【情報セキュリティマネジメント】物理的対策、入口だけを固めても守れない｜ゾーニング・入退室管理・持出し・廃棄

2026.08.27

物理的対策は、建物や部屋へ入れないようにするだけの対策ではありません。

重要区域へ近づける人を制限しても、共連れを許したり、記録媒体を自由に持ち出せたり、機密文書を通常のごみとして捨てたりすれば、別の経路から情報が漏えいします。

この記事では、物理的対策を区域を分ける・境界を通す・持出しを管理する・安全に廃棄する・機器を固定するという流れで整理します。あわせて、災害・停電などに備える物理的対策の位置付けも確認します。

読み終えるころには、事例が入口の対策で止まっていないかを見分け、持出し・廃棄・共連れのどこに抜けが残っているかを探せるようになります。

先に結論：制御と記録を組み合わせる

確認する段階 主な対策 注意すること
区域を分ける セキュリティゾーニング 区域を分けるだけでなく、重要度に応じて入室条件を変える
境界を通す 個別の入室認証、ゲート、インターロック ICカードだけでは共連れや貸し借りを防ぎ切れない
持出しを管理する 許可、記録、媒体・機器の所在管理 入室制限だけで、情報の持出しまで管理したことにはならない
安全に廃棄する 細断、溶解など 紙をそのまま捨てると、廃棄物から情報を取得される
機器を固定する セキュリティケーブル 盗難を抑える器具であり、通信を暗号化するものではない

入室を止める制御と、誰がいつ通ったかを追う記録は役割が異なります。どちらか一方だけで完結させません。

1．セキュリティゾーニングで接近を段階的に制限する

セキュリティゾーニングは、取り扱う情報や設備の重要度に応じて区域を分け、区域ごとに入室できる者や必要な認証・承認の水準を変える考え方です。

例えば、次のように段階を設けます。

  1. 一般の来訪者も利用できる公開区域
  2. 受付や待合いなどの来訪者区域
  3. 従業員と許可された関係者が入る執務区域
  4. 個別の権限を持つ者だけが入るサーバ室などの重要区域

重要な区域ほど、本人確認、事前承認、個別の入室権限、記録確認などを強化します。

区域を分けるだけでは不十分

来訪者区域から重要区域まで同じ条件で入れるなら、区域を分けた効果は弱くなります。

また、来訪者の記録を取っていても、受付と執務区域の間に物理的な境界がなければ、無断で接近することを止められません。記録は事後確認に役立ちますが、接近そのものを制御するものではありません。

ゾーニングでは、部屋の区分だけでなく、入館証の有効範囲、来訪者のアテンド、階や区域の移動制限なども組み合わせます。

2．入退室管理では入室者を個別に識別・管理する

入退室管理では、誰が、いつ、どの区域へ入ったかを確認できるようにします。

  • ICカードなどを個人ごとに貸与する
  • 職務に必要な区域だけへ入室権限を付与する
  • 異動・退職時に不要な権限を変更又は削除する
  • 来訪者を登録し、入館証を回収又は失効させる
  • 入退室記録を取得・保管し、必要に応じて確認する

一枚のカードを複数人で使い回すと、記録が残っても実際の入室者を特定できません。

退職者のカードを失効させずに残す運用も不適切です。カード自体を回収していても、システム上の権限が有効なままでは再利用される可能性があります。

3．共連れはICカードだけでは防げない

共連れは、認証した人に続いて、認証していない人が一緒に入ることです。正規の従業員が善意で扉を押さえた場合にも起こります。この語自体はSGシラバスVer.4.1の用語例には明示されていませんが、入退室管理に残る弱点として押さえます。

対策には、次のようなものがあります。

  • 全員が一人ずつ認証するルール
  • 一人ずつの通行を管理できるゲートなどの設備
  • 警備員や受付担当者による確認
  • 共連れを許さない教育と注意喚起
  • 入退室記録や監視映像の確認

インターロックは、二つの扉を同時に開けないように制御し、間の区画を経由して入退室させる仕組みです。重要区域では、個別認証などと組み合わせて無断侵入を抑えます。

インターロックを設けただけで、あらゆる共連れを自動的に防げるとは限りません。設備の機能と運用ルールを組み合わせて考えます。

監視カメラは入室制御の代わりではない

監視カメラは、抑止、異常の発見、事後調査に役立ちます。しかし、映像を撮影するだけでは扉を施錠できません。

「カメラがあるので扉を開放する」「ICカードがあるので共連れ対策は不要」といった選択肢は、一つの手段へ依存しています。重要区域では、認証、施錠管理、通行を管理する設備、記録、確認などを多層的に組み合わせます。

4．記録媒体や機器の持出しを管理する

入室管理は、区域へ入る人を管理する対策です。情報や機器が区域から出ていくことは、別に管理します。

例えば、次を定めます。

  • 持出しを業務上必要な場合に限定する
  • 持出しを許可制とし、対象・利用者・期間を記録する
  • 記憶媒体の管理として、USBメモリ、外付けディスク、ノートPCなどの所在を管理する
  • 返却を確認し、紛失時の報告先を明確にする
  • 持出し先での施錠、画面ロック、暗号化などを行う

サーバ室へ入れる者を限定していても、記録媒体へコピーして自由に持ち出せるなら、情報漏えいの経路が残ります。

ここで扱うのは、物や媒体の持出しを管理する考え方です。電子データの暗号化やアクセス権の設計は、それぞれの正典記事で扱います。

5．紙媒体は復元が困難な状態にして廃棄する

重要情報を含む紙文書を通常のごみ箱へ捨てると、廃棄物から情報を取得される可能性があります。このように廃棄物から情報を探す行為は、一般にトラッシングと呼ばれることがあります。

