営業時間 10:00 〜 19:00 (月〜金)

オフィスの物理セキュリティ・入退室管理はどこまで必要？個人情報保護法の物理的安全管理措置とIPAのひな形・費用ゼロでできる対策【中小企業向け】

鍵のかかっていないオフィスから書類やパソコンが持ち出される状態と、領域を区分して施錠・記録まで整えた状態を比べたイメージ

「ウイルス対策ソフトも入れたし、パスワードも強くした。でも、事務所の鍵と書類はこれで大丈夫なのだろうか」——中小企業の経営者・情シス担当の方から、いま静かに増えている相談です。

結論から申し上げます。物理セキュリティ（オフィスの入退室管理、施錠、書類や機器の管理）は、「余裕が出たらやること」ではなく、個人情報保護法が「講じなければならない」と定めている義務です。しかも、上場企業の情報漏えい事故を集計すると、およそ7件に1件は「紛失・誤廃棄」や「不正持ち出し・盗難」といった物理起因で起きています。
そして中小企業にとって重要なのは、この分野は費用をかけずにできることが非常に多いという点です。区域を分ける、施錠する、記録を残す、机の上を片づける——この4つはほとんど0円で始められます。

この記事では、①個人情報保護法が求める「物理的安全管理措置」の中身、②IPAが無料で配っているひな形に載っている3段階の領域区分表、③取引先から評価される自工会ガイドラインで物理セキュリティが単独最大の19項目を占めている事実、④0円でできる対策と、入退室管理システムを入れる場合の費用相場、⑤中小企業が何から手をつければよいかを、一次資料の言葉に沿って整理します。

物理セキュリティとは？──「カメラと鍵」だけの話ではない

情報セキュリティの対策は、公的なガイドラインでは大きく4つに分けて整理されます。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」でも、安全管理措置は次の区分で説明されています。

種類	何を守る対策か	中小企業での具体例
組織的安全管理措置	体制・ルール・記録	責任者を決める、規程を作る、取扱状況を点検する
人的安全管理措置	従業員の教育と監督	研修を行う、就業規則に秘密保持を盛り込む
物理的安全管理措置	場所・機器・書類・媒体	区域を分ける、施錠する、持ち運びを守る、確実に捨てる
技術的安全管理措置	情報システム	アクセス制御、ID・パスワード、ウイルス対策

つまり物理セキュリティとは、「情報が置いてある“場所”と“モノ”を守る対策」のことです。監視カメラや電気錠のような設備の話に見えがちですが、実際の中身は「誰がどこに入れるかを決める」「机の上に置きっぱなしにしない」「持ち出しのルールを決める」「捨て方を決める」といった運用のルールが中心で、設備は最後に来ます。

なぜ今さら物理対策が必要なのか？──漏えい事故の「7件に1件」は物理が原因

東京商工リサーチが公表した「2025年上場企業の個人情報漏えい・紛失事故」調査によると、2025年に上場企業とその子会社が公表した事故は180件（158社、3,063万6,910人分）でした。その原因の内訳は次のとおりです。

原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4％
誤表示・誤送信	37件	20.5％
紛失・誤廃棄	18件	10.0％
不正持ち出し・盗難	7件	3.8％

注目していただきたいのは下の2行です。「紛失・誤廃棄」18件と「不正持ち出し・盗難」7件を合わせると25件、全体の13.8％。およそ7件に1件が、サイバー攻撃ではなく“物理”で起きています。

注意：これは「公表している上場企業」の数字です。ノートパソコンの置き忘れ、書類の紛失、退職者による持ち出しといった事故は、公表義務のない中小企業では表に出にくいだけで、起きていないわけではありません。むしろ、入退室の記録も持ち出しの記録も残っていない会社では、「何が持ち出されたのかを後から特定できない」という、より深刻な状態になります。

▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点

法律ではどこまで求められている？──個人情報保護法の「物理的安全管理措置」

個人情報を1件でも事業で扱っていれば、その会社は個人情報取扱事業者です。個人情報保護委員会のガイドライン（通則編）は、物理的安全管理措置として次の4つを「講じなければならない」と定めています。手法の例示と、従業員100人以下の「中小規模事業者」向けの例示も、あわせて示されています。

講じなければならない措置	手法の例示	中小規模事業者における手法の例示
（1）個人データを取り扱う区域の管理	管理区域は「入退室管理及び持ち込む機器等の制限等」。入退室管理の方法としてICカード、ナンバーキー等による入退室管理システムの設置等。取扱区域は「間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置の実施等」	個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる
（2）機器及び電子媒体等の盗難等の防止	施錠できるキャビネット・書庫等に保管する。機器のみで運用されている場合は当該機器をセキュリティワイヤー等により固定する	（同左）
（3）電子媒体等を持ち運ぶ場合の漏えい等の防止	持ち運ぶ個人データの暗号化、パスワードによる保護。封緘、目隠しシールの貼付け。施錠できる搬送容器を利用する	パスワードの設定、封筒に封入し鞄に入れて搬送する等、紛失・盗難等を防ぐための安全な方策を講ずる
（4）個人データの削除及び機器、電子媒体等の廃棄	書類等は焼却、溶解、適切なシュレッダー処理等の復元不可能な手段。機器・電子媒体は専用のデータ削除ソフトウェアの利用又は物理的な破壊等	削除・廃棄したことを、責任ある立場の者が確認する

