【IPA・総務省データ】構成管理とは｜資産管理との違いと、2024年のIT資産管理製品導入率10.3%に見る実態

「構成管理」という言葉は知っていても、いざ説明しようとすると言葉に詰まる。そんな情シス担当の方は多いのではないでしょうか。特に資産台帳をすでに作っている場合、何が違うのか分かりにくいですよね。

• 資産台帳はあるけれど、構成管理と何が違うのか説明できない
• CMDBは大企業向けの話で、自社には関係ないと感じている
• 他の中小企業はどこまで管理しているのか知りたい

結論から言うと、構成管理とは「何があるか」に加えて、「どうつながり、今どの状態か」を記録し続けることです。資産台帳は、その出発点になります。

一方で、公的調査を見ると、その土台になるIT資産管理製品を導入している中小企業は2024年時点で約1割にとどまります。この記事では、構成管理の意味と資産管理との違い、公的データから見える実態、小さく始める手順を解説します。

構成管理とは、IT機器とソフトウェアの状態やつながりを最新の状態で記録し続ける管理のこと

構成管理とは、社内のIT機器やソフトウェアについて、今どの状態にあり、何とつながっているかを記録し、変化に合わせて更新し続ける管理のことです。ITサービス管理の考え方をまとめたITILでも、管理の取り組みの一つに位置づけられています（ITIL 4では「サービス構成管理」というプラクティス）。IPAのITサービスマネージャ試験シラバスも、構成管理を資産管理とは別の項目として定めています。

構成管理は、セキュリティ対策としても重要です。IPA「情報セキュリティ10大脅威 2026」の解説書（組織編）も、2位「サプライチェーンや委託先を狙った攻撃」の対策として、PCやサーバー、ネットワーク機器などの構成管理と変更管理を挙げました。3位「AIの利用をめぐるサイバーリスク」でも、IT資産管理と構成管理に通信ログやCASBの活用を組み合わせ、管理されていないAIサービスの利用を把握する対策を示しています。

構成管理は構成アイテム（CI）ごとに属性と依存関係を記録する

構成管理では、管理する対象を構成アイテム（CI：Configuration Item）という単位に分けて記録します。CIに含める範囲は組織が決めますが、機器のほか、ソフトウェアや契約、文書を含めることもあります。代表的な例は次のとおりです。

分類	CIの例	記録する属性の例
ハードウェア	サーバー、PC、ネットワーク機器	設置場所、設定、接続先
ソフトウェア	OS、業務アプリ	バージョン、パッチ適用状況
契約・権利	ライセンス、保守契約	対象機器、期限
文書	手順書、設計書	対象のシステム、最終更新日

属性のなかでも、パッチ適用状況は継続して追う必要があります。総務省の調査では、OSへのセキュリティパッチの導入を行う企業は2024年が42.4%、2025年が43.5%で、ほぼ横ばいでした。

構成管理の統計ではありませんが、機器ごとのOSが分からなければ適用状況は確かめられません。CIごとの属性の記録が、こうした対策の前提になります。

※CIの分類と属性の例は一般的な実務上の整理であり、公的統計に基づくものではありません。

CMDBは構成情報を1か所に集め、変更管理や障害対応から参照するためのデータベース

CMDB（構成管理データベース）は、CIとその属性、つながりを1か所に集めて、ほかの管理業務から参照できるようにしたものです。構成管理の記録を置く場所と考えると分かりやすいでしょう。

CMDBは、障害の対応を行うインシデント管理や、原因を調べる問題管理から参照されます。設定変更の影響範囲を確認する変更管理でも使われます。

たとえば障害や不正アクセスを調べるときは、機器のつながりと、アクセスログを突き合わせる必要があります。関連する実態として、総務省の調査では、2025年にアクセスログの記録を行う企業は41.0%でした。

なお、CMDBは専用ツールでなければ作れないものではありません。表計算ソフトの台帳を組み合わせた形でも、考え方は同じです。まずは情報を1か所にまとめることを目指してみてください。

出典: IPA「情報セキュリティ10大脅威 2026」解説書（組織編）／総務省「令和7年通信利用動向調査」／IPA「ITサービスマネージャ試験（レベル4）シラバス Ver.5.0」／PeopleCert「ITIL 4 Practitioner: Service Configuration Management」

