ITAM World 2026は、IT資産管理（IT Asset Management）、ソフトウェア資産管理（SAM）、ITガバナン
スの実務担当者や専門家が一堂に会するイベントとして開催されました。
デジタルトランスフォーメーションの加速やクラウドサービスの利用拡大に伴い、企業のIT資産管理にはこれま
で以上に高度な管理と統制が求められています。本イベントでは、最新のITAMトレンド、ライセンス管理、SaaS
管理、セキュリティ対策、生成AI時代のITガバナンスなど、多岐にわたるテーマが取り上げられました。
本レポートでは、各講演のポイントや会場の様子を写真とともにご紹介します。
開催概要
| 会期 | 2026年6月5日（金）10:00～17:00 |
|---|---|
| 会場 | 東京都新宿区西新宿8-17-1 ベルサール新宿グランド 5F |
| 主催 | 一般社団法人IT資産管理評価認定協会（SAMAC） |
| 後援 | ビジネス・ソフトウェア・アライアンス（ＢＳＡ） 特定非営利活動法人CeFIL サービスマネジメント・イノベーションセンター 独立行政法人情報処理推進機構（IPA） 日本規格協会（JSA） 一般社団法人ソフトウェア協会（SAJ） 一般社団法人コンピュータ教育振興協会（ACSP） |
講演
【基調講演】ランサムウェア対策におけるデバイス管理の重要性
一般社団法人ソフトウェア協会 板東直樹氏
本講演では、一般社団法人ソフトウェア協会の坂東氏より、実際のインシデント対応経験に基づき、ランサムウェア攻撃の実態とIT資産管理の重要性について解説が行われた。
講演で最も強調されたのは、ランサムウェアが単なるITトラブルではなく、「事業継続そのものを停止させる経営リスク」であるという点である。医療機関の事例では、数十万人規模の個人情報漏洩や、数週間から数ヶ月に及ぶ業務停止、さらには数億円単位の損害が発生している。
ランサムウェア攻撃の実態（具体プロセス）
攻撃は突発的に発生するのではなく、段階的かつ計画的に進行する。典型的な流れは以下の通りである。
① 侵入（初期アクセス）
•長いパスフレーズの利用
•端末ごとに異なる管理者パスワードを設定（LAPS）
•ネットワーク分離による横展開防止
など、比較的実装可能な基本対策の徹底が有効とされた。LAPSを含むWindows標準機能（ASRルール、LSA保護等）を有効化するだけでも、コストをかけずに防御力は大きく向上する。
AI時代のIT資産管理への進化
講演の最後では、AIの普及に伴う新たなリスクも提示された。プロンプトインジェクションやAIによる自動処理の悪用により、企業内データの漏洩やシステムの誤動作が発生する可能性がある。
そのため、今後のIT資産管理は、従来のデバイス管理に加え、
•ID・アクセス権限
【SAMACセッション】 IT資産管理が支える実効的な脆弱性対策― 攻撃事例から考える「侵入を許さない・広げない」運用―
脆弱性DB検討WG 森田聡子氏
本セッションでは、「IT資産管理が支える実効的な脆弱性対策」をテーマに、近年増加するランサムウェア被害やサプライチェーン攻撃の実態を踏まえ、企業・組織が取り組むべき脆弱性対策について解説した。2024年から2025年にかけてランサムウェア被害は増加傾向にあり、被害拡大の背景には、IT資産管理の不備や未把握資産の存在が繰り返し指摘されている。セキュリティ対策を実効性あるものにするためには、単に製品やツールを導入するだけではなく、全資産を正確かつ継続的に把握する管理基盤を整えることが不可欠である。
冒頭では、IT資産管理がコンプライアンス、セキュリティ、コスト最適化の観点からリスクヘッジを支える取り組みであり、特にセキュリティの観点では、網羅性、リアルタイム性、正確性、効率性の4点が重要であることを説明した。未把握の端末や古い情報に基づく判断は、攻撃者に侵入経路を与えたり、誤った優先順位付けを招いたりする可能性がある。特に、サポート切れソフトウェアや未適用パッチの存在を把握できていなければ、適切な代替策や監視強化を講じることも難しくなる。
