情報資産管理台帳とは？記載項目一覧・記入例と作り方・CIAでの重要度の付け方を解説

ISMS（情報セキュリティマネジメントシステム）やPマーク（プライバシーマーク）の取得・更新の準備を進めるなかで、「情報資産管理台帳を作成してください」と求められることがあります。いざ作ろうとすると、何から手をつければよいか分からないという担当者は少なくありません。

台帳は、社内にどんな情報資産があり、どこに保管され、どれくらい重要なのかを一覧にした文書で、認証の審査やリスクアセスメントの土台になります。

本記事では、情報資産管理台帳の記載項目を「列名・記入する内容・記入例」の形で示し、機密性・完全性・可用性による重要度の付け方、洗い出しから見直しまでの作り方、ISMS・Pマークでの位置づけまでを、公的なガイドラインの様式に沿って解説します。読み終えたときに、自社でExcelの台帳を作り始められる状態になることを目指します。

情報資産管理台帳とは

情報資産管理台帳とは、組織が保有する情報資産を一覧にして、それぞれの保管場所・管理責任者・重要度などを把握できるようにした文書です。ここでいう情報資産には、顧客リストや契約書といったデータそのものだけでなく、それを保存する書類・PC・サーバー・クラウドサービスなども含まれます。

台帳を作る目的は、守るべき情報がどこに・どれだけあるのかを見える化し、重要度に応じた対策を検討できる状態にすることにあります。守る対象が分からなければ、優先順位をつけた対策もリスクの評価もできません。台帳はその出発点になります。

ISMSやPマークの取得・運用では、この台帳の整備が実質的に欠かせません。ISMSの規格は情報資産の目録を作成・維持することを管理策として求めており、Pマークは取り扱う個人情報を台帳で管理することを要件としています。審査では台帳の提示を求められることも多く、認証を目指す組織にとって台帳作成は最初の実務になります。詳しい規格上の位置づけは後半のセクションで解説します。

情報資産管理台帳の記載項目一覧【列名×意味×記入例】

情報資産管理台帳に決まった書式はありませんが、公的なガイドラインが示す様式を使うと、審査でも通用する項目を漏れなく押さえられます。ここでは東京都が公開するセキュリティガイドブックの様式（10項目）をもとに、各列に何を書くかと記入例を整理します。

IPA（独立行政法人情報処理推進機構）も、コピーしてそのまま使えるExcelの台帳サンプルを無料で配布しています。

※様式は東京都「中小企業向けサイバーセキュリティ対策の極意」、各列の説明はIPA「中小企業の情報セキュリティ対策ガイドライン」付録6を参考に作成

実際に記入すると、1行は次のようなイメージになります。上の10項目をそのまま列にして、情報資産を1行ずつ記入していきます。重要度の数値の意味と決め方は、次のセクションで詳しく解説します。

書類と電子データの両方で保存している情報資産は、完全性・可用性や想定される脅威が異なるため、同じ情報でも行を分けて記入します。たとえば見積書なら「電子データを事務所PCに保存」と「印刷して書類で保管」を2行に分ける、といった具合です。

出典・参考資料（2件）

• 出典：中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録6「資産管理台帳（サンプル）」｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/guide/sme/about.html）
• 出典：中小企業向けサイバーセキュリティ対策の極意 App.02「情報資産台帳の作成と詳細リスク分析」｜東京都（https://www.cybersecurity.metro.tokyo.lg.jp/security/guidebook/339/index.html）

機密性・完全性・可用性（CIA）での重要度の付け方

情報資産の重要度は、機密性・完全性・可用性という3つの観点（頭文字を取ってCIAと呼ばれます）で評価します。ここでは東京都のガイドブックが示す3段階（評価値2・1・0）の基準をもとに、各観点の意味と重要度の決め方を解説します。

各観点の評価値の意味

機密性は「漏えいしたときの影響」、完全性は「改ざんされたときの影響」、可用性は「使えなくなったときの影響」の大きさで、それぞれ2・1・0の3段階で評価します。

※評価基準は東京都「中小企業向けサイバーセキュリティ対策の極意」による

重要度は3観点の最大値で決める

重要度は、機密性・完全性・可用性の評価値のうち最も高い値で判断します。たとえば機密性2・完全性1・可用性1なら、最大値を取って重要度は2です。3つを合計したり平均したりはしません。

加えて、個人情報を含む情報資産は、評価値の算定結果にかかわらず重要度を2とします。個人情報は法律で安全管理が義務付けられているため、自動的に最も高い重要度として扱うという考え方です。重要度の判断は立場によって分かれやすいため、記入する前に「重要ではない」と決めつけず、まず記入してから組織として判断するとよいでしょう。

