情報資産の洗い出しとは、守るべき情報（顧客名簿・設計図・経理データなど）と、それを保存・処理する機器やサービスを一覧にする作業です。「どこに何があるかわからない」状態では、何を守ればよいか決められないため、対策の出発点になります。
手順
- 部署ごとに、扱っている情報を書き出す
- それぞれの保存場所（PC、サーバー、クラウド、紙、USB）と使う人を書く
- 重要度を付ける（漏れたら・改ざんされたら・使えなくなったら、の影響）
- 重要度の高いものから、対策と担当を決める
- 年1回、または大きな変更のときに更新する
見落としやすいもの
- 社員が勝手に使っているクラウドサービス（シャドーIT）
- 委託先のシステムに預けているデータ
- 古いバックアップ、退職者のメールボックス
- テスト環境にコピーした本番データ
- 複合機・NAS・ネットワークカメラなどの機器