情シスの専任がいない会社でも、社内のIT質問を受ける窓口は作れます。必要なのは詳しい人を1人決めることではなく、自分たちで答える質問、契約先に回す質問、手を止めて外に相談する質問の3つに線を引くことです。線を引いておけば、詳しくない担当者でも「これはうちでは触らない」と判断できます。逆に線がないまま誰かが引き受けると、その人の手が空いているかどうかで会社の初動が変わります。
最初に決めるのは担当者ではなく、質問の分け方です
情シスがいない会社では、総務や経理の担当者が片手間でIT質問を受けています。このとき困るのは、質問の中身が分からないことより、どこまで自分で触ってよいかが分からないことです。パソコンが遅い、印刷できない、共有フォルダが開けないといった質問は、調べれば答えられるものと、触ると悪化するものが混ざっています。
そこで、来る質問を3つに分けます。1つめは社内の手順やルールで答えるもので、申請の出し方、置き場所、貸出の決まりなどが入ります。2つめは機器や回線、クラウドの不具合で、保守契約や販売店に回すものです。3つめはウイルス感染や不正アクセス、情報の持ち出しを疑うもので、担当者が自分で調べずに外に相談するものです。
- はい社内で操作せず、相談先に連絡する
- いいえ機器・回線・クラウドの動きがおかしいか
- はい保守契約先や販売店に連絡する
- いいえ社内の手順やルールで答えられるか
- はい回答文例を見て、その場で返す
- いいえ分かる人を1人だけ探して、答えを書き残す
- はい
- はい
この3つに分けるだけで、担当者が抱え込む範囲が狭くなります。会社のパソコンをなくしたと言われたらや怪しいメールが届いたと言われたらのように、分類が決まっていれば初動がぶれない質問もあります。
受け口を1つにして、個人宛の相談をやめます
情シスがいない会社の問い合わせは、たいてい「社内で一番詳しそうな人」に個人宛で集まります。チャットのダイレクトメッセージ、廊下での立ち話、席まで来ての相談が混ざり、誰がいつ何を聞かれたかが残りません。その人が休んだ日に、同じ質問が別の人のところへ行き、違う答えが返ります。
受け口は1つにします。チャットの場所を1つ作り、そこに書いてもらう形が一番続きます。メールの共有アドレスでもかまいませんが、担当者の個人アドレスは窓口にしません。個人宛で来た相談は「窓口に書いてもらえますか」と案内して、窓口に移します。最初の1か月はこの案内が手間ですが、ここを徹底しないと記録が残らず、次の手が打てません。
窓口を作るときに決めるのは、場所、受ける時間、答えるまでの目安の3つです。受ける時間を決めないと、担当者が自分の仕事を中断し続けることになります。「平日の10時から17時に見ます」「急ぎでないものは翌営業日までに返します」と書いておくだけで、聞く側も待てます。
記録する項目は、外に相談するときに聞かれることに合わせます
窓口に書いてもらう項目を決めておくと、担当者が聞き直す手間が減り、外に相談するときもそのまま使えます。IPAの情報セキュリティ安心相談窓口は、相談の前に整理しておく項目として7つを挙げています。対象となる端末の種類、端末のOS、インストールしているセキュリティソフトの名称、利用しているクラウドサービスの名称、時系列を含めた具体的な事象、ウイルスまたは不正アクセスが原因と判断された根拠、他に相談をした窓口や機関です。
この7つを窓口の入力項目に写します。社員に全部埋めてもらう必要はなく、担当者が受けたあとに埋める形で十分です。ふだんの質問では「端末の種類」と「いつから、何をしたら、どうなったか」の2つがあれば足ります。外に相談する段になって急いで集めると、記憶があいまいになっています。
出典：IPA「情報セキュリティに関する技術的なご相談」
ソフトをインストールしていいか聞かれたらのような質問は、答えを1度書いておけば2回目から記録を見るだけで返せます。記録は、担当者が代わったときの引き継ぎ資料にもなります。
外に相談する先は、起きる前に書いておきます
情シスがいない会社で一番まずいのは、ウイルス感染や不正アクセスを疑ったときに、相談先を探すところから始めることです。IPAは企業組織向けに、セキュリティインシデントに関する相談や、ウイルス・不正アクセス・脆弱性情報の届出を受け付ける窓口を設けています。連絡先に迷った場合は、企業組織向けサイバーセキュリティ相談窓口に連絡するよう案内されています。
企業組織向けサイバーセキュリティ相談窓口は、メールで相談を受け付けています。起きている事象を聞き取り、被害発生の可能性について助言します。被害が出ている場合は応急処置案を助言し、インシデント対応を行う専門業者一覧や、ほかに必要な相談先を紹介します。ただし、相談した事案の調査や解析そのものは行いません。調べる人は別に要る、ということです。
