監査法人から「サーバ室の入退室ログはどう管理していますか？」と問われ、紙の入退室簿を差し出したものの、記録漏れや後書きの跡を指摘された経験はありませんか。J-SOX（内部統制報告制度）の運用が15年ぶりに改訂され、2024年4月以降の決算期から新基準が適用されました。物理的なアクセス制御は IT 全般統制（ITGC）の根幹であり、サーバ室の入退ログはその証跡として監査対象になります。この記事では、内部統制担当者が押さえるべきログの要件、実務での運用上の落とし穴、そして電気錠を活用した記録の自動化について整理していきます。
サーバ室の入退ログがJ-SOXで問われる理由
結論から言うと、サーバ室の入退ログは IT 全般統制における「アクセス管理」の直接的な証跡であり、記録の欠落や改ざん可能性があれば統制が有効と評価されない可能性があります。財務報告に関わるシステムが稼働する物理空間へのアクセス統制は、論理アクセス制御と並んで監査人が必ず確認する領域です。
J-SOX における IT 全般統制は、一般に「アクセス管理」「変更管理」「運用管理」「開発管理」の 4 領域で語られます。このうちアクセス管理には、ID/パスワードなどの論理面だけでなく、機器そのものへの物理アクセスも含まれます。財務データを保持するサーバへ、権限のない人物が物理的に近づけてしまう状態は、それだけで統制の不備と判断されうるためです。
内部統制担当として現場で悩ましいのは、「どのレベルまでログを残せば監査に耐えるのか」という線引きではないでしょうか。判断基準は監査法人ごとに異なる部分もありますが、少なくとも「誰が」「いつ」「どのドアから入退室したか」を客観的に、後から改ざんできない形で記録できていることが最低ラインとされます。
Q: サーバ室の入退室ログはJ-SOX上どこまで詳細に記録すべきですか？
A: 個人単位で入室時刻・退室時刻・扉の識別が記録され、事後改ざんが困難な形式で一定期間保管されていることが求められます。多くの企業で7年保管が採用されています。
2024年改訂で押さえるべき変更点と物理統制への影響
2008年の制度開始から15年ぶりとなる改訂により、評価範囲やITを利用した業務への対応が見直されました。OSK が公開する解説によると、今回の改訂ではリスクベース・アプローチの強化、クラウドサービス利用時の統制、サイバーセキュリティ対応の明確化などが盛り込まれています。
物理統制の観点でも、この改訂は無関係ではありません。特にクラウド移行が進む中で「オンプレミスのサーバ室に残っている機器は何か」「その機器は財務報告に関わるのか」を整理し直す動きが求められています。全社的にクラウド化した企業でも、認証サーバやバックアップ装置、ネットワーク機器はオンプレミスに残るケースが多いのが実情です。
社内でヒアリングをしていて意外だったのは、「サーバ室の鍵はセキュリティ会社に預けていて誰が入ったか分からない」「委託先の作業員が同行者として一緒に入っていて記録が個人単位で取れていない」という声が今も少なくないことです。改訂を機に、こうした運用上の抜け穴を棚卸しする必要があります。
読者の方の会社では、業務委託先の作業員がサーバ室へ入る際、個人単位で認証情報を発行できていますか？共用カードを使い回している場合、監査で「個人特定性」を問われた瞬間に対応が難しくなります。
Q: 2024年のJ-SOX改訂でサーバ室管理は何が変わりましたか？
A: 直接的な物理統制の追加要件はありませんが、リスクベース・アプローチ強化により、財務報告に関与する物理資産の棚卸しと、それに応じた統制設計の見直しが求められます。
監査に耐える入退ログの5つの要件
紙の入退室簿から電子ログへ移行する際、「どんな要件を満たせばよいのか」という具体像がなかなか見えづらいものです。ここでは実務で監査人に説明できるログの要件を、5つの観点で整理します。
