【IPA・警察庁データ】IT資産管理台帳の記載項目と作り方｜管理製品を導入した中小企業は2024年時点で10.3%

IT資産管理台帳の整備を任されたものの、どこから手を付ければよいか迷っていませんか。

• 台帳に何を載せればよいのか分からない
• エクセルで作った台帳が更新されず、実物と合わなくなっている
• 棚卸しや監査のときに、台帳をどう使えばよいのか分からない

こうした悩みは、台帳を任された担当者の多くが抱えるものです。実は、専用の製品で資産を管理している中小企業は、まだ多くありません。

IPAの調査によると、2024年時点でIT資産管理製品を導入している中小企業は10.3%です（「対策の必要性を感じたことがない」と答えた企業を除いた2,203社が母数）。

この記事で扱うのは、台帳の対象範囲の決め方と記載項目です。あわせて、エクセル管理の注意点、棚卸しの進め方、ツールへ移行する時期の考え方も、公的データをもとに紹介します。

この記事のポイント

• 中小企業でIT資産管理製品を導入しているのは、2024年時点で10.3%です（対策の必要性を感じている企業が母数）（出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」）
• 台帳は対象範囲を決めてから項目を決めます。2025年の警察庁集計では、ランサムウェアの感染経路の87.0%がVPN機器・リモートデスクトップ経由でした（出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］、原データは警察庁）。ネットワーク機器も行として載せましょう
• ツールへ移行するかどうかは、従業員数ではなく、台帳の更新と棚卸しが回っているかで判断します

IT資産管理台帳は内部不正とランサムウェア対策の土台になる

IT資産管理台帳は、会社が持つPC、ソフトウェア、ネットワーク機器などを一覧にした記録です。セキュリティ対応や監査、棚卸しのときに、最初に参照する基礎資料になります。

IT資産管理の考え方そのものは、別の記事で解説済みです。ここでは、台帳が必要な理由に絞って見ていきましょう。

内部不正は2026年版の10大脅威に11年連続で選ばれ、対策の一つに資産の把握が挙がっている

台帳は、内部不正への対策を始めるための出発点です。何を持っていて誰が使っているかが分からなければ、不正の兆しにも気付けません。

IPAの「情報セキュリティ10大脅威 2026」組織編では、「内部不正による情報漏えい等」が7位に入りました。2016年の初選出から数えて、11年連続の選出です。

同じ資料の解説は、システム管理者が行う内部不正対策の一つとして、「利用している資産の把握、管理体制の整備」を挙げています。情報資産を重要度に応じて格付けし、重要な情報の管理者を定めることも示しています。

一方、IPAの2024年の調査では、クライアントPCの設定や接続状況を製品で管理している中小企業は8.7%でした。この値は、「対策の必要性を感じたことがない」と答えた企業を除いた集計です。

2つの調査から読み取れるのは、内部不正が長く主要な脅威である一方、端末を製品で把握する中小企業は1割未満という点です。製品を使っていない企業では、台帳などの手作業での管理が、資産を把握する手段になります。

セキュリティポリシーを策定した企業は2025年時点で48.2%、台帳は運用ルールとセットで整える

台帳は、更新のルールと一緒に作ることが大切です。ルールを決めても、守る対象の一覧が古いままでは、運用の裏付けになりません。

総務省の「通信利用動向調査」で、ポリシーを策定した企業は2024年に44.2%、2025年に48.2%でした。2時点のデータなので傾向とまでは言えないものの、半数近くの企業がルールを定めています。

一方、前述のIPAの2024年の調査では、資産管理やPC管理の製品を導入している中小企業は1割前後でした。

この2つの結果から読み取れるのは、ルールづくりに比べて、製品による資産の把握が進んでいないという点です。

台帳を作るときは、「誰が、どのタイミングで更新するか」という運用ルールも同時に決めておきましょう。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／総務省「令和7年通信利用動向調査の結果（概要）別紙2」

IT資産管理製品を導入している中小企業は2024年時点で10.3%にとどまる

中小企業の多くは、IT資産を専用の製品で管理していないのが現状です。IPAが2016年、2021年、2024年に実施した調査を見ると、導入は少しずつ進んでいるものの、少数にとどまります。

IT資産管理製品の導入率は2016年の5.5%から2024年の10.3%に上がったが、母数の違いに注意が必要

導入率は上がっていますが、2024年の値は母数の決め方が違うため、読み方に注意が必要です。ソフトウェアライセンス管理やIT資産管理の製品を導入している中小企業の割合は、IPAの調査で次のとおり推移しています。

