PCの購入・設定、アカウント管理、社員からの問い合わせ、SaaS管理、ITベンダー対応、バックアップ、セキュリティ対策、システム導入の検討。中小企業では、これらを1人のIT担当者が担う「ひとり情シス」体制になることがあります。
担当者が1人であること自体が直ちに問題になるわけではありません。しかし、日常的な定型作業から経営に関わるIT・セキュリティ判断まで、すべてが同じ1人に集中すると、改善や中長期の検討へ時間を使いにくくなります。
ひとり情シスの業務を見直すときは、「どうすれば1人でもっと多く処理できるか」より、「そもそもこの仕事は誰が判断し、誰が運用し、誰が実行すべきか」を整理することが重要です。
本記事では、PC設定からセキュリティ戦略まで1人で担当している架空の中小企業を例に、情シス業務を「判断」「運用」「作業」に分け、社内に残す仕事、経営・業務部門と決める仕事、標準化・自動化・外部活用を検討する仕事を整理します。
ひとり情シスの問題は「1人」だけではなく「全部1人」にある
ひとり情シスという言葉からは、「人数が1人だから大変」という問題がまず思い浮かびます。しかし、人数だけを増やせば属人化が解消するとは限りません。
例えば、新しく1人採用しても、IT投資の判断、管理者権限、ベンダー情報、障害対応方法を従来の担当者しか把握していなければ、重要な業務は依然としてその担当者へ依存します。
逆に1人の体制であっても、業務範囲、手順、承認者、外部連絡先、不在時の対応などが整理されていれば、一部のリスクは抑えやすくなります。
NIST Cybersecurity Framework 2.0（CSF 2.0）でも、サイバーセキュリティについて組織内の役割・責任・権限を定め、経営層がリスクに対して責任を持ち、役割に見合う資源を確保することが示されています（Pascoe et al., 2024）。
これはセキュリティだけでなく、ひとり情シスの役割を考える上でも参考になります。担当者個人へ仕事を集めるのではなく、組織として「誰が何を担うか」を決める視点です。
まず直近2週間の情シス業務を棚卸しする
最初に、理想的な「情シス業務一覧」を作るより、実際に何へ時間を使っているかを書き出します。
- 社員からの問い合わせ
- PC購入・設定・交換
- アカウント登録・削除
- SaaSやライセンス管理
- 障害対応
- IT資産管理
- ベンダーとの打ち合わせ
- 契約・更新対応
- バックアップ確認
- セキュリティ対応
- 新システム・SaaSの検討
- DX・AI等の相談対応
直近2週間程度を振り返ると、「本来やりたいIT改善」ではなく、問い合わせや設定作業にどの程度時間を使っているのかも見えやすくなります。
情シス業務を「判断・運用・作業」の3つに分ける
この分類で重要なのは、「作業は価値が低い」という意味ではないことです。PC設定やアカウント登録も企業運営に必要な仕事です。
ただし、必要な作業だからといって、必ずしもひとり情シス本人が毎回手を動かす必要があるとは限りません。
PC設定からセキュリティ戦略まで1人で担当する架空例
架空の従業員約100名の企業で、情シス担当者が1名だけいるケースを考えます。
| 分類 | 担当している業務の例 |
|---|---|
| 作業 | PC購入・設定、ソフトウェア導入、パスワード問い合わせ、機器交換 |
| 運用 | Microsoft 365やSaaSのアカウント、IT資産、ライセンス、バックアップ、パッチ、ベンダー窓口 |
| 判断 | 新規SaaS評価、システム刷新、IT予算、セキュリティ対策の優先順位、ベンダー提案確認、AI・DX相談 |
日中は問い合わせやアカウント対応を行い、PC入替時期には設定作業が集中します。その結果、バックアップから実際に復元できるか確認する試験や、セキュリティ方針の検討などが後回しになっています。
さらに、SaaSの契約更新情報が担当者のメールボックスに集中し、担当者しか管理者を把握していないシステムもあります。一方、経営者からは「セキュリティ対策をどう強化すべきか」「生成AIを導入すべきか」といった判断も求められています。
このケースで必要なのは、担当者の処理速度をさらに上げることだけではありません。まず、何を本人が持つ必要があるのかを整理します。
