ISMS認証の更新審査を控え、物理的アクセス制御の要件をどう整理すればよいか悩んでいませんか。ISO/IEC 27001:2022への移行で管理策の構成が変わり、A.7として物理的セキュリティが再編されたことで、社内文書の見直しに追われている担当の方も多いはずです。本記事では、A.7.2「物理的入退」を中心に、審査で問われる要件、認証方式の選定基準、記録保存の実務ポイントを技術的な観点から整理します。読了後には、自社の入退室管理が要件を満たしているか自己点検できる状態を目指します。
ISMS物理的アクセス制御の要件は「区画設計」と「記録」が核心
ISO/IEC 27001:2022の物理的アクセス制御は、A.7.1「物理的セキュリティ境界」からA.7.4「物理的セキュリティの監視」まで一連の管理策で構成されており、要件の核はセキュリティエリアの区画設計と入退室記録の保存の2点に集約されます。単に鍵付きドアを設置するだけでは不十分で、情報資産のリスク評価に基づいた多層防御と、事後追跡可能な記録運用が求められます。
2022年改訂により管理策は114から93に統合されましたが、物理的入退の要件レベルは緩和されていません。むしろ「監視」がA.7.4として独立して明記されたため、記録と監視ログの整合性を問われる場面が増えています。
情報資産を扱う執務室と来客対応スペースが同じ動線になっていないか、審査員はまず現地確認で見ています。設計図面上は分かれていても、実際の運用で扉を開けっぱなしにしているケースは審査での指摘常連項目です。
Q: ISO27001:2022でA.7.2物理的入退の審査ポイントは何ですか？
A: 認可された人のみが入室できる仕組み、入退室記録の保存、来訪者管理手順の3点が中心。区画ごとにアクセス権を管理し、記録は最低6ヶ月から1年程度保存する運用が一般的です。
セキュリティエリアの区画設計と多層防御の考え方
物理的入退の管理策を実装する第一歩は、施設内を情報資産の重要度に応じてゾーニングすることです。ISMS Guideによると、一般的には「公共エリア（受付・来客対応）」「執務エリア（従業員のみ）」「制限エリア（サーバー室・機密文書保管室）」の3層構造で設計されます。
各ゾーンの境界には物理的な障壁と認証装置を配置し、内側のエリアほど強い認証方式を採用するのが基本原則です。たとえば執務エリア入口はICカード認証、サーバー室入口はカード＋暗証番号の二要素、といった段階的な設計になります。
区画設計で見落とされがちなのが「バイパス経路」の存在です。正面入口は厳格に管理していても、通用口や非常口、荷捌き場からの侵入経路が野放しになっていれば区画の意味がありません。非常口は防災法規上、内側から常時開放可能である必要がありますが、外側からの侵入検知はセンサーやカメラで補完する運用が推奨されます。
正直なところ、私も以前オフィス移転プロジェクトで区画設計を担当した際、非常階段からの動線を見落として指摘を受けた経験があります。図面レビューの段階で全ての開口部を洗い出しておくことが肝心です。
Q: セキュリティエリアはいくつに区分すべきですか？
A: 情報資産の機密度に応じて最低3層（公共・執務・制限）が推奨されます。ISO/IEC 27001に具体的な層数の規定はなく、リスクアセスメント結果に基づいて自社で決定します。
認証方式の選定基準と技術的トレードオフ
物理的入退の認証方式は、セキュリティ強度・利便性・コスト・運用負荷のバランスで選定されます。ISMS Guide の記述にあるように、生体認証（指紋）は「なりすまし困難、コスト中程度」で高セキュリティエリアに、生体認証（顔・虹彩）は「高精度、コスト高」で最高セキュリティエリアに適しています。
認証方式ごとの特性を整理すると次のようになります。
| 認証方式 | 強度 | 運用負荷 | 適用エリア |
|---|---|---|---|
| ICカード | 中 | 低（発行・回収管理） | 執務エリア |
| 暗証番号 | 低〜中 | 中（定期変更必要） | 補助的用途 |
| 生体認証 | 高 | 中（初期登録・退職時削除） | 制限エリア |
| 二要素認証 | 最高 | 中〜高 | サーバー室等 |
