野良Access（シャドーIT）を放置する経営リスクと棚卸しの始め方

結論：野良Accessは「ある」だけでリスクになる

情報システム部門が把握していない現場作成のAccessファイル（野良Accessと呼ぶことにします）は、動いていても経営上のリスクを抱えています。バックアップ対象から漏れ、情報漏えい対策の外に置かれ、担当者が退職すると誰も触れない。問題が起きてからでないと気づきにくいのが厄介なところです。

この記事では、野良Accessが経営・管理部門にとってどういうリスクになるかを整理したうえで、現場を責めずに申告してもらうための棚卸しの始め方を解説します。棚卸しの技術的な手順（PowerShellでのファイル検索・一覧化）は社内のAccessファイルを棚卸しする方法に詳しく書いていますので、そちらと合わせてご覧ください。

野良Accessが生まれる背景

「なぜ情シスに相談せず自分で作ったのか」と問い詰めたくなるかもしれませんが、当社の移行支援の経験から言うと、多くの場合は悪意ではなく、申請より自作のほうが早かったという事情がほとんどです。

典型的な流れはこうです。月次で集計しているExcelブックが限界に来た。情シスに相談したら「システム化の要件定義が必要で半年かかる」と言われた。それより先に、Accessを少し知っている担当者が2週間で作ってしまった。当時は合理的な判断でした。問題は、そのままIT管理の外に置かれ続けることです。

当社の棚卸し支援で見聞きするかぎり、10年以上稼働し続けている野良Accessが見つかること自体は珍しくありません。長く動いているほど業務への組み込みが深く、止まったときの影響も大きくなります。

経営リスクを4つの軸で整理する

野良Accessのリスクは「ITの問題」ではなく「経営の問題」です。次の4軸で整理すると、管理部門や経営層への説明がしやすくなります。

4軸のうち、当社の支援実績では「属人化による業務停止」が最も表面化しやすいリスクです。逆に、監査対応やBCPは問題が起きるまで経営層の目に触れにくい傾向があります。

情報漏えいリスクは「共有フォルダに置いてあるだけ」で発生する

Accessファイルは単体で顧客名簿や取引情報を保持できます。そのファイルが暗号化されずに共有フォルダに置かれている場合、DLPや端末制御が管理外のファイルに届いていない環境では、読み取り権限を持つ社員によるUSBへの持ち出しなどを防げないおそれがあります。

個人情報保護法は、個人データを取り扱う事業者に安全管理措置を求めています（法第23条）。情シスが把握していない経路は対策の設計そのものに含まれないため、管理規程との不整合として問題になりやすいです。個人情報を含むAccess管理のリスクについては個人情報をAccessで管理するリスクと最低限の対策でも詳しく整理しています。

個人情報保護法は企業規模を問わず適用されます。5,000件以下の小規模事業者の適用除外は、2017年5月の改正法施行時に廃止されています。

棚卸しを進めるための「責めない申告」の仕組み

野良Accessを把握するには現場からの申告が欠かせませんが、「見つかったら怒られる」という空気があると申告が出てきません。当社の棚卸し支援では、申告しやすい環境を作ることをまず勧めています。

具体的には次の3点を組み合わせる進め方が機能しやすいです。

• アムネスティ期間の設定：申告期間中は「なぜ許可なく作ったか」を問わないと明言する。「申告した人は問われない、申告しなかった場合は今後の対応が変わる」という枠組みを示す。
• 申告の目的を正直に伝える：廃止・移行を強制する調査ではなく、把握して守るための調査だと説明する。「業務継続の観点でバックアップ対象に加えたい」という言い方が受け入れられやすい。
• 申告フォームをシンプルにする：ファイルの場所、誰が使っているか、何の処理か、の3項目だけで十分。最初から詳細な仕様を聞こうとすると負担感で申告が止まる。

当社の棚卸し支援では、PowerShellによるファイル検索でネットワーク共有上のAccessファイルを技術的に洗い出す方法と組み合わせることを推奨しています。申告ベースだけでは申告漏れが出るため、技術的な検索と突き合わせることで精度が上がります。検索の具体的な手順は社内のAccessファイルを棚卸しする方法をご覧ください。

棚卸し後に判断すること

ファイル一覧ができたら、次は対処の優先順位を決める段階です。すべてのAccessを今すぐ移行する必要はありません。当社の支援では「利用人数×業務影響度」の2軸で重要度を判定することを推奨しています。

重要度が高い（複数人が毎日使う基幹処理）ものから順に、バックアップ対象への追加・IT管理下への移行・仕様のドキュメント化を進めます。年に数回しか使わない集計ツールは優先度を下げて構いません。

「どこから手を付けるべきか分からない」という場合は、無料の解析可否チェックをご活用ください。当社のAccessブラックボックス解析では、ファイルの構造と依存関係を可視化し、対処の優先順位を整理する支援を行っています。

よくある質問

Q. 野良AccessをIT管理外のまま使い続けるとどうなりますか。

直ちに何かが起きるわけではありませんが、リスクは蓄積します。特に担当者の退職・PC入れ替え・Officeバージョン変更の3つのタイミングで問題が顕在化することが多いです。当社の支援実務でも、これらのタイミングで「急に動かなくなった」という相談が入るケースが目立ちます。

Q. 現場が自発的に申告してくれるか不安です。

申告を促す仕組みとして最も効果的なのは、経営層または管理部門のトップが「責めない」と明言することです。「情シスに見つかったら怒られる」という認識が広まっていると、一斉調査のメールを出しても申告が集まりません。アムネスティ期間の設定と目的の明示が鍵です。

Q. 個人PCの中にあるAccessファイルも把握すべきですか。

業務データを含む場合はできれば把握したいところですが、個人PCへの一括スキャンは端末管理基盤がない環境では実施が難しいです。まずは共有フォルダ・ファイルサーバーを対象にした棚卸しから始め、申告フォームで個人PC上のものも自己申告してもらう形が現実的です。

Q. 棚卸しで見つかったAccessを全部移行しなければなりませんか。

必ずしもそうではありません。まず「バックアップ対象に加える」「担当者を複数化する」だけでもリスクは下がります。移行が必要かどうかは、業務への依存度と担当者の属人化度合いから判断します。全体を一度に動かそうとすると現場の抵抗も強くなるため、優先度の高いものから段階的に進めることを当社では推奨しています。