中小企業は「一人情シス問題」にどう向き合うべきか 〜属人化した努力から、組織として回る仕組みへ
一人情シス問題の現状
ノークリサーチさんから、「ひとり情シス」は増えているのか？減っているのか？IT管理/運用の現場で起きている変化 の調査が出ていましたので、概要だけ見て、思うところを書いていきたいと思います。
中堅・中小企業において、１名情シス体制の会社は増加しており、兼務の方も増えているそうです。売上５〜５０億円企業のデータだそうですので、実際に数億円規模の売上で10名や20名程度の会社では情報システム担当はいても一人でしょうね。多くの場合は、総務部の方が兼務ということが多いと感じています。
（出典）ノークリサーチ調査
中小企業において「情シス担当が一人しかいない」「本来は別業務と兼務している」という状態は、もはや例外ではなく常態になっています。ITの重要性が年々高まる一方で、専任人材の採用や体制整備が追いつかず、結果として一人情シスが企業活動を支える構造が固定化しているのが実情です。
私は新入社員のとき数十人の部署のネットワーク担当をやりました。と言っても、情報システム部は他にいるので、部署内のネットワーク管理とか、IPアドレスの払い出しとか（90年代後半の話です）とかそんなもんだったと思います。もちろんIT企業勤務なので、みんなそれほどITスキルが低いわけでもないので、めんどくさいけどそれほど大変だったことはありませんでした。
しかし、中小企業では大きな問題になっているケースが多いです。一人情シス問題は、担当者個人のスキルや努力の問題ではありません。むしろ、経営と組織の設計の問題であり、向き合い方を誤ると、情報セキュリティ事故や業務停止といった経営リスクへ直結します。本記事では、中小企業が一人情シス問題にどのように向き合い、どのような考え方で対策を進めるべきかを、整理します。
なぜ中小企業の一人情シスは限界を迎えやすいのか
一人情シスが疲弊しやすい最大の理由は、担当範囲の広さにあります。パソコンやスマートフォンの手配・設定、クラウドサービスのアカウント管理、日々の問い合わせ対応、セキュリティ対策、ベンダーとの調整や契約更新まで、本来であれば複数の役割に分かれる業務が、一人に集中します。
これらの業務は、突発対応や割り込みが多く、計画的に進めにくいという特徴があります。その結果、目の前のトラブル対応に追われ、ルール整備や改善、予防策といった中長期的に重要な取り組みが後回しになります。業務が属人化し、担当者本人しか分からない設定や運用が増えていくのも、この構造が原因です。
さらに、経営側から見ると、ITは「何が危険で、どこに投資すべきか」が分かりにくい分野です。専門的な説明になりがちなため判断が後回しになり、結果として「現状維持で何とか回してほしい」という無言の期待が、一人情シスに集中します。
一人情シス問題は“人の問題”ではなく“構造の問題”
ここで重要なのは、一人情シス問題を個人の責任として捉えないことです。担当者を増やせば解決するように見えるかもしれませんが、属人化した運用や曖昧な優先順位のまま人を増やしても、根本的な解決にはなりません。
中小企業がまず行うべきは、「すべてを完璧にやる」ことを前提にしないことです。IT業務には優先順位があり、事業継続や情報漏えい防止といった致命的なリスクへの対応が最優先されるべきです。生産性向上やDXは重要ですが、土台が不安定なままでは、かえって負担を増やす結果になりかねません。
また、一人情シス対策の本質は、努力ではなく設計にあります。誰が担当しても同じ結果になるよう、ルールや手順、判断基準をあらかじめ決めておくことが、属人化を防ぐ唯一の方法です。
中小企業が現実的に取るべき対策の考え方
対策を進める際には、まず「守り」を固める意識が欠かせません。退職者のアカウントが確実に停止されること、重要なクラウドサービスに多要素認証が設定されていること、業務データが定期的にバックアップされ、復旧手順が分かっていること。これらは高度なIT施策ではなく、最低限の経営リスク対策です。
次に重要なのは、日常業務の負担を減らすことです。一人情シスを最も消耗させるのは、終わりのない問い合わせ対応です。問い合わせ窓口を一本化し、よくある質問を簡単な手順書として共有するだけでも、業務負荷は大きく下がります。さらに、端末やソフトウェア、申請方法を標準化し、選択肢を減らすことで、運用は驚くほど安定します。
