現在、私もＰマーク取得の会社に応援業務しています。参考になればと思います。
記載されていた機器環境で書いてみました。

---

・ファイルサーバ2台〜
●情報共有資源に対してアクセス権限とオブジェクト監査（成功・失敗）等の構成をし、アクセスログをきっちり取得する。それと、ログは１年位は継続記録出来るようにする。セキュリティイベントログを使用するなら、ログの管理を検討した方がよいでしょう。
※私は、マイクロソフトの無償ツールで「Log Parser 2.2 日本語版」とSQLServer2000SP4でログIDを指定してSQL出力。データベースで保管して必要な時に検索できるようにアクセス2003と連携しています。製品購入しないでやってます。

・サーバルーム及びラックなどは特に無し。〜
●ラックあった方が良いと思います。情報資産があるサーバーの重要度があれば、対策を講じるのは必須と思います。ないよりあった方が有利。

・サーバ、クライアントは全てウインドウズ系だがドメインではなくワークグループで運用
・クライアントPCは30台程度〜
●クライアントOSがWinXPProであれば、ActiveDirctryを構成して、ドメインユーザーのポリシー管理を構成した方が良い。ユーザー管理はきっちりした方が良い。
パスワードも各個人しか分らない様にし、パスワード文字数、パスワード変更要求日数。

・ウイルス対策ソフトは全コンピュータに導入すみ。〜
●ウイルス更新管理で、クライアントＰＣの更新状況の把握をする事も必要でしょう。

・ブロードバンドルータでインターネット接続〜
●ファイアーウオールは、商品が多数ある為、最低限の構成を組める商品、
何を防御するかの検討をした方が良いのでは？

・メール、ホームページはホスティング利用〜
●ホームページが会社の顔です。業務の表現と個人情報の収集する目的があれば、きっちり対策を取った方が良いでしょう。収集であれば、ＳＳＬを導入するとか。そして、Ｐマークに関わる個人情報の明記と会社・部署・連絡先・窓口などもきっちり表現した方が良いでしょう！

---

他にも会社内での情報資産の洗い出しやリスクやその他諸々あります。
簡単に書きましたが、参考になればと思いました。

表現が悪く、分りにくい所があればすみません。

ハード面での対策はobatalixさんが書かれたとおりと思います。特に重要なのは、ワークグループ運用の停止→ドメイン運用への変更でしょうか。

他に、最も重要なのは「情報セキュリティポリシー」と「情報セキュリティ規程」の策定でしょう。「ない」と答えた時点で、審査員の心証は悪くなると思われます。

お世話になります。
Pマークの規定が普及しておらず、アクセスログ管理システムを導入しましたが、
担当者は設定してログ収集のみしか行われていません。
何から改善すればいいでしょうか。
よろしくお願いいたします。