この評価基準は公的様式の簡易版です。機密性の評価値2は「法律で安全管理が義務付けられている」情報が基準になっていますが、営業秘密や未公開の経営情報など、法的義務はなくても漏えいすると事業に深刻な影響がある情報もあります。こうした情報を評価値1にとどめず機密性2として扱うなど、自社の実態に合わせて基準を補って構いません。

公的な様式でも評価の段階は1種類に限りません。たとえばIPAの資産管理台帳サンプルは3段階（評価値3・2・1）を採用しています。どちらを使っても考え方は同じですが、1つの台帳の中では評価のスケールを統一して運用します。本記事では東京都の様式に合わせて評価値2・1・0で解説しているため、IPAの様式を使う場合は本記事の評価値を3・2・1に読み替えてください。

リスク値まで出す場合の考え方

ISMSの認証審査などでより踏み込んだリスク分析が求められる場合は、重要度に「被害の発生しやすさ」を掛け合わせてリスク値を算出します。東京都のガイドブックでは、次の式でリスク値を求める方法が示されています。

• リスク値 ＝ 重要度 × 被害発生可能性
• 被害発生可能性 ＝ 脅威レベル ÷（4 − 脆弱性レベル）

脅威レベルは起こりやすさ、脆弱性レベルは対策の不足度を、それぞれ3段階（1〜3）で評価します。たとえば重要度2・脅威レベル2・脆弱性レベル2の情報資産なら、被害発生可能性は 2 ÷（4 − 2）＝ 1、リスク値は 2 × 1 ＝ 2 と計算できます。脆弱性レベルが3（対策をほとんどしていない）に上がると分母が小さくなり、被害発生可能性もリスク値も大きくなる、という関係です。

算出したリスク値が大きい情報資産から優先して対策を決め、対策は「低減・回避・移転・保有」の4つに分類して検討します。たとえばクラウドサービスやサイバー保険を使ってリスクを他者に引き受けてもらうのは「移転」にあたります。

出典・参考資料（1件）

• 出典：中小企業向けサイバーセキュリティ対策の極意 App.02「情報資産台帳の作成と詳細リスク分析」｜東京都（https://www.cybersecurity.metro.tokyo.lg.jp/security/guidebook/339/index.html）

重要度の評価とリスク分析は、情報資産の数が増えるほど手作業では負担が大きくなります。まずは無料の公的な様式で着手し、台帳の更新やリスクアセスメントの負担が重くなってきたら、運用を支えるサービスの活用も選択肢になります。

情報資産管理台帳の作り方（4ステップ）

情報資産管理台帳は、次の4つのステップで作成します。公的なガイドラインが示す手順をもとに、実務で迷いやすい点を補足します。

1. 情報資産を洗い出す：業務や部署を起点に、その業務で使っている情報を挙げていきます。情報資産は業務に伴って発生するため、「どんな業務があるか」から考えると漏れが減ります。紙の書類・PC・サーバー・クラウドサービス・外部委託先に預けたデータまで、幅広く対象にします。
2. 重要度を評価する：洗い出した情報資産ごとに、機密性・完全性・可用性の3観点で評価し、最大値で重要度を決めます。評価基準と決め方は前のセクションのとおりです。
3. 各項目を記入する：記載項目一覧に沿って、業務分類・情報資産名称・管理部署・媒体・保存期限などを埋めていきます。管理方法や重要度が同じ情報資産は1行にまとめ、書類と電子データで保存状況が異なるものは行を分けると、作業負担を抑えつつ実態に合った台帳になります。
4. 定期的に見直す：台帳は作って終わりではありません。少なくとも年1回は棚卸しを行い、新しい情報資産の追加・不要になった資産の削除・重要度の再評価を行います。システム導入や組織変更、インシデントが起きたときにも、その都度更新します。

ISMS審査で指摘されやすい点

ISMSの認証審査では、台帳そのものの有無だけでなく、台帳が実態に合っているか・きちんと運用されているかが見られます。特に指摘されやすいのが、台帳が長期間更新されておらず現場の管理状況と食い違っているケースと、管理責任者の記載が抜けているケースです。

審査では、台帳が作られているかだけでなく、更新され続けているか・責任の所在が明確かが問われます。これらを防ぐ具体的な運用方法は、「Excel運用の注意点と形骸化を防ぐポイント」で解説します。

