ISMSにおける入退室管理とは？必要な理由や管理方法、運用のポイントを解説

情報漏えいや不正アクセスなどのセキュリティリスクに備えるうえで、情報システムの対策だけでなく、オフィスやサーバー室などへの物理的なアクセスを適切に管理することも重要です。特に、ISMS（情報セキュリティマネジメントシステム）に取り組む企業では、情報資産を保護するための対策の一つとして、入退室管理が求められます。

しかし、「ISMSでは具体的にどのような入退室管理が必要なのか」「どのような方法で管理すればよいのか」と疑問を持つ担当者もいるのではないでしょうか。

本記事では、ISMSにおける入退室管理の基本的な考え方や必要とされる理由、具体的な管理方法、運用時のポイントを解説します。入退室管理システムや位置情報を活用した従業員の所在把握についても紹介するので、オフィスのセキュリティ対策を見直す際の参考にしてください。

Contents

ISMSにおける入退室管理とは？

ISMSにおける入退室管理とは、情報資産を保護するために、オフィスやサーバー室などの施設への入室・退室を管理する取り組みです。情報セキュリティ対策というと、ウイルス対策ソフトやアクセス権限の設定など、情報システムに関する対策を思い浮かべるかもしれません。

しかし、情報資産が保管されている場所や、情報を取り扱う人の物理的なアクセスを管理することも重要です。

ISMSとは？入退室管理が必要とされる理由

ISMSとは、Information Security Management Systemの略称で、日本語では「情報セキュリティマネジメントシステム」と呼ばれます。組織が保有する情報資産を適切に管理し、情報セキュリティ上のリスクを継続的に低減するための仕組みです。

ISMSでは、情報の機密性・完全性・可用性を維持することを基本的な考え方としています。機密性は許可された人だけが情報にアクセスできること、完全性は情報が正確で改ざんされていないこと、可用性は必要なときに情報を利用できることを意味します。

これらを実現するためには、システム上のアクセス制御だけでなく、情報を保管・利用する物理的な環境にも目を向ける必要があります。例えば、機密情報が保存されたサーバーや重要書類を保管する部屋に、権限のない人が自由に入れる状態では、情報漏えいや機器の持ち出しにつながるおそれがあります。

そこで重要になるのが入退室管理です。誰が、どのエリアに入室できるのかを明確にし、必要に応じて入退室履歴を記録することで、物理的なセキュリティリスクの低減につなげられます。

ISMSにおける物理的なセキュリティ対策

ISMSにおけるセキュリティ対策は、情報システムやネットワークに関する技術的な対策だけではありません。施設や設備、情報資産が置かれている場所を保護する物理的なセキュリティ対策も重要です。

例えば、オフィスの受付で来訪者を確認する、執務エリアへの入室を社員証で制限する、サーバー室への入室をシステム管理者などに限定するといった対策が挙げられます。

また、重要書類やパソコンなどの機器を適切に保管し、許可されていない人が持ち出せないようにすることも、物理的なセキュリティ対策の一つです。

ISO/IEC 27001では、情報セキュリティに関する管理策として、物理的なセキュリティ境界や物理的な入退管理などが扱われています。具体的にどのような対策が必要かは、組織が保有する情報資産やリスク、適用する規格の要求事項などに応じて検討する必要があります。

入退室管理を単なる施錠や鍵の管理で終わらせず、情報資産を守るための管理体制の一部として位置付けることが大切です。

入退室管理で確認・記録すべき情報

入退室管理では、誰が、いつ、どこに入室したのかを把握できる状態にしておくことが重要です。記録すべき情報は、施設の用途やセキュリティ上のリスク、採用している管理方法によって異なります。

一般的には、入退室した人の氏名や識別情報、入室・退室の日時、入退室した場所などが管理対象になります。来訪者が出入りする施設では、訪問先や訪問目的、対応者などを記録する方法も考えられます。

また、重要なエリアでは、入室権限を持つ人の情報や、権限を付与・変更・削除した履歴を管理することも重要です。退職者や異動者の権限が適切に更新されていなければ、不要なアクセスを許してしまう可能性があります。

ただし、すべての場所で同じ情報を記録すればよいわけではありません。機密情報を扱うエリアと一般的な執務エリアでは、求められる管理水準が異なる場合があります。自社の情報資産やリスクを踏まえて、必要な記録項目と保管期間、閲覧できる担当者を定めましょう。