続いて、脆弱性を突いた攻撃事例として、VPN機器の脆弱性を悪用した侵入、製造業・物流業におけるIT／OT環境への影響、サプライチェーン経由の侵入や連鎖的な事業停止を取り上げた。VPN装置やUTM機器は、従来のIT資産管理の対象外となりやすい一方で、近年は攻撃の起点となるケースが増えている。また、製造現場ではITとOTの境界が曖昧になり、古い機器やパッチ適用が難しい設備が稼働停止や生産停止に直結するリスクがある。さらに、委託先や関係会社の被害が自社の情報漏えいや事業停止につながる事例から、自社防衛だけでは不十分であり、サプライチェーン全体を視野に入れた対策が必要であることを示した。
対策の方向性としては、「侵入を許さない」「広げない」「二次被害を防ぐ」という三つの観点で整理した。入口対策では、脆弱性情報を把握し、CVSSなどの指標を活用して重要度に応じた優先順位を付けることが求められる。特にインターネットに公開されている機器や重要システムに関わる脆弱性は、悪用までの期間が短いことを前提に、迅速な対応が必要である。一方で、入口対策だけで全ての侵入を防ぐことは困難であるため、侵入後の横展開を抑えるためのネットワーク分離、重要資産の区分、異常検知、資産状態の常時可視化が重要となる。
また、OT資産を含めた包括的な管理の必要性についても説明した。製造設備や制御系システムは、業務継続に直結する重要な資産であるにもかかわらず、従来のIT資産管理の枠組みでは十分に把握されていない場合がある。IT資産とOT資産を横断的に把握し、どの資産がどこにあり、どのような状態で利用されているかを可視化することが、被害の予防と早期復旧の前提となる。
最後に、実効的な脆弱性対策を実現するための要点として、見えていない資産は対策できないこと、脆弱性対策は高度な技術導入だけでなく状態把握から始まること、1台の未更新端末が全体の侵害起点になり得ることを強調した。あわせて、自社が直接攻撃されなくても、取引先や委託先の被害を通じて事業影響を受ける可能性があるため、防御範囲を自社内に限定しない視点が必要であると説明した。
本セッションを通じて、参加者には、IT資産管理をセキュリティ対策の基盤として捉え直し、ツール導入に先立って、正確で網羅的な管理基盤を整備する重要性を共有した。今後は、変更情報の即時反映、未管理資産の解消、脆弱性状況の継続的な把握、運用への定着を進めることで、侵入を許さず、被害を広げず、二次被害を防ぐ実効的な脆弱性対策につなげていくことが期待される。
【SAMACセッション】 ソフトウェアライセンスの基礎
ライセンス管理セミナーWG 神明彦氏
本セッションでは、「ソフトウェアライセンスの基礎」をテーマとして、ライセンス管理の基本とともに、現場で実際に起こりやすい課題や見落としがちなポイントについて解説しました。単なる知識の紹介にとどまらず、日々の運用の中で起こり得る具体的なリスクや、誤った認識によるトラブルの事例を踏まえながら、実務に役立つ視点の提供を目的としています。
■ソフトウェア使用許諾と著作権の関係
まず押さえるべきポイントは、ソフトウェアは「購入して自由に使えるものではない」という点です。ソフトウェアは著作権で保護された著作物であり、企業が購入しているのは製品そのものではなく、使用許諾条件の範囲内で利用する権利です。つまり、「知らなかった」では済まされず、ルールを外れた時点でライセンス違反となるリスクがあります。この前提理解が不十分なまま運用されているケースは意外と多く、結果として意図せずコンプライアンス違反に至る事例も少なくありません。
■ソフトウェアライセンスを構成する要素
ライセンス管理の基本は、「ライセンス形態」「使用許諾期間」「ライセンス種類」の三つの視点で整理することです。例えばパッケージライセンスでは、同梱物の紛失により“保有していても証明できない”という問題が発生しやすいです。OEMやバンドルでは、ハードウェアとの紐づけが不明確になることで意図せず違反状態になるケースも多いです。一方、ボリュームライセンスは管理しやすい反面、契約条件の複雑さにより誤解が生じやすく、正確な理解が求められます。さらに、組織変更や端末入替時に条件の引継ぎが曖昧になることも、現場でよく見られる課題の一つです。
■使用許諾期間
近年特に重要なのが、サブスクリプション型ライセンスへの移行です。Microsoft、Adobe、Autodeskなど主要ベンダーが非永続型へ移行する中で、従来の「購入したら永続的に使える」という前提は崩れています。契約更新の管理を怠ると、ある日突然「使えなくなる」リスクが現実のものとなります。加えて、契約期間や自動更新条件、解約タイミングといった要素も重要であり、財務・調達部門との連携も求められるようになっています。
