スタートアップが従業員50名を超えると、情シス不在の運用は破綻する。SaaSは30〜50本に膨張し、退職者のアカウントが残り、セキュリティインシデントの検知も対応もできない状態になる。200名を超えるあたりで、取引先セキュリティ監査・ISMS取得・SOC2報告書要求が重なり、専任情シス不在では事業機会を失う局面に入る。

本記事では、急成長スタートアップの経営陣・CTO・管理部門責任者向けに、情シス立ち上げのトリガー、初期フェーズの優先順位、SaaS棚卸しと権限管理、セキュリティポリシー整備、採用・外部委託の組み合わせ、200名規模でのITガバナンス完成形を整理する。金額・期間は規模・業種により変動する目安として扱う。

なぜ50名を超えると情シスが要るのか

スタートアップの初期フェーズでは、CTOやバックオフィス担当が片手間でIT業務を担うのが通例だ。30名までは、Google WorkspaceかMicrosoft 365にSlack・Notion・GitHub・Figmaあたりを足せば回る。50名を超えるあたりから、SaaS数の爆発・退職者アカウントの放置・権限管理の崩壊が同時に起き始める。

情シス不在期に典型的に起きるのは、退職者Slackアカウントが1年後も残っている、本番DBアクセス権限が誰も把握していない、請求書ベースのSaaSが誰も使っていないのに課金され続けている状態だ。セキュリティインシデントの検知と対応が属人化し、取引先セキュリティ監査の回答で丸一日が消える。

200名規模が見えてきたら、情シス機能を専任1〜2名＋外部委託で立ち上げる判断が、事業のブレーキを外す。

初期フェーズの優先順位：3カ月でやること

情シス立ち上げの最初の3カ月は、棚卸し・整備・再発防止の順で進める。初月は全社SaaS棚卸しで、請求書・クレカ明細・ブラウザブックマーク調査から利用中のSaaSを洗い出す。50〜100本出ることが普通だ。利用者・管理者・月額費用・データ保存先・契約形態を一覧化する。

2カ月目はID管理の統合で、Google Workspace・Microsoft 365を軸にしたシングルサインオン（SSO）・SCIM連携を可能な範囲で実装する。同時に入退社フローを整備し、入社時のアカウント発行・退社時の即日停止を情シスの責任業務として明文化する。退職者アカウント放置のリスクは、この段階で封じ込める。

3カ月目は最小限のセキュリティポリシー策定で、MDM（モバイルデバイス管理）・エンドポイント保護・パスワードポリシー・情報取り扱い規程の初版を作る。完璧を目指さず、月次で改訂を続ける前提でリリースする。経済産業省「中小企業の情報セキュリティ対策ガイドライン」やIPA「中小企業の情報セキュリティ対策ガイドライン」が出発点として使える。

SaaS棚卸しと権限管理

スタートアップの成長期でもっとも投資効果が見えやすいのは、SaaS棚卸しとコスト最適化だ。利用ユーザーゼロのSaaSの解約、重複機能SaaSの統合、年契約化による割引交渉で、棚卸し実施から3〜6カ月で情シス人件費の一部を回収できる事例は多い。

権限管理はロールベースアクセス制御（RBAC）の考え方で、部署・役職・プロジェクト単位のロールを定義し、個別付与を廃止する。本番データベース・顧客個人情報・本番課金システムなど高リスクシステムは、独立した承認フロー・特権ID管理・アクセスログ記録を義務化する。

SaaS管理には、SaaS管理ツール（Micoll、Zluri、BetterCloudなど）の導入が200名規模以降の定番となる。利用状況の可視化、退職者アカウント自動停止、ライセンス最適化が自動化される。

セキュリティポリシーとIT規程の整備

スタートアップ段階で整備すべきIT規程は、情報セキュリティ基本方針・情報取り扱い規程・デバイス管理規程・SaaS利用規程・インシデント対応規程の5本が最小セットだ。1年目は簡易版で運用し、2年目以降にISMS（ISO/IEC 27001）・プライバシーマーク・SOC2報告書取得を視野に入れて高度化する。

取引先セキュリティ監査への対応は、成長期スタートアップの情シス業務の大きな割合を占める。金融・医療・官公庁向けビジネスを広げる局面では、セキュリティチェックシート100〜200項目への回答工数が、営業活動のボトルネックになる。セキュリティチェックシート回答テンプレートを情シスで整備し、営業・法務と連携する運用が効く。

