法規制
入退室管理のISMS要件｜物理的管理策と記録運用の実務ポイント
目次
ISMS認証の取得や更新審査を控え、入退室管理のISMS要件をどこまで満たせばよいのか迷っているセキュリティ担当者の方は多いでしょう。規格は「何を管理すべきか」を示していますが、「どの機器を使い、記録を何年残すか」までは決めていません。そのため、自社のリスクに合わせて運用を設計する必要があります。
ここでは、物理的管理策を入退室管理に落とし込む考え方、区画ごとの認証方式の選び方、入退室ログの保管とレビューのポイントを順に整理しました。最後に、電気錠とクラウドを使った実装例もご紹介します。
入退室管理のISMS要件は「区画・認証・記録」の3点で考える
入退室管理でISMSが求めているのは、守るべき情報資産がある場所を区切り、入れる人を限定し、その出入りを記録・確認できる状態にすることです。具体的な機器や保存年数は規格で定められていないため、リスクアセスメントの結果に基づいて自社で決め、文書化して運用する必要があります。
ISMSの要求事項を定めた国際規格がISO/IEC 27001、それを日本語化した規格がJIS Q 27001です。附属書Aには、組織・人・物理・技術の各分野にわたる管理策（リスクを下げるための対策）が並んでいます。物理的な分野では、物理的セキュリティ境界、物理的入退、オフィスや部屋・施設のセキュリティ、物理的セキュリティの監視といった項目が挙げられています。
どの管理策を採用し、どう実施するかを示す文書が「適用宣言書」です。入退室管理の対策は、この適用宣言書と実際の運用が一致していることが前提になります。
※管理策の番号や名称は版によって異なります。正確な内容は最新の規格本文をご確認ください。
現場でよくある例として、審査員から「サーバー室に入れる人の一覧と、先月の入室記録を見せてください」と求められ、権限一覧はExcel、記録は紙の台帳、と別々の場所から探し出すことになるケースがあります。どちらも存在してはいるものの、両者を突き合わせた形跡がなければ「管理できている」とは言いにくいのが実情です。
規程は整っているのに、運用の証跡を出すのに毎回苦労している、と感じたことはありませんか？ 入退室管理のISMS要件を考えるときは、「区画」「認証」「記録」の3つに分けて整理すると、規程と運用のズレを見つけやすくなります。
Q: ISMSでは入退室管理に何が求められますか？
A: ISO/IEC 27001附属書Aの物理的管理策に沿い、セキュリティ境界の設定、入室者の限定、出入りの記録と監視を、自社のリスクに応じて実施・文書化することが求められます。
物理的セキュリティ境界と認証方式の選び方
区画設計は、入退室管理のISMS要件の出発点です。来訪者が出入りする受付、社員が働く執務エリア、限られた人だけが入るサーバー室や書庫といったように、扱う情報の重要度に応じてゾーンを分けます。
ゾーンが決まれば、それぞれに必要な認証の強さも見えてきます。執務エリアはICカード、サーバー室はカードに暗証番号や顔認証を組み合わせる、といった段階的な設計が一般的です。
意外に思われるかもしれませんが、審査で指摘されやすいのは認証方式そのものより「権限の付与と削除が手順どおりに行われているか」という点です。
現場でよくある例として、退職者や異動者のカードを無効化し忘れ、権限一覧と実際に入れる人がずれてしまうケースがあります。人事異動の多い4月や10月は特に起こりやすいため、人事の手続きと入退室権限の変更を一つのフローにまとめておくと安心でしょう。
重要な区画では、1枚のカードで複数人が入る「共連れ」への対策も検討したいところです。代表的な仕組みには次のようなものがあります。
- アンチパスバック：入室の記録がない人は退室できない（またはその逆）ようにし、記録の抜けを防ぐ
- インターロック：前の扉が閉まるまで次の扉を開けられないようにする二重扉の制御
- 二重認証・複数人認証：2つの認証手段を求める、または複数人がそろわないと開かない仕組み
- 時間帯制限：曜日や時刻によって入室できる時間を限定する
すべてを導入する必要はありません。リスクアセスメントで「サーバー室への不正侵入」の評価が高ければアンチパスバックやインターロックを、深夜の入室が懸念されるなら時間帯制限を、というように、評価結果と対策を結び付けて説明できる状態が理想です。
自社のサーバー室には、本当に「入るべき人」だけが入れているでしょうか？
Q: サーバー室の入退室管理ではどんな認証方式が向いていますか？
A: カードと暗証番号の組み合わせや顔認証など、執務エリアより強い認証が一般的です。共連れ対策としてアンチパスバックやインターロックの併用も検討されます。
入退室ログの保管期間とレビュー：ISMS審査で問われる記録運用
「入退室ログは何年保管すればよいのか」という質問は、セキュリティ担当者の方から特によく寄せられます。