ISMS対策として入退室管理が重要な理由

入退室管理は、施設への不正なアクセスを防ぐだけでなく、万が一問題が発生した際に状況を確認するためにも役立ちます。ここでは、ISMS対策において入退室管理が重要とされる主な理由を紹介します。

許可されていない人物の入室を防止できる

オフィスには従業員だけでなく、取引先や採用候補者、工事業者、清掃スタッフなど、さまざまな人が出入りします。入室できる範囲や手続きが明確になっていないと、許可されていない人物が執務エリアや機密情報を扱う場所に立ち入るリスクがあります。

こうしたリスクを低減するには、受付での本人確認や来訪者への入館証の発行、入室可能なエリアの制限などが有効です。例えば、来訪者は受付や会議室まで入室できる一方、サーバー室や機密情報を扱うエリアには立ち入れないようにするなど、役割に応じたルールを設けます。

また、社員証やICカードなどを利用した認証を導入すれば、権限のない人が対象エリアへ入室することを防ぎやすくなります。必要に応じて、入室時に従業員の同伴を求める運用も検討できます。

重要なのは、入室を制限するだけでなく、誰がどこまで入室できるのかを明確にし、そのルールを関係者に周知することです。適切な入退室管理によって、施設への不正な立ち入りを抑制し、情報資産を保護する体制を整えられます。

情報資産や機器への不正アクセスを防ぐ

情報資産は、データや書類だけでなく、情報を保存・処理するパソコン、サーバー、ネットワーク機器なども含みます。これらの機器が誰でも触れられる場所に設置されていると、機器の盗難や不正な操作、保存情報の持ち出しなどにつながる可能性があります。

例えば、サーバー室に入室できる人をシステム管理者などに限定すれば、関係者以外が機器に触れるリスクを低減できます。
また、重要書類を保管する部屋や、顧客情報を取り扱う部署のエリアに入室制限を設けることも有効です。

一方、入室を許可された人による不正行為や、入室後の機器の持ち出しなども想定しておく必要があります。そのため、入室権限の管理に加え、機器や書類の保管ルール、持ち出し手続き、利用履歴の確認などを組み合わせることが大切です。

物理的な入退室管理だけで、あらゆる不正アクセスを防げるわけではありません。システム上のアクセス権限や端末管理などと組み合わせることで、情報資産を多面的に保護する体制を構築できます。

入退室の記録をセキュリティ対策の証跡として残せる

入退室の履歴を記録しておくことは、日常的なセキュリティ管理だけでなく、トラブル発生時の状況確認にも役立ちます。

例えば、機器の紛失や書類の持ち出しが発覚した場合、対象エリアへの入退室履歴を確認することで、発生した時間帯に入室した人などを調査する手掛かりになります。
また、入室権限が適切に管理されているかを確認する際にも、記録を活用できます。

さらに、入退室管理のルールを定め、実際に運用し、その実施状況を記録しておくことは、情報セキュリティ対策の運用状況を説明するうえでも有用です。内部監査などで管理体制を確認する際にも、定めた手順に沿って運用していることを示す資料の一つになります。

ただし、入退室履歴だけで不正行為の有無や原因を断定できるわけではありません。記録の内容や精度を確認し、必要に応じて機器の管理記録や関係者への聞き取りなどと照合する必要があります。

記録を残すだけで終わらせず、確認が必要な場面で速やかに参照できるよう、保管方法や閲覧権限、保存期間もあらかじめ定めておきましょう。

ISMSに対応する入退室管理の方法

入退室管理には、鍵や入館証を使う方法から、ICカードや生体認証を活用する方法まで、さまざまな選択肢があります。施設の規模や管理対象となるエリア、必要なセキュリティ水準などを踏まえて、自社に適した方法を選びましょう。

鍵や入館証による入退室管理

比較的シンプルな方法として、物理的な鍵や入館証を利用した入退室管理があります。鍵を管理者が保管して必要な人に貸し出したり、入館証を発行して受付で本人確認を行ったりする方法です。

導入に大がかりなシステムが必要ないため、小規模なオフィスや、限られたエリアの管理から始めたい企業でも取り組みやすいというメリットがあります。
また、管理ルールを明確にすれば、入室できる人を一定程度制限できます。

一方、鍵や入館証を紛失・貸し借りされた場合、権限のない人が入室するリスクがあります。誰に鍵を貸し出しているのか、返却されたかどうかを確認する運用も欠かせません。鍵を交換した場合や従業員が退職した場合には、必要に応じて鍵の回収や権限の見直しを行う必要があります。

