情報化社会である今、企業において「IT資産管理」はなくてはならないガバナンスのひとつだ。

「IT資産管理」と一口に言っても、保有しているPCの台数はもちろん、セキュリティポリシーに沿った操作監視、ソフトウェアライセンスやアップデートの管理など、統制しておかなければならない要素は多い。

その上、これまでIT資産がまったく管理されていなかったり、管理履歴が中途半端になっているという企業も少なくないだろう。

そのため、どこから手を付けて良いのかわからないと途方に暮れてしまう情報システム担当も少なくない。そんな「IT資産管理」の闇の深さに負けそうな情シスがここにもひとり──

IT資産管理とは、会社が保有するIT資産を管理することである。

IT資産には「ハードウェア」や「ソフトウェア」、「周辺機器」、「記憶媒体」、「インフラ」があり、所有するデバイスのみならず、社内ネットワークにつながっているデバイスなども管理の対象だ。

IT資産を正確に管理できていないと、「システムアップデートができていないPCがそのまま使われている」「知らない端末（社員の私用スマホ）が社内ネットワークにアクセスしていることに気づけない」と言ったようなセキュリティリスクが生まれたり、「余っているPCがあるのに、新しいPＣを買ってしまった...」「ソフトウェアのライセンスが残っているのにライセンスを追加契約してしまった...」といったような無駄コスト・無駄工数につながることも。

IT資産管理の基本は「IT資産をすべて管理」することにある。

テレワークで社員が利用しているデバイスの状態、そこからのアクセス状況を把握できないことも増え、さらにスマホの台頭により一人が所有するデバイス数も増えた現代。

IT資産管理はかなり大変になったと言っても過言ではないのだ。

さて、にのまえの会社では、社員のノートPCを Google「Chromebook」にし、管理を簡易にすることに成功したようだ。
（Google「Chromebook」で煩雑なノートPC管理をスマートにICT SOLUTION！にて）

しかし、管理しないといけないものはたくさん…

にのまえはどう対処するのだろうか？

^{※Chromebook…前回のエピソードで召喚された、Google が手掛ける Chrome OS 搭載の運用管理機能がある次世代型ノートPC。}

困ったことになったにのまえ。人間は常に何かあってからその重要性に気づくものだ。

ここでIT資産管理の重要性について考えてみよう。

主にIT資産管理はセキュリティとコンプライアンスの強化を目的として実施される。前述した通り、管理の対象は幅広い。

人数が少ないうちはまだいいが、社員が増えるにつれ、管理の負荷は増大してくる。

まずは例をひとつ。

私用スマホはセキュリティ対策されていないことも多く、何かしらのウイルスに感染していることも考えられる。もしそのことに気づかず、社員の私用スマホが社内ネットワークにつながってしまっていたら…社内のネットワークにウイルスが紛れ込んでしまうことは容易に想像できるはずだ。

「社内LANに私用デバイスはつなげてはいけません」といったような社員教育をおこなうだけでなく、それが完璧に実施されるかどうかは把握し管理する必要がある。社員が業務に使用している、または、社内ネットワークにつないでいる・つながってしまっている機器を把握しておくことで、上記のようなリスクを回避することができる。

PCの利用状況を把握し、適切なアプリやブラウザ・オンラインストレージ利用がされているかを確認したり、情報持ち出し状況や許可されたUSBのみが利用できるようにしたりすることで、セキュリティを担保することも必要だ。

会社でインストールしているソフトウェアを社員がライセンス契約で定められた利用用途の範囲を超えて利用していた場合、ソフトウェア提供会社からライセンス違反として多額の賠償を求められるケースに発展することもある。

社員の利用しているPCでインストールされているソフトウェアのライセンスやその利用状況を把握することは、コンプライアンス・内部統制の観点から必要なことだ。

また自社の保有するハードウェア、ソフトウェア、インフラを把握することは、税務の面でもメリットがある。必要な分だけIT資産を調達することができ無駄なコストを削減できたり、固定資産の会計処理に役立てることも可能だ。

上記のように、IT資産管理は会社の運営上必要なものだ。Dr. プロトコルのいたずらにより、IT資産管理ができていないことに気づいたにのまえ。

今回のMISSIONは以下の通り。

前述したIT資産それぞれに対してどのような管理を行っていけばよいのか。まずはその内容について概要を把握してみよう。

IT資産と管理の内容

上記はたくさんある中でも一部の重要なものを抜粋している。

つまるところ、社として保有する資産の名前から利用状況まで、漏れなくすべて把握し管理するということだ。

小数名の会社ならともかく、管理対象や管理内容が多岐にわたるIT資産管理を人的におこなうのは非現実的だ。クラウド型やオンプレ型など、様々なIT資産管理ツールがでているが、ここではそれらに共通するメリットをおさらいしておこう。