すべてを社内で完結させようとしない姿勢も欠かせません。一次対応や定型作業を外部に委ね、専門性が求められる領域はスポットで専門家を活用する。こうした前提で体制を組むことで、一人情シスでも持続可能な運用が可能になります。
1. まず最優先でやるべき対策（事故を起こさないための最低限）
① 退職・異動時のアカウント無効化を仕組みにする
最初に手を付けるべきは、ID管理の属人化をなくすことです。
退職者のアカウントが残ったままになる状態は、情報漏えいリスクとして極めて大きく、経営責任にも直結します。
具体的には、
- 退職・異動の連絡が来たら必ず実施するチェックリストを作る
- Google Workspace や Microsoft 365 を起点に、利用中のSaaSを一覧化する
- 「退職＝この順で停止する」という手順を1枚の文書にする
これだけでも、「担当者の記憶頼み」から脱却できます。
② 重要なクラウドサービスはMFA（多要素認証）を必須にする
すべてを高度に守る必要はありませんが、
- メール
- ファイル共有
- 会計・販売管理
- 顧客情報を扱うサービス
これらについては、MFAを必須にするだけで、不正ログインのリスクは大きく下がります。
一人情シスにとって重要なのは、「完璧なセキュリティ」ではなく、事故確率を現実的に下げる対策を先に打つことです。
2. 日常業務を確実に軽くする対策（燃え尽きを防ぐ）
③ 問い合わせ窓口を一本化し、口頭対応をやめる
一人情シスを最も消耗させるのは、
「ちょっといいですか？」
「急ぎなんですけど」
という割り込み対応です。
これを防ぐために、
- 問い合わせはフォームやメールに一本化する
- 口頭依頼は受けず、必ず記録に残す
- 対応順は「緊急度」で判断する
というルールを決めます。
これは冷たい対応ではなく、組織としてITを回すための前提条件です。
④ PC・ソフト・申請方法を標準化する
「どのPCを買ってもいい」「どのソフトを入れてもいい」という状態は、一人情シスにとって最悪です。
- PCは数機種に絞る
- 標準ソフトを決める
- 例外は申請・承認制にする
こうした標準化は、技術的な対策というより、運用を単純化する経営判断です。
選択肢を減らすほど、運用は安定します。
3. 属人化を断ち切るための対策（長期的に効く）
⑤ 入社・異動・退社の手順を文章で残す
完璧なマニュアルは不要です。
重要なのは、
- 誰が
- 何を
- どの順で
やるのかが分かることです。
1〜2ページ程度の簡単な手順書でも、
- 担当者不在時の対応
- 将来の引き継ぎ
- 外部委託時の説明
にそのまま使えます。
⑥ 「全部自分でやらない」前提で外部を使う
一人情シス問題は、内製だけで解決しようとすると必ず破綻します。
- 定型作業や一次対応は情シス代行に任せる
- セキュリティやネットワークはスポットで専門家を使う
- ベンダーの保守範囲を明確にし、丸投げしない
外部を使うことは弱さではなく、経営としての合理的な選択です。
4. 経営が必ずやるべき対策（ここが抜けると失敗する）
⑦ ITを「リスクと選択肢」で判断する
経営がやるべきことは、細かい技術判断ではありません。
- 対策しない場合、何が起きるのか
- どの程度のコストで、どのリスクが下がるのか
- 最低限／標準／強化のどれを選ぶのか
この判断を経営が引き取ることで、一人情シスは初めて「現場担当」として機能します。
やるべきことは意外と多くない
一人情シス問題に対する具体策は、突き詰めると次の一点に集約されます。
「事故が起きない最低限を先に固め、運用を単純化し、一人で抱えない設計にする」
高度なDXや最新技術の前に、
- 止まらない
- 漏れない
- 引き継げる
この状態を作ることが、中小企業にとって最も現実的で効果の高い対策です。
経営が果たすべき役割
一人情シス問題を解決できるかどうかは、最終的には経営の関与にかかっています。ITの話を技術論で終わらせず、「対策しなかった場合に何が起きるのか」「どの程度のコストで、どのリスクを下げられるのか」という形で意思決定することが重要です。
