社内のパソコン・サーバーの更新を誰が入れているか分からない…情シス兼任の担当者が最初に作る「機器と更新の一覧」6ステップ

2026年10月19日2026年10月22日

「Windowsの更新は各自でやっているはず」「サーバーは前の担当者が入れていたらしい」。社内のIT機器の更新を、実は誰も把握していない。そんな状態のまま、情シスを兼任することになった方は少なくありません。

「社内のパソコンやサーバーの更新を誰が入れているのか把握できていない。一覧はどう作ればいいのか」

先に結論をお伝えします。まず作るのは立派な管理システムではなく、「何が・どこに・誰の担当で・いつ更新したか」を書いた1枚の表です。 Excelやスプレッドシートで十分で、最初の一覧は半日〜1日あれば作れます。そのうえで、自社で更新できないものは開発会社や保守会社に「更新を誰がやるか」を文書で確認します。

この記事では、一覧に載せる項目、作り方の6ステップ、開発会社に確認したい質問例を、そのまま使える形で解説します。

なぜ「更新を誰が入れているか」が分からなくなるのか

原因は、担当者の怠慢ではなく、会社のIT環境の成り立ちにあることがほとんどです。

機器の持ち主が部署や人によってバラバラ：パソコンは総務、業務システムのサーバーは開発会社が構築、Wi-Fiルーターは前任者が購入、というように管轄が分かれています
「自動更新だから大丈夫」という思い込み：Windowsは自動更新が基本ですが、設定が止められていたり、長期間再起動されず更新が完了していなかったりする場合があります
開発会社に任せたつもりが、契約に更新作業が入っていない：保守契約の範囲が「障害対応のみ」だと、サーバーのOSやミドルウェア（＝システムの土台になるソフト）の更新は誰もやらないことがあります
担当者の異動・退職で引き継ぎが途切れる：やり方が頭の中にしかなく、書かれていない

一覧がない状態では、危険な脆弱性（＝ソフトの弱点）が公表されても「うちは対象なのか」「誰が対応するのか」をその場で答えられません。

更新の抜けが、どんな場面で問題になるのか

直近の例では、IPA（情報処理推進機構）が2026年10月14日、Microsoft製品のセキュリティ更新プログラムについて注意喚起を出しています。

📰 出典：IPA「Microsoft製品の脆弱性対策について(2026年10月)」

このなかで、悪用の事実が確認されている脆弱性（CVE-2026-96951）があるとして、至急、セキュリティ更新プログラムを適用するよう呼びかけられています（執筆時点：2026年10月）。

こうした注意喚起が出たとき、情シス兼任の担当者に問われるのは「対象の機器がいくつあり、どれが更新済みか」です。一覧があれば数分で確認できますが、なければ現場への聞き取りから始まります。

なお、こうしたニュースの度に慌てないための備えとして、IPAの「中小企業の情報セキュリティ対策ガイドライン」には、機器やソフトウェアを把握するための「資産管理台帳（サンプル）」が付録として用意されています（執筆時点でガイドラインは第4.0版が2026年3月に公開されています）。

📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」

ゼロから表を設計するのが大変なら、このサンプルを土台にするのも一つの方法です。

一覧に載せる項目：最初はこの8列でOK

最初から細かく作ろうとすると続きません。次の8列から始めましょう。

列	書く内容の例
機器・システム名	営業部の共用PC、社内ファイルサーバー、業務システムの本番サーバー、Wi-Fiルーター
種類	パソコン／サーバー／ネットワーク機器／クラウド上のサーバー／ソフト・SaaS
置き場所・利用者	本社2階、経理担当（個人名でなく役職でも可）
OS・ソフトの名前と版	Windows 11、PHPのバージョンなど（分かる範囲で）
更新の方法	自動／手動／開発会社が実施／不明
更新の担当者	社内の誰か、または会社名
最後に更新した日	確認できた日付。不明なら「不明」でよい
サポート終了日	メーカーが更新を止める時期（分かる範囲で）

「不明」が並んでも構いません。「何が分かっていないか」が見えること自体が、最初の成果です。

一覧を作る6ステップ

ステップ1：まず「見える範囲」から書き出す

情報を集めようとして止まらないよう、最初は自分が把握している機器だけで始めます。パソコン、共用プリンター、ルーター、そして「会社のホームページや業務システムがどこで動いているか」を1行ずつ書きます。

ステップ2：購入履歴・契約書・請求書から洗い出す

漏れを拾うのに役立つのは、経理の資料です。次のものを見ると、担当者が把握していない機器や契約が見つかることがあります。

備品の購入履歴、リース契約
クラウドサービス（サーバー、ドメイン、SaaS）の請求書
開発会社・保守会社との契約書と見積書

ステップ3：パソコンは「更新が止まっていないか」を確認する

Windowsであれば、設定画面の更新履歴から、最後に更新された日を確認できます。台数が多い場合は、一台ずつ見るのではなく、管理ツールで一括確認できるか（今の契約で使えるものがあるか）を、取引のある IT 業者に尋ねてみましょう。

ステップ4：サーバー・業務システムは「担当者の名前」を埋める

ここが最も空欄になりやすい部分です。自社で触れないサーバーは、次の3点を開発会社や保守会社に書面（メールで可）で確認します。

誰がOSやミドルウェアの更新を入れているか
どのくらいの頻度で、いつ入れているか（直近はいつか）
その作業は今の保守契約に含まれているか、別料金か

ステップ5：「更新を入れない理由」も記録する

古いシステムは、更新すると動かなくなる場合があり、あえて更新を止めていることがあります。それ自体が悪いとは限りませんが、止めている理由と、代わりの対策（ネットワークを分ける、外部から接続できないようにする等）が書かれていない状態は危険です。理由を聞いて、一覧の備考欄に残します。

ステップ6：月に1回、15分の見直しを決める

一覧は、作った日から古くなっていきます。毎月決まった日（たとえばMicrosoftの更新プログラムが公開される翌日以降）に、15分だけ次を確認する運用にします。

新しく増えた・なくなった機器はないか
「不明」の欄を1つでも埋められたか
サポート終了が半年以内に迫っているものはないか

やりがちな失敗

完璧な一覧を作ろうとして、いつまでも始まらない：8列・見える範囲から始めて、毎月育てるほうが続きます
担当者を「全員」と書く：責任が曖昧になります。担当は1人（または1社）に決め、代理も添えましょう
開発会社に「ちゃんとやってますよね？」と確認するだけで終わる：責任追及のようになり、本音が出にくくなります。「一覧を作っているので教えてください」という協力のお願いの形にしましょう
一覧を作った人だけが管理する：その人が異動すると元の状態に戻ります。保存場所と更新ルールを共有しておきましょう