ここで中小企業にとって大きいのが、取扱区域の手法として挙げられているのが「間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置」だという点です。電気錠も監視カメラも出てきません。
つまり「顧客名簿を開いているパソコンの背後を来客が通らないように席を入れ替える」だけでも、国が示す手法の例に沿った対策になります。

「持ち運ぶ」は社外に持ち出すことだけではない

見落とされやすいのが、（3）の「持ち運ぶ」の定義です。ガイドラインには次のように書かれています。

「持ち運ぶ」とは、個人データを管理区域又は取扱区域から外へ移動させること又は当該区域の外から当該区域へ移動させることをいい、事業所内の移動等であっても、個人データの紛失・盗難等に留意する必要がある。
（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」より）

会議室に名簿を持って移動する、別フロアのプリンタまで印刷物を取りに行く——これも法律上は「持ち運び」です。「社外に持ち出すときだけ気をつければよい」という理解は、ガイドラインの想定より狭いということになります。

「管理区域」と「取扱区域」は分けて考える

ガイドラインは、対策を求める場所を2つに分けています。この2つを混ぜてしまうと、「うちにはサーバールームがないから関係ない」という誤解につながります。

項目	管理区域	取扱区域
定義	サーバやメインコンピュータ等の重要な情報システムを管理する区域	その他の個人データを取り扱う事務を実施する区域
中小企業での実態	サーバーやNASを置いている場所、鍵付きサーバーラックの中	顧客管理システムを開く席、名簿を扱う総務の島、書庫
手法の例示	入退室管理、持ち込む機器等の制限	間仕切りの設置、座席配置の工夫、のぞき込み防止
費用の目安	鍵付きラックなら数万円〜	0円〜（レイアウト変更・のぞき見防止フィルム）

注意：従業員100人以下の「中小規模事業者」であっても、義務そのものは軽くなりません。ガイドラインが示しているのは「実行しやすい手法の例」であって、「やらなくてよい」ではありません。（2）機器及び電子媒体等の盗難等の防止にいたっては、中小規模事業者の例示が「（同左）」＝大企業と同じ内容になっています。

守らなかった場合、どうなる？

安全管理措置を怠ったこと自体に、いきなり罰金がかかるわけではありません。個人情報保護委員会からの指導・勧告を経て「措置命令」が出され、その命令に従わなかったときに罰則が適用されるという流れです。措置命令違反の罰則は、行為者は1年以下の拘禁刑または100万円以下の罰金、法人は1億円以下の罰金です。

ただ、中小企業にとって現実に重いのは罰則そのものよりも、事故が起きたときの報告義務（速報はおおむね3〜5日以内、確報は30日以内。不正の目的による漏えいは60日以内）と、取引先への説明です。
紛失や盗難は「不正の目的による行為」に当たり得るため、1人分の個人データでも報告対象になります。そのとき「何が入っていた端末か」「誰が持ち出したか」を示せる資料がなければ、報告書の欄が埋まりません。

オフィスをどう区切ればいい？──IPAのひな形が配っている「3段階の領域」

「区域を分けろと言われても、どう分ければいいのか」という段階で止まる会社がほとんどです。ここで使えるのが、IPA（情報処理推進機構）が2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録5「情報セキュリティ関連規程（サンプル）」です。Word形式で無料配布されており、その第3章「物理的対策」には、そのまま自社の規程に貼れる3段階の領域区分表が載っています。

重要度に応じて入れ子に区分したセキュリティ領域、クリアデスクとクリアスクリーン、鍵付きラックとセキュリティワイヤーで固定した機器のイメージ

項目	レベル1領域	レベル2領域	レベル3領域
対象の例	受付・応接スペース・商談室・倉庫	執務室・社長室・書庫・工場・営業所	サーバールーム／鍵付きサーバーラック
誰が入れるか	従業員、社外関係者、部外者が立ち入り可	従業員以外は従業員の許可又はエスコートが必要	あらかじめ許可された、業務上アクセスが必要な者
施錠	最終退室者による施錠	最終退室者による施錠＋警備会社への通報装置作動	常時施錠＋通報装置作動、鍵の管理責任者を置く
置いてよい情報機器	プロジェクター、ホワイトボード	パソコン、複合機、電話機、ハブ、無線LAN中継器	サーバー、ルーター等のネットワーク機器
制限事項	未使用時に社外秘・極秘の情報資産を放置しない	情報機器・設備の無断操作禁止、無断持出し禁止	左記に加え、スマートフォン・USBメモリ・HDD・カメラ等の記憶媒体の無断持込み禁止
部外者の扱い	従業員の許可を受けて入室可能	従業員／受付守衛／総務部受付の許可を受けて入室可能	保守・点検時等に登録者のエスコート付きで入室可能
管理記録	－	入退室を所定様式に記録	入退室を所定様式に記録＋監視カメラによる記録
侵入検知	－	センサーによる警備会社通報	センサーによる警備会社通報
来客用名札	着用不要	要着用	要着用
火災対策	火災検知器、消火器設置	スプリンクラー、消火器設置	不活性ガス系消火設備、純水ベース消火器、空調設備