紙媒体を最終的に処分するときは、機密性や処理量に応じて、例えば次のような方法で復元を困難にします。

  • シュレッダーなどによる十分な細断
  • 専門事業者による溶解処理

一方、機密文書用の回収容器は、廃棄処理そのものではなく、細断・溶解などを行うまでの一時保管や回収を安全にするための管理です。回収容器へ入れただけで、文書が復元困難になったわけではありません。

専門事業者へ委託する場合も、一般の廃棄物と同じように放置せず、引渡し方法や処理内容を確認します。

本記事が扱うのは、紙媒体を物理的にどう処分するかです。保存義務の確認、廃棄承認、完了記録などの手続は情報資産管理、電子媒体の消去技術はデータ保護の記事で整理します。シラバスが装置のセキュリティを保った処分又は再利用として挙げる機器側の処分も、同じ考え方で扱います。

6．セキュリティケーブルは機器の盗難を抑える

セキュリティケーブルは、ノートPCなどを机や固定物へつなぎ、機器を持ち去りにくくする器具です。セキュリティワイヤーと呼ばれることもあります。シラバスには、物理的な鍵として使うUSBキーも同じ項目の用語例として挙げられています。

通信内容を暗号化する装置ではありません。

また、ケーブルを付ければ他の対策が不要になるわけでもありません。

  • 利用しない端末を施錠保管する
  • 端末の所在を管理する
  • 画面ロックを設定する
  • 保存データを適切に保護する
  • 持出しと返却を記録する

セキュリティケーブルが主に守るのは、機器の持ち去りです。情報の閲覧や不正操作には、別の対策が必要です。

7．災害・停電・故障に備える物理的対策もある

SGシラバスの物理的セキュリティ対策には、入退室や盗難対策だけでなく、耐震耐火設備、UPS、多重化技術、ストレージのミラーリング、遠隔バックアップなども挙げられています。

これらは、災害、停電、機器故障などが起きたときにも情報システムやデータを利用できるようにする対策と関係します。

本記事では用語の位置付けだけを確認し、稼働率や信頼性設計の詳細はシステム構成、バックアップ方式の詳細はデータ保護、RTO・RPOや事業継続の判断はBCPの記事で扱います。

8．科目Bでの使われ方

物理的対策の事例では、最初に「ICカードを導入した」「受付で記録している」など、実施済みの対策が示されます。

そこで終わらず、次を確認します。

  1. 区域ごとに入室条件が変わっているか
  2. 入室者を個別に識別・管理できるか
  3. 共連れやカードの貸し借りへ備えているか
  4. 入退室記録を取得するだけでなく必要に応じて確認しているか
  5. 記録媒体・機器の持出しも管理しているか
  6. 紙媒体を復元困難な方法で廃棄しているか
  7. 道具の用途を取り違えていないか

入口を固めた説明ほど、持出し、廃棄、共連れなど別の経路が残っていないかを読みます。

担当者としては、抜けを見つけたら、設備の追加が必要か運用ルールの見直しで足りるかを整理し、施設管理の担当部署や上位者へ報告して対応を相談します。廃棄を外部へ委託する場合は、契約担当者と協力して引渡し方法と処理内容を確認します。

よくある取り違え

誤った考え方 正しい整理
区域を分ければ全区域を同じ入室条件でよい 重要度に応じて入室条件を強化する
来訪者記録があれば物理的な境界は不要 記録は接近そのものを止めない
ICカードがあれば共連れ対策は不要 通行を管理する設備、確認、教育などを組み合わせる
監視カメラがあれば扉を開放してよい カメラは入室制御の代わりではない
入室を制限すれば持出し管理は不要 入る人と、出ていく物を別に管理する
機密文書を回収容器へ入れれば処分完了 回収後に細断・溶解など適切な方法で処分する
セキュリティケーブルは通信暗号化装置 機器を固定して盗難を抑える器具

まとめ

  • 物理的対策は、場所、設備、機器、文書、媒体への接近・持出し・盗難などを抑える
  • セキュリティゾーニングでは、重要度に応じて区域と入室条件を分ける
  • 記録は事後確認に役立つが、接近を止める制御の代わりにはならない
  • 入退室カードは個人ごとに管理し、異動・退職時に権限を見直す
  • 共連れには、個別認証、通行を管理する設備、確認などを組み合わせる
  • 監視カメラやICカードだけに依存しない
  • 入室管理と、媒体・機器の持出し管理を区別する
  • 紙媒体は細断・溶解などで復元が困難な状態にして廃棄する
  • 回収容器は安全な回収・一時保管の手段であり、最終処分そのものではない
  • セキュリティケーブルは機器の盗難を抑える器具であり、通信暗号化とは異なる
  • 耐震耐火設備、UPS、多重化、ミラーリング、遠隔バックアップも物理的セキュリティ対策の用語例に含まれる
  • 科目Bでは、入口の対策だけで満足せず、持出し・廃棄・共連れまで確認する

関連記事

  • C1-T07：ソーシャルエンジニアリングとフィッシング
  • C3-T04：管理策の3つの軸を整理する
  • C4-T01：情報資産の洗出しと台帳
  • C5-T04：組織的・人的対策
  • C5-T06：アクセス制御と権限管理
  • C5-T09：ログ管理と監視
  • C5-T10：データ保護とバックアップ
  • C6-T06：事業継続とBCP
  • C9-T01：システム構成と信頼性

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
  • IPA「入退管理システムにおける情報セキュリティ対策要件チェックリスト 第1版」

関連する問題

コメント

タイトルとURLをコピーしました