さらに、ライセンス単位も大きく変化しています。従来のデバイス単位からユーザー単位への移行により、共有PC環境では「1台に対して1ライセンス」ではなく「利用者人数分のライセンス」が必要になるケースが増えています。この違いを見落とすと、意図せずコンプライアンス違反に陥る可能性があります。また、リモートワークの普及により、同一ユーザーが複数デバイスを利用する前提も増えており、より柔軟かつ正確な管理が求められています。
■クラウドサービスライセンス
クラウドサービスにおいては、ユーザーIDの管理が新たな重要ポイントです。未使用IDの放置はコスト増だけでなく、退職者IDの残存などセキュリティリスクにも直結します。また、ID共有は許諾違反であるだけでなく、ログにより可視化されるため監査へと発展する可能性もあります。IDライフサイクル管理を含めた運用整備が、これまで以上に重要になっています。
■M＆Aによる使用許諾条件の変更について
また近年は、無償ソフトの有償化や、M&Aによるライセンス体系変更といった外部要因によるルール変更も増加しています。特にVMwareのように契約形態が大きく変わるケースでは、コストインパクトが大きく、戦略的な判断が求められます。これらの変化に迅速に対応するためには、情報収集と影響分析を継続的に行う体制が不可欠です。
■ライセンス監査権について
最後に重要なのがライセンス監査への備えです。多くの契約には監査条項が含まれており、違反時には不足分の購入に加え、追加費用やペナルティが発生する場合もあります。「監査が来てから対応する」のではなく、日常的な管理と証跡の整備が不可欠です。監査対応は一時的な取り組みではなく、日常業務の延長線上にあるべきです。
■まとめ
本セッションを通じてお伝えしたいのは、ライセンス管理は単なる台帳管理ではなく、「契約を正しく理解し、継続的に運用できる仕組みづくり」であるという点です。判断に迷った場合は独自解釈を避け、必ずパブリッシャーへ確認することが重要です。この基本の徹底が、結果としてリスクとコストの最適化につながります。
【後援団体セッション】サイバーセキュリティー対策の
キーワード2026
独立行政法人情報処理推進機構（IPA）
寺田 真敏 様
本講演は、前セッション「IT資産管理が支える実効的な脆弱性対策」の補足として、攻撃者視点からなぜ資産管理が重要なのかを解説する内容であった。IPAが毎年公表する「情報セキュリティ10大脅威」のうち上位3項目（ランサム攻撃、サプライチェーン攻撃、AIを巡るサイバーリスク）を軸に講演が進められた。
まずランサム攻撃について、2016年の暗号資産普及を契機に被害が急増した経緯を説明。当初は端末の暗号化のみだった手口が、二重脅迫（暗号化＋情報公開の脅迫）、三重脅迫（DDoS）、四重脅迫（取引先への波及）へと進化し、近年は暗号化を伴わず情報窃取のみで金銭を要求する「ノーウェアランサム」も登場していると紹介された。警察庁の統計では被害報告は年間200件強にのぼり、企業規模の大小を問わず被害が発生していること、侵入経路としてはVPN機器など外部公開されている機器が特に多いことも示された。攻撃の侵入口は「機器の脆弱性」「機器の認証情報（ダークウェブでの売買）」「人の脆弱性（フィッシング等）」の3つに大別され、特に機器の脆弱性対策の前提として「把握していないものは守れない」という資産管理の基本原則が強調された。海外の政府機関が共同発行する「エッジデバイスのための緩和戦略」でも同様の原則が明記されている点が紹介された。
続いてサプライチェーン攻撃については、委託先・関連会社や資産管理ソフトウェア自体が悪用されるケースを取り上げ、侵入口として新たに「システムの脆弱性」が加わることを説明。委託先管理における組織的・契約的統制と、PCやサーバー、ネットワーク機器の構成管理・変更管理という技術的統制の両面から、正確な資産把握の重要性が改めて示された。
AIを巡るリスクでは、生成AIの誤情報や不正利用に加え、実務で急速に浸透している「AI支援コーディング（バイブコーディング）」により、検証不十分なままシステムがリリースされ、バックエンドの設定不備が原因でセキュリティ事故が発生した事例が紹介された。またDEFCONで報告されたAI生成の脆弱性報告が実は誤りだった事例、Anthropic社が発表した「Project Glasswing」による脆弱性発見の取り組みにも言及し、AIは未知の脆弱性を新たに発見するというより、既存の脆弱性探索を圧倒的な速度とスケールで実行できる点こそが脅威になり得ると指摘した。
