社内データの棚卸しの進め方

自社の「データ」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIを業務に使おうとすると、「そのデータはどこにあるのか」「誰に聞けばよいのか」「AIに渡してよいのか」で立ち止まることがよくあります。この記事では、データの棚卸しの目的と、書き出す項目、進める手順を整理します。

データの棚卸しとは、何をすることですか？

データの棚卸しとは、会社が持っているデータについて、何があり、どこに置かれ、誰が管理し、どれだけ大切かを一覧にする作業です。紙の書類、パソコンやサーバーのファイル、クラウドのサービスに入っているデータ、業務システムの中のデータなどが対象になります。

経済産業省の資料は、秘密情報の管理の出発点を、保有する情報を把握し、適切に格付けすることとしています。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）も、付録6に資産管理台帳のサンプルを用意しています。セキュリティの観点で作られてきた一覧ですが、AIに使うデータを選ぶ場面でも、そのまま土台になります。

なぜAIの前に棚卸しが必要なのですか？

AIに社内の資料を読ませたり、データを分析させたりするときには、次の3つを判断する必要があります。

• どのデータを使うか：同じ内容のファイルが複数あると、古い版をAIが参照してしまうことがあります。
• 誰がそのデータについて答えられるか：内容の正しさや更新の状況を確かめる相手が分からないと、確認に時間がかかります。
• AIに渡してよいか：個人情報や秘密の情報を含むデータは、使い方に制約があります。

一覧があれば、この3つを一つずつ探し回らずに判断できます。個人情報保護委員会のガイドライン（通則編）も、安全管理措置の手法の例として、個人情報データベース等の種類や名称、個人データの項目、責任者と取扱部署、利用目的、アクセス権を有する者などをあらかじめ明確にし、取扱状況を把握できるようにすることを挙げています。

何を書き出せばよいですか？

項目を増やしすぎると埋まらなくなります。最初は次の表の項目から始め、必要に応じて足すのが現実的です。

IPAの資産管理台帳（サンプル）では、業務分類、情報資産の名称、利用者の範囲、管理部署と管理者、媒体・保存先、重要度、保存期限などを台帳の項目に挙げています。上の表は、これにAIでの使いみちを考えるための「形式」「個人情報の有無」「更新の頻度」を足した形です。

どう進めればよいですか？

① 範囲を決めます。 AIを使う業務を1つか2つ選びます。「問い合わせへの回答」「見積書の作成」など、業務の単位で決めると関係するデータを見つけやすくなります。

② 業務の流れにそってデータを挙げます。 業務の担当者に、その業務で見る資料、入力するシステム、作るファイルを順に話してもらいます。パソコンとクラウドのサービスを思い浮かべながら挙げると、抜けが減ります。

③ 置き場所と責任者を埋めます。 情報システム部門と業務部門が同じ一覧を見ながら、置き場所、形式、責任者を書き込みます。責任者が決まっていないデータは、この段階で決めておきます。

④ 個人情報と秘密の情報の有無を確かめます。 個人情報を含むか、取引先から預かった秘密の情報を含むかを書きます。判断に迷うものは、そのことを備考に書き、後で担当部署に確かめます。

⑤ 重要度を決めます。 一人で決めず、部署の責任者などが組織として判断します（次の節）。

⑥ 見直しの時期を決めます。 システムの入れ替えや組織の変更のとき、少なくとも年に1回など、一覧を見直す時期と担当を決めます。

重要度は、どう決めればよいですか？

重要度は、そのデータに何かあったときの影響の大きさで決めます。IPAの資産管理台帳（サンプル）の「重要度定義」では、機密性（漏えいしたとき）・完全性（改ざんされたとき）・可用性（使えなくなったとき）の3つの観点で、影響の大きさを3から1の段階で評価し、3つの評価のうちの最大値を重要度とする方法が示されています。評価の目安は次のとおりです。

• 3：法律で安全管理が義務付けられている、または事業への影響が深刻・大きい
• 2：事業に大きな影響がある
• 1：事業にほとんど影響がない

自社の分類の決まり（「社外秘」「部外秘」など）がある場合は、その区分を重要度の欄に使ってもかまいません。分類の決まりの作り方は「社内データの分類ルールの作り方」で整理しています。

棚卸しの結果は、どう使いますか？

一覧ができたら、次のように使います。

• AIに使うデータを選ぶ：重要度が低く、個人情報を含まないデータから試すと、確かめる手間を抑えられます。
• 品質を直す対象を決める：同じ内容のファイルが複数ある、更新が止まっている、といったデータが見えてきます。直し方は「データの品質を高める手順」をご覧ください。
• 権限を見直す：利用者の範囲と、実際に見られる人の範囲が合っているかを確かめます。
• 不要なデータを減らす：保存期限を過ぎたものや使われていないものは、削除や保管の方法を検討します。

なお、AISI（AIセーフティ・インスティテュート）のデータ品質マネジメントガイドブックは、データを計画・取得から廃棄までのライフサイクル全体で捉えることを勧めています。棚卸しの一覧に「どこから来て、いつ消すか」を書いておくと、この考え方にもつながります。

チェックリスト

• 棚卸しの対象にする業務を1つか2つ決めている
• 業務の担当者から、使う資料・システム・ファイルを聞き取っている
• 一覧に、名称・置き場所・形式・責任者・利用者の範囲を書いている
• 責任者が決まっていないデータについて、責任者を決めている
• 個人情報や取引先の秘密の情報を含むかを書いている
• 重要度を、組織として決めている
• 同じ内容のファイルが複数ある場合、正しい版を決めている
• 一覧を見直す時期と担当を決めている