「判断」はすべて情シスが決める仕事ではない
ITに詳しい担当者へ、「どのシステムを入れるか」「セキュリティにいくら使うか」「このリスクを許容してよいか」まで判断を任せている企業があります。
しかし、技術的な判断と経営上の判断は分けて考える必要があります。
| 論点 | 主に整理・判断する主体 |
|---|---|
| MFA等の技術方式を比較する | 情シス・必要に応じて外部専門家 |
| SaaSの技術要件や制約を整理する | 情シス |
| 営業情報を誰に閲覧させるか | 業務責任者＋情シス |
| どの事業リスクを許容するか | 経営層・リスク責任者 |
| ITへどこまで投資するか | 経営層 |
| どの業務を優先して改善するか | 経営層・業務責任者 |
特に「リスク受容」、つまり対策コストや事業影響を踏まえ、どの程度のリスクを許容するかという判断は、情シス個人だけの問題ではありません。
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」も、経営者が認識・実施すべき事項と、社内で対策を実践する手順を分けて整理しています（IPA, 2026）。
「運用」は人に依存させず、手順へ寄せる
アカウント、IT資産、ライセンス、バックアップ、パッチ、SaaSなどの運用は、繰り返し発生します。
こうした業務は「○○さんしか分からない」という状態から、誰が、いつ、どの条件で、どの手順を実施し、問題が起きたら誰へ上げるのかが分かる状態へ移します。
- 標準手順を決められるか
- 申請・承認者を明確にできるか
- 担当者以外でも実施できるか
- システムで自動化できる部分があるか
- 外部サービスへ委託できるか
- 異常時のエスカレーション先が決まっているか
例えば入退社に伴うアカウント処理では、情シスが入社日や利用権限そのものを決める必要はありません。人事が入退社情報を確定し、業務責任者が必要な権限を承認し、情シスや管理システムが設定を実施する、といった役割分担が考えられます。
「作業」は自動化・セルフサービス・委任を検討する
PC設定、定型的なアカウント登録、パスワード関連の一次対応、ソフトウェア導入など、手順を定めやすい作業は切り分け候補です。
選択肢には、自動化だけでなく、利用者向け手順の整備、セルフサービス機能、総務等との分担、外部委託などがあります。
ただし、プロセスが曖昧なまま自動化すると、誤った処理を速く繰り返すだけになる可能性があります。まず「誰の申請で、誰が承認し、何を実施するか」を標準化した上で自動化を検討します。
外注するときも社内に残すべき役割がある
情シス業務を外部へ委託することは、負担軽減や専門知識の補完につながる場合があります。しかし、業務を委託することと、会社としての責任をすべて移すことは同じではありません。
例えばヘルプデスクやPC設定を外注する場合でも、対応範囲、利用者の承認方法、サービス水準、セキュリティ要件、障害時の連絡方法などは社内側でも整理する必要があります。
- 何を委託するか
- どこまでの権限を渡すか
- 誰が社内責任者になるか
- 通常時の対応水準をどうするか
- 障害・事故時に誰へ連絡するか
- どの情報へアクセスさせるか
また、低頻度でも高い専門性が必要なセキュリティ評価、システム刷新、アーキテクチャ確認、インシデントの振り返りなどは、常時自社で専門家を抱えず、必要な場面で外部知見を利用する考え方もあります。
自分が不在でも回るために最低限整理したいこと
属人化対策というと手順書作成が中心になりがちですが、手順書だけで十分とは限りません。
| 確認項目 | 確認したい状態 |
|---|---|
| システム一覧 | 主要なシステム・SaaSと用途が分かる |
| 管理者 | 誰が管理者か、代替連絡先は誰かが分かる |
| 管理者認証情報 | 個人の記憶や私物だけへ依存せず、安全に管理されている |
| ベンダー | 契約先・連絡先・対応範囲が分かる |
| 契約 | 契約内容・更新時期が分かる |
| バックアップ | 対象・保存方法・復元方法が分かる |
| 障害対応 | 初動とエスカレーション先が分かる |