まとめとして、侵入口となる「機器の脆弱性」「機器の認証情報」「人の脆弱性」「システムの脆弱性」の4つの視点を常に意識し、資産管理ツール・ベンダーと連携しながら地道に資産の把握と対策を進めていくことの重要性が改めて強調され、講演は締めくくられた。
【SAMACセッション】Microsoftライセンス入門
ソフトウェアライセンス管理セミナーWG
増田日出夫氏
Microsoftライセンスは提供形態や製品ごとの条件が多岐にわたり、「分かりづらい」「どこから理解すればよいか分からない」といった声が多く聞かれます。本セッションでは、個別ルールの暗記ではなく、制度変更や新製品が出ても整理できる“判断の軸”を提示し、主要製品（Windows／Office／Windows Server／SQL Server）を例にポイントを解説しました。併せて、ライセンス購入と管理の考え方、監査対応での留意点も整理しました。
■ソフトウェアライセンスの基本：所有ではなく契約・許諾に基づく使用権
まず、ソフトウェアライセンスは「買った＝所有物」ではなく、契約により許諾された条件に従って利用する“使用権”である点を確認しました。インストールされていることと利用許諾を満たしていることは同義ではなく、契約条件を満たして初めて適正利用となります。
理解の基本要素として、①利用範囲（誰が使うか／何台・どの環境で使うか）、②期間（永続／非永続）、③制限事項（条件・禁止行為・利用目的等）の3点で整理する方法を紹介しました。許諾条件は改定され得るため、参照した時点の根拠資料（当時の条件が確認できるドキュメント等）を保存しておくことが、監査対応や説明責任の観点で重要である点も共有しました。制限事項の確認先としてはMicrosoft Product Terms（製品条項）等を参照し、困ったらまず確認することが有効です。
■Microsoftライセンスの整理軸：単位（ユーザー／デバイス／コア）×期間（永続／サブスク）
Microsoftでは、利用範囲の考え方が製品により異なり、ユーザー単位、デバイス単位、サーバー製品では接続のためのCAL（Client Access License：ユーザーCAL／デバイスCAL）といった単位で整理できます。また、物理環境・仮想環境・クラウド環境といった利用形態によっても条件が変わる場合があるため、まず「どの単位で数えるか」を押さえ、次に「期間（永続／サブスクリプション）」を確認することで、複雑な条件でも整理しやすくなることを説明しました。
■主要製品のポイント（Windows／Office／Windows Server／SQL Server）
WindowsクライアントOSは、OEM（プリインストール）、DSP、リテール、ボリュームライセンス（VL）で条件が異なります。特にVLのWindowsは“アップグレードライセンス”であり、ベースとなるOSライセンスが必須である点が重要です。
Officeは、永続（買い切り）と非永続（Microsoft 365）の違いを整理しました。永続版は購入時点のバージョンに基づき継続利用できる一方、Microsoft 365は契約期間中に最新機能が提供され、サービス利用を前提とした利用形態となります。
サーバー製品では、Windows Serverは物理コア数に基づくライセンスに加え、接続のためのCALが必須である点、さらに最小購入コア数（例：サーバー当たり最低16コア等）が設定されている点を解説しました。SQL Serverはライセンス方式が複数あり、コアライセンス方式を選択した場合はSQL ServerのCALが不要となります（ただしWindows Server側のCAL要件は別）。なお、Software Assurance（SA）の有無で条件が変わるケースがあるため、契約内容の確認が欠かせません。
■ライセンス購入と管理の考え方：契約・利用権・記録の整合性が監査対応の鍵