構成管理と資産管理は、目的と記録する情報が異なる

構成管理と混同されやすいのが、IT資産管理です。どちらも社内のIT機器やソフトウェアを台帳で管理するため、同じものに見えますよね。

しかし、両者は目的と記録する情報が異なります。違いを押さえておくと、今ある資産台帳をどう育てればよいかが見えてきます。

資産管理は「何をいくつ持っているか」、構成管理は「どうつながり、今どの状態か」を管理する

資産管理は保有と費用を、構成管理は状態とつながりを管理します。目的が違うため、記録する項目や更新のタイミングも変わります。

資産管理では台数や費用、ライセンスの数などが中心です。主な違いは次のとおりです。

比較項目	資産管理	構成管理
目的	保有資産とコストを正しく把握する	システムを安定して動かし、変更や障害に対応する
記録する情報	台数、購入日、費用、ライセンス数	バージョン、設定、依存関係、変更履歴
更新のきっかけ	購入、廃棄、棚卸し	設定変更、パッチ適用、機器の追加
主な利用場面	予算管理、監査、ライセンス管理	障害対応、変更の影響確認、セキュリティ対策

ITIL 4やIPAのシラバスでも、資産管理と構成管理は別の取り組みとして扱われています。一方、今回確認したIPAの実態調査が尋ねているのは、資産管理側の「ソフトウェアライセンス管理/IT資産管理製品」の導入状況のみです。2024年の導入率は10.3%でした。

この設計から読み取れるのは、今回確認した公的統計（IPA・総務省）では、構成管理がまだ統計の対象になっていないという点です。自社でも、資産管理とは別の目的を持つ活動として位置づけると整理しやすくなります。

資産管理の台帳は構成管理の出発点になり、IT資産管理製品の導入率は2016年5.5%から2024年10.3%に伸びた

構成管理は、今ある資産台帳に「状態」と「関係」の列を足す形で始められます。ゼロから専用のデータベースを作る必要はありません。

資産台帳には、すでに機器の名前や設置場所、利用者が書かれているはずです。そこにOSのバージョン、パッチの適用日、接続先のサーバーといった列を追加すれば、構成情報の記録が始まります。

その土台となる資産管理は、少しずつ広がっています。IPAの調査では、中小企業のIT資産管理製品の導入率は、2016年の5.5%から2024年には10.3%へ上がりました。

この推移から言えるのは、製品を使った資産の把握は広がりつつあるものの、2024年時点でも導入企業は約1割にとどまるという点です。多くの企業にとって、台帳から始めるやり方が現実的な選択肢になります。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／IPA「ITサービスマネージャ試験（レベル4）シラバス Ver.5.0」／PeopleCert「ITIL 4 Practitioner: Service Configuration Management」

構成管理が必要なのは「最新にしているつもり」を確かめられるようにするため

構成管理の必要性としてよく挙がるのは、障害対応を速くすること、変更の影響範囲を事前につかむこと、セキュリティを保つことの3点です。どれも、社内のIT環境が今どうなっているかを確かめられることが前提になります。

ここでは公的調査の数値をもとに、「対策しているつもり」と「確かめられる状態」の差を見ていきます。

中小企業の73.0%がOS・ソフトウェアを最新にしていると答える一方、IT資産管理製品の導入は10.3%にとどまる

「最新にしている」と答える中小企業は多いものの、それを一覧で確かめる手段を持つ企業は限られています。IPAの2024年度調査の2つの数値から、この差が見えてきます。

同調査では、OSやソフトウェアを常に最新の状態にしているかを尋ねています。73.0%の中小企業等が「実施している」または「一部実施している」と答えました。一方、IT資産管理製品の導入率は2024年時点で10.3%です。

なお、73.0%には「一部実施」が含まれます。また2つの数値は、同じ調査でも集計の対象となる回答者が異なります。

この差から読み取れるのは、端末とバージョンの一覧を持たないまま「最新にしている」と判断している企業が、一定数ある可能性です。導入率が最も高い101名以上の区分（22.9%）でも、50ポイント程度の差が残ります。

ただし、2つの数値の因果関係までは分かりません。OSの自動更新やMDMなど、製品以外の手段で確認している企業が含まれている可能性もあります。構成管理は、「最新にしているつもり」を確かめられる状態に変えるための手段と考えるとよいでしょう。