この表の優れているところは、「うちにはサーバールームがない」という会社でも、レベル1（来客が入る場所）とレベル2（社員だけの場所）の線引きから始められる点です。
受付と執務室の間にドアが1枚あるなら、それが既にレベル1とレベル2の境界です。あとは「そのドアを最後に出る人が閉める」「来客には名札を着けてもらう」「執務室に来客を通すときは社員が付き添う」と決めるだけで、規程の形になります。

来客と社員の「動線」は分けられているか？

区域を紙の上で分けたあと、必ず確認していただきたいのが動線です。「受付で迎えた来客を応接室へ通すとき、執務室を横切らせていないか」——これが最も分かりやすいチェックポイントになります。

執務室を通ってもらう構造だと、来客は歩きながら社員のパソコン画面、ホワイトボードの書き込み、机の上の書類、複合機に残った印刷物を見ることができます。
個人情報保護法のガイドラインが取扱区域の手法として挙げている「間仕切り等の設置、座席配置の工夫、のぞき込みを防止する措置」は、まさにこの動線の問題に対する答えです。

受付・応接室と執務室の間に、ドアかパーティションが1枚あるか
来客が座る位置から、社員のパソコン画面が見えないか
複合機・プリンタが来客動線の上に置かれていないか
ホワイトボードや掲示物に、社外に出せない情報が書かれたままになっていないか

オフィスの移転やレイアウト変更は、この動線を作り直せる数少ない機会です。什器の配置を変えるだけなら追加費用はほぼかからないので、移転・席替えの計画が出たときは、そこにセキュリティの観点を1つ足してください。

入退室の記録は、何を、どのくらい残す？

同じ付録5には、記録についても具体的な数字が書かれています。

※上記の入退室記録は、少なくとも1年間保管する
（IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版付録5「情報セキュリティ関連規程（サンプル）」3. 物理的対策より）

記録に含める項目も、次の6つが挙げられています。エクセルでも紙の記帳簿でも構いません。

入退場区分（入場／退場など）
入退場の日付／時刻
入退場者名の情報（区分〔社員・委託先・訪問者など〕、会社名、所属先、氏名など）
入退場の目的（点検、立ち合いなど）
許可者／承認者の情報（氏名、会社名、部署名など）
入退場手段（ICカード、鍵など）

「保守業者がいつサーバーラックを開けたか」を後から示せるかどうかは、事故が起きたときの調査でも、取引先からの監査でも必ず問われます。記録は、事故を防ぐためというより「疑われたときに自社を守るため」に残すものだと考えると、続けやすくなります。

取引先が見ているのはどの水準？──自工会ガイドラインでは物理が単独最大の19項目

取引先からセキュリティのチェックシートを求められる業界では、物理セキュリティの比重がさらに大きくなります。代表例が、日本自動車工業会（自工会）と日本自動車部品工業会（部工会）による「自工会/部工会・サイバーセキュリティガイドライン」V2.3（2025年9月1日）です。全153項目のチェックシートは24の中分類に分かれていますが、公式チェックシートを集計すると、最も項目数が多い中分類は「16 物理セキュリティ」で19項目でした。

レベル	項目数	位置づけ
レベル1	2項目	会社の規模を問わず最低限
レベル2	15項目	業界推奨の水準（社外の機密情報を預かる会社の標準）
レベル3	2項目	重要情報を大量に扱う会社の最終到達点

19項目のうち15項目がレベル2に集中しているのがポイントです。つまり「取引先から図面や仕様書を預かって仕事をしている会社」は、物理セキュリティで15項目を求められることになります。中身を分類ごとに整理すると次のようになります。

分類	項目数	求められている内容（達成条件の要旨）
サーバー等の設置エリア	5項目	入場できる人を定める／施錠等で入場を制限する／入退場記録を保管し定期的に確認する／不正侵入・不審行動を監視する／サーバーの不要な機能・初期IDとパスワードを見直す
入退場管理	3項目	入退場ルールを定めて周知・運用する／重要なエリアの入場を制限し記録を保管する／不正侵入や不審行動を監視する
持込み・持出し制限	3項目	社内への持込みルール／社外への持出しルール／ルールに関する意識を高める対策
社内撮影制限	1項目	社内における撮影ルールを定め、運用する
盗聴防止	2項目	録音に関するルールを定める／盗聴による情報漏えいへの対策を行う
クライアントPC	4項目	PCの標準構成・設定ルール／許可・禁止ソフトウェアの管理／データ書き出しの仕組みでの制限／重要データをPC以外に保管するルール
スマートデバイス	1項目	パスワード設定と紛失時のデータ削除機能の設定

