50-150人規模・一人情シスの生存戦略：「理想」を捨てて「説明責任」で守る
目次
50人から150人。この規模の企業におけるIT環境には、組織拡大期特有の歪みが生じます。
カオスな創業期（〜30人）を脱して組織の体裁が整い始める反面、大企業ほど明確なIT投資対効果は算出できません。専任の情シス（情報システム担当者）は良くて1人。総務との兼務で現場を回す企業も目立ちます。
教科書的なベストプラクティスが破綻するこの現場で、業務アプリ・インフラ・セキュリティを一人で背負う担当者に必要なのは、「業務停止の回避」「致命傷の予防」「説明責任の確保」に絞り込んだ割り切りです。リソース不足の中で何を捨て、何を守るべきか。実務に根ざした防衛戦術を整理します。
前提：あなたはスーパーマンではない
まず現状の制約を直視します。
- 社員数: 50〜150名
- 工数: 実質1人月以下（兼務を含む）
- 守備範囲: PCキッティングからSaaS統制、社内ネットワーク、セキュリティ対策、監査対応まで一貫
- 外的環境: 親会社や株主から、規模に見合わない統制・コンプライアンス要求が降下するリスク
この条件下で、教科書通りのITIL導入やゼロトラストの完全実装を目指せば現場は破綻します。リソースが絶対的に枯渇している以上、すべての課題で満点を取る設計は不可能です。
3つの絶対防衛ライン
日々の優先度を迷わず切り分ける判断軸は、次の3項目に集約されます。
- Business Continuity（業務を止めない）
- 明日、社員が滞りなく稼働できる環境があるか。
- SaaSのライセンス失効、PC在庫の枯渇、ネットワーク断線といった即座の業務停止を防ぎます。
- Safety（致命傷を避ける）
- 全データ消失や顧客情報の漏洩など、企業の存続を脅かすインシデントを封じ込めているか。
- 端末の軽微なマルウェア感染は許容範囲内としても、ランサムウェアによる全社データの暗号化だけは阻止しなければなりません。
- Accountability（論理的に説明できる）
- 「なぜそれを実行したのか」、そして「なぜそれを見送ったのか」を経営陣や親会社へ論理的に開示できるか。
特に重要な要素が3点目の説明可能性です。すべてに完璧を期す必要はありません。「工数上の制約からリスクを受容し、今期は見送りを決定した」という判断の明文化自体が、立派なITガバナンスとして機能します。
「監査」は目的ではなく制約条件である
親会社の監査やIPO準備において、ITGC（IT全般統制）やITAC（IT業務処理統制）への対応を求められる場面があります。往々にして現場の実態を無視した「べき論」が押し寄せがちです。
ここで不可欠なマインドセットは、監査対応を最上位目的に据えない点にあります。
監査は通過すべき制約条件（Constraint）の一つにすぎません。たとえば「パスワードは90日ごとに変更せよ」といった現代のセキュリティ標準（NIST等）に反するルールを提示された場合、真っ向から衝突して消耗するのは得策ではありません。
- 回避の道: 「MFAを全社強制しているため、NIST SP 800-63Bに基づき定期変更は免除される」と理論武装し、ルールの改定を勝ち取る。
- 受容の道: 議論に割く工数が惜しければ形だけ従い、指摘事項の消化を優先する（セキュリティ強度の低下は担当者自身が把握しておく）。
監査対応のために通常業務が麻痺しては本末転倒です。「指摘ゼロ」を目指すのではなく、「致命的でない指摘は改善計画書を提出して来期へ送る」といった政治的立ち回りも、現場防衛の重要な実務能力といえます。
「やらない判断」と割り切りの構造化
リソース不足の環境下では、意図的な割り切りが戦略として機能します。
1. 資産管理の解像度
150人規模であれば、高価なIT資産管理ツールの導入・運用コストはペイしないケースが大半です。
- 割り切り方針: 台帳管理はスプレッドシートで十分。
- 運用条件: 入社・退職の申請ワークフローと連動させ、月次棚卸で差分を修正できれば、リアルタイムの自動エージェント収集まで求める必然性はありません。
2. SaaSのアカウント管理
本来はIdP（OktaやEntra ID）によるSSO統合が理想的ですが、ライセンス費用や設定工数が壁になります。
- 割り切り方針: コアとなるGoogle WorkspaceやMicrosoft 365のみID連携を厳格化。
- 運用条件: 個別連携が困難なSaaSはパスワードマネージャーでの管理を促し、情シス側での集中管理は潔く諦める（退職時のアカウント棚卸手順のみ徹底）。
3. ヘルプデスクのSLA
「即座の返信」を自分に義務付ける行為は、自らの首を絞める結果にしかなりません。
- 割り切り方針: 「問い合わせは受領するが、解決は非同期（数時間〜翌営業日）」と明言。
- 理由: 情シスには、インフラ刷新やセキュリティ強化といった「緊急度は低いが重要度の高い基盤業務」に充てる時間の確保が最優先です。
50人の「性善説」と150人の「統制」の狭間
50人規模までは、全員の顔が見える性善説ベースの運用が成り立ちます。「不審な添付ファイルは開かない」という口頭の注意喚起でも現場は回ります。
150人に近づくと、必ずルールの網をすり抜ける例外やヒューマンエラーが表面化します。ここからシステム統制への移行が必要になるものの、一朝一夕の全面移行は破綻を招きます。
判断の軸: 「事故が発生した際、個人の過失ではなく仕組みの不備として説明できるか」
- NG例: 「担当のAさんが退職者のアカウントを削除し忘れた」
- OK例: 「退職通知が情シスへ届くワークフローが未整備だった」（仕組みの欠陥であるため、申請フローの改修で再発防止が可能）
余白を残した運用が組織を守る
一人情シスが目指すべき成果物は、完璧なシステム構築ではありません。変化に耐えうる柔軟性と、経営に対する納得感の担保です。
100点を目指して途中で力尽きるより、「絶対防衛ラインの3項目は80点、他は20点で良しとする」とステークホルダーと事前に合意を取り付けるほうが遥かに現実的です。限られたリソースで組織のITを守り抜くには、意図的な割り切りこそが最大の防衛策となります。