最低限の対策、標準的な運用、将来を見据えた強化策といった選択肢を並べ、その中から会社としてどこを選ぶのかを決める。このプロセスがあるだけで、一人情シスは“何でも屋”ではなく、組織の一部として機能し始めます。
おわりに：一人情シスでも回る会社へ
一人情シス問題は、担当者の我慢や献身で乗り切るものではありません。何を守り、どこまでを内製し、どこからを外部に任せるのかを整理し、属人化しない運用を設計することが、最も現実的な解決策です。
「一人情シスがいる会社」ではなく、「一人でも情シスが回る会社」を目指すこと。その視点を持てるかどうかが、これからの中小企業のITリスクと成長を大きく左右すると言えるでしょう。
一人情シス物語
例によって、NotebookLMで情報集めて記事をお願いしようとしたら、物語風を提案されたので、それにの勝手掲載してみます。
ーーーーー
「ひとりの戦場から、チームの司令塔へ」― ある中小企業「ひとり情シス」の業務改善ストーリー
1. プロローグ：鳴り止まない電話と見えないゴール
朝9時。中小企業の総務部兼情報システム担当、田中さんの1日は、鳴り響く内線電話の音で幕を開ける。「田中さん、パスワード忘れちゃって…」「インターネットが繋がらないんだけど」「新しいPC、いつセットアップしてくれるの？」。彼はたった一人で、社内のあらゆるIT関連のSOSに対応する「ひとり情シス」だ。
彼のデスクは、まさに戦場のようだった。朝一番の仕事は、昨夜からアラートを上げていたサーバーのログ確認。それが終わるや否や、経理部からパスワードリセットの依頼電話が鳴り、その裏では新入社員用のPCキッティングが彼を待っていた。机の隅には、ライセンス更新期限の迫るソフトウェアの一覧と、社員から転送されてきた「怪しいメール」の調査依頼が山積みになっている。こなしてもこなしても、タスクリストは短くならない。むしろ、会社の成長とともに増え続ける一方だ。
「誰に相談すればいいんだ？ この設定が本当に正しいのか、もっと効率的な方法はないのか、聞ける相手がいない。トラブルが起きれば全責任が自分にのしかかる。このプレッシャーは、経験した者でなければわからないだろう。会社を支えている自負はある。でも、同時に、底なし沼に沈んでいくような孤独感に苛まれるんだ…」
田中さんは、今日も見えないゴールに向かって走り続ける。しかし、この果てしない日常が、ある出来事をきっかけに劇的に変わることになるとは、まだ知る由もなかった。
2. 第1章：限界を告げた日 – セキュリティインシデントの足音
その日、田中さんのもとに一通のメールが届いた。差出人は、長年の取引先。件名は「【緊急】請求書内容ご確認のお願い」。添付ファイルを開こうとした瞬間、ふと違和感を覚えた。いつもと微妙に違うメールの署名、わずかに不自然な日本語。彼は慌てて手を止め、送信元アドレスを詳細に確認した。そこには、取引先のアドレスを巧妙に偽装した、まったく別のドメインが記されていた。標的型攻撃メールだ。背筋に冷たい汗が流れた。
「もしクリックしていたら…ランサムウェアに感染し、会社の全データが人質に取られていたかもしれない」
危機感を募らせた田中さんは、社長にセキュリティ対策強化の必要性を訴えた。しかし、返ってきた言葉は彼の心をえぐった。
「田中くん、気持ちはわかるが、うちは中小企業だ。そんな大層なものに投資する余裕はないよ。それに、君がいるじゃないか。今までも何とかなってきたんだから、大丈夫だろう。情シスは利益を生み出さない仕事じゃない。コストは最小限に抑えてくれ」
「…（まただ…クラウドが普及して一見簡単になったように見えるが、管理すべき領域は爆発的に増えている。この現実が見えていないんだ…）」彼の心の中で、反論にならない言葉が渦巻いた。やって当たり前。利益を生まないコスト部門。それが経営層からの評価だった。しかし、サイバー攻撃のプロ集団は、もはや従来のウイルス対策ソフトだけでは防ぎきれないレベルにまで巧妙化している。このままでは、いつか本当に「限界の日」が来てしまう。
彼の頭の中で、漠然とした不安が三つの明確なリスクへと結晶化していった。
1. 事業継続性のリスク: 自分が病気や事故で倒れたら、社内のITは完全に停止する。システムの構成や運用手順を知っているのは自分だけ。会社の事業継続が、文字通り自分一人の健康にかかっている。