ISMS・Pマークにおける情報資産管理台帳の位置づけ

情報資産管理台帳が「あったほうがよい」ではなく「実質的に必要」とされるのは、ISMSとPマークそれぞれの規格・基準が、情報資産や個人情報を把握・管理することを求めているためです。ここではその根拠を条項レベルで整理します。

ISMS（ISO/IEC 27001）での位置づけ

ISMSの国際規格であるISO/IEC 27001:2022（日本産業規格 JIS Q 27001:2023）は、附属書Aの管理策5.9「情報及びその他の関連資産の目録」で、情報資産とその所有者を特定し、目録を作成・維持することを求めています。この「目録」にあたるのが情報資産管理台帳です。

さらに、規格の箇条6.1.2「情報セキュリティリスクアセスメント」では、リスクアセスメントのプロセスを定めて実施することが求められます。どんな情報資産があるかを把握していなければリスクの評価はできないため、台帳はリスクアセスメントの土台としても機能します。台帳づくりとリスク評価が地続きであるのは、このためです。

Pマーク（JIS Q 15001）での位置づけ

Pマークの基準であるJIS Q 15001では、取り扱う個人情報を特定し、台帳で管理することが求められます。Pマーク付与機関であるJIPDEC（日本情報経済社会推進協会）が公開する構築・運用指針は、個人情報を管理するための台帳について次のように定めています。

個人情報を管理するための台帳を整備すること。台帳には、少なくとも次の項目を含むこと。個人情報の項目／利用目的／保管場所／保管方法／アクセス権を有する者／利用期限／保管期限／管理する個人情報の件数（概数でも可）。台帳の内容は少なくとも年一回、及び必要に応じて適宜に確認し、最新の状態で維持すること。

出典：個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023対応版 ver1.0）｜一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センター

この台帳は、一般に「個人情報管理台帳」と呼ばれます。上記の指針が求める項目を列にすると、Pマーク向けの個人情報管理台帳は次のようなイメージになります（記入例は一例です）。

ISMSの情報資産台帳が情報資産全般を対象にするのに対し、Pマークの個人情報管理台帳は個人情報に絞って記載項目が定められている点が違いです。ISMSとPマークの両方を取得する組織では、情報資産台帳の中で個人情報を含む資産を明確にし、個人情報管理台帳の要件も満たせるように設計すると、二重管理を避けられます。

出典・参考資料（2件）

• 出典：JIS Q 27001:2023（ISO/IEC 27001:2022）情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティマネジメントシステム－要求事項｜日本規格協会（JSA）（規格プレビュー）
• 出典：個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023対応版 ver1.0）｜一般財団法人日本情報経済社会推進協会（JIPDEC）（https://privacymark.jp/guideline/pm_shishin2023v1.0.pdf）

Excel運用の注意点と形骸化を防ぐポイント

情報資産管理台帳はExcelで作成しても問題なく、多くの組織がExcelから始めています。一方で、Excelでの運用は「作ったあと更新が止まり、実態と合わなくなる」形骸化に陥りやすいという弱点があります。審査で指摘される台帳の多くは、作成の不備ではなく更新の停止が原因です。

形骸化を防ぐには、更新を特定の担当者の善意に任せず、仕組みで回すことがポイントになります。具体的には、次のような備えが効果的です。

• 見直しの時期（年1回など）と担当者、承認者をあらかじめルールとして決めておく
• システム導入・組織変更・退職など、台帳を更新すべきタイミング（トリガー）を明文化する
• 保存期限や廃棄方法を「適宜」などの曖昧な表現にせず、具体的に記入する
• 台帳の更新を各部署の業務として認識してもらえるよう、目的と手順を社内に周知する

とりわけ、情報システム部門が他業務と兼務している組織では、PCやソフトウェア、クラウドサービスの増減を手作業で追い続けるのは負担が大きく、台帳が古くなりがちです。管理対象が増えてきたら、棚卸しや更新の一部を仕組みで自動化することも検討に値します。

台帳作成・運用を効率化する方法（サービス活用）

台帳は無料の公的様式で自社でも作成できます。作成後のリスクアセスメント・定期的な棚卸し・認証更新への対応まで手作業で続けるのが負担になってきた場合は、仕組みで支えるサービスも選択肢になります。ここではタイプの異なる2つ——ISMS・Pマークの運用を一元管理するツールと、台帳のうちPC・ソフトウェア・クラウド（SaaS）の棚卸しを自動化するツール——を挙げます。

※料金・機能は2026年10月時点の各社公式情報による

1. SecureNavi（SecureNavi株式会社）

SecureNaviは、ISMS認証（ISO/IEC 27001）とPマークの取得・運用を一元管理するクラウド型のツールです。ExcelやWordで分散しがちな規程類・情報資産台帳・リスクアセスメント・内部監査の記録をSaaS上に集約し、認証取得に必要な工程をステップに沿って進められる点が特徴です。

