ひとり情シスの力を6軸×5段階で言葉にする　次に伸ばす1軸の決め方

「サーバーのことも、パソコンのことも、とりあえず〇〇さんに」。そうやって会社のITをひとりで背負うことになった担当者に、仕事の全体像を教えてくれる人は社内にいません。ひとり情シスの不安は、たいてい知識の不足そのものではなく、どの力がどう足りないのかを言葉にできていないことから来ています。

ここでは、ひとり情シス（兼任の情報システム担当）の力を6つの軸に分け、それぞれを5つの段階として整理します。自分がいまどのあたりにいて、次に何を上げればいいのかを決めるための物差しです。

後半では、目指す地点の決め方から伸ばす順番、次に上げる軸の絞り方まで、この物差しの使い方も扱います。

軸は、サーバーやWebサイトの周りに寄せています。事故が起きたときの被害が、いちばん大きい領域だからです。パソコンの調達や社内ネットワーク、SaaSの管理までは、この記事では扱いません。

ひとり情シスの力は6つに分けられる
ひとり情シスの現在地を5つの段階で測る
目指すのは全軸Lv5ではない
伸ばす順番を飛ばさない
1軸だけ選び、1段階だけ上げる
まとめ

ひとり情シスの力は6つに分けられる

「ITに詳しい」と一口に言っても、その中身は同じではありません。トラブル対応は早いのにバックアップを戻したことがない人もいれば、ルールは作れるのに退職者のアカウントが残ったままの会社もあります。ひとまとめにしている限り、次の一手は決まりません。

サーバー・ドメイン管理: サイトとメールの土台を、切らさず保てるか
バックアップ・復旧: 消えたとき、戻せるか
アカウント・権限管理: 誰が何に入れるかを、把握して統制できるか
セキュリティ・更新: 侵入と事故を、日々の更新で防げるか
障害・トラブル対応: 止まったとき、切り分けて動けるか
社内調整・ルール作り: 現場と経営の間で、ITの決まりを機能させられるか

この6つを、それぞれ5段階に分けます。段階が言葉になっていると、「なんとなく不安」が「この軸のこの段階にいる」に変わります。

全体はこの一枚に収まります。軸ごとに横へ読んで、いちばん近いマスに印を付けてください。6つの印を縦に見比べると、自分の凸凹が見えてきます。

軸	Lv1	Lv2	Lv3	Lv4	Lv5
サーバー・ドメイン管理	契約を把握していない	設定は業者任せ	自分で管理できる	移転を計画できる	構成を設計できる
バックアップ・復旧	取っていない	戻せるか知らない	戻す手順を試している	復旧の訓練をしている	体制を設計する
アカウント・権限管理	把握していない	一覧が古いまま	発行と停止を回せる	最小権限に設計できる	ポリシーを作る
セキュリティ・更新	放置している	何が危ないか分からない	更新と基本対策を回せる	優先順位を付けられる	方針を作れる
障害・トラブル対応	触って悪化させる	業者に連絡はできる	切り分けて判断できる	予防策を用意できる	対応の体制を作る
社内調整・ルール作り	頼まれ仕事に埋もれる	ルールが形骸化する	守れるルールを作れる	予算を取れる	経営の議題にできる

ひとり情シスの現在地を5つの段階で測る

Lv2以降の冒頭には、前の段階から何が変わるのかを一文で置いてあります。まずそこで自分の当たりをつけ、6つの軸ごとの記述で、いちばん近い段階を確かめてください。記述はどれも典型例なので、ぴったり一致していなくて構いません。Lv1は脱しているが、Lv3には届いていない。その場合は、間のLv2です。

読むときのコツが1つあります。自分がよく見えるほうを選ばないことです。「やろうと思えばできる」ではなく、直近の対応で実際にできたほうを取ってください。とくに、業者任せで回っている仕事を「できる」に数えないでください。ここを甘く見ると、あとの判断がすべてずれます。

AIを使ったかどうかは、判定には関係ありません。設定の手順やトラブルの原因をAIに聞いても、自社の環境に当てはまるかを自分で確かめてから実行できるなら「できた」に入ります。出てきたコマンドを意味も分からないまま本番で実行したなら、それは触って悪化させるLv1の対応と同じです。