注意：「物理セキュリティ＝鍵とカメラ」だと思って備えると、点が伸びません。上の表のとおり、自工会ガイドラインの物理セキュリティにはPCの標準構成、禁止ソフトウェアの管理、USBなどへのデータ書き出し制限、スマートフォンの紛失時ワイプ設定まで含まれています。
入退室管理システムを1台入れても19項目のうち数項目しか埋まらず、残りはIT資産管理ツールやMDMといった「仕組み」で埋める設計になっています。

記録の保管期間も、参照する資料によって求められる長さが違います。取引先の基準と自社の規程がずれていないか、一度突き合わせてください。

資料	対象	保管期間
IPA 付録5（規程サンプル）	セキュリティ領域の入退室記録	少なくとも1年間
自工会ガイドライン No.86	サーバー等の設置エリアの入退場記録	6か月
自工会ガイドライン No.89	重要なエリア・部屋への入退場記録	6か月以上

SECURITY ACTIONの自己診断でも、4分の1が物理？

補助金の申請要件にもなっている「SECURITY ACTION」の二つ星では、IPAの「5分でできる！情報セキュリティ自社診断」（25項目）に取り組むことが求められます。この25項目を数えると、6項目が物理的対策でした。全体の約4分の1です。

No.	診断項目	設問
2-12	保管	紛失や盗難を防止するため、重要情報が記載された書類や電子媒体は机上に放置せず、書庫などに安全に保管していますか？
2-13	盗難対策	重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか？
2-14	破棄	重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか？
2-15	利用者限定	離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？
2-16	立ち入り監視	関係者以外の事務所への立ち入りを制限していますか？
2-17	盗難防止	退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしていますか？

この6項目は、いずれも設備を買わずに「実施している」と答えられる内容です。逆に言えば、ここを放置していると、25項目の自己診断で最大24点分（1項目4点）を落とすことになります。補助金の申請でSECURITY ACTIONを宣言する予定がある会社は、先にこの6項目を潰しておくのが効率的です。

▶ 関連記事：今すぐ確認！自社のセキュリティレベルを10分で診断する方法

ISMS（ISO 27001）ではどう扱われている？──93の管理策のうち14が物理

ISO/IEC 27001:2022（国内規格はJIS Q 27001:2023）では、附属書Aの管理策が従来の114から93に再編され、「組織的37／人的8／物理的14／技術的34」の4区分に整理されました。物理的管理策の14項目は次のとおりです。

番号	管理策の名称
7.1	物理的セキュリティ境界
7.2	物理的入退
7.3	オフィス、部屋及び施設のセキュリティ
7.4	物理的セキュリティの監視
7.5	物理的及び環境的脅威からの保護
7.6	セキュリティを保つべき領域での作業
7.7	クリアデスク・クリアスクリーン
7.8	装置の設置及び保護
7.9	構外にある資産のセキュリティ
7.10	記憶媒体
7.11	サポートユーティリティ
7.12	ケーブル配線のセキュリティ
7.13	装置の保守
7.14	装置のセキュリティを保った処分又は再利用

注目すべきは7.9「構外にある資産のセキュリティ」です。テレワークで社員の自宅にあるノートパソコンや、営業車に積んだままの書類も物理的管理策の対象になります。物理セキュリティは「事務所の中の話」ではなくなっている、というのが2022年版の考え方です。

費用をかけずに今日からできることは？

ここまで見てきた資料を突き合わせると、物理セキュリティで求められていることの多くは、設備投資ではなく「決めて、書いて、続ける」ことでした。0円または数千円で着手できるものを整理します。

やること	根拠となる資料	費用の目安
受付・執務室・サーバー設置場所の3つに区域を分け、紙1枚に書く	IPA 付録5「1.2 セキュリティ領域の設定」	0円
最終退室者が施錠する担当と手順を決める	IPA 付録5（レベル1・2領域の施錠）	0円
来客に名札を着けてもらい、執務室は社員が付き添う	IPA 付録5（来客用名札・部外者管理）	名札代のみ
入退室の記帳簿（エクセル or 紙）を作り、6項目を記録する	IPA 付録5（記録項目・1年間保管）	0円
離席時にパソコンをロックする（Windowsキー＋L）	IPA 付録5「5.2 クリアスクリーン」	0円
スクリーンセーバー／スリープの起動を5分以内＋パスワード保護に設定する	IPA 付録5「5.2 クリアスクリーン」	0円
社外秘の書類は退社時に引き出しへ入れて施錠する	IPA 付録5「5.1 クリアデスク」／個情法（2）	鍵付き什器があれば0円
ノートパソコンをセキュリティワイヤーで固定する	個情法ガイドライン（2）の手法の例示	1台1,000〜3,000円程度
持込み・持出しのルールを決めて周知する	自工会ガイドライン No.91・92	0円