情報資産の管理では、ISMSの適用範囲にある資産を情報・ハードウェア・ソフトウェア・ネットワーク・場所・組織といったカテゴリで登録できます。資産を登録するとよくあるリスクが自動で提案され、リスクの特定から分析・評価までを画面上で進められるため、台帳作成から一歩進んだリスクアセスメントまでを地続きで扱えます。

取得時だけでなく、更新審査や内部監査、規格改訂への対応といった運用フェーズにも対応します。料金は要問い合わせです。

2. マネーフォワード Admina（マネーフォワードｉ株式会社）

マネーフォワードｉ株式会社が提供するAdminaは、「情シス向け業務OS」を掲げ、従業員を軸にSaaSアカウントやデバイスを管理するIT資産管理プラットフォームです。情報資産管理台帳のうち、PC・ソフトウェア・クラウドサービスといったIT資産の棚卸しを自動化し、台帳を最新の状態に保ちたい場合に役立ちます。

IdP（社員のID認証基盤）連携やブラウザ拡張機能などを通じて、社内で使われているSaaSを可視化し、情報システム部門が把握できていない未許可のSaaS（シャドーIT）を検知できます。

アカウントの棚卸しや入退社時の発行・停止、契約・コストの管理も一元化できます。台帳のIT資産部分が形骸化しやすい組織に向く選択肢です。

PC・ソフトウェア・クラウドサービスといったIT資産の棚卸しについては、Admina以外のIT資産管理ツールも幅広く比較して自社に合うものを選ぶ方法があります。

まとめ

情報資産管理台帳は、守るべき情報資産を一覧にして重要度を把握し、ISMSやPマークの審査・リスクアセスメントの土台にするための文書です。作成にあたっては、公的なガイドラインが示す記載項目（業務分類・情報資産名称・管理部署・媒体・保存期限など）に沿って列を立て、機密性・完全性・可用性の3観点で評価した最大値を重要度とするのが基本です。

作り方は、洗い出し→重要度の評価→記入→定期的な見直しの4ステップです。Excelでの作成でも問題ありませんが、更新が止まって実態と乖離する形骸化を防ぐ運用ルールが、審査では台帳の完成度と同じくらい重要になります。IT資産の棚卸しやリスクアセスメントの負担が大きくなってきたら、仕組みで効率化するサービスの活用も検討するとよいでしょう。

よくある質問（FAQ）

Q. 情報資産管理台帳はExcelで作成してもよいですか？

A. 情報資産管理台帳は、Excelで作成しても問題ありません。決まった書式やシステムの指定はなく、多くの組織がExcelや、公的機関が配布する無料のExcel様式から着手しています。

ただしExcelは、作成後に更新が止まって実態と合わなくなる「形骸化」が起きやすいという弱点があります。見直しの時期・担当者・更新のきっかけ（システム導入や組織変更など）を社内ルールとして決めておくと、Excelでも審査に通用する状態を保てます。

Q. 情報資産管理台帳はどのくらいの頻度で更新すればよいですか？

A. 情報資産管理台帳は、少なくとも年1回、加えて変化があったその都度更新するのが基本です。Pマークの構築・運用指針でも、台帳の内容は「少なくとも年一回、及び必要に応じて適宜に確認し、最新の状態で維持すること」と定められています。新しい情報資産の発生、システム導入、組織変更、退職、インシデントの発生などは、年次の見直しを待たずに更新すべきタイミングです。

出典・参考資料（1件）

• 出典：個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023対応版 ver1.0）｜一般財団法人日本情報経済社会推進協会（JIPDEC）（https://privacymark.jp/guideline/pm_shishin2023v1.0.pdf）

Q. 情報資産の管理責任者は誰が担当すればよいですか？

A. 情報資産の管理責任者は、その情報資産を実際に扱っている部署の責任者（部門長など）を割り当てるのが基本です。台帳には各資産の管理部署を記入し、小規模な事業者であれば部署名の代わりに担当者名を記入しても構いません。ISMSの認証審査では管理責任者（管理部署）の記載漏れが指摘されやすいため、すべての資産に漏れなく記入しておくことが大切です。