調査年	IT資産管理製品の導入率（中小企業）
2016年	5.5%
2021年	6.7%
2024年	10.3%

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

この推移から読み取れるのは、2016年から2021年まではほぼ横ばいで、2021年以降に伸びが速まったように見える点です。

2024年の10.3%は、「対策の必要性を感じている中小企業のうち」の値として読んでください。

クライアントPCを製品で管理している中小企業も2024年時点で8.7%にとどまる

PCの設定や動作、ネットワーク接続を製品で管理している中小企業も、少数にとどまります。同じIPAの調査での推移は、次の表のとおりです。

調査年	クライアントPC管理製品の導入率（中小企業）
2016年	4.1%
2021年	4.0%
2024年	8.7%

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

2016年から2021年までは横ばいで、2024年に上がりました。ただし、2024年だけ母数の決め方が違う点は上の表と同じで、単純には比べられません。

製品を使っていない企業では、端末の情報を人の手で台帳に記録するか、記録していないかのどちらかです。台帳を整えるなら、まず「どの資産を台帳に載せるか」を決めることから始めましょう。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

台帳を作る前に、管理の対象とする資産の範囲を決める

台帳づくりで最初に決めるのは、記載項目ではなく、どの資産を載せるかという範囲です。範囲があいまいなままだと、台帳に載っていない資産があっても誰も気付けません。

従業員1,000名以上の企業を対象にした2024年の民間調査では、公開資産を十分に把握できている企業は約2割

従業員1,000名以上の企業を対象にした2024年の民間調査では、インターネットへの公開資産を「十分に把握できている」企業は約2割でした。同じく従業員1,000名以上が対象の2026年の民間調査もありますが、測っている指標が違います。

スリーシェイクの2024年の調査は、従業員1,000名以上の企業の情シス管理職・主任104名が回答したものです。インターネットへの公開資産を「十分に把握できている」は20.2%、「おおむね把握できている」は38.5%でした。

タニウムの2026年の調査は、従業員1,000名以上の国内企業675社を対象にしています。ネットワークにつながる機器を完全に把握し、脆弱性をリアルタイムで監視できている企業は19.1%でした。

数値が近くても、2つの調査は同じものを測った結果ではありません。

「把握できている」の意味は、公開サーバーだけを見るか社内の全端末まで含めるかで変わる

「資産を把握できている」と言えるかどうかは、どこまでを対象にするかで変わります。上の2つの調査が、その分かりやすい例です。

スリーシェイクの調査は、Webサイトやサーバーなど外部に公開している資産を、回答者の評価で尋ねたものです。タニウムの調査は、ネットワークにつながる機器全体が対象で、脆弱性の監視までを条件にしています。

この違いから言えるのは、自社の台帳も範囲を先に決めないと、「把握できている」の基準が定まらないということです。範囲は、次の区分ごとに載せるかどうかを決めてみてください。

• PC・サーバー・周辺機器などのハードウェア
• ソフトウェアとライセンス
• クラウドサービスとSaaSアカウント
• ルーター、VPN装置などのネットワーク機器と、リモート接続の設定
• 文書やデータなどの情報資産（含める場合は「情報資産管理台帳」として扱う）

台帳は、項目より先に対象範囲を決めることで、載せ漏れに気付ける状態になります。

出典: 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」／タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」

IT資産管理台帳に記載すべき項目は資産の種類ごとに決める

対象範囲が決まったら、資産の種類ごとに記載項目を決めます。PCとネットワーク機器では、管理に必要な情報が違うためです。

PC・ソフトウェアの行には管理番号・利用者・保守期限・ライセンス情報を記録する

PCやソフトウェアの行には、「どれが、誰のもとに、いつまで使えるか」が分かる項目を入れましょう。前述のとおり、管理製品を使う中小企業は少数です。製品を使わない場合は、こうした情報を台帳に手で記録することになります。

項目	記載例	記録する理由
管理番号	PC-0001	現物のラベルと結びつける
資産種別	ノートPC、サーバー	種類ごとに集計する
型番・シリアル番号	メーカー名、製造番号	故障時の問い合わせに使う
利用者・部署	氏名、所属	異動・退職時に回収する
設置場所	本社、在宅	棚卸しで現物を確認する
取得日・保守期限	購入日、保証・リース満了日	更新や返却の漏れを防ぐ
ソフトウェア名・バージョン	OS、業務ソフトの版	サポート終了を把握する
ライセンス情報	契約番号、更新日、購入数	契約数の超過を防ぐ
ステータス	利用中、予備、廃棄予定	使っていない資産を見つける
最終更新日・更新者	日付、担当者名	情報の時点を示す

最終更新日の列があれば、どの行が古いままかがすぐに分かります。

VPN装置やルーターも台帳に載せ、ファームウェアのバージョンと保守期限を記録する

VPN装置やルーターなど、ネットワークの入口にある機器も台帳に載せましょう。警察庁の2025年の集計では、ランサムウェアの感染経路の87.0%がVPN機器とリモートデスクトップ経由でした。