パッチ適用とアクセスログ記録は2025年時点でどちらも4割台で、ID・パスワード管理の60.4%より低い

構成情報がないと続けにくい対策ほど、実施率が低い傾向が見られます。総務省の2025年調査では、何らかの対策をしている企業は98.3%ですが、項目別では差があります。母集団はインターネットを利用する企業全体で、中小企業に限った値ではありません。

対策の項目（2025年）	実施している企業の割合
何らかの対策を実施	98.3%
ID、パスワードによるアクセス制御	60.4%
OSへのセキュリティパッチの導入	43.5%
アクセスログの記録	41.0%

出典: 総務省「令和7年通信利用動向調査」をもとに作成。インターネットを利用する企業が対象の複数回答です。

パッチ適用は、2024年の42.4%から1.1ポイント増えただけです。

この並びから読み取れるのは、機器ごとの把握が必要な対策ほど実施率が低いという傾向です。ただし複数回答のため、自動更新でパッチを適用している企業がこの項目を選んでいない可能性があります。1年の変化も誤差の範囲かもしれません。あくまで仮説です。

構成管理があれば、パッチの適用漏れがある端末やログの調査範囲を特定でき、こうした対策を続けやすくなります。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」概要説明資料／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書／総務省「令和7年通信利用動向調査」

IT資産管理製品の導入率は2024年時点で企業規模により5.5%から22.9%まで差がある

構成管理の土台は、社内に何がどこにあるかの把握です。その度合いを、IT資産管理製品の導入率として企業規模別に見ていきます。

IPAの2024年度調査では、導入率は小規模企業者の5.5%から、101名以上の中小企業の22.9%まで開いています。自社の規模に近い区分と比べてみてください。

101名以上の中小企業でもIT資産管理製品の導入は22.9%で、4社に1社に届かない

企業規模が大きいほど導入率は上がりますが、最も高い101名以上の区分でも22.9%です。4社に1社にも届いていません。

IPAの2024年度調査の企業規模別の値は、次のとおりです。

企業規模（2024年）	導入率	回答数
小規模企業者（商業・サービス業1〜5名、製造業その他1〜20名）	5.5%	1,103件
中小企業・100名以下	12.6%	834件
中小企業・101名以上	22.9%	266件
全体	10.3%	2,203件

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」をもとに作成

この表から読み取れるのは、全体の10.3%が小規模企業者の値に引き下げられているという点です。小規模企業者は、回答の約半数（2,203件中1,103件）を占めます。自社の立ち位置は、全体値ではなく自社の規模に近い区分と比べるのが妥当です。

ただし101名以上の区分は回答数が少なく、数ポイントの誤差はありえます。また、製品を使わず台帳で管理している企業は、この数値には表れません。

小規模企業者の導入率5.5%は、2016年の中小企業全体と同じ水準

2024年の小規模企業者の導入率は、2016年の中小企業全体の値と同じ5.5%です。全体では伸びていても、規模によって進み方が違う可能性があります。

IPAの調査では、中小企業全体の導入率は2016年の5.5%から、2024年には10.3%へ上がりました。一方、2024年の小規模企業者だけを見ると5.5%で、2016年の全体値と並びます。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」をもとに作成。2016年と2024年は母集団の条件が異なります。

この比較から考えられるのは、導入の伸びが規模の大きい層に偏っている可能性です。ただし2016年の規模別の値はないため、「小規模企業者は伸びていない」とまでは言えません。2つの5.5%が一致したのは偶然の可能性もあります。

ひとり情シスのような体制では、製品の導入はまだ少数派です。まずは今ある台帳から構成管理を始めるほうが現実的です。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」

構成管理は管理範囲を絞った台帳づくりから始め、変更のたびに更新する

構成管理は、最初から全社のすべてを対象にすると続きません。重要なシステムに絞って台帳を作り、変更のたびに更新する仕組みを作ることが、途中で止まらないための基本です。

ここでは、始め方、続け方、ツールを検討するタイミングの順に説明します。

最初は重要なシステムに絞ってCIと記録する属性を決める

構成管理は、止まると業務に影響が大きいシステムから始めるのが現実的です。対象を絞ることで、台帳を作る手間も、更新する手間も抑えられます。

IPAの2024年度調査では、IT資産管理製品の導入率は100名以下の中小企業で12.6%、小規模企業者で5.5%でした。多くの企業は製品を持たないため、既存の資産台帳やExcelに列を足す形から始める方法をおすすめします。進め方は次のとおりです。