Lv1　何がどうなっているか、分からない

契約も、バックアップも、アカウントも。全体像がまだ誰の頭の中にもありません。

サーバー・ドメイン管理: 契約の全体像を誰も知らず、ドメインの存在を更新料の請求書で思い出す
バックアップ・復旧: 「バックアップはあります」と答えたことはあるが、どこにあるかは知らない
アカウント・権限管理: アカウントの一覧はなく、退職した人のメールアドレスがまだ生きている
セキュリティ・更新: 「更新すると壊れるかもしれない」を合言葉に、更新の通知を消し続けている
障害・トラブル対応: 対応は再起動と再読み込み。直っても理由は分からない
社内調整・ルール作り: 仕事は「ちょっといい？」で際限なく増えていく

Lv2　動いてはいるが、綱渡り

Lv1との違いは、日々の対応が回っていることです。ただし、何かが起きたとき戻せるか、防げるかは、まだ運任せです。

サーバー・ドメイン管理: 契約は把握しているが、設定の変更は業者任せ
バックアップ・復旧: 取ってはいるが、実際に戻せるかを確かめたことがない
アカウント・権限管理: 一覧は作ったが、更新されておらず実態と合っていない
セキュリティ・更新: 言われれば更新するが、何がどう危ないのかは分からない
障害・トラブル対応: 業者に連絡はできるが、状況をうまく説明できない
社内調整・ルール作り: ルールを作っても、守られずに形骸化する

Lv3　会社のITを、安心して任せられる

Lv2との違いは、「起きたら困ること」に先回りできていることです。台帳・バックアップ・更新という地味な仕事が、確実に回っています。

サーバー・ドメイン管理: ドメイン・DNS・SSL・メールの構成を把握し、更新と基本設定を自分で管理できる
バックアップ・復旧: 何をどこに取っているかを把握し、戻す手順を実際に試したことがある
アカウント・権限管理: 台帳を保ち、入退社時の発行と停止を漏れなく回せる
セキュリティ・更新: OSやCMSの更新を回し、多要素認証などの基本対策を敷ける
障害・トラブル対応: 原因を切り分けて、自分で直すか、的確に依頼するかを判断できる
社内調整・ルール作り: 現場が守れるルールを作り、経営にリスクとコストを説明できる

ここが、会社のITをひとりで任せられる状態のひとつの区切りです。

Lv4　起きる前に、備えられる

Lv3との違いは、保つことから備えることに変わることです。優先順位を付け、計画し、試しておく。事故の前提で動けます。

サーバー・ドメイン管理: サーバーの移転や契約の統合を、自分で計画して実行できる
バックアップ・復旧: 復旧までの時間と優先順位を決めて、定期的に訓練している
アカウント・権限管理: 権限を最小限に設計し、共有アカウントを無くせる
セキュリティ・更新: リスクの大きさで優先順位を付けて、対策を計画できる
障害・トラブル対応: 起きやすい障害を予測して、手順書と予防策を用意できる
社内調整・ルール作り: 投資の優先順位を提案し、必要な予算を取れる

Lv5　会社の仕組みに、変える

Lv4との違いは、対象が自分の作業から会社の仕組みに変わることです。ひとりで支える状態から、仕組みで回る状態へ移していきます。

サーバー・ドメイン管理: 事業の変化に合わせて、インフラの構成を設計できる
バックアップ・復旧: 事業継続の観点で、バックアップと復旧の体制を設計できる
アカウント・権限管理: 全社の権限ポリシーを作り、定期的に監査できる
セキュリティ・更新: 会社全体のセキュリティ方針を作り、点検を回せる
障害・トラブル対応: 自分がいなくても回る対応体制を作り、再発防止を仕組みにできる
社内調整・ルール作り: ITを経営の議題にし、会社の仕組みとして回せる

目指すのは全軸Lv5ではない

5段階と聞くと、全部をLv5にするのがゴールに見えます。そうではありません。

Lv5は専任の情報システム責任者の姿であって、兼任のひとり情シスが目指す地点ではありません。会社を事故から守るという意味では、各軸がLv3であれば十分に機能します。

補足

当面のゴールは、全軸Lv3です。突出した軸を作るより、Lv1やLv2で止まっている軸を無くすほうが、事故は減ります。

全軸がLv3に揃ったあとのLv4は、全員が順に目指す段階ではなく、役割で選ぶ段階です。専任になる、増員してチームになるなど、立場が変わるタイミングで、その仕事に使う軸から上げていきます。