また、鍵を使った管理では、入室した日時や人物の履歴を自動で残すことが難しい場合があります。履歴の記録が必要なエリアでは、入退室簿を併用するなど、管理方法を工夫しましょう。簡便さだけで判断せず、求められる管理水準に合った方法を選ぶことが重要です。

ICカードやスマートフォンを利用した認証

ICカードやスマートフォンを利用した認証は、入退室管理システムで広く用いられる方法の一つです。利用者ごとに認証情報を割り当て、対応するリーダーや端末にかざすことで、入室の可否を判定します。

この方法のメリットは、利用者やエリアごとに入室権限を設定しやすいことです。例えば、一般的な執務エリアには従業員が入室できるようにし、サーバー室には特定の担当者だけが入室できるようにするといった運用が可能です。

システムによっては、認証履歴を自動的に記録し、後から入退室の日時などを確認できます。従業員の異動や退職に伴う権限の変更・削除も、システム上で管理できる場合があります。

ただし、カードの貸し借りや紛失、スマートフォンの置き忘れなどには注意が必要です。紛失時の利用停止手順を整備するとともに、本人以外が認証情報を利用できないよう、運用ルールを定めましょう。

導入時には、認証方法だけでなく、履歴の保存機能や管理画面、既存の設備との連携可否なども確認し、自社の運用に合ったシステムを選ぶことが大切です。

生体認証や入退室管理システムを活用する

より厳格な本人確認が必要なエリアでは、指紋や顔などの生体情報を利用した認証を検討する方法もあります。生体認証は、カードの貸し借りによるなりすましのリスクを低減しやすい点が特徴です。

また、入退室管理システムを導入すれば、認証だけでなく、利用者の権限設定や入退室履歴の確認などを一元的に管理できる場合があります。複数の拠点やエリアを管理している企業では、管理業務の効率化にもつながります。

一方、生体認証は、利用環境や機器によって認証精度が左右される場合があり、導入コストや運用負荷も考慮する必要があります。生体情報を取り扱う際には、利用目的やアクセス権限、保管方法など、個人情報・プライバシーへの配慮も欠かせません。

入退室管理システムを選ぶ際は、認証方法だけでなく、管理したいエリアの数や利用者数、履歴の検索・出力機能、障害発生時の対応なども確認しましょう。セキュリティの強化と日々の運用負荷のバランスを取りながら、継続して運用できる仕組みを整えることが重要です。

ISMSの入退室管理を運用する際のポイント

入退室管理は、システムや設備を導入すれば完了するものではありません。入室権限を適切に管理し、記録を確認できる状態を維持するとともに、組織や働き方の変化に応じて運用を見直す必要があります。

入室できるエリアと権限を適切に設定する

入退室管理を適切に運用するには、エリアごとに入室できる人や条件を明確にすることが重要です。すべての従業員がすべての部屋に入室できる状態では、機密情報や重要な機器を十分に保護できない可能性があります。

例えば、一般的な執務エリア、機密書類を保管する部屋、サーバー室などに分け、それぞれに必要な入室権限を設定します。権限を付与する際には、担当業務や役割を踏まえ、業務上必要な範囲に限定することが基本です。

また、従業員の異動や役職変更、退職などが発生した場合には、入室権限を速やかに見直す必要があります。退職者の認証情報が有効なまま残っていたり、異動前の権限が維持されていたりすると、不要なアクセスを許す原因になります。

そのため、人事部門や情報システム部門、施設管理担当者などが連携し、異動・退職の情報を入退室管理に反映できる手順を整備しましょう。権限の付与・変更・削除を誰が担当するのかを明確にしておくことも大切です。

入退室履歴を記録・管理する

入退室履歴は、セキュリティ上の問題が発生した際に状況を確認するための重要な情報です。記録を取得するだけでなく、必要なときに検索・確認できるように管理することが求められます。

まず、どのエリアでどのような履歴を取得するのかを整理しましょう。入退室の日時や利用者、対象エリアなど、管理目的に応じて必要な項目を定めます。また、履歴を誰が確認できるのか、どの程度の期間保存するのかについても、社内ルールとして明確にしておく必要があります。

