情シスがいない会社はどうするか｜社内に残す責任と外部に出す作業の分け方

この記事は、IT担当者がいない、または他業務と兼任している中小企業の経営者と管理部門に向けたものです。何かあるたびに社内で「詳しい人」を探し、退職や障害のたびに慌てる。この状態を外部委託だけで解決しようとすると、うまくいきません。委託先に渡せるものと渡せないものがあるためです。この記事では、社内に残す責任と外部に出す作業の分け方、最小限の台帳3種、権限と連絡経路の決め方を示します。IT製品やサービスの比較は扱いません。

結論

情シス不在は、人を採用しなければ解決しない問題ではありません。判断の担い手と基準を決め、最小限の記録を残す。そのうえで作業を外へ出す。この順序であれば、外部委託は初めて機能します。

ゼロ情シス・ひとり情シス・兼任情シスの違い

ひとくちに情シスがいないと言っても、社内の状態は三つに分かれます。専任の担当者が一人もいないゼロ情シス、専任が一名だけのひとり情シス、他業務と掛け持ちで面倒を見ている兼任情シスです。どれに当てはまるかで、次に打つ手も、外へ出せる作業の量も変わってきます。まず自社がどれなのかを決めてから、以降を読み進めてください。

呼び方	専任の担当者	IT業務の位置づけ	この記事が主に想定する読者か
ゼロ情シス（情シスがいない）	0名	誰の職務にも書かれておらず、詳しい人が都度対応する	主に想定する
ひとり情シス	1名	職務として存在するが、代わりがいない	一部が当てはまる
兼任情シス	0名（他業務と掛け持ち）	総務や経理の担当者が片手間で担う	主に想定する

なぜ情シスがいない状態になるのか

この状態は、方針として選んだ結果とは限りません。他社の解説でよく挙がるのは次の四つです。IT人材を採用しようとしたが応募が集まらなかった。クラウドへ移したので社内で管理する仕事は要らなくなった、と受け取られた。担当していた人が辞め、その欠員がそのまま埋まっていない。IT業務がそもそも誰の職務にも書かれていない。自社がどれに近いかを言葉にできると、次に何を決めるべきかが見えてきます。

公的な調査でも、人と費用の両方が壁になっている様子がうかがえます。IPAの2024年度の実態調査では、情報セキュリティ対策を実施するうえでの課題として「対策費用・費用負担」が51.3%、「専門人材の確保・育成」が32.9%挙がりました。担当者を置けない事情は個社に限った話ではなく、中小企業に広く共通していると読めます。数値はIPAの調査報告書ページで確認しました（確認日2026-09-05）。

情シスがいないと起きる5つのリスク｜本当に困るのは判断できないこと

他社の記事が挙げるリスクは、内容そのものは重なっています。障害、更新の放置、把握していないITの利用、属人化、取引先への回答。ただし並べただけでは、なぜ自社で起きるのかまでは分かりません。共通しているのは、手が足りないことではなく、決める人と基準が決まっていないところから生じている点です。次の表では、起きることと、その原因、この記事のどこで対処するかを対応させました。

起きること	情シスがいないと、なぜ起きるか	この記事のどこで対処するか
障害時に誰も対応できず業務が止まる	連絡先と判断者が決まっていない	障害時の連絡経路を1枚にする
更新とバックアップが放置される	期限と復旧確認を誰も見ていない	機器台帳と今の状態を10分で測る
把握していないITの利用が広がる	契約してよいかを決める人がいない	AIツールの野良利用という新しい穴
記録が個人に残り属人化してナレッジが共有されない	IT資産とアカウントの一覧が無い	台帳は3つ
取引先のセキュリティ確認票に答えられない	回答の根拠になる記録が無い	取引先から確認票が届いたとき

よくある3つの症状

誰がどの機器を使っているか、正確に答えられない。退職者のアカウントが残っているかどうか分からない。障害が起きたとき、最初に誰へ連絡するかが決まっていない。この3つです。