IPAは、次のような場合に届出への協力を求めています。ランサムウェアへの感染、セキュリティソフトによるウイルスの検知、自組織のシステムやネットワークへの不正な侵入、またはその形跡があったときです。社員向けのパソコンやスマートフォンの相談には、別に情報セキュリティ安心相談窓口があり、電話は03-5978-7509、受付時間は10時00分から17時00分で、土日祝日と年末年始は除きます。
窓口の紙には、この3つと、自社の保守契約先、クラウドの契約窓口、通信回線の問い合わせ先を並べて書いておきます。担当者の机の見えるところと、窓口のチャットの説明欄の両方に置きます。
個人情報が漏れたおそれがあるときは、期限があります
社員からの相談が、個人情報の漏えいにつながることがあります。このときは会社の判断より先に、法律の期限が走ります。個人情報保護委員会は、漏えい等報告の期限を、まず速報として発覚日から3〜5日以内、次に確報として発覚日から30日以内としています。不正な目的で行われたおそれがある場合は、発覚日から60日以内です。
報告が義務付けられるのは次の4つです。要配慮個人情報が含まれる個人データの漏えい等、不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等、不正の目的をもって行われたおそれがある行為による漏えい等、本人の数が1,000人を超える漏えい等です。いずれも、そのおそれがある場合を含みます。健康診断その他の検査の結果は要配慮個人情報にあたるので、1人分でも報告の対象になります。
- 1担当者社員から相談を受け、端末の操作をやめてもらう気づいた日
- 2担当者端末、OS、時系列、根拠を記録する気づいた日
- 3会社相談窓口に連絡し、対応できる業者を探す
- 4会社個人情報保護委員会に速報を出す発覚日から3〜5日以内
- 5会社確報を出す発覚日から30日以内（不正な目的のおそれがある場合は60日以内）
出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
情シスがいないと、この期限を知る人が社内にいないまま日が過ぎます。窓口を作るときに、漏えいのおそれがある相談は誰に上げるかを1行決めておきます。決めるのは報告する人ではなく、報告するかどうかを判断する人です。
規程や手引きは、ひな形を使って書く量を減らします
窓口のルールを0から書く必要はありません。IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月27日に第4.0版が公開されました。付録には、情報セキュリティ基本方針のサンプル、情報セキュリティハンドブックのひな形、情報セキュリティ関連規程のサンプル、資産管理台帳のサンプル、中小企業のためのセキュリティインシデント対応の手引きなどが付いています。第4.0版では、はじめに取り組んでほしい情報セキュリティ5か条に「バックアップを取ろう!」が加わり、情報セキュリティ6か条になりました。
このうち窓口づくりに直接使えるのは、インシデント対応の手引きと、関連規程のサンプルです。手引きには起きたときの動き方が、規程のサンプルには社員に守ってもらうことが書かれています。自社で変えるのは、連絡先と、使っているクラウドやチャットの名前と、判断する人の役職くらいです。
社員に配るものは1枚に収めます。窓口の場所、受ける時間、聞かれることの多い質問の答え、やってはいけないこと、緊急時の連絡先の5つだけです。新しいパソコンの初期設定を聞かれたらやパソコンのパスワードを忘れたと言われたらのような頻度の高い質問は、この1枚に答えを書いておくと窓口に来る前に片づきます。
最初の2週間は、答えるより記録を優先します
窓口を開けた直後は、答えの質を上げるより、どんな質問が来るかを数えるほうが先です。質問文、来た日時、聞いた人の部署、どこに分類したか、返すまでにかかった時間の5つを並べます。2週間で30件も集まれば、上位の5問が全体の半分近くを占めることが分かります。その5問の答えを書いて配れば、窓口の件数は次の月から減ります。
記録を取らずに答えだけ返していると、担当者の負担がいつまでも同じに見えます。何が減ったかを数字で言えないと、人を増やす相談も、道具を入れる相談も通りません。情シスがいない会社ほど、最初の2週間の記録が後から効きます。
受け口を1つにしたあと、同じ質問が繰り返し来るようなら、バックオフィスAIエージェントに先に答えてもらう方法もあります。株式会社AutomagicaのカリスマAIは Microsoft Teams、LINE WORKS、Google Chat で使えて、答えられない質問は担当者に届きます。フリープランは月額0円で、AIの回答は月50回までです。