IT資産台帳の未登録機器を確認する方法｜現物・利用者・管理状態の照合

棚卸し中に、台帳に載っていないノートPCやネットワーク機器が見つかることがあります。まず必要なのは、すぐに「不正な機器」と決めつけることではありません。現物の識別情報と、購入・貸出・修理などの記録、利用者や管理部門、端末管理システム上の状態を分けて照合します。

未登録機器は、現物を一意に識別できる番号、機種、設置場所を記録し、資産台帳・調達や貸出の記録・管理システムを照合して所有者を確認します。管理責任者が登録・回収・例外などの扱いを決め、承認と期限を残したうえで、現物と各システムをもう一度照合して完了します。台帳にない状態と、管理システムに登録されていない状態、セキュリティ要件を満たしていない状態は別々に判定してください。

---

本記事のポイント

1. 未登録は台帳との不一致であり、端末管理システムの未登録や不正利用と同じ意味ではありません。
2. 機器番号や製造番号に加えて機種・場所・利用者を照合し、IP・MACアドレスやホスト名は補助情報として扱います。
3. 登録・回収・隔離は責任者が業務影響を確認して決め、根拠・承認・期限と再照合結果を記録します。

---

未登録と管理不備を同じ判定にしない

「未登録」は、確認した資産台帳に一致するレコードが見つからないという状態です。端末管理サービスの一覧に出ないことや、セキュリティ設定が不足していることと同じ意味ではありません。台帳の更新が遅れている、管理番号を誤記している、貸出や修理から戻った記録が反映されていない、二重登録の片方を探している、といった可能性もあります。

確認対象は、少なくとも次の三つに分けます。資産台帳では「この機器を組織の資産として把握しているか」、端末・ネットワーク管理の仕組みでは「対象として登録され、いつ観測されたか」、セキュリティ設定の確認では「決めた基準を満たしているか」を見ます。利用しているシステムや対象機器の範囲が異なるため、一つの画面に表示されないことだけで、所有や安全性を断定できません。

NIST SP 800-53 Rev.5のCM-8は、構成要素の一覧を実態に合わせ、対象の重複を避け、追跡・報告に必要な粒度で維持する考え方を示しています。見直し頻度や説明責任に必要な情報は組織が定める項目です。これは米国の管理策であり、日本企業に一律の法定項目や棚卸し周期を定めるものとして扱うのではなく、自社の資産管理を点検する観点として参照できます。

不審な通信、許可されていない操作、既知の侵害兆候など別の根拠がある場合は、通常の棚卸しとインシデント対応を分けて進めます。事故の影響範囲を確認する際は、セキュリティ事故の影響範囲評価で扱うように、確認済みの事実と未確認の可能性を混ぜずに記録します。台帳にないという一点だけで攻撃や侵害を意味するわけではありません。

現物の識別情報と確認時点を記録する

機器の確認では、無理に電源を入れたり、設定を変えたりせず、許可された範囲で外装ラベルや設置場所を見ます。社内管理番号、資産タグ、メーカー、型番、製造番号、機器の種類を記録し、どの項目が現物で読めたかを分けます。番号が読めない、ラベルがない、同じ番号が複数台に貼られている場合は、推測で埋めず「不明」「重複候補」として残します。

ネットワーク機器は、設置拠点やラック・部屋、機器名、種別、メーカー・モデル、管理部門を現物と照合します。ネットワーク管理画面や承認済みの記録からIPアドレス、MACアドレス、ホスト名などを確認できる場合は、値だけでなく取得元と確認時点も記録します。NISTのガイダンスは、ネットワーク接続機器の名前や各プロトコルのアドレスを識別情報の例に挙げる一方、複数のプロトコルやアドレス空間を調べると同じ機器が重複して見える可能性にも触れています。したがって、IPやMAC、ホスト名だけを資産の一意な識別子として使わず、内部管理番号や製造番号などと組み合わせて照合します。

この項目は、すべての組織に同じ内容を必須化する一覧ではありません。IPAの中小企業向けガイドライン第4.0版は、機器やソフトウェアを組織全体で把握し、何を、どこで、誰が使うかや購入・廃棄・更新の履歴を管理する考え方を示しています。どの項目を自社の台帳に持つかは、機器の種類、拠点、責任分担、事業への影響を踏まえて決めます。

台帳・調達記録・管理システムを照合する

現物の情報がそろったら、情報源ごとに確認範囲と更新時点を見ます。資産台帳だけでなく、購入・リース・レンタル、貸出・返却、修理・代替機、拠点移動、廃棄の記録を確認します。端末管理の仕組みを利用している場合は、登録の有無、最終確認時刻、対象OSや機器の範囲を確認します。ネットワーク機器は、端末用の管理サービスに含まれない場合もあるため、ネットワーク構成図や承認済みの機器一覧など、機器種別に合う情報源を選びます。

照合結果は、たとえば「台帳と現物が一致」「台帳候補あり・番号確認中」「現物のみ」「台帳のみ」「管理システムに未登録」「管理状態を確認中」に分けます。「現物のみ」は、台帳に見つからない事実を表すだけで、所有者が不明、未承認、悪意ある機器という結論までは含みません。記録には各情報源の確認日、更新日時、検索条件、担当者を付け、同期遅延や対象外範囲が判断に影響する場合はその内容も残します。