IPAの「情報セキュリティ10大脅威 2026」解説書も、組織に共通する脆弱性対策を示しています。使っている製品のサポート期限を把握することが、その一つです。更新プログラムを漏れなく当てるため、資産管理の手順や体制を整えることも挙げています。

同じ解説書は、リモートワーク等の環境や仕組みを狙った攻撃も取り上げています。手口として挙がっているのは、VPN機器などの脆弱性や設定ミスの悪用です。対策には、サポート切れや保守ができない機器を使わないことが含まれています。

こうした対策を実行するには、入口の機器の版数と保守期限が一覧になっている必要があります。台帳には、次の項目を記録しておきましょう。

項目	記載例	記録する理由
機器名・種別	VPN装置、ルーター	入口の機器を一覧にする
ファームウェアのバージョン	製品ごとの版数	脆弱性の公表時に対象か判断する
保守期限	サポート終了日	更新が止まった機器を使い続けない
管理者	担当者、委託先	障害時の連絡先を明確にする
外部公開の有無	公開している機能	外から接続できる機器を把握する
リモート接続の許可先	端末の管理番号、利用者名	接続できる人と端末を把握する

ファームウェアのバージョンと保守期限は、必ず記録してください。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（感染経路の原データ: 警察庁）

エクセルの台帳は更新の仕組みが無いと実態とずれていく

エクセルで作る台帳は手軽に始められますが、更新の仕組みが無いと、時間とともに実物と合わなくなります。台帳の価値を決めるのは、作った時点の完成度ではなく、最新の状態を保てるかどうかです。

エクセル台帳の良い点は、追加の費用がかからず、すぐに作り始められることです。項目も自社の事情に合わせて自由に変えられます。ただし、手作業ならではの限界は次のとおりです。

限界	起きやすいこと
更新が手作業	購入や異動のたびに入力が必要で、記入漏れが起きやすい
複数人での編集	ファイルのコピーが増え、どれが最新版か分からなくなる
期限の通知が無い	保守期限やライセンス更新日が近づいても気付きにくい
現物との照合	棚卸しのたびに、1台ずつ目で見て確認する手間がかかる

では、エクセル台帳が実態とずれている企業はどのくらいあるのでしょうか。この割合を示す公的な統計は、今回確認した範囲では見当たりませんでした。

IPAの2024年の調査から分かるのは、製品の導入の有無に限られます。前述の導入率は中小企業全体の値で、小規模企業者に限ると5.5%でした。いずれも、「対策の必要性を感じたことがない」と答えた企業を除いた集計です。

このデータから読み取れるのは、製品を導入していない約9割の企業が、台帳で管理しているかどうかは区別できないという点です。

だからこそ、更新のルールを先に決めておきましょう。入社、退職、異動、購入、廃棄の手続きの中に、台帳の更新を組み込むと確実です。

あわせて、更新の担当者と、行ごとの最終更新日の列も決めておきます。更新のきっかけ・担当者・更新日の3点を決めることが、エクセル台帳を実態に合わせ続ける基本です。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

台帳の正確さは作成後の定期的な棚卸しで保つ

台帳を作ったあとは、定期的に棚卸しをして、台帳と実物の差を確かめる必要があります。自社の台帳の状態を、統計と比べて判断する方法が無いためです。

中小企業の資産把握度や棚卸しの実施率を示す公的統計は、今回の調査範囲では見つからない

中小企業がIT資産をどこまで把握し、棚卸しをどの程度しているかを示す公的統計は、今回確認した範囲では見つかりませんでした。

公的統計で分かるのは、製品を導入しているかどうかに限られます。前述のIPAの導入率（中小企業全体・小規模企業者）が、これにあたるデータです。なお、この調査は「対策の必要性を感じたことがない」と答えた企業を除いて集計しています。

この状況から読み取れるのは、中小企業の担当者が、自社の台帳の状態を統計と比べて判断できないという点です。把握の度合いを尋ねた調査は、今回の範囲では大企業向けの民間調査だけでした。

自社の状態は、統計と比べるのではなく、自社で棚卸しをして確かめましょう。

大企業でも4割近くが公開資産を一部しか把握できていないため、自社の状態は棚卸しで確かめる

大企業でも、インターネットへの公開資産を一部しか把握できていない企業は少なくありません。自社の台帳が正しいと思い込まず、棚卸しで確かめることが大切です。

前述の民間調査（スリーシェイク、2024年、従業員1,000名以上）では、公開資産について「一部しか把握できていない」が25.0%でした。「ほとんど把握できていない」の12.5%と合わせると、4割近い37.5%になります。「わからない」も3.8%ありました。