第一に「個人特定性」。ログに残る認証情報が、実在する個人と一対一で紐づいていることが必要です。共用IDや共用カードでの入室は、監査上「誰の行為か特定できない」と判断されがちです。
第二に「網羅性」。入室だけでなく退室、そして認証エラー（不正な試行）まで記録されているかが重要になります。第三に「時刻の正確性」で、NTP等でシステム時刻が同期され、他システムのログとの突合が可能な状態が望ましいとされます。
第四に「非改ざん性」。ログの書き換えや削除ができない、あるいはできた場合に痕跡が残る仕組みが求められます。第五が「保管期間」で、金融商品取引法上の会計帳簿等と歩調を合わせ、多くの企業で7年間の保管を採用しています。
Q: 入退ログは何年間保管する必要がありますか？
A: J-SOX自体は明示していませんが、会社法や税法上の帳簿保存期間との整合から、実務では7年間の保管を採用する企業が多く見られます。
電気錠を活用した入退管理の実装アプローチ
ここまで整理した要件を満たすには、扉に電気錠を設置し、認証装置とログ管理システムを組み合わせるのが現実的な選択肢です。既存の機械錠を電気錠に置き換えることで、入退時の認証をデジタルに記録できるようになります。
設計上のポイントは3つあります。1つ目は「認証方式の選定」で、ICカード、暗証番号、指紋などから、共用リスクの低い方式を選ぶことです。2つ目は「入室と退室の両方向を記録する構成」で、片開き扉であればリーダーを内外両側に設置する、あるいはリクエスト・トゥ・エグジット（退室ボタン）と組み合わせる設計が一般的です。3つ目が「ログ集約と権限管理の一元化」で、複数扉のログをPCで統合管理できる仕組みが実務では欠かせません。
もう一つ現場で見落とされがちなのが、認証装置の「モード設定」です。単独の扉で完結する小規模構成なのか、複数扉の入退室を制御器で一括管理する構成なのかで、必要な機器と配線が変わります。サーバ室が1室だけならスタンドアローン運用でも問題ありませんが、複数拠点やエントランス連動が必要になると、制御器モードでの設計が現実的です。
Q: 既存の機械錠のドアにも電気錠を後付けできますか？
A: 多くのドアで後付け可能ですが、扉の材質、厚み、枠との位置関係、電源の引き回しが可否と工事費に影響します。事前の現地調査が推奨されます。
Lavish電気錠でJ-SOX対応の物理アクセス制御を整える
内部統制対応でサーバ室の入退管理を刷新する場合、弊社の Lavish は要件を満たす選択肢の一つです。銅コイル採用の電磁錠は長寿命・高耐久で、防水 IP66 準拠のリーダーは屋外設置にも対応します。DC12V・24V の両電圧に対応し、既設電源に合わせた設計がしやすい設計です。
登録ユーザー数は最大20,000人まで対応するため、拠点統合や大規模組織でも運用が可能です。付属の PC 管理ソフトウェアで、複数扉の入退室ログをローカル環境で集約・監視でき、監査対応時の証跡出力にも活用いただけます。ローカル API も提供しているため、既存の勤怠システムやIT資産管理ツールとの連携カスタマイズも実装可能です。
リーダーは「スタンドアローン」「Wiegand 出力」「制御器モード」の3モードから選択できるため、単独のサーバ室扉から複数拠点のエントランス・エレベーター連動まで、段階的に構成を拡張できます。日本国内主要メーカーの電気錠と互換性があるため、既存設備を活かした部分更新にも対応可能です。
導入前の現地調査、扉ごとの構成設計、監査対応を見据えたログ運用のご相談まで、担当エンジニアが個別にサポートいたします。J-SOX対応のスケジュールに合わせた提案が必要な方は、まずは現状の課題をお聞かせください。
お問い合わせから、サーバ室構成・扉数・認証方式のご希望などをお知らせいただければ、最適な構成をご提案します。製品仕様の詳細は製品一覧からご確認いただけます。