セキュリティ領域の中で決めておく7つの注意事項

IPAの付録5には、区域の区分にかかわらず守る「セキュリティ領域内注意事項」として、次の7つが挙げられています。そのまま社内ルールに使えます。

複合機、プリンタに原稿、印刷物を放置しない
FAX送信時には誤送信防止のため宛先を複数回確認する
ホワイトボードは利用後に消去する
室内での撮影、録音は禁止する（業務上必要な場合は責任者の許可を得る）
応接室、会議室内及びエレベータ内では会話の盗み聞きを防止するよう配慮する
外線受話時に相手が不審な場合は、従業員の個人情報を伝えてはならない
部外者を見かけた場合は用件を確認する

「複合機に印刷物を放置しない」「エレベータで仕事の話をしない」は、費用も設備もいりません。しかし実際の漏えいは、ここから起きます。

クリアデスク・クリアスクリーンはどこまで決める？

同じ付録5では、クリアデスク・クリアスクリーンの具体的な水準まで書かれています。「机を片づけましょう」という精神論ではなく、判定できる基準になっているのが特徴です。

クリアデスク：社外秘・極秘の書類や、データを保存したノートパソコン・タブレット・スマートフォン・USBメモリ・HDD・CD等を、利用時以外は机上に放置しない／離席時は書類を伏せる、引き出しに入れる／退社時は電源を切り、引き出しに保管して施錠する
クリアスクリーン：スクリーンセーバーの起動時間を5分以内に設定しパスワードを設定する／スリープ起動時間を5分以内に設定し解除時のパスワード保護を設定する／離席時は［Windows］＋［L］キーでロックする／退社時は電源を切る
社外での利用：スマートフォン・タブレットを外出先で利用する場合は、他者が盗み見できる環境で利用しない

▶ 関連記事：セキュリティポリシーの作り方｜中小企業向けテンプレート解説

入退室管理システムはいくらかかる？──費用の相場

運用のルールを決めたうえで、「記録を人手で取り続けるのが現実的でない」場合に検討するのが入退室管理システムです。中小企業が選べる主なタイプと費用の目安は次のとおりです。

タイプ	初期費用の目安	月額の目安	向いている場所
スマートロック型（既存の鍵に後付け）	0円〜15万円程度	1扉あたり月2,000〜9,000円程度	執務室・書庫の扉、まず1〜2か所から始めたい会社
顔認証・専用端末型	端末14万円程度／台〜	月9,900円程度〜	来客と社員の動線を分けたい受付
ICカード＋電気錠（工事型）	数十万円〜（工事費込み）	月数千円〜	サーバールーム・重要区画の常時施錠

※価格は各社の公開情報から中小企業向けの構成を目安として整理したもので、当社の販売価格ではありません。扉の枚数・鍵の種類・工事の有無で大きく変動するため、実際の金額は現地確認のうえでのお見積りが必要です。

注意：システムを入れるだけでは「記録を残した」ことになりません。ガイドラインが求めているのは、記録を「保管し、定期的に確認すること」です（自工会ガイドライン No.86は「入退場記録を保管し、定期的にチェックしている」が達成条件）。
導入時には「誰が」「どのくらいの頻度で」「何を見るか」までを決め、入退室の権限そのものも年1回の棚卸し（IPA 付録5「1.1 入室権限の管理」）まで運用に組み込んでください。

サーバールームがない会社はどうすればいい？

中小企業では、サーバーやNASが執務室の隅やキャビネットの上に置かれていることが珍しくありません。この場合の答えも、IPAの付録5に明記されています。

サーバーの設置に当たって、サーバーの設置エリアを施錠、又は施錠が出来ないエリアにサーバーが設置されている場合、サーバーを専用ラックに入れて施錠する。いずれかの安全確保策を適用する。
（IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版付録5 3. 物理的対策「2. 関連設備の管理」より）

部屋を施錠できないなら、機器そのものを施錠する——これが公的なひな形が示している現実的な解です。あわせて、同じ節では「LANケーブルは回線盗聴防止のため床下配線とする」ことも挙げられています。

サーバールームを作れない会社が取れる選択肢を整理すると、次のようになります。

鍵付きサーバーラックに入れて施錠する（鍵の管理責任者を決める）
キャビネットの中に収め、扉を施錠する（放熱に注意）
サーバーそのものをクラウドへ移す（守るべき「場所」を自社から減らせる）
ラック周辺だけを撮影できる小型カメラで記録する（自工会 No.87「不正侵入や不審行動を監視」に相当）

3つ目は物理セキュリティの根本的な解決策です。社内にサーバーがなくなれば、守るべき管理区域そのものが消えます。ただしその場合は、代わりにクラウド側のアクセス管理とバックアップが重要になります。