もうひとつ、ゴールの置き方で注意があります。平均点を上げることをゴールにしないでください。6軸の平均が3.2から3.4になったところで、会社が何に耐えられるようになったのかは説明できません。上がったのはどの軸か、そこで何ができるようになったのかだけが意味を持ちます。

伸ばす順番を飛ばさない

6つの軸は横並びではありません。土台になる軸が低いまま上の軸を鍛えても、どこかで頭打ちになります。

ひとり情シスの場合はこの順番です。それぞれ、まずLv3まで上げることを目安にしてください。

サーバー・ドメイン管理

ドメイン・DNS・SSL・メールの構成を把握して、更新と基本設定を自分で管理できるところまで。
バックアップ・復旧

何をどこに取っているかを把握して、戻す手順を実際に試したことがあるところまで。
アカウント・権限管理

台帳を保って、入退社時の発行と停止を漏れなく回せるところまで。
セキュリティ・更新

OSやCMSの更新を回して、多要素認証などの基本対策を敷けるところまで。
障害・トラブル対応

原因を切り分けて、自分で直すか的確に依頼するかを判断できるところまで。
社内調整・ルール作り

現場が守れるルールを作って、経営にリスクとコストを説明できるところまで。

セキュリティ・更新が4番目にあるのは、軽く見ているのではありません。対策は、何を守っているかの把握（1番目）と、失敗しても戻せる状態（2番目）と、誰が入れるかの統制（3番目）が揃ってはじめて、怖がらずに実行できるからです。更新でサイトが崩れても戻せると分かっていれば、更新は止まりません。ただし、これはLv3へ引き上げる順番であって、更新を後回しにしていい順番ではありません。最低限の更新適用は、前の軸に取り組んでいる間も並行して続けてください。バックアップ・復旧が2番目と早いのは、以後のすべての作業の安全網になるからです。戻せる状態が先にあると、設定変更も更新も、試すことを恐れなくなります。

社内調整・ルール作りが最後なのは、ルールは実務の裏付けを持ってはじめて守られるからです。台帳があり、復旧を試してあり、権限が整理されている。そういう担当者の言葉には、自然と説得力が付いてきます。先に来るのは紙のルールではなく、回っている実務です。

1軸だけ選び、1段階だけ上げる

現在地が分かったら、次に伸ばす軸を1つだけ選びます。選ぶのは、前の章の順番で最初にLv3に届いていない軸です。一度に全部は上がりません。6軸を同時に意識した瞬間、どれも動かなくなります。

選んだら、上げるのは1段階だけです。Lv2の軸をLv4にしようとせず、Lv3にすることだけを考えます。

上げ方は、難しく考えなくて構いません。次の段階の記述が、そのまま次の仕事で試す行動です。アカウント・権限管理をLv2からLv3にするなら、次の入退社のタイミングで、台帳を実態に合わせて更新するところから始める。その繰り返しです。

このとき、「なんとなくLv2」で済ませないでください。どの出来事のどの場面でそう判断したのかを、具体的に言葉にします。根拠が書けない判定は、次に何をすればいいかを教えてくれません。

あわせて、その段階に上がったと言える条件も先に決めておきます。決めていないと、上がったかどうかを気分で判断することになります。

言葉にすると、たとえばこのくらいの具体さです。

ひとり情シス本人バックアップ・復旧はLv3にしました。先月、サイトのバックアップを検証用の環境に実際に戻してみて、かかった時間と手順を書き残せたからです。

保守会社の担当その判定でいいと思います。次はアカウント・権限管理ですね。同じ月の退職対応で、共有していたパスワードの変更が漏れていたので、いまはLv2。サービスごとの台帳ができて、入退社のチェックリストで発行と停止が漏れなく回るようになったらLv3、と決めましょう。

見直しは1〜2ヶ月ごとで十分です。同じ軸が2回続けて動いていなかったら、やり方を変えるか、そもそもその軸を選んだ前提を疑ってください。

できれば、同じ6軸で保守会社や付き合いのある業者にも見てもらってください。自己判断と食い違った軸が、最初に話すべき論点になります。