購入記録に同じ製造番号がある、貸出台帳で利用者が変わっている、修理伝票に交換機の記録があるなど、複数の証拠が一致すれば、候補の確度が上がります。逆に、機器名だけ一致する、同じ型番が大量にある、古いIPアドレスだけ一致するといった状況では、同一個体と確定する根拠が足りません。台帳へ新規行を作る前に、番号違いの既存行や廃棄済みレコードとの重複も探します。

利用者や所有部門は、貸出記録、申請・承認、調達・保守担当、設置場所の責任者などを通じて確認します。機器の近くにいる人やログ上の最後の利用者を、そのまま資産の所有者として登録しないでください。確認中は「所有部門候補」「確認先」「回答待ち」「次の確認期限」を記録し、個人の私物や委託先の機器であれば、業務上必要な範囲だけを扱います。

社外修理へ出された機器や返却された代替機がきっかけの場合、所有者照合だけでなく、機器・部品・保存データの受け渡しも確認します。その場合は、情報機器の修理委託管理にある、修理前後の識別情報と返却状態をつなぐ観点も役立ちます。

登録・回収の判断を記録し、再照合で閉じる

処置は、所有者、管理部門、情報システムまたはセキュリティの責任者が、業務上の必要性、保管情報、接続状況、契約や貸出条件を確認して決めます。会社資産で登録漏れが確認できたら、重複を解消したうえで資産番号、利用部門、利用者または管理者、設置場所、取得・更新履歴を正しい記録へ反映します。端末管理やセキュリティ管理の対象に追加する必要がある場合も、対象範囲と責任者を確かめてから別途登録します。

貸出機や修理代替機なら返却予定日や責任者を記録します。所有者が組織外で業務利用も認められていないと確認できた場合は、返却・回収の担当、期限、受け渡しの証跡を決めます。管理対象外とする例外が必要なら、理由、承認者、代替措置、期限、再確認日を残し、期限切れを放置しないようにします。廃棄、返却、再利用で保存媒体を扱うときは、記憶媒体のデータ消去確認に沿って、消去の実行と結果確認を分けて記録します。

所有者が分からない、管理状態の情報が一致しないという理由だけで、ネットワークを無作為に走査したり、端末を遠隔消去したり、認証を一律に失効させたりしないでください。追加の確認や一時的な隔離が必要なら、対象、操作、判断者、承認、業務への影響、復旧条件を明確にし、権限のある担当者が定めた範囲で行います。侵害の兆候を示す別の証拠がある場合は、棚卸し結果を事故対応の担当へ渡し、証拠を消す可能性のある操作を避けます。

最後に、処置後の現物と記録をもう一度照合します。完了条件は「台帳に行を追加した」だけではありません。現物が正しい番号で一度だけ登録されていること、所有者または管理責任者が確認できること、必要な管理システムに登録または対象外理由が記録されていること、回収なら受け渡しが確認できることを見ます。登録・回収の記録だけでなく、現物と管理状態の再照合まで確認します。

確認結果は、識別情報、照合した情報源と時刻、所有者の確認先、判断と承認、実施者、期限、実施結果、未解消事項の担当と次回確認日を一つにつなげて保存します。棚卸しの頻度は全社一律の数字を前提にせず、資産の入れ替わり、拠点数、事業への影響、確認に使える記録の鮮度に合わせて決め、購入・移動・修理・廃棄などの変更時にも更新できる流れを作ります。

よくある質問

IT資産台帳と現物では、どの識別情報を照合しますか？

社内管理番号や資産タグを起点に、製造番号、メーカー、型番、設置場所を照合します。ネットワークで観測したIP・MACアドレスやホスト名は取得元と時刻を添えた補助情報として扱い、それだけで同一機器と決めません。

台帳にない機器を見つけたら、まず何を確認しますか？

現物から読める識別情報と確認場所・時刻を記録し、台帳、調達、リース、貸出、修理、返却、廃棄の記録を確認します。管理システムの登録や最終確認時刻は別の項目として照合します。

利用者や所有部門が分からない場合、どう扱えばよいですか？

所有者を推測で登録せず、「確認中」と確認先、担当者、回答期限を記録します。設置場所の責任者や調達・保守担当にも確認し、本人確認に必要な範囲を超えて個人情報を集めないようにします。

端末管理システムに表示されない機器は、不正な機器ですか？

その表示だけでは判断できません。機器種別、登録対象の範囲、最後に通信した時刻、同期や更新の状況を確認します。台帳未登録、管理システム未登録、設定基準未達を別の状態として記録してください。

所有者不明の機器をネットワークから切断したり、遠隔消去したりしてよいですか？

棚卸し担当者が独断で操作するのではなく、対象と業務影響、証拠保全、復旧条件を確認して、権限のある責任者が判断します。隔離や消去が必要と判断された場合も、対象範囲と承認を明確にし、無作為な走査や一律の失効は避けます。

どの状態になれば棚卸し後の対応を完了できますか？

機器の識別と所有者、台帳および必要な管理システムの状態、登録・回収などの判断と承認を照合し、実施結果を確認できた時点です。未確認事項が残る場合は、担当者と期限を付けて継続管理します。