップデータの所在と復元手順を文書化して複数人で共有しておきましょう。バックアップデータは、クラウド、社内サーバー内、外付けHDDなど、複数の場所に同じデータを分けて保管し、少なくとも一つはネットワークから切り離します。
バックアップを自動処理する場合は、正しくバックアップできていることを定期的に確認することが大切です。また、実際にバックアップデータから復元できるかも定期的に試すことも重要です。
ITに詳しい人でなくても構いません。台帳の保管場所や日々の作業内容、緊急連絡先などを、担当者以外にもう一人だけでも共有しておくことで、いざというときに「誰も状況が分からない」という事態を避けられます。
これらの対策と並行して、可能であればIT・セキュリティ管理体制そのものの見直しも検討しましょう。具体的には、以下のような方法などがあります。
- IT管理やセキュリティ対策の一部を外部の管理サービスなどに委託する
- IPAのガイドライン、中小企業向けの取り組み宣言制度「SECURITY ACTION」といった認証制度・公的な取り組みを活用する
まとめ
「詳しい人がいるから大丈夫」という安心感は、裏を返せば「その人がいなくなったら何もわからない」という危うさでもあります。属人化・ブラックボックス化は、担当者個人の問題ではなく、会社の体制の問題です。
まずはできることろから少しずつ「ひとりだけに頼らない仕組み」づくりを始めてみましょう。