これらは作業の手が足りていない状態ではなく、判断の担い手と基準が決まっていない状態です。作業は外へ出せますが、判断は出せません。

リスクを一般論のまま置くと、止まる期間の規模が伝わりません。徳島県つるぎ町立半田病院では、令和3年10月31日未明に電子カルテをはじめとする院内システムがランサムウェアに感染し、通常診療の再開は令和4年1月4日でした。有識者会議調査報告書は令和4年6月7日付で公開されています。これは公表されている他組織の事案であり、支援実績として挙げているものではありません。経緯はつるぎ町立半田病院の公表ページで確認できます（確認日2026-09-05）。

今の状態を10分で測る

対策を考える前に、現在地を確認します。次の6問に、資料を見ずに答えてみます。

答えられるか確かめる問い	答えられなかった場合に最初にやること
社内で使っているクラウドサービスをすべて挙げられるか	請求書と経費精算の明細から、支払っているサービス名を書き出す
会社が費用を払っているものと個人が立て替えているものを区別できるか	サービスごとに契約主体が法人か個人かを台帳へ記入する
各サービスの管理者権限を持っている人の名前を言えるか	各サービスの管理画面を開き、管理者アカウントの一覧を出す
直近1年以内に退職した人のアカウントが今どうなっているか	直近1年の退職者名簿と、各サービスの利用者一覧を突き合わせる
サーバーや共有フォルダのバックアップがいつ最後に取れたか	バックアップの設定画面で最終成功日時を確認し、復旧を一度試す
回線が止まったとき最初に電話する先が決まっているか	回線事業者の契約書から番号を控え、障害時の連絡経路の1枚へ書く

答えられなかった問いが、そのまま着手すべき順序になります。4問以上答えられない場合は、外部委託先を探す前に、この記事の台帳づくりから始めます。委託先に依頼するにも、現状を説明できなければ見積もりすら取れません。

外部委託だけでは埋まらない部分

委託先は依頼された作業を行います。しかし「このサービスを契約してよいか」「この権限を誰に与えるか」「今この業務を止めるべきか」は、事業側でなければ決められません。外部委託を紹介する記事の多くは、委託できる業務の範囲を並べます。一方で社内に残る責任にはほとんど触れていません。実務で最初に困るのはこの部分です。

社内に残す責任と、外部に出せる作業を分ける

分け方の原則

原則は単純です。判断、契約、権限の付与は社内に残し、手順が決まっている作業は外へ出せます。迷ったときは「これを間違えたとき、責任を負うのは誰か」で振り分けます。

責任分界表

領域	社内に残す（判断）	外部に出せる（作業）
機器	購入の可否、台数、廃棄の判断	調達代行、初期設定、故障時の対応
アカウント	誰にどの権限を与えるかの決定	発行と削除の作業、棚卸しの集計
ネットワーク	拠点構成と費用の決定	機器設定、監視、障害の切り分け
クラウドサービス	契約可否、入力してよい情報の範囲	設定作業、利用状況の集計
セキュリティ	事故時に止める判断、報告の要否	監視、検知、初動作業の実施
バックアップ	どのデータをどこまで守るかの決定	取得、保管、復旧作業

委託しても社内に残る3つの責任

契約の責任です。何を、いくらで、いつまで委託しているかを把握し、更新と解約を判断します。権限の責任もあります。誰にどの権限を与えるかを決め、退職と異動のときに取り消す。停止の責任は、事故や障害のときに業務を止めるかどうかを決めることです。

この3つを委託先へ渡すことはできません。委託先に決めさせている状態は、責任の所在が消えている状態です。なお、IT運用の整理とDX全体の進め方は別の話です。着手の順序は中小企業のDXは何から始める？で扱っています。