2. 深刻化するセキュリティリスク: 日々の業務に追われ、最新のサイバー攻撃の知識を習得する時間がない。犯罪組織は戦略的に企業を狙っているのに、こちらは旧来の武器だけで戦っているようなものだ。いつ重大なインシデントが起きてもおかしくない。
3. 属人化による知識のブラックボックス化: サーバーの設定、特殊な業務システムの運用手順、トラブル対応のノウハウ。その全てが自分の頭の中にしかない。ドキュメント化する時間もなく、後任者への引き継ぎは事実上不可能だ。
「もう、見て見ぬふりはできない。自分が動かなければ、この会社は沈む」
田中さんは固く決意した。ただ嘆くのではなく、現状を打破するための具体的な行動を起こす時が来たのだ。
3. 第2章：反撃の狼煙 – 課題の可視化と解決策の模索
田中さんの反撃は、感情論ではなく、客観的な事実を整理することから始まった。感情的に訴えるだけではダメだ。まずは現状を客観的に把握し、課題を整理しなくては。戦うべき敵の姿を、誰の目にも明らかにする必要があった。
彼は週末を使い、自社が抱える「ひとり情シス」の典型的な課題を洗い出し、一枚の表にまとめた。これは、経営陣を説得するための武器であり、自分自身の思考を整理するための羅針盤でもあった。
| 課題分類 | 自社での具体的な状況 | 放置した場合の最悪のシナリオ |
| 業務過多と長時間労働 | 日々のトラブル対応に追われ、中長期的なIT戦略の立案が全くできていない。 | 企業の成長が鈍化し、競合他社にデジタル化で後れを取る。 |
| 属人化とナレッジの喪失 | サーバー設定や特殊な業務システムの仕様が自分の頭の中にしかなく、ドキュメント化されていない。 | 突然の休職や退職で業務が完全に停止し、事業継続に重大な支障をきたす。 |
| 高度化する脅威への対応不足 | 巧妙化するサイバー攻撃の情報を追う余裕がなく、旧来のウイルス対策ソフトに頼りきり。 | ランサムウェアに感染し、事業停止や顧客信用の失墜、多額の賠償金が発生する。 |
| 経営層の理解不足 | IT投資がコストとしてしか見なされず、必要な予算が確保できない。 | 重大なセキュリティ事故が発生してから、経営責任を問われる事態に発展する。 |
表を完成させた時、課題の根深さと相互の関連性が明確になった。これらの複雑に絡み合った問題を解決する糸口を探し、彼は調査を始めた。そして、ある一つの解にたどり着く。彼が見つけたのは、単なる「IT資産管理ソフト」ではなかった。それは、日々の資産管理を自動化し、同時に高度なセキュリティ対策をも提供する、統合的な「セキュリティ対策/IT資産管理ツール」だった。
これだ、と田中さんは直感した。これまでバラバラに、手作業で行っていた業務を統合し、自動化できる。特に彼が注目した「ISM CloudOne」という製品には、まさに彼が必要としていた機能が詰まっていた。
• 自動脆弱性診断: 各PCにどんな脆弱性があるのか、手作業で調べることなく一覧で確認できる。これなら、セキュリティパッチの当て漏れを防げる。
• ふるまい検知: 未知のウイルスやゼロデイ攻撃に対しても、怪しい挙動を検知して防御してくれる。専門知識が追いつかなくても、システムが盾になってくれる。
• ソフトウェア資産管理: 面倒なライセンス管理や棚卸し作業が自動化できる。これで時間に余裕が生まれるはずだ。
専門知識の不足を補い、時間の制約を乗り越え、属人化を防ぐ。このツールは、単なる効率化ツールではない。自分のような「ひとり情シス」を、孤独な戦場から解放してくれる戦略的な武器なのだ。
課題は可視化され、解決策は見つかった。田中さんの心に、確かな自信の光が灯り始めていた。
4. 第3章：未来への投資 – 経営陣を動かした一手
役員会議室の空気は重かった。田中さんは、社長と役員たちの前に立ち、静かに息を吸い込んだ。これは単なる「おねだり」ではない。会社の未来を守るための「投資提案」なのだ。彼は、機能の羅列ではなく、「リスク」と「リターン」を軸にプレゼンテーションを開始した。
提案の骨子は、明確かつ論理的だった。
1. 現状リスクの提示：脅威はすぐそこにある 「まず、このデータをご覧ください」と田中さんは切り出した。「ある調査によると、中堅企業の35.7%が直近3年間にセキュリティ事故を経験しています。これは対岸の火事ではありません。先日の標的型攻撃メールがその証拠です。我々もいつ被害者になってもおかしくない状況なのです。」