持ち出しと私物端末はどう扱う？

物理セキュリティで最も事故が起きやすいのが「外に出たあと」です。個人情報保護法は、持ち運ぶ場合の措置として「暗号化、パスワードによる保護」を手法の例に挙げています。ノートパソコンについて言えば、答えはシンプルです。

Windowsは BitLocker、Macは FileVault でディスクを暗号化する（いずれもOS標準機能で追加費用は0円。※Windowsはエディションにより対応が異なります）
回復キーを会社側で保管する（本人しか持っていないと、退職や故障のときに開けられなくなります）
持ち出しの申請・承認と記録を残す（自工会ガイドライン No.92は保管期間6か月を求めています）
スマートフォンはパスコード必須＋紛失時のリモートロック・データ削除を設定する（自工会ガイドライン No.102）
私物端末（BYOD）を使う場合は、業務データを端末に残さない設計にする

暗号化していれば、万一の紛失時にも「復元できない状態だった」と説明できます。暗号化していない端末の紛失は、それだけで漏えいの「おそれ」として報告対象になり得ます。

▶ 関連記事：私物スマホの業務利用（BYOD）のリスクと社内ルールの作り方

捨てるとき・返すときも物理対策？

個人情報保護法の物理的安全管理措置の4番目は「削除及び廃棄」です。IPAの付録5でも、物理的対策の章の最後に「6. 廃棄・返却・譲渡」が置かれています。

システム管理者は、IT基盤で利用した機器を返却、廃棄、譲渡を行う場合は、内部記憶媒体の破壊又は専用ツールによりデータを完全に消去し、情報セキュリティ責任者の承認を得たうえ返却、廃棄、譲渡を行う。
内部記憶媒体の破壊又はデータの完全消去を、外部に委託する場合は、破壊又はデータの完全消去を実行したことの証明書を取得する。
（IPA 付録5 3. 物理的対策「6.1 共通ルール」より）

媒体別の処分方法も具体的に指定されています。書類・フィルムは「細断／溶解／焼却」、USBメモリ・HDD・CD・DVDは「破壊／細断／完全消去」で、「※OSによる削除・クイックフォーマットは不可」と明記されています。裏紙の再利用も禁止です。

内部不正の視点では、何を見ておくべき？

物理セキュリティのルールは、外部からの侵入だけでなく、社内の人による持ち出しにも効きます。自工会ガイドラインが「持込み・持出し制限」「社内撮影制限」「盗聴防止」を物理セキュリティに含めているのは、そのためです。

とくに中小企業で見落とされやすいのが次の3つです。

スマートフォンでの撮影：USBメモリを禁止しても、図面や画面をスマートフォンで撮れば持ち出せます。撮影を制限するエリアと申請方法を決めておく（自工会 No.94）
複合機からの紙の持ち出し：印刷物は、データより追跡が難しい経路です。印刷放置の禁止と、印刷ログの取得を検討する
退職前後の入退室権限：退職時にIDだけ止めて、入館カードや鍵の返却・権限削除が漏れる例が多くあります。入室権限の棚卸しを年次で行う（IPA 付録5「1.1 入室権限の管理」）

物理のルールを「仕組み」で支えるには、どの製品が使える？

ルールを決めても、守られているかを人手で確認し続けるのは現実的ではありません。当社が取り扱っている製品のうち、物理セキュリティのどこを支えられるかを整理しました。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	CLOMO MDM	クラウドバックアップ powered by Acronis	セキュリオ
何を担うか	IT資産管理・操作ログ・MDM	IT資産管理・脆弱性診断・デバイス制御	スマートデバイス管理（MDM）	クラウドバックアップ	セキュリティ教育・訓練
物理対策のどこを支えるか	機器の棚卸し・持ち出し端末の暗号化管理・USB制御	外部デバイスの持込み持出し制御・操作ログ	紛失・盗難時のリモートロック／データ削除	盗難・破損・災害時のデータ復旧	クリアデスク等のルール周知と定着
物理対策に効く主な機能	BitLocker回復キー／FileVault復旧キーの自動取得、記録メディア制御、資産台帳（プリンター・ルーター等の非エージェント機器も最大10,000件登録可）、操作ログ標準2年	外部デバイス制御に利用申請ワークフローを標準搭載（許可／読み取り専用／禁止／承認デバイスのみ許可）、操作ログ収集、SaaS管理	リモートロック／初期化（ワイプ）、位置情報の検知、パスコード強制、カメラ等の機能制限	OSまるごと・フォルダ単位の自動バックアップ、端末数無制限	eラーニング、標的型攻撃メール訓練、受講状況の自動集計
料金（税別）	初期30,000円／契約＋プランⅢ ベーシック月500円／台（ライトA 300円・ライトB 400円）	初期30,000円＋基本機能（PC）月600円／台〜（1,000台以上で360円）	初期19,800円＋基本利用料月2,100円＋ライセンス月300円／台（最低5デバイス）	100GB 月3,000円／年36,200円（500GB・1,000GBプランあり）	初期100,000円＋ARライト 50名以下月18,000円（50名超は1人月360円）
無料で試せるか	60日体験あり	要相談	無料トライアルあり	30日評価版	2週間試用
補助金	対象	対象	対象	対象	対象
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

