現在はツール運用も含めた一連の管理システムを整備し終え、実運用に向けて資産情報の最終整理や、運用手順の見直しなどを行っている段階だという。

山梨県 企画県民部 情報政策課 副主幹の矢崎 孝氏

　登壇した山梨県 企画県民部 情報政策課 副主幹の矢崎 孝氏は、取り組みを開始するに当たって、まずは宮崎県や石川県などのSAM先行事例を参考にしながら、自問することから始めたという。

　「例えば、従来の管理体制でメーカーからのライセンス使用状況調査にきちんと対応できるのか。自治体の場合、調達も部門ごとにばらばらに行っている。そうした中でも県の全ソフトウェア資産を正確に把握できているのか。使用禁止ソフトウェアも定めてはいるが本当に禁止できているのか。管理ルールはあっても放置している状態になってはいないか――さまざまな角度から現状を検証し、本格的な取り組みが必要と判断した。特にSAMは単なるライセンス管理ではなく、管理体制を築くことによって、セキュリティ対策、ガバナンス強化、コスト最適化につなげていくことが重要と認識した」

　だが現状を把握するために、ハードウェア、ソフトウェア資産の棚卸しから始めたところ、早くも壁に突き当たったという。

　「ハードウェア、ソフトウェアの導入時には、しかるべき情報を管理台帳に登録し、その後、資産に変更があれば台帳を更新することがIT資産管理の基本。これを資産が何もない状態から始めるなら問題はないが、現存する数千の資産を把握し、情報を整理することから始めるのは容易ではなかった」

　同氏らは、まずハードウェアの現状把握から開始。県の資産であるクライアントPCだけではなく、サーバや委託事業者が持ち込んでいるPCも含めて棚卸しを行った。識別にホスト名を使うと複数のドメインを持っていたり、ドメインに参加してしないものもあったりする。このため一意の文字列を記載した管理シールを用意し、1つ1つに貼付しながら存在を確認した。

　だが、現状把握にはインベントリ収集ツールを使ったものの、利用者や設置場所などツールでは収集できない情報項目もあったり、オフィスだけではなく倉庫内にも使われてないクライアントPCがあったりと、把握にはかなりの時間と手間が掛かったという。「従って、台帳管理を作る上では、必要な管理情報項目の策定とともに、各情報項目の収集方法まで含めて検討することが作業を確実化するポイントになった」。

　また棚卸しをした上で、管理対象の範囲を検討した。全資産を管理対象とすることが原則だが、リソースと効率の問題を考え、今回は約6000台あるクライアントPCに範囲を絞り、次のステップでサーバなども含めて管理することにした。この点について矢崎氏は、「対象範囲を決める際にはリスクアセスメントをしっかりと行うことが重要」と強調する。

　「例えば、外部の委託事業者が持ち込んだクライアントPCについて、『県の資産ではない』として管理対象外とすることは簡単だ。だが、そのPCに本当に県のソフトウェアは入っていないのか、といった点まで考えると万一の際のリスクは大きい。このように県としてのセキュリティポリシーを基準に、1つ1つのハードウェアについて“対象外としたときのリスクの大きさ”を考慮して、問題のない範囲で管理対象範囲を設定した」

インベントリ収集ツールは不可欠。だが、それだけでは足りない

　次はソフトウェア資産の棚卸しだ。各ソフトウェアについて、有償／無償の分類、メーカーやバージョンの把握をはじめ、ドライバやツール、パッチプログラムなどソフトウェアの種別、さらに組織全体で使う標準ソフトウェア、部署ごとに使う個別ソフトウェア、使用禁止ソフトウェアを分類した。こうした作業は「ソフトウェア辞書と照合しながら進めると効率的だ」という。

　ただ、ソフトウェア資産の棚卸しでも2つの問題に突き当たった。1つは手作業による棚卸しの難しさだ。矢崎氏らは2種類のインベントリ収集ツールと、人手による棚卸しを並行して行った。だがツールによってデータの取り方、表示様式が異なっていたため、集めた情報を整理するのに手間が掛かったという。また後者については、各部署の担当者に「プログラムの追加と削除」に表示される全ソフトウェアの情報を報告してもらうよう依頼したのだが、報告用のフォーマットを用意したにもかかわらず、「部署ごと、担当者ごとに、例えば半角と全角の使い方が統一されていないなど、書式にばらつきがあり、情報の精査にかなりの手間と時間がかかった」という。

　2つ目の問題は棚卸しした情報の整理だ。管理対象とした6000台のクライアントPCからは、修正プログラムのhot fixまで含めると合計で実に120万件ものインベントリ情報が出てきたという。そこからhot fixなどを取り除き、ソフトウェアとして分類できるものに絞りこんでも1000種類ほどあった。

　「これだけの情報が出てきたことも、2種類のインベントリ収集ツールのデータ様式の違いと、手作業で集めた情報の不統一に起因する。つまりデータの表示様式が異なっていたため、同一のソフトウェアでも別のものとしてカウントしてしまった。だがそうした重複を整理しても1000種類もあった。この理由としては、価格の安さを理由に購入したクライアントPCが家庭向けであり、例えば家計簿ソフトなど業務に関係のないソフトウェアが入っているPCも少なくなかったことが挙げられる」

　矢崎氏はこうした点を挙げ、「正しい情報を集めるためにはインベントリ収集ツールが不可欠だ。だがツールを使っても情報の精査、整理にはかなりの手間と時間が求められることには留意しておくべきだろう」と解説する。