• 対象にするシステムを決める（基幹業務、ファイルサーバー、ネットワークなど）
• そのシステムを構成するCIを洗い出す（サーバー、OS、アプリ、ネットワーク機器など）
• CIごとに記録する属性を決める（バージョン、設定、設置場所、パッチ適用日など）
• CI同士の依存関係を書く（どのアプリがどのサーバーで動くか、など）
• CIごとに更新の担当者を決める

最初の1システムで運用が回ることを確かめてから、対象を広げていきましょう。

変更管理と結び付けないと構成情報はすぐに古くなる

構成管理でよくある失敗は、作った台帳が更新されず、実態と合わなくなることです。古い台帳は、障害対応のときに誤った判断を招くおそれがあります。

これを防ぐには、台帳の更新を変更管理の手順に組み込みます。機器の追加、設定変更、パッチ適用を行ったら、作業完了の条件に「台帳を更新したこと」を含めるルールです。

状態を継続的に追う難しさは、関連する実態からもうかがえます。前述のとおり、OSへのセキュリティパッチの導入率は2024年から2025年でほぼ横ばいです。

この傾向から言えるのは、構成情報を作ることより、更新し続けることのほうが難しいという点です。台帳の更新は個人の善意に任せず、手順に組み込んでください。

台帳での管理が追いつかなくなったらIT資産管理ツールやCMDB機能を持つツールを検討する

台帳での管理に無理が出てきたら、ツールの導入を検討するタイミングです。管理台数が増えた、更新漏れが続く、クラウドやSaaSが増えた、といった状況が目安になります。

とくに、端末の情報を自動で集めたくなったときは、手作業の台帳では限界があります。IT資産管理ツールやCMDB機能を持つツールには、製品によって、機器やソフトウェアの情報を自動で収集する機能があります。

公的調査を見ると、IT資産管理製品の導入率は2024年時点で全体が10.3%、101名以上の中小企業が22.9%でした。この差から考えられるのは、企業規模が大きくなり管理する台数が増える段階が、製品を検討する一つの目安になるということです。

ただし、この差は規模に伴う予算や担当人員の違いで生じている可能性もあり、何台から製品が必要かという基準まではこのデータから分かりません。自社の台数と更新の負担を見て、台帳で回るかどうかを判断してください。特定の製品に決める前に、必要な機能を書き出しておくと比較しやすくなります。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／総務省「令和7年通信利用動向調査」

まとめ：構成管理は資産台帳に「状態」と「つながり」を足すところから始められる

構成管理は、IT機器やソフトウェアの状態とつながりを記録し、変化に合わせて更新し続ける管理です。資産管理の台帳を出発点にすれば、中小企業でも小さく始められます。

今回確認した公的統計には、構成管理そのものの実施率はありませんでした。自社と他社を比べるときは、IT資産管理製品の導入率やパッチ適用率などの関連指標を、自社の規模に近い区分と比べてください。

まずは重要なシステムを1つ選び、今ある資産台帳にバージョンや接続先の列を足すところから始めてみてください。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／総務省「令和7年通信利用動向調査」

情シスカレッジのご案内

構成管理のように続けることが大切な業務は、手順を決めて担当者に共有できるかどうかで定着が変わります。とはいえ、日々の運用に追われながら教育の仕組みまで整えるのは大変です。

情シスカレッジは、新人・ひとり情シスのためのマイクロラーニングLMSです。情シス業務に必要な知識を、短い動画で学べる形にまとめています。

5名からご利用いただけます。請求書払いにも対応しており、初期設定にかかる時間は約10分です。

情シスカレッジの詳細を見る

出典一覧

※出典
– 情報処理推進機構（IPA）「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」
– 情報処理推進機構（IPA）「2024年度 中小企業における情報セキュリティ対策に関する実態調査 概要説明資料」
– 総務省「令和7年通信利用動向調査の結果（概要）別紙2」
– 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」解説書（組織編）
– 情報処理推進機構（IPA）「ITサービスマネージャ試験（レベル4）シラバス Ver.5.0」
– PeopleCert「ITIL 4 Practitioner: Service Configuration Management」