個人情報保護法・特定個人情報（マイナンバー）・業種別法規制（医療・金融・通信など）への対応も、成長期に一つずつ塗り重ねる。

採用・外部委託の組み合わせ方

情シスの採用は、CISO機能（ガバナンス）・IT運用機能（ヘルプデスク・キッティング）・情報システム機能（基幹系・SaaS管理）の3機能を誰が担うかで設計する。50〜100名では、ジェネラリスト情シス1〜2名＋外部委託で3機能を回す。200名が見えてきたらCISO機能の専門性が必要になる。

外部委託の典型パターンは、ITヘルプデスク・キッティング・セキュリティ監視・MSP（マネージドサービスプロバイダー）だ。MSPは月額数十万円〜で深夜・休日対応・インシデント1次対応まで含めて委託できる。200名規模での情シス採用難は業界共通の構造問題のため、外部委託を前提に設計する方が現実的だ。

採用・委託費用は規模・業種・事業特性により変動するため目安だが、情シス専任1名の人件費・外部委託費・SaaSガバナンスツール費を合計すると、200名規模で年間1,500万〜4,000万円レンジの事例が多い。

200名規模でのITガバナンス完成形

従業員200名規模でのITガバナンス完成形は、CISO直下の情シス3〜5名体制・SSO/MDM/SIEM/SaaS管理の4基盤稼働・IT規程10本整備・ISMS相当の運用・月次セキュリティKPI報告の組み合わせとなる。取引先セキュリティ監査への対応が数日で回り、事業拡大のボトルネックにならない。

ここまで到達すると、ミッド（500〜1,000名）規模への移行期では、情シス組織の運用・統制・推進の3層化、CIO機能の独立、データガバナンス・AI活用ポリシーなどの次フェーズの論点に踏み込める。成長期の情シス立ち上げは、事業成長を支える基盤整備であり、数年先の経営アジリティを決める投資になる。

Phase 1 PoC：情シス立ち上げアセスメントと90日プラン

50名〜200名成長期のスタートアップでは、情シス立ち上げの優先順位を外すと3カ月で詰む領域が発生する。GXOでは、成長期スタートアップ向けに、SaaS棚卸し・権限管理現状評価・セキュリティポリシーギャップ分析・90日立ち上げプラン策定をPhase 1 PoCとしてご提供している。4〜6週間で現状リスクの可視化と優先順位付きのアクションリストを整備する。

詳細・ヒアリングのご希望はお問い合わせフォームからご連絡ください。現在の従業員数・成長計画・主要取引先のセキュリティ要求をお聞かせいただければ、初回ヒアリング中に優先課題の仮説を共有いたします。

GXO実務追記: レガシー刷新で発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、現行調査、刷新範囲、段階移行、ROI、ベンダー切替リスクを決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

論点確認する内容未整理のまま進めた場合のリスク
目的売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲対象部署、対象業務、対象データ、対象システムをどこまで含めるか見積もりが膨らむ、または重要な連携が後から漏れる
体制自社責任者、現場担当、ベンダー、保守運用者をどう置くか要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

フェーズ期間目安主な成果物GXOが見るポイント
事前診断1〜2週間課題整理、現行確認、投資判断メモ目的と範囲が商談前に整理されているか
要件定義 / 設計3〜6週間要件一覧、RFP、概算見積、ロードマップ見積比較できる粒度になっているか
PoC / MVP1〜3ヶ月検証環境、効果測定、リスク評価本番化判断に必要な数値が取れるか
本番導入3〜6ヶ月本番環境、運用設計、教育、改善計画導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

  • [ ] 現行システムの機能、利用部署、データ、外部連携を一覧化したか
  • [ ] 保守切れ、属人化、障害頻度、セキュリティリスクを金額換算したか
  • [ ] 全面刷新、段階移行、SaaS置換、リホストの比較表を作ったか
  • [ ] 移行中に止められない業務と、止めてもよい業務を分けたか
  • [ ] 既存ベンダー依存から抜けるためのドキュメント/コード引継ぎ条件を決めたか
  • [ ] 稟議で説明する投資回収、リスク低減、保守費削減の根拠を整理したか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

  • 見積もり依頼前に、要件やRFPの粒度を整えたい
  • 既存ベンダーの提案が妥当か第三者視点で確認したい
  • 補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
  • 社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
  • PoCや診断で終わらせず、本番導入と運用改善まで進めたい

スタートアップ→ミッド移行期の情シス立ち上げ 2026｜50→200名成長企業のITガバナンスを自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

レガシー刷新ROI診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。