システムを利用している場合は、履歴の検索や出力が可能か、記録に欠落がないか、異常が発生した際に管理者が確認できるかなどを定期的に点検しましょう。手作業で記録している場合は、記入漏れや記載内容の不統一が発生しないよう、記録方法を標準化することが大切です。

なお、入退室履歴には従業員の行動に関する情報が含まれる場合があります。利用目的を明確にし、閲覧権限を必要な担当者に限定するなど、プライバシーにも配慮して管理しましょう。

定期的に運用状況や権限を見直す

入退室管理のルールは、一度策定したら終わりではありません。組織変更や人員の増減、オフィスのレイアウト変更、働き方の変化などによって、適切な管理方法も変わるためです。

例えば、フリーアドレスを導入して従業員の働く場所が固定されなくなった場合、従来の運用では入室権限や利用状況を十分に把握できないことがあります。
また、オフィスの移転や新しいエリアの設置に伴い、管理対象や権限の設定を見直す必要が生じることもあります。

こうした変化に対応するため、定期的に入室権限の一覧を確認し、不要な権限が残っていないか、設定内容が実際の業務に合っているかを点検しましょう。入退室履歴やインシデントの発生状況を確認し、現在の管理方法で十分な対策が取れているかを評価することも有効です。

さらに、社内ルールと実際の運用にずれがないかを確認し、問題があれば手順や管理体制を改善します。定期的な見直しを継続することで、環境の変化に対応できる入退室管理体制を維持しやすくなります。

ISMSの入退室管理にはシステムの活用がおすすめ

入退室管理を手作業で行う場合、記録の作成や集計、履歴の検索などに時間がかかることがあります。管理対象となるエリアや従業員が増えるほど、管理担当者の負担も大きくなります。こうした課題を解消する方法として、入退室管理システムの活用が挙げられます。

入退室情報を自動で記録できる

入退室管理システムを活用するメリットの一つは、対応する認証設備と連携することで、入退室情報を自動的に記録できる点です。従業員がカードやスマートフォンなどで認証すると、システムに日時や利用者などの情報が記録される仕組みであれば、手書きの入退室簿を運用する場合と比べて、記入漏れや転記ミスを減らしやすくなります。

また、記録がシステム上に集約されることで、管理担当者が履歴を確認する際の手間も軽減できます。紙の記録を保管場所から探したり、複数の台帳を突き合わせたりする作業を減らせる可能性があります。

ただし、自動記録が可能かどうかは、導入するシステムや認証設備の仕様によって異なります。すべての入退室が自動的に記録されるとは限らないため、対象となる扉やエリア、記録される項目、障害発生時の扱いなどを事前に確認することが重要です。

システムの導入にあたっては、現在の管理方法で発生している課題を整理し、どの作業を効率化したいのかを明確にしましょう。目的に合った仕組みを選ぶことで、管理業務の負担を軽減しながら、入退室管理の精度向上を目指せます。

入退室履歴を確認・管理しやすくなる

入退室管理システムでは、取得した履歴を画面上で検索・確認できるものがあります。紙の台帳を使用している場合、特定の日時や人物に関する記録を探すために、複数の書類を確認しなければならないことがあります。一方、検索機能を備えたシステムであれば、必要な条件で履歴を絞り込み、確認作業を効率化できる可能性があります。

例えば、機器の紛失や施設内でのトラブルが発生した際に、対象となる時間帯の入退室履歴を確認すれば、調査の手掛かりを得られます。
また、定期的な権限の見直しや内部監査に向けて、必要な記録を整理しやすくなる点もメリットです。

ただし、履歴を確認できることと、問題の原因を特定できることは同じではありません。入室記録だけでは、入室後に何をしたのか、物品を持ち出したのかまでは判断できない場合があります。必要に応じて、資産管理台帳や貸出記録、関係者への聞き取りなどと組み合わせて確認することが大切です。

導入時には、履歴の検索条件や出力形式、保管期間、閲覧権限などを確認し、自社の管理業務に必要な機能が備わっているかを検討しましょう。

従業員の所在把握と組み合わせてセキュリティを強化する

入退室管理では、従業員が特定のエリアに入室したことを把握できますが、入室後にオフィス内のどこにいるのかまでは分からない場合があります。そこで、従業員の所在把握に活用できる仕組みを組み合わせることで、施設への入退室情報だけでは把握しにくい状況を補える可能性があります。

