情報資産

情報セキュリティ対策を立てようにも、何を守るのかが特定できていなければ手の打ちようがない。情報資産は、住民情報や業務データといった情報そのものに加え、それを保存・処理するサーバ・パソコン・記録媒体・書類までを含む、組織が守るべき対象の総称である。

情報セキュリティの実務は、まず情報資産を洗い出して台帳に整理し、それぞれの重要度（機密性・完全性・可用性の観点での価値）を評価することから始まる。重要度に応じて、どの資産にどこまでの対策を講じるかという濃淡をつけることで、限られた予算と人手を重点配分できる。

自治体では、情報セキュリティポリシーに基づいて情報資産を分類・管理することになる。職員の異動や機器の入れ替えで台帳が実態と乖離しやすいため、定期的な棚卸しで「持っているはずのない媒体」「管理者不明の機器」を洗い出し、台帳を実態に合わせ続けることが管理の要となる。