【IPA・総務省データ】ネットワーク構成図の書き方｜IT資産管理製品の導入は中小企業の10.3%（2024年調査）

ネットワーク構成図が必要なのは分かっていても、手を付けられずにいる担当者は多いのではないでしょうか。たとえば、次のような悩みです。

• 前任者が残した構成図が古く、今の機器と合っていない
• 何から書き始めて、どこまで書けばよいのか分からない
• 日々の問い合わせ対応に追われ、そもそも作る時間がない

先に結論をお伝えします。中小企業では、管理製品で機器を自動的に把握できている企業はまだ少数です。そのため、手作業の構成図が現実的な把握手段になります。 そして構成図は、作ることよりも更新し続ける仕組みのほうが大切です。

この記事では、IPA・総務省・警察庁などのデータから構成図が必要な理由を示し、書き方の手順、ツール、更新のコツを解説します。

この記事のポイント

• 中小企業のIT資産管理製品の導入率は、2024年調査時点で10.3%です（出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」）
• ランサムウェアの感染経路のうち、VPN機器・リモートデスクトップ経由は2025年に87.0%を占めました（出典: IPA「情報セキュリティ10大脅威 2026」組織編 解説書、原データ: 警察庁）
• 接続機器を完全に把握し、脆弱性を常時監視できている大企業は、2026年調査で19.1%です（出典: タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」）

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／IPA「情報セキュリティ10大脅威 2026」組織編 解説書（原データ: 警察庁）／タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」

ネットワーク構成図は社内の機器と接続経路を1枚で把握するための資料

ネットワーク構成図とは、社内のどこにどの機器があり、どの経路でつながっているかを1枚にまとめた図です。 障害の切り分けや機器の入れ替え、担当者の引き継ぎのときに、全体像をすぐ確認するために使います。

構成図には、大きく分けて物理構成図と論理構成図の2種類があります。物理構成図は「機器がどこに置かれ、どうケーブルでつながっているか」を示します。論理構成図は「通信がどのアドレスやセグメントを通って流れるか」を示します。

項目	物理構成図	論理構成図
主に示す内容	機器の設置場所、配線、ポートの接続先	IPアドレス、VLAN、セグメント、ルーティング
よく使う場面	機器の故障対応、配線の変更、現地作業	通信トラブルの切り分け、設定変更、セキュリティ対策の検討
主な読み手	現地で作業する担当者、保守業者	設定を担当するエンジニア、監査やセキュリティチェックの担当者
書き込む例	ラック位置、スイッチのポート番号、ケーブルの種類	ネットワークアドレス、ゲートウェイ、VPNの接続先

構成図に載せる機器は、PCやサーバーだけではありません。総務省の2025年調査では、IoTやAIの仕組みを導入している従業者100人以上の企業のうち、63.4%が機器の回線に無線LANを選んでいました（複数回答）。

つまり、ケーブルでつながっていない無線区間や、カメラ・センサーのような機器も構成図の対象になります。物理と論理の2枚を用意し、有線と無線の両方を書き込むことが、構成図の基本です。

出典: 総務省「令和7年通信利用動向調査報告書（企業編）」

中小企業では構成図が接続機器を把握する現実的な手段になる

中小企業では、ツールで機器を自動的に把握できている企業は少なく、手作業で作る構成図や台帳が主な把握手段になります。 IPAの2024年調査を見ると、IT資産管理製品を入れている中小企業は10.3%でした。PCの設定やネットワーク接続を管理する製品も8.7%にとどまります。

セキュリティ対策の専門部署（担当者）がある中小企業も、同じ年の調査で9.3%です。ここからは、この3つの数値を順に見ていきます。

中小企業のIT資産管理製品の導入率は2024年調査時点で10.3%、PC管理製品は8.7%にとどまる

2024年調査時点で、IT資産管理製品を導入している中小企業は10.3%、PC管理製品は8.7%です。 大半の企業は、ツールに頼らずに機器を把握していることになります。

IPAが2016年・2021年・2024年に同じ設問で尋ねた結果は次のとおりです。

調査年	IT資産管理製品	PC管理製品	回答企業数
2016年	5.5%	4.1%	4,215社
2021年	6.7%	4.0%	4,074社
2024年	10.3%	8.7%	2,203社（対策の必要性を感じている企業）

表の出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」図3-183より作成

この推移から読み取れるのは、2016年から2021年はほぼ横ばいで、2024年も1割前後にとどまる点です。多くの中小企業にとって、構成図や台帳を手で作ることが現実的な手段だと考えられます。

小規模企業者のIT資産管理製品導入率は5.5%で、101名以上の22.9%と約4倍の差がある

同じ2024年調査でも、企業規模が小さいほどIT資産管理製品の導入率は低くなります。 小規模企業者は5.5%、小規模企業者を除く100名以下の中小企業は12.6%、101名以上の中小企業は22.9%でした。全体は10.3%です。