いずれも「鍵」や「カメラ」ではありませんが、自工会ガイドラインの物理セキュリティ19項目のうち、クライアントPC（4項目）とスマートデバイス（1項目）、持込み・持出し制限（3項目）は、これらの仕組みがないと現実的に運用できません。

30名の会社なら、いくらかかる？

従業員30名・パソコン30台・社用スマートフォン20台の会社が、物理セキュリティを「仕組み」で支える場合の目安です（税別）。

項目	費用
区域の区分・施錠のルール・入退室の記帳・クリアデスク／クリアスクリーンの設定	0円
BitLocker／FileVault によるディスク暗号化	0円（OS標準機能）
LANSCOPE エンドポイントマネージャー（プランⅢ ベーシック 30台）	初期30,000円＋年180,000円
CLOMO MDM（スマートフォン20台）	初期19,800円＋年96,000円
クラウドバックアップ powered by Acronis（100GB）	年36,200円
初年度合計	約362,000円（月あたり約30,200円）
2年目以降	年約312,200円（月あたり約26,000円）
（参考）ルールの定着まで含める場合：セキュリオ ARライト	初期100,000円＋年216,000円

費用の比較：当社の「マルウェア感染調査サービス」は300台までで298,000円、詳細レポートが必要な場合は別途500,000円です。事故のあとに調査だけで798,000円かかる可能性があるのに対し、上の構成は初年度で約36万円です。
しかも調査費用を払って分かるのは「何が起きたか」であって、持ち出された図面や名簿が戻ってくるわけではありません。そして今回見てきたとおり、物理セキュリティで求められていることの半分近くは0円でできます。

補助金は使える？

IT資産管理ツールやMDM、バックアップ、教育サービスといった「ITツール」は、デジタル化・AI導入補助金（旧IT導入補助金）の対象になり得ます。

枠	補助額	補助率
通常枠	最大450万円	原則1／2（小規模事業者は最大4／5）
セキュリティ対策推進枠	5万〜150万円	小規模事業者2／3、中小企業1／2
対象になるもの	登録されたITツール（IT資産管理・MDM・バックアップ・教育など）	サービス利用料は最大2年分
申請に必要なもの	SECURITY ACTION 自己宣言ID、GビズID	—

注意点が2つあります。1つ目は、電気錠や監視カメラなどの設備（ハードウェア・工事）は補助対象にならない場合が多いことです。補助金で賄いやすいのは、あくまでIT資産管理・MDM・バックアップ・教育といったITツール側です。
2つ目は、交付決定前に発注・契約・支払いをしたものは対象外になることです。要件と補助率は年度ごとの公募要領で変わるため、実際の申請にあたっては最新の公募要領の確認と、専門家への相談をおすすめします。

何から始めればいい？──中小企業がやる7つの手順

順番	やること	対応する資料	費用の目安
1	オフィスを3つの区域（来客が入る／社員だけ／サーバー設置場所）に分け、紙1枚に書く	IPA 付録5「1.2 セキュリティ領域の設定」	0円
2	各区域の施錠担当・来客の扱い・名札の要否を決めて周知する	IPA 付録5（レベル1〜3領域）	0円
3	サーバー・NASを鍵付きラックまたは施錠できる場所に入れる	IPA 付録5「2. 関連設備の管理」	0円〜数万円
4	入退室の記帳簿を作り、6項目を記録して1年間保管する	IPA 付録5（記録項目・保管期間）	0円
5	クリアデスク・クリアスクリーン（5分ロック）を設定し、退社時の施錠保管を徹底する	IPA 付録5「5. クリアデスク・クリアスクリーン」	0円
6	持ち出し端末を暗号化し、持込み・持出しの申請と記録のルールを決める	個情法（3）／自工会 No.91・92	0円
7	守られているかを確認できる仕組み（IT資産管理・MDM・バックアップ）を入れる	自工会 No.97〜102	月500円／台〜

1〜6はすべて費用ゼロか数万円で完了します。まず1〜2を1時間の会議で決めてしまうことが、いちばん効果の大きい一歩です。
情報システム担当者がいない会社でも、総務の方が主体になって進められる範囲に収まっているのが、物理セキュリティの取り組みやすさです。

よくある質問

Q. 従業員10名の会社でも、入退室管理は必要ですか？

A. 入退室管理「システム」の導入は必須ではありません。個人情報保護法が求めているのは「個人データを取り扱うことのできる従業者及び本人以外が容易に個人データを閲覧等できないような措置を講ずる」ことで、10名の会社であれば、来客が入る場所と社員だけの場所を分けて施錠し、来客時は付き添う、というルールで足りるケースがほとんどです。
ただし、取引先からチェックシートを求められる場合は、記録の有無まで問われます。