台帳は3つ。ただし増やしすぎない

現状を把握する道具は台帳です。ただし項目を増やすと更新されなくなります。最初は3つ、それぞれ最小限の項目から始めます。

機器台帳

管理番号、機器種別、メーカーと型番、購入日、利用者、設置場所、OSとサポート期限。これで足ります。様式にこだわる必要はなく、表計算ソフトで構いません。この中で見落とされやすいのがサポート期限です。OSのサポートが終わった端末は、修正プログラムが提供されなくなります。買い替え予算は期限の半年前から検討する必要があるため、台帳に書いておくと計画的に更新できます。逆にここを書いていないと、ある日突然まとまった台数の買い替えが必要になります。

アカウント台帳

3つのうち最も後回しにされますが、退職と事故に直結するのはこの台帳です。

サービス名、契約主体が法人か個人か、利用者、権限の種類が管理者か一般か、発行日、最終確認日の6項目です。

目的は「管理者権限を持っているのは誰か」を一覧で見られる状態にすることです。ここが分からないと、退職時にも事故時にも動けません。

契約・委託先台帳

委託先、委託している範囲、対応時間帯、連絡先、契約期間と更新日、解約時の条件です。解約時の条件には、データの返還とアカウントの引き渡しを含めます。

更新日を書いておかないと、使っていないサービスの自動更新に気付けません。年間の固定費を見直す起点にもなります。

台帳が続かない理由と対策

続かない理由はほぼ2つです。項目が多すぎることと、更新する日が決まっていないこと。項目は上記までにとどめ、更新は「入社時、退職時、契約更新時だけ」と決めれば維持できます。既存システムの中身が分からず、そもそも何が動いているのか把握できていない場合は、台帳づくりの前にブラックボックス化した基幹システムとどう向き合うかを確認します。

権限は「退職の日」から逆算して決める

管理者を2名にする理由

管理者権限を1名だけが持っている状態は、その人が退職または長期休職した瞬間に、誰もサービスを操作できなくなります。パスワードの再発行すらできず、契約の解約もできないことがあります。

逆に全員が管理者の状態も危険です。誰でも設定を変えられ、誰が変えたかも分かりません。現実的な落としどころは管理者を2名にすることです。1名は経営層または管理部門の責任者、もう1名は実務担当が担います。

退職・異動時の停止チェック

退職日が決まった時点で、アカウント台帳から本人の全アカウントを抽出します。管理者権限を持っている場合は、先に別の人へ移す。退職日にアカウントを無効化します。いきなり削除せず、まず無効化するのが要点です。共有アカウントのパスワードを変更し、貸与機器を回収して機器台帳を更新する。1か月後に、無効化したアカウントを削除するかどうかを判断します。

4番目が最も忘れられます。個人アカウントを止めても、共有アカウントのパスワードが変わっていなければ、退職者は引き続き入れます。

権限の棚卸しをいつやるか

年1回で構いません。決算期や人事異動の時期に合わせ、アカウント台帳を上から確認し、使われていないアカウントと過剰な権限を落とします。日付を決めておかないと実施されません。

障害時の連絡経路を1枚にする

同じIPAの調査で「セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？」に該当した企業は39.8%でした。裏返すと、六割の会社は事故が起きてから連絡先を探すことになります。連絡経路を1枚にまとめる作業は、その準備の最小形にあたります。規程や訓練よりも先に、ここだけは埋めておきたいところです（出典はIPAの調査報告書ページ・確認日2026-09-05）。

誰が、何を、どこへ

障害時にまず失われるのは時間です。連絡先を探している間に業務が止まります。次を1枚にまとめ、印刷して掲示するか、全員が自分の端末から見られる場所に置きます。

症状別の一次連絡先として、ネットワーク、機器、クラウドサービス、電話。各連絡先の対応時間帯。社内の判断者、つまり業務を止めるかどうかを決める人と、その連絡手段。判断者に連絡がつかないときの代理も書きます。