ここでいう小規模企業者は、商業・サービス業で従業員1〜5名、製造業その他で1〜20名の企業を指します。最も導入が進んでいる101名以上の区分でも、導入企業は4社に1社に届いていません。

この差から言えるのは、会社が小さいほど、機器の把握をツールに任せられる企業が少ないという点です。小規模企業者と101名以上の差は約4倍あり、ひとり情シスの職場のように担当者が少ない環境では、自分で全体を整理する必要性が相対的に高いと読めます。ただし、小規模企業は機器が少なく、製品がなくても把握できているだけという見方も成り立ちます。

セキュリティ対策の専門部署（担当者）がある中小企業は2024年調査で9.3%にとどまる

IPAの2024年調査では、セキュリティ対策の専門部署（担当者）がある中小企業は9.3%でした。 この調査の有効回答は4,191件です。

人手の少なさは、別の調査にも表れています。総務省の2018年調査では、ネットワークを利用するうえでの問題点として「運用・管理の人材が不足」を挙げた企業が44.4%でした。前年から7.1ポイント上がっています。

この総務省調査は従業員100人以上の企業が対象で、2019年以降の同じ設問の値は今回確認できていません。2つの調査は主体も年も違うため、経年の変化としては比べられない点に注意してください。

それでも、ネットワークを見る人手が限られている状況は、複数の調査から確認できます。だからこそ、担当者の頭の中にしかない接続の情報を、図にして残しておく意味があると考えます。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／総務省「平成30年通信利用動向調査の結果」

ランサムウェアの侵入口の87.0%はVPN機器などで、構成図は事故対応の初動資料になる

ランサムウェアの侵入口は、社内と社外の境目にあるVPN機器やリモートデスクトップに集中しています。 警察庁の集計では、2025年に感染経路の87.0%がこの2つでした。

一方、従業員100人以上の企業を対象とした総務省の2025年調査では、過去1年間にインターネットの利用で何らかのセキュリティ被害を受けた企業が48.1%ありました。この「被害」には標的型メールが届いた場合も含まれ、すべてが侵入や情報漏えいを意味するわけではありません。被害が起きたときに、どこを止めればよいかを判断する資料として、構成図が役に立ちます。

VPN機器・リモートデスクトップ経由の感染は2022年の80.4%から2025年の87.0%まで増えている

ランサムウェアの感染経路に占めるVPN機器・リモートデスクトップ経由の割合は、2022年から2025年まで毎年上がっています。 2025年には87.0%に達しました。

年	VPN機器・リモートデスクトップ経由の割合
2022年	80.4%
2023年	81.7%
2024年	86.0%
2025年	87.0%

表の出典: IPA「情報セキュリティ10大脅威 2026」組織編 解説書（原データ: 警察庁）より作成。2023年は同書本文の値で、同書の表では内訳の合計が81.8%と表記されています

この値は、感染経路が分かった事案だけを集計したもので、年ごとに件数も違います。それでも、同じ集計で4年続けて上がっている点は押さえておきたいところです。

この推移から読み取れるのは、侵入口がネットワークの入口にある機器に集まり続けているという点です。VPN装置の管理については、リモートアクセスのセキュリティを解説した記事も参考にしてみてください。

構成図があれば遮断する箇所と影響範囲をすぐに判断できる

構成図があれば、被害が起きたときに「どこを切り離せば広がりを止められるか」をすぐに判断できます。 VPN装置の位置と、社内への経路が図に描かれているためです。

総務省の2025年調査（従業員100人以上の企業が対象）では、何らかのセキュリティ被害を受けた企業は48.1%でした。IPAの解説書も、ネットワークを事業所や部署、機器の用途ごとに分けておき、インシデントのときに個別に切り離して被害を局所化する対策を挙げています。これは構成が分からなければ実行できません。

PC中心の管理では、VPN装置などの境界の機器が記録から漏れやすいと考えられます。構成図は、被害が起きたときに早く動くための資料です。

出典: IPA「情報セキュリティ10大脅威 2026」組織編 解説書／総務省「令和7年通信利用動向調査の結果」

ネットワーク構成図は5つの手順で作成する

ネットワーク構成図は、いきなり図を描き始めるのではなく、次の5つの手順で進めると抜け漏れを減らせます。

1. 目的と範囲を決める（障害対応用か、監査提出用か。本社だけか、拠点も含めるか）
2. 接続機器を棚卸しして一覧表にする
3. 物理構成図を描く（設置場所・配線・ポート）
4. 論理構成図を描く（IPアドレス・VLAN・セグメント・VPNの接続先）
5. 凡例・作成日・更新者を書き込む