審査対応の観点では、認証方式そのものよりも認証情報のライフサイクル管理が問われます。従業員の入社時にどのタイミングで認証情報を発行し、異動時に権限を見直し、退職時に確実に削除しているか。この一連の手順が文書化され、実際の記録と一致していることが重要です。
「退職者のICカードが半年後もアクティブなままだった」という事例は、審査で不適合となる典型例です。人事システムと入退室管理システムの連携、あるいは月次での棚卸し手順を確立しておく必要があります。
来訪者管理も忘れてはいけません。受付での本人確認、訪問先確認、入館証発行、退館時の返却、という一連の手続きが記録として残るように運用します。紙台帳でも要件は満たせますが、記録の改ざん防止と検索性を考えるとシステム化が現実的です。
Q: ISMS審査で二要素認証は必須ですか？
A: 必須ではありません。リスクアセスメントの結果、単一認証で許容できると判断すれば単一でも可。ただしサーバー室など重要情報資産を扱うエリアでは二要素が推奨されるのが実態です。
入退室記録の保存期間と監視ログの実務
A.7.4「物理的セキュリティの監視」で明示された記録要件は、ISMS審査で最も具体的な証跡を求められる部分です。認証パートナーの解説によると、入退室記録は「誰が・いつ・どこに」入退室したかを追跡可能な形で保存する必要があります。
保存期間について明確な規定はありませんが、実務では最低6ヶ月〜1年、重要施設では2〜3年保存が一般的です。個人情報保護法や業界規制（金融・医療など）が上乗せで要件を課している場合はそちらが優先されます。
記録項目として最低限含めるべきは、以下の内容です。
- 利用者ID（従業員番号または来訪者ID）
- 通過日時（分単位以上の精度）
- 通過扉ID（どのエリア境界か特定できるもの）
- 認証結果（成功・失敗）
失敗ログの記録は見落とされがちですが、不正侵入試行の検知に不可欠です。同一IDで短時間に複数回失敗しているケース、深夜帯の失敗ログが集中しているケースなどは、監視ルールとしてアラート化しておくと審査での説明がしやすくなります。
監視カメラ映像との突合ができる運用も評価ポイントです。入退室ログの時刻とカメラ映像のタイムスタンプがずれていると、インシデント調査時に整合性を証明できません。NTPによる時刻同期は基本ですが、意外に運用が甘くなりがちな箇所です。
Q: 入退室記録は何年保存すればよいですか？
A: ISO/IEC 27001に明示規定はなく、リスクアセスメントに基づき自社で決定します。実務上は最低6ヶ月〜1年、金融・医療分野では法令要件で2〜7年が求められる場合があります。
Lavish電気錠で実現する審査対応可能な入退室管理
これまで整理してきた要件を実装する際、施設規模と既存インフラに応じたシステム選定が課題になります。オフィスビルや複数拠点を持つ企業では、電気配線式の電気錠システムが選択肢の中心となります。
弊社のLavish電気錠システムは、ISMS審査で問われる要件を実務レベルで満たせる構成を備えています。登録ユーザー数は最大20,000人まで対応するため、大企業の全拠点統合や、来訪者を含めた大規模運用にも対応可能です。
技術仕様面では、電磁錠のコイルに銅を採用しており、長期運用での耐久性を確保しています。DC12V・24V両対応で既存の電気錠設備との親和性が高く、リプレース案件でも柔軟に組み込めます。屋外エントランスでの利用を想定したIP66準拠の防水性能を持つモデルもラインナップされています。
リーダーは3モード（スタンドアローン / Wiegand出力 / 制御器モード）で動作するため、既存の入退室管理システムに後付けで組み込む構成にも、単独運用にも対応できます。PCソフトウェアによる集中管理機能で、ユーザー登録・権限変更・ログ閲覧が一元化でき、ISMS審査で求められる記録の追跡性を確保します。エントランスからエレベーター制御まで、区画設計に応じた多層防御を1つのシステムで構築可能です。
保証期間は2年間で、日本国内の各メーカー製電気錠との互換性も検証済みのため、既存資産を活かした段階的な導入が可能です。
区画設計の見直しや認証方式の選定、記録運用の設計まで含めて、自社のISMS要件に沿った構成をご提案します。次回審査までに物理的アクセス制御を強化したい方は、お問い合わせよりお気軽にご相談ください。導入事例や技術資料もあわせてご案内いたします。