最後に、契約はルールや枠組みであり、実際の利用権は個別のライセンスとして取得・管理するという整理を示しました。監査では利用実態が許諾範囲内か確認されるため、契約書・発注記録・構成情報・利用状況を照合できる状態を維持すること、そして参照時点の根拠資料を保管しておくことが重要です。運用面では、定期的な棚卸と見直しを行い、「インストールされているから使える」といった典型的な誤解を防ぐことが、適正利用の土台になるとまとめました。
【SAMACセッション】アンケート結果からみるITAMツール利用状況とITAMツール分類シートのご案内
ツール普及・促進WG 井手一樹氏
最新アンケート調査から見るIT資産管理の課題と傾向
2024年から2026年にかけて実施したIT資産管理に関するアンケート結果をもとに、現場で生じている課題を分析・報告しました。
IT資産管理の目的として「セキュリティ」や「コスト削減」の重要性が高まっている一方で、「ライセンスコンプライアンス」は目的としてはやや後退している傾向が見られました。ただし、「今後強化したいこと」ではライセンス管理が上位に挙がっており、表向きの目的として掲げられる機会は減っていても、実務上の課題としては引き続き大きいことが分かりました。
また、収集ツールや台帳ツールの導入は進んでいるものの、課題意識はむしろ高まっていました。特に、ツールを導入している組織ほど課題を強く感じている傾向がありました。ツール導入で個別の目的は達成しても、管理状況が可視化され、これまで見えていなかった問題が明らかになったためと考えられます。つまり、ツール導入はゴールではなく、次の改善課題を見つける出発点になっている構造的な問題と言えます。
さらに、「困っていること」と「強化したいこと」が必ずしも一致していない点も特徴的でした。日々の運用課題と、組織として投資・強化すべきと考えていることの間にズレがあり、特に中規模組織ではその傾向が強く見られました。
データが一貫して示しているのは、「IT資産管理の万能薬となるツールは存在しない。適切な運用とセットで初めて効能を得ることができる」という事です。IT資産管理は「ツールを導入すれば解決する」という段階を越え、導入したツールをどう運用し、どの課題を優先的に解決するかを考える段階に移っていました。今後は、管理目的を明確にし、自社の規模や課題に合った運用設計を行うことがより重要になると考えられます。
ITAMツール比較フレームワーク
ITAMツール選定の考え方と、WGで検討している「ITAMツール比較フレームワーク」について紹介しました。
前提として、ITAMツールには大きく2種類あります。1つは、IT資産の「あるべき姿」を整理する台帳ツールです。もう1つは、IT資産の「現在の状態」を把握するインベントリーツールです。両者は役割が異なりますが、実際のツール選定では「どちらもできます」と説明されることも多く、違いが分かりにくくなりがちです。
そこでWGでは、各ツールの機能を同じ基準で比較できるように、共通のものさしとしてフレームワークを検討しています。フレームワークでは、情報収集、制御・ログ、台帳・管理、ライセンス管理の観点で機能を整理し、自社に必要な機能を確認できるようにしています。
まずツール選定で大切なのは、「なぜ導入するのか」「どのレベルまで管理したいのか」という自社の管理目的と要件を明確にすることです。そのうえで、各機能について「必須」「あればよい」「不要」と優先度を付け、自社にとって本当に必要な要件を絞り込むことが重要です。すべてを必須にしてしまうと比較の精度が下がり、選定が難しくなります。
インベントリーツールを中心に考える場合は、収集範囲にも注意が必要です。エージェントが入らない端末や、ネットワーク上で検知できない機器は把握できない場合があるため、未収集デバイスを台帳や運用でどう補うかを確認しておく必要があります。
ベンダーへの確認は、機能の「あり／なし」だけでなく、標準機能で対応できるのか、設定で済むのか、カスタマイズ開発が必要なのかまで確認することが大切です。開発が必要な場合は、将来のバージョンアップや保守費用に影響する可能性があります。
ITAMツール選定では、単純に機能が多いツールではなく、自社の目的に合い、運用まで現実的に続けられるツールを選ぶことが重要です。そのためにも、管理目的・目標を言語化することから始め、優先度と自社工数を検討することが必要になります。
【特別講演】IT資産管理担当者の本音会議― 現場の悩み、どう解決している？
＜モデレーター＞