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版も、主要なセグメントや機器の配置を記載した構成図を作成して版を管理し、構成を変えるたびに更新することを勧めています。同ガイドライン付録の規程サンプルでは、構成図に載せる項目として、セグメント、機器の配置、接続経路、IPアドレス、機器名、ファイアウォールやVPNの位置が挙げられています。

アイコンや線の描き方には、規格として定められた統一の記法はありません。Cisco社が公開しているネットワーク機器のアイコンが慣習的によく使われますが、ツールによって図形は異なります。そのため、ルーターやスイッチ、無線アクセスポイントの記号を社内で決め、凡例として図に載せておきます。こうしておけば、作った本人以外も同じように読めます。

ここからは、手順の中でも特に大切な3つのポイントを、データとあわせて説明します。

最初に接続機器を棚卸しし、一覧表を作ってから図にする

図を描く前に、接続機器を棚卸しして一覧表を作るのが近道です。 一覧表には、機器名、設置場所、IPアドレス、管理者を最低限そろえます。図はこの一覧表を見ながら描くと、書き漏れに気づきやすくなります。

スリーシェイクの2024年調査では、IT資産を把握できていると答えた大企業の情報システム担当者61名に、その理由を複数回答で尋ねています。

把握できている理由（複数回答）	割合
資産管理システムを導入している	72.1%
定期的な棚卸し作業を実施している	55.7%
IT資産管理の専任担当者がいる	54.1%

表の出典: 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」より作成（従業員1,000名以上の企業が対象）

この結果から読み取れるのは、把握できている企業の半数以上が定期的な棚卸しを理由に挙げている点です。ただし、把握できている企業だけの回答なので、棚卸しをすれば必ず把握できるという意味ではありません。一覧表の作り方は、IT資産管理台帳の記事も参考になります。

インターネットに公開している機器とVPN装置は必ず書き込む

構成図で最優先で書き込むべきなのは、ルーター、ファイアウォール、VPN装置、公開サーバーといった、インターネットとの境目にある機器です。 外から見える機器ほど、把握漏れがそのまま弱点になるためです。

スリーシェイクの2024年調査では、従業員1,000名以上の大企業の情報システム担当者104名に、インターネットに公開しているIT資産の把握状況を尋ねています。

把握状況	割合
十分に把握できている	20.2%
おおむね把握できている	38.5%
一部しか把握できていない	25.0%
ほとんど把握できていない	12.5%
わからない／答えられない	3.8%

表の出典: 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」より作成

「一部しか」と「ほとんど」を合わせると37.5%で、大企業でも外向きの機器の把握に穴があります。これは中小企業の値ではありませんが、PC中心の管理では境界の機器が漏れやすいという見方と合っています。

無線LANのアクセスポイントとPC以外の機器も記載対象に含める

無線LANのアクセスポイントと、複合機・カメラなどPC以外の機器も構成図に書き込みます。 PC中心の台帳から漏れやすいためです。

総務省の2025年調査では、IoTやAIを導入している従業者100人以上の企業の63.4%が、回線に無線LANを選んでいました（複数回答）。一方、接続機器を完全に把握し、脆弱性を常時監視できている大企業は、2026年調査で19.1%です。PC管理製品を入れている中小企業も、2024年調査で8.7%でした。

ここから見えるのは、つながる機器が増える一方で、全数を把握できている企業は少ない状況です。無線区間とPC以外の機器を図に描けば、台帳の抜けを補えます。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」／Cisco「Network Topology Icons」／株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」／総務省「令和7年通信利用動向調査報告書（企業編）」／タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」

作成ツールは、管理製品を持たない企業でも無料の作図ツールから始められる

専用の管理製品がなくても、構成図は手元の作図ツールで作り始められます。 2024年調査では、IT資産管理製品を入れている中小企業は10.3%、PC管理製品は8.7%でした。多くの企業にとっては、まず普段使っているツールで描くのが現実的です。

構成図の作成によく使われるツールを、特徴と向いている場面で整理しました。

ツール	特徴	向いている場面
draw.io（diagrams.net）	ブラウザやデスクトップで使える作図ツール。ネットワーク機器の図形が用意されている	費用をかけずに始めたいとき
Microsoft Visio	Microsoftの作図ソフト。ネットワーク図向けのテンプレートや図形がある	社内でMicrosoft製品を標準にしているとき
Miro	オンラインのホワイトボード。複数人で同時に編集できる	拠点の担当者や保守業者と一緒に描きたいとき
Excel・PowerPoint	多くの職場で使い慣れている。図形を組み合わせて描く	小規模なネットワークを手早く図にしたいとき

ツール選びで大切なのは、機能の多さよりも、自分以外の人が開いて更新できるかどうかです。担当者しか開けない形式で保存すると、引き継ぎのときに使えなくなります。

まずは後任者や上長など、担当者以外も開けるツールを1つ決め、そのツールで描き続けることをおすすめします。 特定の製品にこだわる必要はありません。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