例えば、入退室履歴によってオフィスへの入館を確認し、位置情報を活用して執務エリア内での所在を把握できれば、従業員がどのエリアを利用しているかを確認しやすくなります。災害時などには、従業員の所在を確認するための情報の一つとして活用することも考えられます。

また、機器や備品の所在を把握する仕組みと組み合わせれば、物理的なセキュリティ対策や資産管理の改善にもつなげられます。ただし、位置情報だけで入室の許可・不許可を判定したり、不正行為の有無を断定したりできるわけではありません。

重要なのは、それぞれのシステムの役割を整理し、入退室の制御、履歴の記録、従業員の所在把握などを目的に応じて組み合わせることです。自社の運用に必要な情報を明確にしたうえで、適切な仕組みを選びましょう。

Beacapp Hereで入退室管理と従業員の所在把握を実現

ISMS対策として入退室管理を適切に運用するには、入退室の記録だけでなく、従業員の所在やオフィスの利用状況を把握することも、管理体制を見直すうえで役立ちます。Beacapp Hereは、位置情報を活用してオフィス内の人の所在や利用状況を可視化するサービスです。入退室に関するデータも活用しながら、日常のオフィス運用やセキュリティ対策を支援します。

入退室データを取得してオフィスの利用状況を把握

オフィスのセキュリティを考える際には、誰が施設に入退室したかを記録することに加え、実際のオフィス利用状況を把握することも重要です。入退室に関するデータを取得できる仕組みを活用すれば、従業員の入館・退館状況などを確認し、オフィスの運用を見直すための情報として活用できます。

例えば、入退室データを確認することで、出社状況やオフィスの利用傾向を把握しやすくなります。こうした情報は、施設の利用ルールや管理体制を検討する際の参考になります。

Beacapp Hereでは、位置情報を活用してオフィス内の従業員の所在を可視化できます。入退室に関するデータを活用する仕組みと組み合わせることで、施設への出入りとオフィス内での所在を、それぞれの目的に応じて把握する運用が考えられます。

なお、実際に取得できる入退室データや連携方法は、利用する設備やシステム構成によって異なります。導入を検討する際は、必要なデータを取得できるか、既存の入退室管理設備と連携できるかを確認することが大切です。

位置情報と組み合わせて従業員の所在を可視化

オフィス内で従業員がどこにいるのかを把握できると、日常の業務運営だけでなく、セキュリティ対策や緊急時の対応にも役立ちます。特に、フリーアドレスを導入しているオフィスでは、従業員が固定席を持たないため、所在を確認するために本人へ連絡したり、オフィス内を探したりする場面が生じることがあります。

Beacapp Hereは、位置情報を活用して従業員の所在を可視化することで、オフィス内での所在確認を支援します。例えば、従業員がどのエリアにいるのかを確認しやすくなれば、担当者への連絡や社内での情報共有を円滑に進めやすくなります。

こうした所在情報は、入退室履歴とは異なる観点からオフィスの状況を把握するための情報になります。入退室履歴だけでは分からない、入室後の所在確認を補助する用途も考えられます。

ただし、位置情報の取得範囲や更新頻度、表示される情報は、利用する機器や設定などによって異なります。また、所在情報をセキュリティ対策に活用する場合は、利用目的を明確にし、従業員への説明や閲覧権限の管理などにも配慮しましょう。

ISMS対策や日常のオフィス運用に活用する

ISMSに対応する入退室管理では、入室できる人を制限することに加え、管理ルールが適切に運用されているかを継続的に確認することが重要です。そのためには、入退室履歴や権限情報だけでなく、オフィスの利用状況や従業員の所在など、管理目的に応じた情報を組み合わせて活用することも有効です。

例えば、入退室データを施設の利用状況の把握に活用し、Beacapp Hereによる所在情報を日常のオフィス運用に役立てることで、従業員の所在確認や働く場所の可視化を支援できます。こうした情報を活用して、管理ルールや運用上の課題を見直すことも考えられます。

ただし、Beacapp Hereは、入退室管理システムそのものや、物理的な入室制限を行う認証設備の代わりになるものではありません。
また、Beacapp Hereの導入だけでISMSの要求事項を満たせるわけではありません。入室権限の設定や認証、履歴管理などの対策と組み合わせ、組織全体の情報セキュリティ管理体制の中で活用することが重要です。

自社が抱える課題や必要な管理項目を整理したうえで、既存の入退室管理設備との連携可否や取得できる情報を確認し、適切な運用方法を検討しましょう。