| 主要手順 | 頻度・影響の高い運用の手順が残っている |
属人化を減らすために管理者パスワードを複数人で単純共有するのではなく、適切なアカウント管理や緊急時のアクセス方法を設計することも重要です。
ひとり情シス業務切り分けチェックリスト
| 確認項目 | 確認内容 |
|---|---|
| 業務棚卸し | 直近2週間の実業務を書き出したか |
| 分類 | 判断・運用・作業へ分けたか |
| 頻度 | 高頻度で発生する業務を把握したか |
| 業務影響 | 止まった場合の影響を確認したか |
| 判断者 | 誰が最終判断する事項か整理したか |
| 業務部門 | 業務部門が決める事項を情シスが代行していないか |
| 手順 | 担当者以外でも実施できる手順があるか |
| 代替者 | 本人不在時に対応できる人・連絡先があるか |
| 自動化 | 標準化済みの反復作業で自動化余地がないか |
| 社内分担 | 人事・総務・業務部門へ分担できる事項はないか |
| 外部活用 | 作業または専門判断を外部へ任せられないか |
| 管理者 | 管理者権限が本人だけへ過度に集中していないか |
| 契約 | 契約・更新情報を組織として把握しているか |
| 緊急時 | 障害・事故時のエスカレーション先が決まっているか |
経営者が確認したいポイント
ひとり情シスの業務集中は、担当者個人だけで解決する問題ではありません。
経営者側でも、「どのIT・セキュリティリスクを重要と考えるのか」「どの業務を優先するのか」「必要な人員・予算・外部支援をどこまで確保するのか」を判断する必要があります。
IPAの中小企業向けガイドラインも、情報セキュリティを実務担当者だけの課題とせず、経営者が認識・実施すべき事項を整理しています（IPA, 2026）。
そのため、「担当者が忙しそうだから、もっと効率化してもらう」で終わらず、会社として仕事の持ち方を見直すことが重要です。
まず直近2週間に対応した仕事をすべて書き出し、「判断」「運用」「作業」の3つに分類してみてください。そのうえで、「本当に自分しかできないか」「経営者や業務部門が決める事項ではないか」「手順化・自動化・外部化できないか」を1件ずつ確認します。
最初から全部を変える必要はありません。まず、高頻度で判断をほとんど必要としない仕事を1つ切り出すところからでも、役割整理を始められます。
まとめ
ひとり情シス体制で見直したいのは、「1人であること」だけではなく、「判断・運用・作業のすべてが1人へ集中していること」です。
まず実際の業務を棚卸しし、判断・運用・作業へ分類します。そして、経営・業務部門が決めること、情シスに残すこと、標準化・自動化できること、他部署へ任せられること、外部へ委託できること、専門家へ相談することを分けます。
目的は、単に情シス担当者の作業量を減らすことではありません。PC設定や定型問い合わせだけで時間を使い切らず、セキュリティ、IT投資、システム改善など、企業にとって重要な判断へ時間を使える状態を作ることです。
SCI総合研究所株式会社のKAMUSHIRUBEでは、「PC設定や問い合わせ対応に追われてIT改善へ時間を使えない」「セキュリティやシステム選定まで一人で判断することに不安がある」「どの業務を社内に残し、どこから外部へ相談すべきか整理したい」といった段階から相談できます。
情シス業務そのものを代行することを前提とせず、現在の業務、判断事項、運用負荷、技術上の論点を整理し、社内で持つべき事項と外部の知見を利用できる事項、次に確認すべき事項を整理します。
参考文献
- Pascoe, C., Quinn, S. and Scarfone, K. 2024. The NIST Cybersecurity Framework (CSF) 2.0. National Institute of Standards and Technology. NIST CSWP 29. https://doi.org/10.6028/NIST.CSWP.29
- 独立行政法人情報処理推進機構（IPA）. 2026. 中小企業の情報セキュリティ対策ガイドライン 第4.0版. https://www.ipa.go.jp/security/guide/sme/about.html