社内で一次切り分けする範囲を決める

すべてを委託先へ回すと、費用も待ち時間も増えます。次の範囲は社内で確認してから連絡すると決めておくと、対応が早くなります。

一人だけの問題か、全員に起きているか。直前に何を変えたか。更新、設定変更、機器の追加です。再起動で直るか。別の機器や別の回線でも起きるか。

委託先の対応時間外に何をするか

中小企業向けの委託契約は、平日日中のみのことが多くあります。夜間と休日に何が起きたら誰へ連絡するかを、契約時に確認します。連絡手段がないと決まっているなら、その時間帯は「止める判断だけ社内で行い、復旧は翌営業日」と先に決めておきます。

障害が収まった後は、発生日時、症状、原因、対処、再発防止の5項目を数行で残します。同じ障害が繰り返されているかどうかは、記録がなければ分かりません。この記録は委託先を見直すときの判断材料にもなります。

外部委託先を選ぶ前に決めること

採用・派遣・委託を同じ土俵で比べる

体制の取り方は一つではありません。正社員を採用する、情シス派遣を受け入れる、情シス代行へ委託する、必要なときだけスポットで相談する。この四つは費用の形も、社内に残る手間も違います。どれが優れているかという話ではなく、自社の判断業務の量と、社内で指示を出せる人がいるかどうかで決まります。次の表で同じ観点に並べ、当てはまるものを絞り込んでください。

取り方	向く状況	社内に必要な役割	注意点
正社員を採用する	判断の頻度が高く、社内に知見を蓄えたい	育成と評価を担う上長	採用までの期間が読めず、退職すると元の状態へ戻る
情シス派遣を受け入れる	手を動かす人がすぐに欲しい	日々の作業を指示する人	指示役がいないと稼働が余る。契約期間に上限がある
情シス代行へ委託する	手順の決まった作業をまとめて外へ出したい	契約と権限を持つ責任者	対応範囲と対応時間帯の外では動かない
スポットで相談する	課題が単発で、日々の運用は社内で回せている	依頼内容を言語化できる人	継続的な把握が社内に残らず、都度の説明が要る

費用は取り方ごとに形が違うため、前の表には入れていません。委託の場合にいくらから始まるかは、事業者が公開している料金表で確かめられます。次に挙げるのは、料金を公表している2社の例です。相場を示すものではなく、金額の桁と、その金額に何が含まれるかの対応関係を見るために置いています。なお、情シス不在を扱う記事には、正社員採用の年間費用や派遣の月額を挙げるものがありますが、いずれも出所の記載がない事業者の推計でした。公的な統計で職種別の金額を確かめようとしたものの、該当する数値にたどり着けていません。そのためこの記事では、採用と派遣の金額を出していません。

サービス	プラン	月額	含まれる範囲
アネッツ「情シス代行パック」	ベーシック	40,000円	ヘルプデスク月8時間まで・サポート台数50台まで
アネッツ「情シス代行パック」	スタンダード	80,000円	ヘルプデスク月25時間まで・100台まで
アネッツ「情シス代行パック」	プラチナ	150,000〜250,000円	ヘルプデスク月30時間まで・100台まで
Keep Rolling「ちょこっと情シス」	ライト	3万円〜	日常的なIT業務サポートが中心
Keep Rolling「ちょこっと情シス」	スタンダード	5万円〜	クラウドの導入手順設計やバックアップ整備まで

金額はアネッツとちょこっと情シスが公開しているページで確認しました（確認日2026-09-05）。いずれも税抜です。これは2社の公開料金であって、相場ではありません。対応範囲と対応時間帯が違えば金額は比べられないため、この表は「いくらから始まるか」を掴む目安としてだけ使ってください。

契約前の確認項目

確認項目	確認する理由
対応範囲	どこまでが契約内で、どこから追加費用になるか
対応時間帯	夜間と休日の扱いが決まっているか
応答目標	連絡してから着手までの目安時間があるか
再委託	別の会社へ再委託されるか、その場合の責任の所在
作業の記録	何をしたかが後から確認できる形で残るか
終了時の扱い	契約終了時のデータ返還、アカウントの引き渡し、資料の提供