ソフトウェアライセンス把握で、少しでも不明な点はメーカーに確認

　一方、ライセンス保有状況の把握では、各ソフトウェアについて、パッケージ版のライセンス、ボリュームライセンス、プリインストール版のライセンスに分類。ライセンス対象がデバイスかユーザーかも併せて整理した。またライセンスの保有を証明する関連部材の確認も行ったが、ここでも大きく2つの問題に遭遇した。

　1つはライセンスの把握自体が難しいこと。例えば、スイート製品に含まれているソフトウェアと単独で市販されている同一のソフトウェア、単独で市販されているソフトウェアとクライアントPCにプリインストールされている同一のソフトウェアなどは、ライセンスの区別が難しかった。また、クライアントPCの説明書などを見ても、管理ツールやユーティリティまで含めて何がプリインストールされているのかきちんと明記されていない例が多かったという。

　「この他、最初は無償で一定期間が過ぎると有償になるソフトウェアもあるが、インベントリ情報はそれぞれ個別に存在するため、有償版のライセンスを保有しているにも関わらず、ライセンスが不足しているように見えるものもあった。プリインストールされているソフトウェアや、製品版と無償版を区別する方法など、不明な点はきちんとメーカーに確認することが大切だ」

　2つ目の問題はライセンス証明部材の管理だ。一般に、証明部材は「同梱物全て」とされている例が多い。だが「どこまでが同梱物なのか、例えばメーカーに出すユーザー登録はがきも同梱物の1つだが、それも含まれるのか」など、突き詰めて考えると不明な点も多かったという。また、自治体には文書の保存年限がある。そのため期限を過ぎてしまったものは廃棄されているという問題も露見した。そこでメーカーに代替証明手段を聞いて対処したが、「今回はこれでOKだが、本来的には不可」という回答が多かったという。

　ライセンスはコンプライアンスにかかわる問題だけに、矢崎氏は「証明部材は基本的に同梱物全てが求められることに留意したい。不明点があれば必ずメーカーに問い合わせることが重要だ」と強調する。

インベントリ情報とライセンスの突合もすんなりとはいかない

　次は、いよいよインベントリ情報とライセンス保有状況の突合だが、やはりここにもハードルはあった。例えばライセンスは1つ、ソフトウェアは1つでも、複数のインベントリ情報が出てくるものもあれば、そうでないものもある。これによって、「例えば管理ツール、アップデートツールなど、ソフトウェアの付属ツールも含めて1セットと考えるべきなのか、1ライセンスの対象範囲の見極めに時間がかかった」という。

　「不明点があればメーカーに確認して、インベントリ情報とライセンス情報を1つ1つひも付けていくという地道な作業の繰り返しになる。最も確実な方法は“必要な情報を作っていく”ことだろう。具体的には、ソフトウェアをインストールする前後でインベントリデータを取得して、インストール前と後でその違いを把握する。新たに生成されたインベントリ情報を把握して、それをライセンスとひも付ける単位とする方法だ。これによってその後の管理はより確実になる」

　この他、インベントリ情報収集、ライセンス保有状況の把握、インベントリ情報とライセンスの突合作業を行っている間にも、IT資産情報は変動する。こうした作業を行っている間の資産変更情報を確実に把握しておくことも作業の意義を担保するポイントになるという。

SAMを成功させる4つのポイント

　以上のような作業を振り返って、矢崎氏は「とにかく、作業には予想以上に手間と時間がかかる」と概観した上で、SAMを成功させる4つのポイントを挙げる。

　1つ目はトップと現場層の理解。特にハードウェア、ソフトウェア資産の棚卸しをはじめ、現場層には協力を求めることが不可欠となる。しかし「従業員にはそれぞれ本来の業務があるため、IT資産管理はどうしても“プラスアルファ”の作業になる。従って、単に作業を依頼するだけではなく、どの作業をどのような手順で進めてもらうのか、どうすれば負荷を分散できるのか、といったことまで考えることが大切。理解・協力を得るためのケアは作業を円滑に進める上で重要なポイントとなる」。

　2つ目はIT資産管理ツールでできること、人手で行うべきことの整理。矢崎氏は、「作業の正確性、効率性を担保する上でツールは不可欠。だが、それだけでは十分とはいえない。インベントリ情報の収集・管理以外にも、IT資産の調達・廃棄などに対する申請、承認プロセスの策定、資産の変更記録を把握・管理する方法など、管理体制まで含めて検討することが重要」と解説する。

　3つ目は是正すべきものが発生しにくい管理体制の構築。例えば、インベントリ情報とライセンス保有状況に食い違いが生じにくいIT資産調達・廃棄の申請、承認プロセスを考える。万一、食い違いが生じた場合もすぐに把握し、是正できる管理体制を構築する。また、そうした体制を築く上では、「セキュリティポリシーを基準に考えると策定しやすい」とアドバイス。一度策定した管理体制は定期的に研修を行うなどして、「IT資産管理に対する組織全体の意識を醸成していくことも重要だ」という。

　そして最後は身の丈にあった進め方を考えること。例えば先進事例にならって高度な管理ルールや手順を策定しても、実行できるレベルにないようでは意味がない。実効性をよく考えて進めていくことが重要であり、その過程においてはコンサルタントや有識者に相談できる場があると望ましいという。

　最後に、矢崎氏は「IT資産管理は地道な作業なので心が折れそうになることも多々あるが、専任の体制ではないとはいえ、励まし合いながら取り組む仲間がいることは心強かった。お互いに情報交換することで手戻りの抑制にもつながった」と取り組みを概観。多くの企業、組織にとってIT資産管理の専任体制を築くことは難しいが、「一朝一夕にできるものではない以上、それなりの準備体制を作って臨むことが重要だ」とまとめた。