Q. 情報資産管理台帳とリスク管理台帳は違うものですか？

A. 情報資産管理台帳とリスク管理台帳は、役割が異なる別の文書で、台帳が先・リスク管理台帳が後という関係にあります。情報資産管理台帳は「どんな情報資産があり、どこにあり、どれだけ重要か」を一覧にするものです。

一方のリスク管理台帳（リスクアセスメントの記録）は、その台帳をもとに各資産の脅威・脆弱性・リスクの大きさと対策を評価・記録します。実務では、情報資産管理台帳の重要度の列の隣にリスク値や対策の列を足し、1枚にまとめて運用する組織もあります。

Q. 個人情報しか扱っていない場合でも情報資産管理台帳は必要ですか？

A. 個人情報を中心に扱う組織でも、取り扱う情報を把握して管理するための台帳は必要です。特にPマークでは、取り扱う個人情報を特定し、「個人情報を管理するための台帳（いわゆる個人情報管理台帳）」を整備することが求められます。ISMSも併せて取得する場合は、個人情報以外の情報資産（契約書・技術情報・システムなど）も対象になるため、情報資産全般を対象にした台帳を用意します。

出典・参考資料（1件）

• 出典：個人情報保護マネジメントシステム構築・運用指針（JIS Q 15001:2023対応版 ver1.0）｜一般財団法人日本情報経済社会推進協会（JIPDEC）（https://privacymark.jp/guideline/pm_shishin2023v1.0.pdf）

Q. 情報資産管理台帳とIT資産管理台帳（IT資産台帳）の違いは何ですか？

A. 情報資産管理台帳は守るべき「情報」を中心に洗い出す台帳で、IT資産管理台帳はPC・ソフトウェア・ライセンスといった「モノ（IT機器・システム）」を管理する台帳という違いがあります。

情報資産管理台帳はISMS・Pマークのリスクアセスメントを目的に機密性・完全性・可用性で重要度を評価するのに対し、IT資産台帳は資産の棚卸し・ライセンス管理・コスト把握が主な目的です。両者は対象が一部重なるため、IT資産台帳で把握したPCやクラウドサービスの情報を、情報資産管理台帳の「媒体・保存先」欄に活かすこともできます。

Q. クラウドサービスやSaaSも情報資産管理台帳に含めるべきですか？

A. クラウドサービスやSaaSに保存・処理している情報も、情報資産として台帳に含める必要があります。情報資産は保管場所を問わず対象になるため、自社サーバー内のデータだけでなく、外部のクラウドに預けたデータや委託先が扱うデータも洗い出します。情報システム部門が把握していない未許可のSaaS（シャドーIT）は洗い出しから抜けやすいため、利用実態を確認したうえで漏れなく登録することが重要です。

Q. 情報資産管理台帳の無料のテンプレート（様式）はどこで入手できますか？

A. 情報資産管理台帳の様式は、IPA（情報処理推進機構）や東京都が無料で配布しており、ダウンロードしてそのまま使えます。IPAは「中小企業の情報セキュリティ対策ガイドライン」の付録として記入例つきのExcel台帳を、東京都はセキュリティガイドブックで台帳様式と重要度・リスク値の評価基準を公開しています。まずはこれらの公的様式をベースに、自社の業務に合わせて列を調整するのが効率的です。

出典・参考資料（2件）

• 出典：中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録6「資産管理台帳（サンプル）」｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/guide/sme/about.html）
• 出典：中小企業向けサイバーセキュリティ対策の極意 App.02「情報資産台帳の作成と詳細リスク分析」｜東京都（https://www.cybersecurity.metro.tokyo.lg.jp/security/guidebook/339/index.html）

Q. 中小企業や小規模な組織でも情報資産管理台帳は必要ですか？

A. 中小企業や小規模な組織でも、ISMSやPマークの取得・運用を目指すのであれば情報資産管理台帳は必要です。規模が小さいほど記載する資産は少なく、管理部署の欄に担当者名を書くなど簡素にして構いません。公的機関が中小企業向けに無料の様式を配布しているため、専任の担当者がいなくても着手できます。

Q. ISMSとPマークの両方を取得する場合、台帳は2つ作る必要がありますか？

A. ISMSとPマークの両方を取得する場合でも、台帳を無理に2つへ分ける必要はなく、情報資産管理台帳の中で個人情報を含む資産を明確にして一元管理するのが効率的です。

ISMSは情報資産全般を対象とする情報資産台帳を、Pマークは個人情報に絞った個人情報管理台帳を求めます。情報資産台帳に「個人情報の種類」の列を設け、Pマークが求める項目（利用目的・保管場所・保管期限など）も満たせるように設計すれば、二重管理を避けられます。

法人向けサービスを課題別に探すならMCB FinTechカタログ

MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。ISMS・Pマーク認証取得支援のほかの課題も、あわせてご確認ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。