Q. サーバールームがなく、NASが執務室に置いてあります。だめでしょうか？

A. だめではありません。IPAのひな形は「施錠が出来ないエリアにサーバーが設置されている場合、サーバーを専用ラックに入れて施錠する」という代替策を明記しています。部屋が施錠できないなら、機器そのものを施錠してください。

Q. 入退室の記録は、紙の記帳簿でもよいですか？

A. 構いません。IPAのひな形も自工会ガイドラインも、記録の「手段」は指定していません。求められているのは記録する項目（日時・入場者・目的・承認者など）と、保管期間、そして定期的に確認することです。
ただし人手での記帳は形骸化しやすいため、扉の数が多い場合や、監査で提示を求められる可能性が高い場合はシステム化を検討してください。

Q. 来客の名札や記帳は、そこまで必要ですか？

A. IPAのひな形では、社員だけの区域（レベル2領域）から「来客用名札は要着用」とされています。名札の目的は「その人が来客だと社員が一目で分かること」で、部外者を見かけたときに声をかけられる状態を作るためのものです。
名札そのものより、「知らない人を見かけたら用件を確認する」という文化があるかどうかが本質です。

Q. 「持ち出し」は、ノートパソコンを家に持ち帰るときだけの話ですか？

A. いいえ。個人情報保護法のガイドラインは、「持ち運ぶ」を管理区域・取扱区域から外へ移動させること（またはその逆）と定義し、「事業所内の移動等であっても、個人データの紛失・盗難等に留意する必要がある」と明記しています。会議室への持ち込みや、別フロアのプリンタへの往復も対象です。

Q. 監視カメラを設置すると、従業員のプライバシーで問題になりませんか？

A. 目的を明確にし、事前に周知すれば、通常は問題になりません。IPAのひな形でもサーバールーム（レベル3領域）には「監視カメラによる記録」が挙げられています。
重要なのは設置目的・撮影範囲・記録の保存期間・確認する人を決めて社内に周知しておくことです。従業員に知らせずに常時撮影する運用は避けてください。

Q. 入退室管理システムに補助金は使えますか？

A. デジタル化・AI導入補助金は登録されたITツールが対象で、電気錠や監視カメラなどのハードウェア・工事費は対象外となる場合が多いのが実情です。
一方で、IT資産管理ツール・MDM・バックアップ・セキュリティ教育サービスは対象になり得ます。物理セキュリティを「設備」ではなく「仕組み」で固める方が、補助金との相性はよくなります。要件は年度で変わるため、最新の公募要領をご確認ください。

Q. まず何から相談すればよいですか？

A. 「オフィスの図面（または手書きの間取り）」と「サーバー・NAS・複合機がどこにあるか」の2点をご用意ください。それだけで、区域の分け方、施錠すべき場所、記録すべき範囲、仕組みで支えるべきところの当たりが付きます。
株式会社アーデントでは、IT資産管理・MDM・バックアップ・セキュリティ教育の各ツールについて、補助金の活用も含めてご提案しています。

まとめ

物理セキュリティは、ウイルス対策やパスワードの話と違って「あとまわし」にされがちな分野です。
しかし個人情報保護法は、区域の管理・盗難の防止・持ち運び・廃棄の4つを「講じなければならない」と定めており、上場企業の漏えい事故を見ても、およそ7件に1件は紛失・誤廃棄や不正持ち出し・盗難で起きています。
取引先から評価される自工会ガイドラインでは、24の中分類のうち物理セキュリティが単独最大の19項目を占め、そのうち15項目が業界推奨のレベル2に集中していました。
SECURITY ACTION二つ星で使う25項目の自己診断でも、6項目が物理的対策です。
一方で、IPAが無料で配っている規程のひな形には、受付・執務室・サーバー設置場所という3段階の領域区分表がそのまま載っています。
区域を分ける、施錠する、記録を残す、机の上を片づける——ここまではほとんど0円です。
費用が発生するのは、「決めたことが守られているかを確認する仕組み」からで、30名の会社なら初年度で約36万円が目安になります。
事故のあとに調査だけで798,000円かかり得ることを考えれば、先に手を打つ方が確実に安く済みます。
まずはオフィスの図面を1枚広げて、来客が入る場所と社員だけの場所に線を引くところから始めてください。

物理セキュリティを相談する

▶ 関連記事：従業員へのセキュリティ教育、何からはじめればいい？

▶ 関連記事：テレワーク時のWi-Fi接続に潜む危険と安全な使い方

法人向けセキュリティソフト　7社料金 10秒一括比較はこちら➡

運営会社	株式会社アーデント
所在地	〒150-0002 東京都渋谷区渋谷3-15-5 パールビル3階
電話番号	03-5468-6097
営業時間	10:00〜19:00（土日祝・年末年始除く）
URL	https://ardent.jp/