最後の「終了時の扱い」は契約時にしか交渉できません。後から依頼すると費用が発生するか、応じてもらえないことがあります。

丸投げにしないための取り決め

月1回、実施内容と未対応事項を書面で受け取ります。設定変更は事前に社内の承認を得てから行う。管理者権限は社内が保持し、委託先には必要な範囲の権限を渡します。契約更新の1か月前に、範囲と費用を見直す。

見積もりを比べるときは、月額だけを並べても判断できません。同じ条件で比べるために、上の確認項目を一覧にして各社へ同時に渡し、同じ様式で回答してもらいます。対応範囲と対応時間帯が違えば、月額の差は当然生じます。

また、委託先の担当者が1名だけの場合は、その担当者が不在のときにどうなるかを確認します。自社の情シス不在を解決したつもりが、委託先の担当者不在に置き換わっているだけ、という状態は避けます。

クラウドサービスに入力してよい情報の範囲は、委託先ではなく社内で決める事項です。線引きの作り方は生成AIの情報漏えいを防ぐ社内運用の作り方が参考になります。

取引先から確認票が届いたとき

IT担当が不在の会社で、実際に困る場面がこれです。取引先から「情報セキュリティに関する確認票」が届き、回答を求められる。情シス不在を扱う記事はほとんど触れませんが、発生頻度は高く、期限も切られています。

IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（全国の中小企業4,191件・2024年10月〜2025年1月実施・2025年5月27日公開）では、発注元から情報セキュリティ対策の要請を受けている企業は1割強にとどまりました。一方で、専門部署（担当者）を置いてセキュリティ体制を整備している企業では、その59.8%が、要請に応じた対策が取引につながったと回答しています。体制が整っていない企業では24.2%にとどまります。確認票への対応は守りの作業ではなく、すでに取引の条件になりつつあると読めます。数値はIPAの調査報告書ページで確認しました（確認日2026-09-05）。

確認票が届く理由は、取引先の側の事情にあります。IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が入り、8年連続8回目の選出となりました。取引先から見れば、自社の対策は取引先自身の対策の一部です。確認票は相手の警戒心の表れではなく、その連なりのどこに自社が位置しているかを確かめる手続きだと考えると、回答の優先度も決めやすくなります。順位はIPA「情報セキュリティ10大脅威 2026」で確認しました（確認日2026-09-05）。

設問はおおむね次の範囲です。この記事でここまでに挙げた台帳と権限の整備が、そのまま回答材料になります。

よくある設問	回答に使えるもの
情報セキュリティの方針を定めているか	規程の有無。なければ公的なサンプルを基に作成する
機器の管理台帳があるか	機器台帳
アカウントの発行と停止の手順があるか	アカウント台帳と、退職時の停止チェック
外部委託先を管理しているか	契約・委託先台帳
事故が起きたときの連絡体制があるか	障害時の連絡経路の1枚
従業員への教育を行っているか	実施記録。なければ実施予定を回答する

回答できない項目があっても、実態と違う回答をしません。「未整備。◯月までに整備予定」と書くほうが安全です。実態と異なる回答をしていた場合、事故が起きたときに契約上の責任を問われることがあります。取引先との契約条項によって扱いは変わるため、判断に迷う項目は空欄にせず、現状のまま書いて相談します。

この確認票は、社内の整備を進める根拠にもなります。取引先から求められているという事実は、社内で予算と時間を確保する説明として機能します。

AIツールの野良利用という新しい穴

情シス不在を扱う記事は、把握していないITの利用（いわゆるシャドーIT）をリスクとして挙げます。しかしその多くが、生成AIツールの野良利用に触れていません。従来のシャドーITより速く広がり、しかも痕跡が残りにくいという性質があります。

この論点が新しいことは、公的な整理にも表れています。IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの3位に入りました。2026年が初めての選出です。長く挙げられてきた脅威と違い、社内の規程や手順がまだ追いついていない領域だということでもあります。既存のルールに書かれていないから安全なのではなく、書かれていないから止められないと考えるほうが実態に近いはずです。順位はIPA「情報セキュリティ10大脅威 2026」で確認しました（確認日2026-09-05）。