ただし、これは大企業の結果で、資産の少ない中小企業の方が把握しやすい場合もあります。棚卸しは、次の手順で進めてみてください。

• 台帳の最新版を出力する
• 現物、アカウント、契約書と1件ずつ突き合わせる
• 台帳と実物の差を記録する（台帳に無い資産、見つからない資産、利用者の違いなど）
• 差をもとに台帳を修正し、最終更新日を記入する
• 次回の棚卸しの時期を決める

実施する時期は、決算や監査、契約更新の時期に合わせると続けやすくなります。棚卸しで台帳と実物の差を確かめることが、台帳の正確さを保ついちばん確実な方法です。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」

台帳からツールへの移行は、企業規模が大きいほど進んでいる

エクセルの台帳からツールへの移行は、企業規模が大きいほど進んでいます。ただし、何名や何台を超えたら移行すべきか、という目安を示すデータはありません。ここで取り上げるのは、規模別の導入状況と、移行を判断する観点です。

IT資産管理製品の導入率は、2024年時点で小規模企業者5.5%、101名以上の中小企業22.9%と約4倍の差がある

IPAの2024年の調査では、IT資産管理製品の導入率は企業規模が大きいほど高くなっています。いずれも、「対策の必要性を感じたことがない」と答えた企業を除いた集計です。

企業規模	IT資産管理製品の導入率
小規模企業者（商業・サービス業1〜5名、製造業その他1〜20名）	5.5%
中小企業（100名以下。商業・サービス業6〜100名、製造業その他21〜100名）	12.6%
中小企業（101名以上）	22.9%
中小企業全体（参考）	10.3%

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

小規模企業者と101名以上の中小企業では、約4倍の差があります。

この結果から読み取れるのは、101名以上の中小企業でも約77%はIT資産管理製品を導入していないという点です。規模を問わず、IT資産管理製品を使わずにいる企業が多数を占めます。ただし、その企業が台帳で管理しているのか、管理していないのかは区別できません。

移行するかどうかは人数ではなく、台帳の更新と棚卸しが回っているかで判断する

ツールへ移行するかどうかは、従業員数ではなく、台帳の更新と棚卸しが回っているかで判断しましょう。

前述のとおり、101名以上の中小企業でも製品を使う企業は少数です。製品を使っていない企業が台帳をどの程度管理できているかも、統計では分かりません。そのため、移行の時期を数値で示すことはできないのです。

代わりに、次のような状態が続いていないかを確認してみてください。

• 棚卸しのたびに、台帳の更新漏れが見つかる
• 入社、退職、異動に台帳の更新が追いつかない
• 保守期限やライセンスの更新を見落としたことがある
• 複数のファイルで、同じ資産の内容が食い違っている
• リモートワークが増え、現物の確認が難しくなった

当てはまる項目が多いなら、IT資産管理ツールの導入を検討する時期です。移行するときは、今のエクセル台帳の項目を整理してから取り込むと、手戻りが少なくなります。移行の判断は、人数ではなく台帳の運用状況で行うのが現実的です。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」

まとめ：IT資産管理台帳は範囲・項目・棚卸しの順で整える

IT資産管理台帳は、対象範囲を決め、資産の種類ごとに項目を決め、棚卸しで正確さを保つ、という順で整えるのが基本です。この記事の要点を振り返ります。

• 2024年時点で、IT資産管理製品を導入している中小企業は10.3%でした（対策の必要性を感じている企業が母数）。製品を導入していない企業では、台帳などで資産を把握することになります
• 台帳は、記載項目より先に対象範囲を決めます。2025年の警察庁集計で感染経路の87.0%を占めたVPN機器・リモートデスクトップに関わる機器も、行として載せましょう
• エクセル台帳は、更新のきっかけ・担当者・更新日を決め、定期的な棚卸しで実物との差を確かめます
• 101名以上の中小企業でも、IT資産管理製品の導入率は2024年時点で22.9%です。ツールへの移行は、人数ではなく台帳の運用で判断します

まずは今ある台帳の対象範囲を見直すところから始めてみてください。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（感染経路の原データ: 警察庁）

新人・ひとり情シスの学習は情シスカレッジで

IT資産管理台帳の更新や棚卸しは、担当者が替わると進め方が引き継がれにくい業務です。台帳の運用ルールとあわせて、担当者の基礎知識をそろえておくことも大切になります。

情シスカレッジは、新人・ひとり情シスのためのマイクロラーニングLMSです。業務の合間に、少しずつ学べます。

導入は5名からで、請求書払いにも対応しています。初期設定にかかる時間は約10分です。

情シスカレッジの詳細を見る

---

※出典

• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」
• IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（ランサムウェア感染経路の原データ: 警察庁）
• 総務省「令和7年通信利用動向調査の結果（概要）別紙2」
• 株式会社スリーシェイク「セキュリティガバナンスに関する実態調査」
• タニウム合同会社「サイバーインシデントと事業継続性の実態調査レポート」