2. 損失額の試算：見て見ぬふりが最も高くつく 「万が一、ランサムウェアに感染した場合の損失を試算しました」と彼は続けた。IPAのガイドラインを参考に、**「事故による金銭の損失（賠償金、調査費用）」や「事業の停止」**による売上機会の損失を具体的な金額で提示した。「この金額は、今回提案するツールの導入費用の何十倍、何百倍にもなります。」
3. 解決策としてのツール導入：コストではなく「保険」と「投資」 「提案するセキュリティ対策/IT資産管理ツールは、単なるコストではありません。これは**『事業継続のための保険』であり、『業務効率化による未来への投資』**です。これまで私が手作業で行っていた脆弱性チェックやソフトウェア管理が自動化されることで、月に数十時間の工数が生まれます。その時間を使って、私は会社のDX推進など、より戦略的な業務に注力することができます。」
4. 経営者の責任：これは経営マターです 最後に、田中さんは役員たちの目をまっすぐ見て言った。「IPAの**『中小企業の 情報セキュリティ対策 ガイドライン』**にはこう書かれています。『対策の不備により経営者が法的・道義的責任を問われます！』と。情報セキュリティは、もはや私一人の担当業務ではなく、会社全体の、そして経営陣の皆様の重要な責任なのです。」
熱意のこもった、データに基づく論理的な説明。そして、会社を思う真摯な姿勢。会議室の重い空気が、真剣な議論へと変わっていく。一人の役員が口を開いた。「しかし、本当にそんなツールが必要なのか？コストがかかりすぎるんじゃないか？」
沈黙が流れた。それを破ったのは、腕を組んで聞いていた社長だった。
「いや」社長は静かに、しかし力強く言った。「田中くんの話は、もっともだ。我々はリスクから目を背けていたのかもしれない。これはコストじゃない、未来への投資だ。すぐに導入を進めてくれ」
その言葉は、田中さんにとって、長い戦いの終わりの合図であり、新たなステージの始まりを告げるファンファーレだった。
5. エピローグ：司令塔の誕生
IT資産管理ソフトの導入から数ヶ月後、田中さんの日常は一変した。鳴り止まなかった電話は激減し、彼のデスクは驚くほど静かになった。
ある日の午後、田中さんは静かな自席で、全社のIT資産状況を示すダッシュボードを静かに眺めていた。緑色の正常アイコンが並ぶ画面は、まるで静かな司令室のようだ。ふと、数ヶ月前の光景が脳裏をよぎる。鳴り響く電話、山積みの付箋、そして終わりなきトラブル対応に追われていた、あの息の詰まるような戦場を。
導入による最も大きな変化は、3つの価値をもたらした。
• 脆弱性対応の自動化で得られた「安心」 かつては、夜中にサーバーのことが気になって目が覚めることもあった。しかし今では、全社員のPCの脆弱性がダッシュボードで一目瞭然だ。危険な状態のPCがあればアラートが飛び、リモートでパッチを適用できる。夜も安心して眠れるようになった。この「安心」は何物にも代えがたい。
• 資産管理の効率化で生まれた「時間」 毎年、膨大な時間を費やしていたソフトウェアのライセンス棚卸しが、ボタン一つで完了する。PCの資産管理も自動化され、大幅な時間が生まれた。その貴重な「時間」を使い、彼はついに念願だった社内のDX推進計画に着手することができた。
• 客観的データで実現した「信頼」 経営会議では、もはや勘や経験で話すことはない。IT資産の稼働状況やセキュリティリスクレベルを、具体的な数値とグラフでレポートできるようになった。客観的なデータに基づく報告は、経営層からの絶大な「信頼」を勝ち取り、彼はいつしか「ITのことなら田中に聞け」と言われる、会社のIT戦略における良き相談相手となっていた。
もはや彼は、日々のトラブル対応に追われる孤独な作業者ではない。会社のIT資産を俯瞰し、リスクを管理し、未来の戦略を描く**「司令塔」**へと成長したのだ。
もし、田中さんの物語に共感するなら―彼の戦場が、まるで自分の日常のように感じられるなら―司令塔という役割は、あなたの手の届くところにあります。その第一歩は、巨額の予算ではありません。日々の戦いの記録を、客観的なデータに変えるという「決断」です。そのデータこそがあなたの地図となり、会社を安全な未来へと導く道標となるでしょう。
そんなところで