構成図は作った後の更新で価値が決まる

構成図が手元にあることと、その図が今のネットワークと一致していることは別の問題です。 機器を1台追加しただけでも、図と実態はずれ始めます。IPAのガイドラインが構成変更のたびの更新を求めているのも、このためです。ここでは大企業の調査を手がかりに、そのずれの大きさと、人手が少ない職場での更新の進め方を説明します。

「おおむね把握」は約6割でも、接続機器を完全に把握し常時監視できている大企業は19.1%にとどまる

「だいたい分かっている」と「全数を最新の状態で分かっている」の間には、大きな差があります。 スリーシェイクの2024年調査では、公開しているIT資産を「十分に」または「おおむね」把握できていると答えた大企業の担当者は、合わせて58.7%でした。

一方、タニウムの2026年調査では、接続機器を完全に把握し、脆弱性を常時監視できている大企業は19.1%でした。どちらも従業員1,000名以上の企業が対象です。

この2つを並べて読み取れるのは、把握の基準を厳しくすると、把握できている企業の割合が約40ポイントも変わるという点です。構成図に置き換えると、「図はある」と「図が今と合っている」の間に同じような差があると考えられます。

人手が少ない職場では、専任者を置くより更新のタイミングと手順を先に決める

人手が少ない職場では、専任者を置くより、図を直すきっかけを先に決めるほうが現実的です。 スリーシェイクの2024年調査で、把握できている企業の理由は資産管理システムが72.1%です。棚卸しは55.7%、専任担当者は54.1%でした。

総務省の2018年調査では、運用・管理の人材不足を挙げた企業が44.4%でした。

専任者がいなくても、更新のきっかけと手順を決めれば把握を保ちやすいと考えられます。ただし調査主体も年も違い、因果関係までは言えません。

出典: 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」／タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」／総務省「平成30年通信利用動向調査の結果」／IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」

構成図の整備状況を示す公的統計は無く、自社の状態は自分で点検する必要がある

ネットワーク構成図を作成・更新している企業の割合は、今回確認した範囲の公的調査では見当たりませんでした。 自社の状態を統計で他社と比べることはできません。

中小企業の公的調査は、管理製品の導入有無までです（2024年調査でIT資産管理製品10.3%、PC管理製品8.7%）。把握の度合いは、大企業対象の民間調査でしか分かりません。公開資産の「十分に把握」は2024年で20.2%、接続機器の「完全に把握し常時監視」は2026年で19.1%です。人材不足の公的データも、今回確認できた範囲では2018年の44.4%が最新です。

次の4点で、自社の構成図を点検してみてください。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」／タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」／総務省「平成30年通信利用動向調査の結果」

まとめ: 管理製品が少ない中小企業ほど、境界機器から構成図を整備して更新を続ける

ネットワーク構成図は、社内の機器と接続経路を1枚で把握するための資料です。この記事の要点を振り返ります。

• 中小企業のIT資産管理製品の導入率は2024年調査時点で10.3%にとどまり、手作業の構成図が現実的な把握手段になる
• ランサムウェアの感染経路のうち、VPN機器・リモートデスクトップ経由は2025年に87.0%を占めており、境界の機器を最優先で図に書き込む
• 接続機器を完全に把握し常時監視できている大企業は2026年調査で19.1%で、図は作った後の更新で価値が決まる
• 構成図の整備状況を示す公的統計は見当たらないため、点検項目で自社の図を確認する

まずは境界の機器と無線区間を一覧表に書き出し、物理と論理の2枚の図にすることから始めてみてください。 更新のきっかけを決めておけば、人手が少ない職場でも図を今の状態に保ちやすくなります。

ネットワーク管理の基礎を学ぶなら「情シスカレッジ」

構成図を正しく描き、更新し続けるには、IPアドレスやVLAN、VPNといったネットワークの基礎知識が欠かせません。ひとりで情シスを担当していると、こうした知識を体系的に学ぶ時間を取るのは難しいですよね。

「情シスカレッジ」は、新人・ひとり情シスのためのマイクロラーニングLMSです。数分の動画と小テストで、日々の業務の合間に少しずつ学べる形になっています。

導入は5名から可能で、請求書払いにも対応しています。初期設定はおよそ10分で完了します。

情シスカレッジの詳細を見る

※出典

• 情報処理推進機構「2024年度 中小企業における情報セキュリティ対策に関する実態調査」
• 情報処理推進機構「情報セキュリティ10大脅威 2026」組織編 解説書（原データ: 警察庁）
• 情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
• 総務省「令和7年通信利用動向調査の結果」
• 総務省「令和7年通信利用動向調査報告書（企業編）」
• 総務省「平成30年通信利用動向調査の結果」
• 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」
• タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」
• Cisco「Network Topology Icons」