従来のシャドーIT	AIツールの野良利用
ソフトの導入が必要で、端末に痕跡が残る	ブラウザだけで完結し、痕跡が残りにくい
業務データの保存場所が問題	入力した内容そのものが外部へ渡る
費用が発生し、経費で見つかる	無料で使えるため経費に出ない
部署単位で導入される	個人単位で使い始める

アカウント台帳を作るとき、AIツールの行を必ず入れます。そして契約主体が法人か個人かを記録します。個人契約や無料利用は、退職時に会社が止められません。

把握していない利用の見つけ方と、承認済みの環境へ移す手順は別記事で扱います。IT運用の整備と、AIの利用ルールは同時に進めます。ルール側の項目立ては生成AIの社内ルールに必要な項目を参照してください。

公的な無料資料を使う

台帳や規程をゼロから作る必要はありません。IPA（独立行政法人情報処理推進機構）が「中小企業の情報セキュリティ対策ガイドライン」第4.0版を2026年3月27日に公開しており、実務で使える様式が付録として無償で提供されています。

• 付録3「5分でできる！情報セキュリティ自社診断」
• 付録5「情報セキュリティ関連規程（サンプル）」
• 付録6「資産管理台帳（サンプル）」
• 付録7「中小企業のためのクラウドサービス安全利用の手引き」
• 付録8「中小企業のためのセキュリティインシデント対応の手引き」

各資料はIPAの掲載ページから入手できます。まず付録3の自社診断で現在地を測り、付録6を台帳の出発点にすると進めやすくなります。

情シスでない人がAI導入の担当を任された場面はAI導入の担当を任されたで扱っています。

同じ質問が特定の人に集まっている場合は社内ヘルプデスクをAIに任せるで、判断材料の測り方を扱っています。

よくあるご質問

情シス担当を採用すべきですか

採用の前に、社内に残す判断業務の量を見積もります。判断業務が週に数時間であれば、兼任と外部委託の組み合わせのほうが現実的です。採用が有効になるのは、判断の頻度が高く、外部への説明コストが上回る場合です。

兼任のままでも大丈夫ですか

大丈夫かどうかは、担当者の忙しさではなく判断業務の量で決まります。契約してよいかを決める、権限を誰に与えるかを決める、事故のときに業務を止めるかを決める。この場面が週に何度あるかを数えてください。分かれ目になるのは、兼任者に管理者権限が1名だけ集中していないかです。本文の責任分界表とアカウント台帳を突き合わせ、判断も権限も一人へ寄っているようなら、兼任のままでは危うい状態にあります。

外部委託先は複数に分けるべきですか

分けると、障害時に責任の所在が不明確になります。原則は1社に集約し、その1社が対応できない領域だけを別に持ちます。集約する場合は、契約終了時の引き継ぎ条件を先に決めます。

外部委託するとノウハウが社内に残らないのではありませんか

残す方法は契約の時点で決められます。第一に、月1回、実施内容と未対応事項を書面で受け取ります。第二に、管理者権限は社内が保持し、委託先へは必要な範囲だけを渡してください。第三に、契約終了時のデータ返還とアカウントの引き渡しを条項へ入れます。この三つは委託契約の確認項目の節で挙げたものと同じで、後から追加しようとすると費用が発生するか、応じてもらえないことがあります。

何から手を付ければよいですか

権限の棚卸しからです。退職者や異動者のアカウントが残っている状態は、費用と危険の両方に直結します。台帳の整備や連絡経路の整理は、その後で構いません。

今週着手するなら、アカウント台帳です。使っているサービスを書き出し、それぞれ「管理者権限を持っているのは誰か」を埋めます。1時間程度で終わり、退職と事故の両方に効きます。

業務そのものが特定の人に依存している状態が並行している場合は、属人化を解消する業務棚卸しの進め方が起点になります。

自社の状況に当てはめる段階で判断がつかない場合は、お問い合わせからご連絡ください。