結論として、ISO/IEC 27001やISMSは、ログの保管年数（「過去12ヶ月」など）を規格として定めていません。保存期間は組織が自ら決めるものです。インシデント発生時にさかのぼって調査したい期間や、取引先との契約上の要求などを踏まえて期間を決め、規程に明記して守ることがポイントになります。
正直なところ、保管期間よりも見落とされやすいのが「レビュー」です。
現場でよくある例として、入退室システムは何年分もの記録を自動で残しているのに、誰も中身を確認していないケースがあります。記録が残っているだけでは、不審な入室に気づけません。月に一度、サーバー室の入室者を権限一覧と照合する、深夜や休日の入室を抽出して確認する、といった具体的な手順と担当者を決めておきましょう。照合した日付と結果を残しておけば、それ自体が審査での証跡になります。
ログの時刻の正確さも見逃せない要素です。技術的な管理策には時刻同期に関する項目も含まれており、入退室ログと監視カメラ映像、PCのログオン記録を突き合わせるとき、機器ごとに時計がずれていると調査が難しくなります。
記録をクラウドで扱う場合は、クラウドサービスの情報セキュリティに関する規格も参考になるでしょう。情報マネジメントシステム認定センター（ISMS-AC）は、2026年7月28日付で「ISO/IEC 27017:2026発行のお知らせ」を掲載しています。クラウド上で入退室ログを管理する際の考え方を整理するうえで、最新の公式情報をあわせてご確認ください。
保管しているログを、最後に見返したのはいつだったか思い出せますか？
Q: ISMSで入退室ログの保管期間は決まっていますか？
A: ISO/IEC 27001・ISMSでは保管年数を定めていません。調査に必要な期間や契約上の要求を踏まえて組織が期間を決め、規程に明記して運用します。
Lavishの電気錠でISMS対応の入退室管理を組み立てる
ここまでの「区画・認証・記録」を、機器でどう実現するか。弊社の電気錠ブランドLavishでの構成例をご紹介します。
区画ごとの制御の中心になるのが、ネットワーク制御器 COA-23F／COA-45F です。登録できる人数は20,000人で、インターロック、アンチパスバック、二重認証、複数人認証、曜日・休日スケジュールによる時間帯制限に対応しています。前の章で触れた共連れ対策や時間帯制限を、この制御器で組み立てられます。詳しくはネットワーク対応制御器のページをご覧ください。
記録とレビューの運用には、クラウドゲートウェイ GW-2（有線LAN）を追加し、当社のクラウドサービス WatchKey につなぐ構成が向いています。WatchKeyでは、入退室履歴を期間・扉・利用者で絞り込んで取得でき、扉や出来事ごとにメールやWebhookで通知を受け取ることも可能です。利用者・カードの登録や削除はCSVでの一括登録にも対応しており、異動の多い時期の権限変更に役立ちます。
ISMSの観点で押さえておきたいのは、WatchKey上の操作が記録されること、APIトークンの権限を操作ごと・扉ごとに絞れること、そしてCOAの時刻が自動で補正されることです。権限管理と時刻の正確さという、審査で問われやすい点を運用面から支えます。WatchKeyの利用料は月額0円、APIの利用料も無料です（機器代・施工費・回線費は別途）。なお、回線が切れても、COAに登録済みのカードで入退室は続けられます。
クラウドを使わない場合は、無料の管理ソフト Lavish Smart Access（Windowsのみ）によるローカルPCでの管理も選べます。
サーバー室など認証を強めたい扉には、顔認証機 RESR-QF7-M（顔・QRコード・MIFARE® カード）も選択肢になります。顔の登録人数は5,000人です。マスクやサングラスを着けたままでは顔認証できないため、運用ルールとあわせて検討してください。
Lavishの製品はすべて2年保証で、故障時は当社が修理・交換を行います。扉への取り付けや配線には専門の知識が必要なため、ご相談・現地調査・お見積りから施工まで当社で承るほか、お付き合いのある施工店経由でのご導入も可能です。
Q: Lavishで入退室ログをクラウド管理するには何が必要ですか？
A: ネットワーク制御器COA-23F／COA-45FにクラウドゲートウェイGW-2を追加し、WatchKeyにつなぎます。履歴を期間・扉・利用者で絞り込んで確認でき、利用料は月額0円です。
次回のISMS審査までに入退室管理を見直したい方は、まず現在の区画と権限一覧を書き出してみてください。サーバー室の構成例はサーバー室・データセンター向けのページ、クラウド管理の詳細はクラウドゲートウェイ GW-2のページにまとめています。自社の規程に合った構成を相談したい方は、下記からお気軽にご連絡ください。