IT資産管理ツールには、端末管理の機能がある。

ツールをインストールしたデバイスの状態（正常なのか、再起動が必要なのか、エラーがでているのかなど）や Windows Update の状況、インストールソフトウェア状況を把握することができる。

一つの管理画面にデータが集約されていくため、いちいち社員のPCを除いてOSやバージョンをメモしたり、不要なソフトウェアがないかチェックしたりする必要がない。

また、ソフトウェアを最新版に更新したい場合、管理ツールからの操作で一斉アップデートを行うことも可能だ。

いちいちアップデート方法を作成して社員それぞれに操作してもらい、できたかどうかをチェックする…なんてことはしなくてもよいのだ。

脆弱性とは、OSや他のソフトウェアにおけるプログラム設計上の不具合やミスを起因とした、情報セキュリティ上の欠陥（バグ）のことだ。脆弱性については「ゼロデイ攻撃とは？そのリスクと企業がとるべき対策を解説！」で解説

セキュリティを担保するためには、いち早くセキュリティパッチ（修正プログラム）を反映させる必要があるが、人的におこなうと時間がかかる＆漏れがでる可能性が高まる。

管理ツールを利用することで、デバイスやインストールされているソフトウェアのOS・バージョンを一括で把握できるため、反映しなければならないものを瞬時に確認できる。

また、ツールによっては管理側からパッチを反映させたり、反映指示をツールから出したりすることも可能だ。

私用スマホをネットワークつないでしまったり、許可されていないUSBで情報のやり取りをしたり...

本来はセキュリティポリシー上、禁止されている行為がうっかり・誤って起こってしまうことはある。

管理ツールでは、管理下にないデバイスがネットワークにつながったことを検知してその通信を遮断することも可能だ。
他にも許可していないUSBを社用PCにつないでもブロックして利用できないようにしたり、利用許可のないソフトウェアのインストールを防いだりすることもできる。

また、個人情報などの機密情報や重要情報を含むファイルの取り扱い、利用状況なども把握できる。退職者がシステムの設計に関わる情報を無断で持ち出し、競合企業に流出させた事件などがあるが、社内情報（ファイル）がどのように利用されているかが把握できていないと情報流出の原因すら特定できない。

PC上の操作ログを管理・監視することで、有事の際に原因究明をする事が出来る他、日頃から管理・監視しているという事実が、小さな出来心に対しての抑止にも繋がるし、そもそも抜き取った情報を保存する為の記憶媒体（USB等）へのコピーが許可されなければ上記のような事は起こらなかったかもしれない。

あらゆる方面からセキュリティポリシーの遵守徹底を後押ししてくれるのだ。

会社で保有しているデバイスやソフトウェアとそれを利用しているユーザを把握しておくことで、無駄なソフトウェアライセンスを発見したり、無駄にデバイスを再購入することを防いだりすることも可能だ。

また、経営計画において、利用者が増えていく場合、どのタイミングでデバイスやソフトウェアライセンスを追加したらよいかなども把握できる。

無駄コストの削減はもちろん、適切な投資計画にも役立つのがIT資産管理ツールだ。

ポイントは3つ。自社の状況と照らし合わせながら選定するのがポイントだ。

IT資産におけるデバイス部分だけを管理して過剰投資を防ぎたいのか、セキュリティを高めるためにデバイスの持ち出しやファイルの利用状況、PC端末でのWeb利用状況まで細かく把握したいのかによって変わってくる。

テレワークなど働き方が多様な企業であれば、目が行き届かない部分も増えるためそれにも対応した機能が必要だ。

業務上どこにセキュリティリスクがあるのか、管理者側の負担がどこにあるのかを把握することで、適切なものを選ぶことができる。

自社のセキュリティポリシーに準拠しているかどうかも重要だ。

セキュリティ上、持込PCの社内ネットワーク接続を禁止している場合は、その発見をするための機能が必要になる。

セキュリティポリシー内に人的には対策できない（もしくは、ツールに任せたほうが安心な）項目があれば、それに対応した機能を持つツールを選ぼう。

自社で使用しているPCに Mac があるのに、macOS に対応していないツールを使っても意味がない。

また、管理したいデバイスがスマホや周辺機器まで含まれるということであれば、それも考慮されたツールを選定すべきだ。

InfoTrace 360でできること

^{※一部の機能はオプションです。}