クロスビート・コンサルティング株式会社
篠田仁太郎氏
＜パネラー＞
株式会社オージス総研 宇佐美恭子様
ブリヂストンソフトウェア株式会社 渡邊直大様
山梨県庁 長田浩様
石川県庁 冨澤勇也様
民間2社・自治体2団体から、管理規模も約1,900種類のソフトウェアから約3万ライセンスまで様々な立場のパネリストが登壇し、IT資産管理（ITAM）の現場で直面する課題とその克服方法について議論した。事前アンケートでは、いずれの組織もITAM専任ではなく他業務と兼務しながら業務時間の1〜2割程度しか資産管理に割けていない実態が共有され、少人数のコアメンバーで大規模な資産を支える構造的な人手不足が共通の悩みであることが確認された。
前半は「最初の壁」として、立ち上げ期の苦労が語られた。
山梨県庁 長田浩様
山梨県庁はベンダー監査を契機に、部署ごとにばらばらだった管理番号を統一し、まずハードウェア（PC）の管理範囲を明確化するところから着手。
石川県庁 冨澤勇也様
石川県庁ではExcel台帳による更新作業やインベントリとの突合に負担が集中し、更新の正確性の担保が難しかった経験が語られた。
ブリヂストンソフトウェア株式会社 渡邊直大様
ブリヂストンソフトウェアは各課に入力を任せる分散管理により、同一ソフトウェアでも表記（漢字・英語など）がばらつき正確な把握が困難だったため、集中管理体制への移行とマスタデータの外部専門業者へのアウトソースに踏み切った。
株式会社オージス総研 宇佐美恭子様
オージス総研は独学で運用していた担当者の定年退職を機に、後任にSAMライセンスセミナーや公認コンサルタント研修を受講させ、組織内に知識を展開してきた経緯が紹介された。
いずれの組織も台帳ツールとインベントリツールを組み合わせ、Excel管理からの脱却によって棚卸・更新作業の負荷を大幅に軽減した点で共通していたが、実際に使用しているライセンスとの紐づけなど、現場側に残る作業も一定あることが指摘された。
後半は「新たな壁」として、クラウドサービスやSaaS利用の把握、SBOM・脆弱性管理、AI活用といった今後の課題が議論された。ブラウザログイン型のクラウドサービスはインストールを伴わずインベントリで捕捉できないため、利用実態の可視化が各組織共通の課題として挙げられた。山梨県庁はネットワーク更改のタイミングでゼロトラストの仕組みや認証強化、CASB導入による可視化に着手し始めている段階であることが紹介された。オージス総研では利用規約違反（複数人でのアカウント共有等）への対応で法務部門と連携している事例、ブリヂストンソフトウェアでは購買部門との情報連携において、調達タイミングの情報だけを受け取り、その後の管理は自部門で担う形に整理した事例が共有された。SBOMやライブラリ管理、AIエージェントの活用・管理についてはいずれの組織もまだ具体的な検討には至っておらず、今後の課題として位置づけられた。
モデレーターは最後に、課題解決の方向性として「台帳システムと購買・法務等の管理プロセスの融合」「サブスク非対応など経年劣化したシステムの刷新」「利用者への啓蒙と自動化の組み合わせ」の3点を整理。各パネリストからは「欲張らず一つずつ確実に片付ける」「ライセンス管理だけでなくITAM全体の設計を先に描くべきだった」「完璧を目指さずスモールスタートで継続・改善する」「システム整備以上に職員一人ひとりの意識醸成が重要」といった、それぞれの経験に基づく提言で締めくくられた。
————-
ITAM World 2026 開催報告
- 開催概要
- 講演
- 【基調講演】ランサムウェア対策におけるデバイス管理の重要性
- 【特別講演】IT不祥事の国内外の最新事例から学ぶリスクマネジメント～IT資産管理の漫然放置による法的責任と発覚時の対応策～
- 【SAMACセッション】 T資産管理が支える実効的な脆弱性対策― 攻撃事例から考える「侵入を許さない・広げない」運用―
- 【SAMACセッション】 ソフトウェアライセンスの基礎
- 【後援団体セッション】サイバーセキュリティー対策のキーワード2026
- 【SAMACセッション】Microsoftライセンス入門
- 【SAMACセッション】アンケート結果からみるITAMツール利用状況とITAMツール分類シートのご案内
- 【特別講演】IT資産管理担当者の本音会議― 現場の悩み、どう解決している？
